ГОСТ Р ИСО/МЭК 13335-1 — 2006
снижения риска до приемлемого уровня. Если риск считается приемлемым, то реализация защитных мер
не требуется.
Плтьф сяант:
оцмяршж*
■фабсга плаш
Воаогвсности ИТТ
Рмлимцив:
ГфИнвиымомщипыс
■Ир
Рисунок 2 — Взаимосвязь защитных мер и риска
4 Цели, стратегии и политика
В качестве основы действенной безопасности ИТТорганизациидолжны быть сформулированы цели,
стратегии и политика безопасности организации. Они содействуют деятельности организации и обеспечи
вают согласованность всех защитных мер. Для того, чтобы обеспечить подобную согласованность, осо
бенноважно, чтобы цели, стратегия и политика безопасности были интегрированы в программы обучения и
повышения квалификации вобласти безопасности.
Цели (чего необходимодостичь), стратегии (способы достижения цели), политика (правила, которые
следует соблюдать при реализации стратегий) и процедуры (методы осуществления политики) могут быть
определены и раскрыты в соответствующих подразделениях и на соответствующих уровнях организации.
Руководящие документыдолжны отражатьорганизационные требования и учитыватьорганизационные ог
раничения. Поскольку многие угрозы (например атаки хакеров, удаление файлов, пожар) являются рас
пространенными. важна согласованность междусоответствующими документами.
Более того, общие цели, стратегии и политика должны быть отражены и уточнены в детальных и
специфических целях, политике и процедурах во всех сферах интереса организации, таких как управление
финансами, персоналом и безопасностью. Далее безопасность подразделяют на составляющие (связан
ную с персоналом, физическую, информационную, ИТТ безопасность и т. д.). Иерархия документации
должна поддерживаться и актуализироваться по результатам периодического анализа безопасности (на
пример по результатам оценки рисков, внешнего и внутреннегоаудита безопасности) и в связи с изменени
ями целейдеятельности организации.
Цели, стратегии, политика и методы безопасности ИТТдолжны отображать то. что ожидается от ИТТ
в сфере безопасности. Как правило, их излагают на общепринятом языке, однако в некоторых случаях
может возникнуть и потребность изложить их более формально с использованием специфической терми
нологии. Цели, стратегия, политика определяют уровень безопасности для организации и порог приемле
мого риска.
8