ГОСТ Р ИСО/МЭК 13335-1 — 2006
Другими возможными аспектами стратегии безопасности ИТТ. в силу специфических задач или их
комбинаций, могут быть:
- стратегия оценки риска и методы, адаптируемые в рамках организации;
- комплексная политика безопасности ИТТ для каждой системы;
- организационные методы безопасности для каждой системы;
- схема классификации ИТТ систем;
- осознание необходимости безопасности и повышение квалификации вобласти безопасности:
- условия безопасности соединений, которые должны выполняться и проверяться перед осуществ
лением соединения с другими устройствами;
- стандартныесхемы управления инцидентами информационной безопасности в рамках всей органи
зации.
После определения стратегия безопасности и ее составляющие должны быть включены в политику
безопасности ИТТорганизации.
4.2 Иерархия политик
Политика безопасности организации может состоять из принципов безопасности и директивдля орга
низации в целом. Политика безопасности организации должна отражатьболее широкий кругаспектов поли
тики организации, включая аспекты, которые касаются правличности, законодательных требований и стан
дартов.
Политика информационной безопасности может содержать принципы идирективы, специфичные для
защиты чувствительной и ценной или иной важной для организации информации. Содержащиеся в ней
принципы строятся на основе принципов политики безопасности и. таким образом, согласованы с ними.
Политика безопасности ИТТорганизациидолжна отражатьсущественные принципы безопасности ИТТ
и директивы, применимые кполитике безопасности и политике информационной безопасности, и порядок
использования ИТТ ворганизации.
Политика безопасности ИТТдолжна отражать принципы безопасности и директивы, содержащиеся в
политике безопасности ИТТ организации. Онадолжна также содержатьдетали особых требований безопас
ности и защитных мор. подлежащих реализации, и процедуры правильного использования защитных мер
для обеспечения адекватной безопасности. Вовсех случаях важно, чтобы принятый подход был эффекти
вен вотношении потребностей бизнеса организации.
В некоторых случаях политика безопасности ИТТ может быть включена в состав технической и уп
равленческой политики организации, которые вместе составляют основу политики ИТТ. Эта политика дол
жна содержать несколько убедительных положений важности безопасности, если она необходима для
соблюденияданной политики. Пример иерархических отношений, которые могут возникать между полити
ками. показан на рисунке 3. Вне зависимости от организационной структуры илидокументации, принятой в
организации, важно, чтобы учитывались различные стороны политики и поддерживалась их согласован
ность.
Другие болеедетальные политики безопасности требуются для специфических систем и услуг или
групп ИТТ и услуг. Эти политики обычно известны как политики безопасности ИТТ. С позиций управления
оченьважно, чтобы их предмет и границы были ясны и базировались одновременно на бизнес-требованиях
и технических требованиях.
4.3 Элементы политики безопасности информационно-телекоммуникационных технологий
организации
Политика безопасности ИТТ должна формироваться, исходя из согласованных целей и стратегий
безопасности ИТТ организации. Необходимо выработать и сохранятьполитикубезопасности ИТТ. соответ
ствующую законодательству, требованиям регулирующихорганов, политике в области бизнеса, безопас
ности и политике ИТТ.
Чем более организация полагается на ИТТ, тем важнее ее безопасность, которая обеспечивает вы
полнениебизнес-задач. При формировании политики безопасности ИТТследует помнить об особенностях
культуры, окружающей среды организации, поскольку они влияют на подход к безопасности, например на
защитные меры, которые могут быть легко приняты в одной среде и быть абсолютно неприемлемы вдру
гой.Деятельность вобласти безопасности, изложенная в политике безопасности ИТТ. может основываться
на организационных целях и стратегиях, результатах предыдущих исследований по оценке и управлению
риском, результатах мероприятий по сопровождению создаваемых защитных мер. мониторинге, аудите и
анализе безопасности ИТТ в процессе текущейдеятельности иотчетах об инцидентах безопасности. Любая
серьезная угроза или уязвимость, замеченная в ходе данных мероприятий, должна быть соотнесена с
10