ГОСТ Р ИСО/МЭК 13335-1 — 2006
циальнуюдолжность. В крупных организациях может существовать сеть администраторовдля подразде
лений.департаментов и т. д. В качестве администраторов безопасности ИТТ и администраторов безопасно
сти ИТТ для делартаментов/подразделений предпочтительно отбирать людей с образованием в области
безопасности и ИТТ. В обязанности администратора безопасности ИТТ входит:
- наблюдение за реализацией программы безопасное™ ИТТ;
- поддержание контакта ссоветом по безопасности ИТТ и администратором безопасности ИТТ и пре
доставление им отчетов;
- опубликование и поддержка политики безопасности ИТТ и директив;
- координация расследования инцидентов;
- управление программой осведомленности о безопасности в рамках организации;
- установление целей и критериев безопасности ИТТ. исходя из политик;
- анализ, аудит и мониторингэффективности контроля безопасности;
- анализ, аудит и мониторингстрогого соблюдения процедур безопасности ИТТ в организации.
Служебные обязанности могут быть разделены с учетом размера организации, сложности системы
безопасности и других ее значимых особенностей (см. 5.1.1).
Примеры—Делегируемые функции могут быть следующими:
а) администратор безопасности проекта ИТТ.
Отдельные проекты или системы должны иметьлиц. ответственных за безопасность,
которыхиногда называют администраторами безопасности проекта ИТТ. Вряде случаев такие
обязанности могут быть дополнительной нагрузкой. Руководство такими администрато
рами должен осуществлять администратор безопасности ИТТ. Администратор безопаснос
ти ИТТявляется центром всех связанных с безопасностью аспектов проекта, системы или
группы систем.
Обязанности администратора безопасности проекта ИТТвключают в себя:
- поддержание контакта с администратором безопасности ИТТ и предоставление ему
отчетов,
- выработку и реализацию плана безопасности для конкретного проекта.
- текущий мониторинг реализации и использования защитных мер в сфере ИТТ.
•первоначальное расследование и содействие в расследовании инцидентов:
в) администратор безопасности ИТТ.
В средних и крупных организациях, какправило, существуют функции для делегированно
го управления, включающие в себя:
- исполнение и применение процедур безопасности ИТТ,
- администрирование безопасности систем и сети,
•обновление специфическихпрограмм безопасности (например антивирусных программ,
версий программного обеспечения), программного обеспечения,
•администрирование специфических методов контроля безопасности, например резерв
ных копий, списка контроля доступа и т. д.
Администраторы безопасности должны иметь соответствующую подготовку для про
ведения специальных мероприятий и применения специальных средств защиты.
5.1.4 Пользователи информационно-телекоммуникационных технологий
Пользователи ИТТ отвечаютза:
- использование ИТТ-ресурсов в соответствии с политикой, директивами и процедурами:
- защиту бизнес-активов в соответствии с политикой, директивами и процедурами безопасности ИТТ.
5.2 Организационные принципы
5.2.1 Обязательства
Для обеспечения безопасности активов организации должны существовать обязательства руковод
ства организации вотношении обеспечения безопасности ИТТ. Любой фактически существующий или осоз
наваемый недостаток таких обязательств будет подрыватьдоверие кадминистратору безопасности ИТТ и
значительно ослаблять защиту против угроз. Результатом поддержки сверху должна стать официально
согласованная и документированная политика безопасности ИТТ. вытекающая из политики безопасности
организации. Существующая конкретная политика и ее ключевые элементы должны регулярнодоводить
сядо сведения работающих в организации на постоянной основе и по контракту и (где уместно) подчерки
вать заинтересованность и поддержку руководством политики безопасности ИТТ.
15