ГОСТ Р ИСО/МЭК Т 0 19791 — 2008
чином. Одновременно создается организационная структура безопасности, формируются политики, прави
ла и процедуры безопасности, которые интегрируются в систему. Должны быть определены и внедрены
соответствующие параметры конфигурации безопасности.
После тестирования интеграции автоматизированная система должна проверяться разработчиком как
часть проверочных испытаний. Обычно специфическиедля системы меры обеспечения безопасности, та
кие как управлеческие меры доступом, могут проверяться разработчиком перед их развертыванием на
рабочем месте. Тестирование специфическихдля рабочего места мер обеспечения безопасности (техни
ческих и организационных) откладывается до завершения установки системы в ее предполагаемой эксплу
атационной среде. Проверочные испытания должны подтвердить стабильность механизмов безопасности, а
также правильное функционирование мер обеспечения безопасности.
Затем осуществляется оценка автоматизированной системы. Оценка должна подтвердить, что все
риски, детализированные в ЗБС. которым должны противодействовать меры обеспечения безопасности,
определены как приемлемыедля системы. Результат оценки является независимым подтверждением для
владельца системы приемлемости мер обеспечения безопасности.
В отчете о сертификации указывают все подтвержденные уязвимости, обнаруженные при оценке, и,
при необходимости, определяются любые рекомендованные корректирующиедействия. Затем владелец
системы подготавливает план корректирующихдействий по уменьшению или устранению выявленных уяз
вимостей. если это необходимо. Результат сертификации системы представляется аттестующему лицу для
определения приемлемости фактическихостаточных рисковдля функционирования системы и ее активов.
Выходныеданные на стадии сертификации будут разрешением на эксплуатацию системы.
5.3.3 Стадия установки (внедрения)
На стадии установки (внедрения)для использования всреде эксплуатации внедряют и подготавлива
ют технические и организационные меры безопасности. Испытываютспецифическиедля рабочего места
меры обеспечения безопасности, а остальные меры обеспечения безопасности проверяют повторно для
подтверждения их правильного функционирования вконкретной рабочей среде.
Для соблюдения корректности меры обеспечения безопасности должны соответствовать требовани
ям безопасности, документированным в ЗБС. и должы бытьсанкционированы для применения компетент
ным лицом. Для повышения эффективности мер обеспечения безопасности все задействованные в этом
обеспечении лица должны быть обучены использованию мер и процедур обеспечения безопасности в
сре де эксплуатации.
5.3.4 Стадия эксплуатации системы
На стадии эксплуатации системы необходимо собирать и оценивать записи об эксплуатации техни
ческих и организационных мер безопасности. Журналы аудита и записи мониторинга всего доступа какти
вам должны регистрироваться. Необходимо подтвердить правильность функционирования мер обеспече
ния безопасности. Необходимо также проверятьотсутствие несанкционированных операций и неприемле
мых рисков. Состояния незащищенности должны быть переведены в состояния защищенности в назна
ченный срок. Необходимо контролировать и оценивать на наличие проблем с безопасностью изменения,
внесенные в ходе регламентного обслуживания. Записи о фактическом доступе и использовании активов
должны проверяться. О проблемах с безопасностью необходимо сообщать, они должны быть проверены и
проанализированы.
Целью сбора и оценивания записей обэксплуатации технических и организационных мер безопасно
сти является установление обратной связи системы с аттестующим лицом при внесении изменений, кото
рые могут повлиять на безопасность автоматизированной системы. Обычно при эксплуатации системы
необходимо определить ряд критически важных мер обеспечения безопасности автоматизированной сис
темы с целью непрерывного мониторинга для проверки их постоянной эффективности. Кроме того, владе
лец системы должен иметь систему конфигурационного управления, контроля и отчетности, которая доку
ментирует текущие активы автоматизированной системы, ее конфигурацию и представляет эту информа
цию ответственным сторонам.
5.3.5 Стадия модификации
На стадии модификации любые предполагаемые или фактические изменения автоматизированной
системы, выходящие за рамки регламентного обслуживания, должны изучаться, анализироваться, и при
необходимости, тестироваться для определения их воздействия на безопасность автоматизированной сис
темы перед внедрением в процесс эксплуатации. Эти изменения включают в себя изменения в политиках и
процедурах. Для проверки эффективного функционирования модифицированных мер обеспечения безо
пасности необходимо проводить испытание на проникновение.
7