ГОСТ Р ИСО/МЭК Т 0 19791 — 2008
мизационных мер безопасности автоматизированной системы с помощью документации, описывающей
организационные меры безопасности как реализованные.
Процессразработки, внедрения и поддержания функционирования самой автоматизированной систе
мы и связанных сбезопасностью услуг оказывает значительное влияние на правильность и эффективность
связанной с безопасностью услуги и ее общий вклад в общую безопасность автоматизированной
системы. Это влияние также содействует уверенности в оказании связанной с безопасностью услуги.
Таким обра зом. процесс разработки, внедрения и поддержания функционирования самой
автоматизированной систе мы и связанных с безопасностью услуг способствует общему доверию к
комплексной автоматизированной системе. А именно, чем выше уровень производительности процесса,
тем больше уверенность в правиль ности и эффективности связанной с безопасностью услуги и,
следовательно, общее оказываемое доверие.
Функциональные требования обеспечения организационной безопасности реализуются нетехничес
кими средствами, внедренными в автоматизированную систему в интересах обеспечения общих целей
безопасности, тогда кактребования доверия к ней отражены всвидетельствах соответствия этим требова
ниям.
Следовательно, оценку безопасности автоматизированной системы можно разделить на несколь
ко этапов:
a) проблема безопасности четко сформулирована как набор рисков, которыедолжны быть уменьше
ны или смягчены, и набор политик безопасности организации, которые должны быть реализованы. Для
определения цели автоматизированной системы требуется предварительный анализ, адля определения
рисков, которымдолжны противодействоватьтехнические и организационные меры безопасности, требует
ся оценка рисков. Результаты анализа фиксируются в ЗБС:
b
) проблема безопасности делится на высокоуровневое решение по безопасности, представленное
совокупностью целей безопасности. Цели безопасности записывают в ЗБС;
c)далее цели безопасностидетализируют в требованиях безопасности, которые могут быть оценены
независимым оценщиком. Некоторые цели относят ктехническим мерам обеспечения безопасности, неко
торые — корганизационным. Например, контроль за несанкционированнымдоступом кинформационному
активу часто осуществляется через обеспечение физической защиты оборудования, содержащего актив
(например, замки, охрана), и выполняемые функции ИТ (например, аутентификация пользователя и меха
низмы управления доступом). Требования безопасности записывают в ЗБС;
d) наоснове общих целей и общего доверия к требуемым мерам защиты определяется совокупность
действий оценщика во время проведения оценки. Эти требования доверия записаны в ЗБС;
e)оценка независимым оценщиком определяет соответствие автоматизированной системы ее требо
ваниям по безопасности на основе требований, документированных о ЗБС;
f) могут проводиться текущие оценки для обеспечения уверенности в соответствии автоматизиро
ванной системы установленным требованиям входе эксплуатации. Текущие оценки сосредоточены в ос
новном в области организационных мер безопасности автоматизированной системы, поскольку эти меры
зависят от поведения человека, которое является менее контролируемым и последовательным, чем пове
дение ИТ;
д) периодическая переоценка автоматизированной системы может определить, продолжает ли систе
ма соответствовать установленным требованиям, несмотря на изменения в ней или в ее среде. Перио
дическая переоценка состоит из выявления того, какие изменения имели место, оценки воздействия
этих изменений на безопасность, обновления ЗБС. при необходимости, и определения наличия
поддержки безопасности в ходе этого процесса.
Данный процесс подобен процессуоценки по стандартам серии ИСО/МЭК15408. Типичное различие
между оценкой автоматизированной системы и оценкой продукта по стандартам серии ИСО/МЭК 15408
заключается втом. что при оценке автоматизированной системы фактическая среда эксплуатации рассмат
ривается полностью, тогда как при оценке продукта среда эксплуатации подробно не рассматривается, а
описывается как предположения, которые не подтверждаются во время оценки.
Основной целью оценки автоматизированной системы является получение доверия кправильности
и эффективности реализации целей безопасности автоматизированной системы. Однако оценка мер обес
печения безопасности кактехнических, так и организационных, никогда не сможет обеспечить абсолютно
го доверия к постоянному должному функционированию в любое время и при всех обстоятельствах.
В результате оценки выносится положительное или отрицательное заключение. Даже в случае, если при
оценке не обнаруживаются неприемлемые уязвимости, всегда будет остаточный риск того, что меры
обес печения безопасности не функционируют должным образом. Риск можно снизить добавлением
дополни тельных мердоверия или использованием различных мер доверия, что придает большую
уверенность
9