ГОСТ Р ИСО/МЭК ТО 19791 — 2008
Если оценка риска фактической автоматизированной системы указывает на наличие рисков, не идентифи
цированных в ПЗС. необходимо изменить границы системы для устранения этих рисков или ввести дополнитель
ные риски в пункт «идентификация риска» ЗБС.
Зная, что настоящему подразделу предшествует «введение СОО». важно, чтобы любой материал, представ
ленный в настоящем пункте ПЗС. соответствовал информации, имеющейся в подразделе «введение СОО».
А.2.5.2 Идентификация рисков
В настоящем пункте все риски, применимые к СОО. должны описываться на основе оценки риска автома
тизированной системы или типов автоматизированной системы, охватываемых ПЗС. Каждый риск должен кате
горизироваться как «приемлемый» или «неприемлемый», т.е. требующий снижения или устранения посред
ством технических или организационных мер в пределах СОО. Принятые риски тем не менее должны идентифи
цироваться. поскольку приемлемость рисков может со временем измениться.
Перечень рисков должен вхлючагь в себя риски, связанные с разработкой автоматизированной системы.
Описание каждого риска должно быть достаточно подробным, чтобы идентифицировать активы или типы актива,
которые могут быть повреждены или скомпрометированы, угрозы и уязвимости, относящиеся к каждому активу
или типу актива, и воздействие успешной атаки. Угрозы должны характеризоваться, исходя из источников этих
угроз и их потенциально негативного воздействия на активы. При оценке рисков должны идентифицироваться все
возможные риски для автоматизированных систем, соответствующих требованиям ПЗС.
П р и м е ч а н и е — Источники угроз могут включать в себя природные явления, такие как катастрофы, а
также человека и созданные им специальные компьютерные программы.
Со временем могут идентифицироваться дополнительные риски или изменяться последствия нарушения
безопасности. В течение жизненного цикла системы оценка риска должна повторяться. ПЗС обновляться и. если
это необходимо, автоматизированная система — оцениваться повторно.
В настоящем подразделе должны идентифицироваться и категорироваться риски, связанные с эксплуата
цией систем, удовлетворяющих в целом требованиям ПЗС. например, риски, связанные с работниками или биз
нес-активами. Некоторые риски, например, риски, связанные с обработкой приложений, могут относиться толь
ко к определенному домену безопасности и. следовательно, идентифицироваться и анализироваться только для
этого домена.
А.2.5.3 Политики безопасности организации (ПБОр)
В автоматизированных системах область применения ПБОр расширена для включения в нее проблем
управления процессами жизненного цикла и эксплуатации, которые не рассматриваются во время оценки по
стандартам серии ИСО/МЭК 15408. Политики управления процессами жизненного цикла и эксплуатации включа ют
в себя:
a) основные законы и директивы:
b
) непрерывность деловой деятельности;
c) соглашения по применениям внутри организации (т.е. внутрислужебное соглашение или меморандум о
взаимопонимании).
А.2.6 Цели безопасности
Цели безопасности, содержащиеся в подразделе «цели безопасности» ПЗС. должны обеспечивать коге
рентное. последовательное и достаточно полное высокоуровневое описание решения безопасности, основанно го
на определении неприемлемых рисков и политик безопасности организации в разделе определения проблем
безопасности. Высокоуровневое описание осуществляется, исходя из функциональных целей безопасности, ко
торые впоследствии распределяются между техническими и организационными мерами безопасности автома
тизированных систем, удовлетворяющих требованиям ПЗС. или других автоматизированных систем, сопряжен ных
с данной системой. Обоснование должно демонстрировать, что установленные цели безопасности просле
живаются до всех аспектов, указанных в определении проблем безопасности ЗБС и пригодных для их обеспече
ния. Обоснование должно обеспечивать полную прослеживаемость между заявленными целями безопасности и
всеми аспектами формулировки проблемы безопасности и иметь достаточно информации для определения
эффективности противодействия целей безопасности установленным неприемлемым рискам и осуществления
установленных политих безопасности организации.
Существует другой тип цели безопасности, управляющий проверочными действиями по созданию и анализу
свидетельства и наблюдению и испытанию реализации на соответствие требованиям. Обоснование этому типу
цели безопасности обычно не приводится при оценке по стандартам серии ИСО/МЭК 15408 (т.е. конкретные цели
безопасности не сопоставляются с конкретными требованиями доверия). В результате имеется мало информа
ции. если таковая вообще имеется, в документах ПЗ/ЗБ продукта, обосновывающего выбранные меры доверия.
Однако для автоматизированной системы необходима четкая формулировка целей доверия, выведенная из
аспектов доверия проблемы безопасности для обоснования мер доверия, применимых к автоматизированной
системе в целом. Эти меры доверия можно применить к среде разработки СОО или среде эксплуатации.
Формулировка целей безопасности должна охватывать все требуемые меры обеспечения безопасности,
включая обе меры, существование которых предполагается, и меры, которые должны быть приняты как часть
реализации автоматизированной системы.
38