ГОСТ Р ИСО/ТО 27809— 2009
тур (аппаратное и программное обеспечение, носители данных, документация и т.д
_
), используемых в рамках
системы управления информационной безопасностью.
Кроме юридических и регулятивных требований в ИСО/МЭК 27001:2005. подраздел 4.2. перечисление 1Ь,
также дополнительно сделан акцент на рассмотрении контрактных обязательств на всех стадиях системы управ
ления информационной безопасностью, особенно в отношении оценки рисков, обработки рисков, выбора средств
контроля, контроля записей и ресурсов, мониторинга и анализа системы управления информационной безопас
ностью и требований к документации.
Более того, в будущем еще один документ. BS 7799-3:2006 {69]. по управлению рисками в системе управле
ния информационной безопасностью будет принят в качестве международного стандарта ИСО/МЭК 27005 [66]. В
нем представлена информация, подобная приведенной в опубликованном документе Британского института
стандартов PD 3002:2000. Этот документ содержит подробное описание проблем эффективной реализации
управления рисками информационной безопасности, очень похожее по форме на перечень ключевых компо
нентов. представленный в С.З.
Комплекс стандартов ИСО 2700Х направлен на то же. что и стандарты МЭК 61508-3 и МЭК 61508-5 (см.
С.6.2). Однако в нем снова отсутствуют всесторонние спецификации охватываемых процессов или вопросов,
подлежащих рассмотрению. С другой стороны, область применения ИСО 27001 может быть в значительной мере
использована в отношении оценок рисков для безопасности пациентов при использовании программных продук
тов для сферы здравоохранения.
С.6.2 МЭК 61508 «Оценка критического риска для безопасности»
МЭК 61508 состоит из восьми частей. В части 0 представлен обзор. Основное содержание представлено в
частях 1— 4. Их проект был разработан в 1998 г., а проект части 2. содержащей требования к системам, связан ным
с безопасностью, был пересмотрен в 2000 г. Версии всех четырех частей, выпущенные в декабре 2005 г., в
настоящее время являются предметом голосования в комитете. Части 5. 6 и 7 будут рассмотрены позже.
Стандарт применим к электрическим, электронным и программируемым электронным системам. Ранее
возникал вопрос, должна ли область применения МЭК 61508 ограничиваться контроллерами с программиру
емой логикой. Однако последние разработки, например, охватывающие информационные сетевые системы,
связанные с безопасностью, подключенные к Интернету, подчеркнули применимость стандарта ко всем програм
мируемым системам, независимо от их конкретного применения.
МЭК 61508 предназначен для совместного применения с ИСО 9000 и основывается на следующих положе
ниях:
- безопасность не может быть абсолютной (с нулевым риском);
- риски, создаваемые системами, должны быть выявлены;
- недопустимые риски должны быть снижены или исключены;
- уверенность в безопасности должна быть определена заранее, а не ретроспективным анализом проекта;
- безопасность должна быть демонстрируемой;
- разрушение веры вто. что «все. сделанное (т.е. построенное) хорошо, автоматически будет безопасным»,
имеет критическое значение;
- правильное функционирование не обязательно адекватно безопасности.
К настоящему стандарту имеют отношение следующие части МЭК 61508:
- Часть1. Общие требования:
- Часть 3. Требования к программному обеспечению (т.е.. к программным компонентам):
- Часть 5. Примеры методов для дифференцирования уровней целостности безопасности.
Эффективное использование стандарта, несомненно, требует понимания управления рисками, и текущая
версия частей 1— 4 частично отражает мнение, что некоторые процессы слишком сложны и неоднозначны.
В основе данного стандарта лежит концепция «уровней целостности безопасности», которые в чем-то ана
логичны уровням рисков. Хотя конкретные процессы по установлению уровней целостности безопасности не
представлены, в части 5 показан спектр альтернативных методов. Главной среди них является классификация
рисков, основанная на отображении частоты и последствиях, на основании которых выбирается один из четырех
классов риска. Поскольку в данном случав «частота» понимается как синоним «правдоподобия», то мы имеем
дело с процессом, основанным на рисках, в чистом виде, и данный стандарт приходит к тем же выводам, что и
GHTF/SG3’NI5R8 [39].
Однако, примеры, приведенные в части 5. остаются высокоуровневыми и не опускаются до подробных
перечней критериев, подлежащих рассмотрению, или средств контроля, подходящих для применения. Также
следует учесть относительное предпочтение стандарта к количественным мерам оценки рисков, хотя потенциаль
ная роль качественной оценки в нем также признается. Разумеется, качественную оценку будет практически не
возможно применить при отсутствии надежного или обширного банка статистики, на основании которого она
могла бы быть сформирована.
Поскольку МЭК 61508 представляет совокупность понятий и принципов, которые могут быть учтены при
оценке рисков для безопасности пациентов со стороны программных продуктов для сферы здравоохранения,
механизмы, представленные в стандарте в настоящем виде, обычно рассматриваются в комплексе и едва ли
могут быть реализованы подходящим образом. Поэтому, если какой-либо процесс оценки будущих рисков со
стороны программных продуктов для сферы здравоохранения и мог бы использовать основные принципы, то это
25