ГОСТ Р ИСО/ТС 25238—2009
Варьируемый объем средств контроля, полученный в результате процесса классификации рисков, может не
содержать рекомендаций по их применению для некоторых областей контроля, относящихся к низкому классу рис ка.
Наоборот, для продуктов, отнесенных квысокому классу риска, требования должны бытьдостаточно жесткими и
должны предусматривать выполнение таких работ, как независимая экспертиза, формальное проектирование,
всестороннее тестирование и т. д.
Процесс классификации рисков не предназначен для замены построенной на более широкой основе и более
детальной оценки рисков. Действительно, оценка рисков является основой обеспечения того, что инфраструктура и
среда, в которой размещается программный продукт для сферы здравоохранения, соответствуют рискам. Например, в
контексте информационной безопасности данный процесс будет устанавливать требования к таким средствам кон
троля. как защита от вирусов, безопасность передачи сообщений, сетевая безопасность, конфиденциальность дан
ных в сетях и т. д. Более того, итоговые комбинированные требования, вероятно, будут охватывать взаимодействия,
интерфейсы и функциональную совместимость программного продукта для сферы здравоохранения, чтобы задей
ствовать их в интересах безопасности.
С.З Примеры контролируемых факторов
В процессе ведения и интерпретации установленной «классификации рисков» может потребоваться рас
смотрение следующих факторов, контролируемых соответствующими средствами:
-действия по дополнительной классификации рисков;
- действия по оценке рисков, связанных с безопасностью;
- программное управление;
- программное управление рисками;
- средства проектирования.
- управление проектированием системы;
- квалификация и опыт проектировщиков системы;
- правила отображения и представления информации;
- целостность проекта;
- гарантия правильности^аттестация проекта.
- средства разработки системы;
- управление разработкой системы;
- квалификация и опыт разработчиков системы;
- средства контроля целостности;
- тестироаание/техническая гарантия защиты системы от проникновения;
- средства разработки базы знаний;
- управление проектированием базы знаний;
- управление разработкой базы знаний;
- гарантия правильностн/аттестация базы знаний;
- разработка политики безопасности:
- требования к устойчивости и резервированию;
- идентификация и аутентификация.
- контроль доступа пользователей;
- повторное использование объектов;
- требования к хранению/планирование объема памяти;
- требования к резервному копированию;
- бухгалтерский учет и аудит;
- защита от сбоев оборудования;
- контроль происшествий;
- контроль непрерывности бизнес-процессов;
- разработка тестирования систем;
- формальная оценка разработанных систем;
- разработка процедур эксплуатации;
- разработка процедур сопровождения;
- разработка процедур пользователя;
- обучение персонала;
- руководство администрированием.
Данный перечень не является окончательным и потребует дальнейшего анализа и проработки, прежде чем
он сможет быть принят в каком-либо из руководств или стандартов. Степень востребованности перечисленных кон
тролируемых факторов и строгость, с которой они должны контролироваться, будут зависеть от класса риска.
19