ГОСТ Р ИСО/МЭК 18028-1— 2008
Во-первых, существует комплекс мер безопасности, описанных в ИСО/МЭК 17799 и поэтому не по
вторяющихся в данном документе, которыедолжны быть выбраныдля обеспечения защиты хостов, вклю
чая меры безопасности для идентификации и аутентификации и логического управления доступом. Вситу
ациях с низкой степенью доверия надежность мер безопасности для идентификации и аутентификации и
логического управления доступом должна быть выше, чем в ситуациях с высокой степенью доверия. Если
это нельзя обеспечить, должны быть реализованы соответствующиедополнительные меры безопасности.
Конфигурация разрешений (привилегий) в ситуациях с низкой степенью доверия должна помочь обеспе
чить предоставлениедоступа только ктем ресурсам, которые согласованы с моделью доверия и требова
ниями предполагаемого доступа.
Во-вторых, доверенным пользователям обычно предоставляют доступ к более важной/критичной
информации и/или функциональным возможностям. Потребность вдополнительных мерах безопасности в
данном случае — показатель значимости ресурсов, к которым получен доступ, а не степень доверия к
пользователям.
13 Идентификация соответствующих потенциальных сфер контроля
13.1 Общие положения
На основе результатов оценки риска и проводимой высшим руководством проверки, а также с помо
щью ссылок, идентифицированных в результате использования раздела 12. должны быть идентифициро
ваны и выбраны из раздела 13 (а также из ИСО/МЭК 17799) потенциальные сферы контроля. В 13.2 рас
смотрены различные аспекты архитектуры сетевой безопасности и взаимосвязанные потенциальные сфе
ры контроля, а 13.3— 13.11 знакомят с другими взаимосвязанными потенциальными сферами контроля.
Конкретное решение пообеспечению безопасности может вдействительности охватывать ряд потенциаль
ных сфер контроля. представленных в 13.2—13.11.
Следует подчеркнуть, что существует базовый комплекс мер безопасности, имеющих отношение к
информационным системам независимо от наличия любых сетевых соединений, которые будут выбраны
путем использования ИСО/МЭК 17799.
Список идентифицированных потенциальных мер безопасности должен быть тщательно проверен в
контексте соответствующих сетевых архитектур и приложений. Список должен быть скорректирован по
мере необходимости и в последующем использован в качестве основы для реализации необходимых мер
безопасности (см. раздел 14), а затем мониторинга и проверки реализации (раздел 15).
13.2 Архитектура сетевой безопасности
13.2.1 Общие положения
Документирование возможных вариантов архитектуры безопасности представляет собой средство
для изучения различных решений и основудля анализа компромиссов. Оно также облегчает разрешение
проблем, связанных с техническими ограничениями и часто возникающим конфликтом между потребнос
тями бизнеса и потребностями безопасности.
При документировании вариантов должное внимание следуетуделять любым требованиям корпора
тивной политики информационной безопасности (см. раздел 8). релевантной сетевой архитектуре и сете
вым приложениям (см. раздел 9). а также перечню потенциальных сфер контроля, идентифицированных
путем использования разделов 12 и 13. При выполнении этого следует принимать в расчет любые суще
ствующие варианты архитектуры безопасности. Когда варианты будут документально оформлены и прове
рены как часть процесса проектирования технической архитектуры, предпочтительная архитектура безо
пасности должна быть согласована и представлена вдокументе «Спецификации контроля проектирования
технической архитектуры безопасности» (который совместим с проектом технической архитектуры и наобо
рот). Затем могут быть произведены изменения сетевой архитектуры безопасности и приложений (для обес
печения совместимости с предпочтительной архитектурой безопасности) и/или перечня потенциальных мер
безопасности (например, потому чтодостигнутадоговоренность, чтоархитектура безопасности может быть
технически реализована только определенным способом, неизбежно влекущим за собой альтернативу
определенной мере безопасности).
Следует отметить, что в ИСО/МЭК 18028-2 описано «Указание по архитектуре безопасности1>», кото
рое очень полезно в качество базисной точки:
11В контексте ИСО/МЭК 18028-2 «Указание» взято для обозначения одного из примеров того, как представ
лять техническую архитектуру безопасности на очень высоком уровне. Возможны другие примеры.
23