ГОСТ Р ИСО/МЭК 18028-1— 2008
14 Реализация и функционирование мер безопасности
После определения, документирования и согласования архитектуры технической безопасности и мер
безопасности должны внедряться меры сетевой безопасности. Перед тем как разрешить начало операций
по организации сети,должны быть проверены, обсуждены и протестированы любые выявленные недостат ки
безопасности (см. раздел 15). Затем после оценки состояния безопасности должны начинаться рабочие
операции. По прошествии времени и в случае возникновения значительных изменений следует проводить
дальнейшие проверки внедрения (см. раздел 15).
15 Мониторинг и анализ ввода в эксплуатацию
Как указано в разделе 14. первый ввод в эксплуатацию должен быть проворен на соответствие доку
ментированной архитектуре технической безопасности и требуемым морам безопасности, определенным в
следующих документах:
- архитектура технической безопасности;
- политика безопасности организации сети:
- родственные вспомогательные операции;
- политика (безопасности) доступа к услугам шлюза безопасности;
- плаи(ы) непрерывности бизнеса;
- условия безопасности для соединения (при необходимости).
Проверка на соответствие должна быть завершена до оперативной эксплуатации. Проверка считает
ся полной, когда все недостатки выявлены и устранены, что утверждено высшим руководством. В процес
се оперативной эксплуатации также необходимо проводить текущий мониторинг и проверочные действия,
особенно перед выпуском значительной новой версии, связанной с большими изменениями в бизнес-
потребностях. технологии и решениях по безопасности и т. д.. в остальных случаях — ежегодно.
Важно, что мониторинги проверка должны включать проведение тестирования безопасности по при
знанным стандартам с предварительно разработанными стратегией тестирования безопасности и связан
ными с ней планами, точно устанавливая, какие тесты, с чем. где и когда следует проводить. Обычно при
этом должна быть использована комбинация сканирования уязвимости и тестирования на проникновение.
Перед началом подобного тестирования необходимо проверить план тестирования, чтобы гарантировать,
что оно будет проведено способом, полностью совместимым с соответствующим законодательством. При
проведении этой проверки не следует забывать, что сеть может не быть ограничена только одной страной,
она может быть распространена вразличных странахс разным законодательством. Послетестирования в
отчетахдолжны быть указаны особенности обнаруженных уязвимостей, требуемые пути и очередность их
устранения с приложением, подтверждающим, что были применены все согласованные решения проблем.
Такие отчеты должно утверждать высшее руководство.
51