ГОСТ Р ИСО/МЭК 27005—2010
Существует много ограничений, которые могут влиять на выбор мер и средств контроля и управле
ния. Техническиеограничения, такие, как требования к функционированию, проблемы управляемости (тре
бования операционной поддержки) и совместимости, могут препятствовать использованию определенных
мер и средств контроля и управления или могут вводить ошибку оператора, либоаннулирующую эти меры
и средства контроля и управления, внушая ложное чувство безопасности, либо даже увеличивающую
риск, как если бы не имелось никаких мер и средств контроля и управления (например, требование ис
пользования сложных паролей без соответствующего обучения, которое может приводить к записи паро
лей пользователями). Более того, может возникнуть ситуация, когда меры и средства контроля и
управле ния будут влиять на производительность. Руководство должно стремиться принять такое
решение, кото рое будет удовлетворять требованиям производительности, гарантируя в то же время
достаточную ИБ. Результатом этого первого шага является перечень возможных мор и средств
контроля и управления с указанием их стоимости, эффективности и приоритета реализации.
При формировании рекомендаций и в процессе реализации должны учитываться различные ограни
чения. Типичными ограничениями являются:
- временные ограничения;
- финансовые ограничения;
- технические ограничения:
- операционныеограничения:
- культурные ограничения;
- этические ограничения;
- ограничения, связанные с окружающей средой;
- юридические ограничения:
- ограничения, связанные с простотой использования;
- кадровые ограничения;
- ограничения, касающиеся интеграции новых и существующих мер и средств контроля и управ
ления.
Более подробную информациюобограничениях,сопутствующих решениям по снижениюриска, можно
найти в приложении F.
9.3 Сохранение риска
Действие. Решение сохранить риск, не предпринимая дальнейшегодействия, следует принимать в
зависимости отоценки риска.
П р и м е ч а н и е — В ИСО/МЭК 27001 (см. пункт 4.2.1, перечисление f) 2)] описывается та же самая
деятельность: «осознанное и объективное принятие рисков при условии, что они. несомненно, отвечают полити
кам и критериям организации, касающимся принятия рисков».
Руководство по реализации. Если уровень рисха соответствует критериям принятия риска, то нет
необходимости реализовывать дополнительные меры и средства контроля и управления, и риск может
быть сохранен.
9.4 Предотвращение риска
Действие. Отказ отдеятельности или условия, вызывающего конкретный риск.
Руководство по реализации. Если идентифицированные риски считаются слишком высокими или
расходы на реализацию других вариантов обработки риска превышают выгоду, может быть принято реше
ние о полном предотвращении риска путем отказа от планируемой или существующей деятельности, или их
совокупности, или изменения условий, при которых осуществляетсядеятельность. Например, в отно
шении рисков, вызываемых природными факторами,наиболее экономически выгодной альтернативой может
бытьфизическое перемещение средств обработки информации туда, где этого риска не существует или он
контролируется.
9.5 Перенос риска
Действие. Рискдолжен быть перенесен на сторону, которая может наиболее эффективно осущест
влять менеджмент конкретного риска, в зависимости от оценки риска.
Руководство по реализации. Перенос риска включает всебя решение разделить определенные рис
ки с внешними сторонами. Перенос риска может создавать новые риски или модифицировать существую
щие идентифицированные риски. Поэтому может быть необходима дополнительная обработка риска.
Перенос может быть осуществлен путем страхования, которое будет поддерживать последствия,
или путем заключениядоговора субподряда с партнером, чья роль будет заключаться в проведении мони-
17