ГОСТ Р ИСО/МЭК 27005—2010
Обеспечение соответствия законодательным и нормативным требованиям может предписывать использование
определенных видов мер и средств контроля и управления, включая обеспечение защиты данных и финансовый
аудит, но может также не допускать использования некоторых мер и средств контроля и управления, например
шифрования. Другие законы и нормы, такие, как трудовое право, предписания пожарного отдела, правила техни ки
безопасности и охраны здоровья и нормы экономического сектора и др„ тоже могут влиять на выбор мер и
средств контроля и управления.
Простота использования
Неудовлетворительное взаимодействие «человек—технология» будет вызывать ошибки персонала и мо
жет приводить к бесполезности мер и средств контроля и управления. Меры и средства контроля и управления
должны выбираться с целью обеспечения оптимальной простоты использования наряду с достижением
прием лемого уровня остаточного риска для бизнеса. Применение трудно используемых мер и средств
контроля и управления будет влиять на их эффективность, так как пользователи могут пытаться обходить или
игнорировать их. насколько это возможно. Сложные средства управления доступом, применяемые в
организации, могут спо собствовать использованию альтернативных несанкционированных методов доступа.
Кадровые ограничения
Следует учитывать доступность изатраты на оплату совокупности специализированных навыков для реали
зации мер и средств контроля и управления, а также возможность перемещения персонала между подразделе
ниями организации при неблагоприятных условиях работы. У персонала может отсутствовать требуемая квали
фикация для реализации планируемых мер и средств контроля и управления или ее получение может быть
крайне затратным для организации. Другие аспекты, например тенденция к дискриминации одних сотрудников
другими, не проходившими проверку надежности, могут иметь серьезные последствия для политик безопасности и
практических приемов обеспечения безопасности. Кроме того, необходимость найма на работу специалистов
соответствующей квалификации и нахождение таких кандидатур может приводить к найму до завершения провер
ки надежности. Требование завершения проверки надежности до оформления найма является обычной и наи
более безопасной практикой.
Ограничения, касающиеся интеграции новых и существующих мер и средств контроля и управления
На интеграцию новых мер и средств контроля и управления в существующей инфраструктуре и взаимозави
симость мер и средств контроля и управления часто не обращают внимания. Новые меры и средства контроля и
управления могут быть трудно реализуемыми при наличии несочетаемости или несовместимости с существующи
ми мерами и средствами контроля и управления. Например план по использованию биометрических признаков
для осуществления физического контроля доступа может вступать в противоречие с существующей системой уп
равления доступом, основанной на наборе PIN-кода. Стоимость изменения мер и средств контроля и управления с
существующих на запланированные должна быть добавлена к общим расходам на обработку риска. Возможно,
что реализация выбранных мер и средств контроля и управления будет невозможна из-за несочетаемости или
несовместимости с существующими мерами и средствами контроля и управления.
45