ГОСТ Р ИСО/МЭК 27004—2011
Окончание
Спецификация критериев принятия решений
Критерии принятия реше
ний
Цель применения мер и средств контроля и управления достигнута, и никакое
действие не требуется, если результирующий показатель превышает 0.9. Если
результирующий показатель находится в диапазоне между 0.8 и 0.9. то цель при
менения мер и средств контроля и управления не достигнута, однако позитивный
тренд указывает на улучшение. Если результирующий показатель меньше 0.8. то
следует принять немедленные меры
Результаты измерений
Интерпретация
ля
показатеИнтерпретация показателя по перечислению а) должна быть следующей:
- критерии организации на соответствие политике паролей организации реа
лизованы удовлетворительно при показателе > 0.9;
- критерии организации на соответствие политике паролей организации реа
лизованы неудовлетворительно при (0.8 s показатель £ 0.9J;
- критерии организации на соответствие политике паролей организации не реа
лизованы при показателе <
0
.
8
.
Интерпретация показателя по перечислению Ь) должна быть следующей:
- восходящий тренд указывает на улучшенное соответствие; нисходящий
тренд указывает на ухудшенное соответствие;
- порядок изменения тренда может способствовать пониманию эффективнос
ти реализованных мер и средств контроля и управления;
- позитивные тренды следует изучать для того, чтобы оценивать необходимые
сроки реализации политики паролей, начиная с текущего результирующего пока
зателя.
Впияние/воздействие нереализованных критериев приводит к повышающему
ся риску компрометации паролей, что может привести к несанкционированному
доступу к системе.
К возможным причинам отклонения относятся недостаточная осведомлен
ность о безопасности, технические недостатки реализации и нехватка времени
для реализации на всех системах ИТ
Форматы отчетности
Линия тренда, которая отображает возможность взлома паролей для всех про
тестированных записей, наложенная на линии трендов, полученных в течение
предыдущих тестов
Заинтересованные стороны
Заказчик измерения
Руководители, отвечающие за СМИБ. Руководитель, отвечающий за безопас
ность
Контролер измерения
Менеджмент безопасности
Владелец информации
Системный администратор
Сборщик информации
Персонал, отвечающий за безопасность
за передачу информации
Субъект, ответственныйПерсонал, отвечающий за безопасность
Частота/период
Частота сбора данных
Еженедельно
следования данных
Частота проведения исЕженедельно
Частота сообщения ре
зультатов измерений
Еженедельно
Пересмотр измерений
Проверка и обновление каждый год
Период измерений
Один раз в три года
В.З Процесс проверки СМИБ
Определение конструктивных элементов измерения
Название конструктивногоПроцесс проверки СМИБ
элемента измерения
34