ГОСТ Р ИСО/МЭК 27033-1—2011
па, который часто размещается е ДМ3 межсетевого экрана Интернет, удаленные пользователи могут
задействовать телефонную сеть.
Если организация решает использовать технологии передачи речи по IP (VoIP) для реализации
внутренней телефонной сети. то. как правило, используются соответствующие шлюзы безопасности
для телефонной сети.
Благоприятные возможности для основной деятельности организации, предлагаемые новыми ви
дами сетевой среды, должны сопоставляться с рисками, которые привносят новые технологии. Напри
мер, Интернет имеет ряд технических свойств, которые могут вызывать беспокойство с точки зрения
безопасности, так как он первоначально проектировался в расчете на установление соединения, а не
исходя из соображений безопасности — и многие из его обычно используемых основных протоколов не
являются безопасными по своей природе. В глобальной сетевой среде насчитывается большое число
людей, обладающих способностями, знаниями и склонностью к получению доступа к лежащим в ее
основе механизмам и протоколам и созданию инцидентов безопасности от несанкционированного
доступа до крупномасштабного отказа в обслуживании.
6.2 Планирование и менеджмент сетевой безопасности
При рассмотрении вопроса о сетевых соединениях все сотрудники организации, чьи обязанности
связаны с обслуживанием соединений сети, должны отчетливо сознавать важность требований и выгод
основнойдеятельности организации, взаимосвязанных рисков безопасности и взаимосвязанных аспек
тов специализированной архитектуры безопасностиУметоды проектирования и области действия мер и
средств контроля и управления безопасностью. Требоваиия и выгоды основнойдеятельностиорганиза
ции влияют на многие решения и действия, предпринимаемые в процессе рассмотрения вопроса сете
вых соединений, идентификации аспектов специализированной архитектуры безопасности/методов
проектирования ипотенциальныхобластейдействия мер и средств контроля и управления безопаснос
тью и. в конечном счете, выбора, проектирования, реализации и поддержки безопасных сетей.
Общий процесс достижения и поддержки необходимой сетевой безопасности можно кратко изло
жить следующим образом:
а) определение области/контекста. а затем оценка рисков безопасности:
1) сбор информации о текущей и (или) планируемой сетевой среде:
i) рассмотрение корпоративной политики информационной безопасности на предмет фор
мулировок о рисках, связанных с сетями, которые всегда будут считаться высокими, а также мерах и
средствах контроля и управления сетевой безопасностью, которые должны быть реализованы незави
симо от оцененных рисков.
П р и м е ч а н и е — Следует отметить, что эта политика должна также отражать позицию организации а от
ношении (см. перечисление 1), регулирующих и законодательных требований безопасности, связанных с сетевыми
соединениями, которые определены соответствующими регулирующими или законодательными органами (вклю
чая органы исполнительной власти) (см. перечисление 2). значимости данных, которые будут храниться в сети или
передаваться по сети.
И) сбор и проверка информации о текущей и (или) планируемой сети (сетях) — архитектура
(архитектуры), приложения, услуги, виды соединений идругие характеристики, что будет иметь отноше
ние к идентификации и оценке рисков и определению того, что является возможным с точки зрения спе
циализированной архитектуры/проекта сетевой безопасности.
Ш)сбордругой информации с тем. чтобы иметь возможность оценить потенциальное небла
гоприятное влияние на основную деятельность организации, угрозы и уязвимости (представляет цен
ность для операций основной деятельности организации, касающихся информации, которая должна
передаваться через сетевые соединения, и любой другой информации, потенциально доступной не
санкционированным образом через эти соединения, а также для предоставляемых услуг):
2) идентификация и оценка рисков сетевой безопасности и соответствующих потенциальных
областей действия мер и средств контроля и управления:
i) осуществление оценки риска сетевой безопасности и проводимой руководством проверки
с использованием информации о риске, связанном с требуемыми сетевыми сценариями и вопросами
сетевых «технологий» (см. разделы 10 и 11) — определение требований безопасности. (Следует обра
тить внимание на то, что это будет включать в себя (см. перечисление 1),оценку рисков, связанных с по
тенциальными нарушениями значимых предписаний и законов, касающихся сетевых соединений,
которые определены соответствующими регулирующими или законодательными органами (включая
органы исполнительной власти) (см. перечисление 2). использование установленных потенциальных
ю