ГОСТ Р ИСО/МЭК 27033-1—2011
- с неизвестным кругом пользователей и использованием общедоступной сети:
- с известным кругом пользователей в пределахзамкнутого сообщества и с использованием обще
доступной сети;
- с известным кругом пользователей только в пределах организации и использованием общедос
тупной сети;
- с неизвестным кругом пользователей и использованием частной сети;
- с известным кругом пользователей в пределах замкнутого сообщества и использованием част
ной сети;
- с известным кругомпользователей только в пределах организации ииспользованием частной сети.
Каким бы способом категории сетей непроверялись, следуетсознавать, чтоопределенные комби
нации. вероятно, будут означать более низкие уровни риска сетей. Полученная информациядолжна ис
пользоваться в процессе идентификации и оценки рисков безопасности, связанных с ними мер и
средств контроля и управления безопасностью, вариантов специализированной архитектуры сетевой
безопасности и принятия решения о том. какой из способов должен быть выбран.
7.2.2.5 Дополнительная информация
Наконец, должна быть собранадополнительная информация для надлежащей подготовки к оцен
ке риска сетевой безопасности и проводимой руководством проверке в соответствии с требованиями
ИСО/МЭК 27001 и ИСО/МЭК 27002. включая тщательное определение границ/области проверки. Вы
полнение этого при первой возможности позволит избежатьдальнейшей неопределенности и ненужной
работы иповыситсосредоточенность иэффективностьпроверки. Определение границ/областидолжно
ясно показать, что из приведенного ниже следует рассматривать при осуществлении оценки риска
сетевой безопасности и проводимой руководством проверки:
- виды информации;
- процессы основной деятельности;
- фактические или потенциальные аппаратные компоненты, программные средства, услуги, сое
динения и подобные детали (если они неизвестны конкретно, то —
в
общих чертах);
- фактическую или потенциальную среду (например, площадки, помещения);
- виды деятельности (операции).
Эта информация вместе с собранной в соответствии с 7.2. которая должна использоваться при
оценке риска сетевой безопасности и проводимой руководством проверке, а также связанная с нимиде
ятельность — обобщены в 7.3.
7.3 Риски информационной безопасности и потенциальные области применения мер и
средств контроля и управления
В настоящее время большинствоорганизацийзависитот использованиясетей и связанных с ними
информационных систем и информации для поддержки функционирования своей деятельности. Кроме
того, во многих случаях существует четко выраженная потребность основной деятельности в отноше
нии использования сетей между информационными системами накаждой площадке организации, а так
же в других местах как внутри организации, так и за ее пределами, включая соединение с
общедоступной сетью. При установлении соединения с другой сетью следует проявлять значительную
осторожность для обеспечения того, чтобы организация не подвергалась дополнительным рискам
(вследствие потенциальных угроз, использующих уязвимости). Эти риски могут исходить, например, от
самого соединения или от абонента на другом конце сети.
Некоторые из этих рисков могут быть связаны с обеспечением соблюдения соответствующего
законодательства и предписаний. (Особое внимание следует уделять законам о неприкосновенности
частной жизни и защите данных. В некоторых странах приняты законы, устанавливающие меры и сре
дства контроля и управления сбором, обработкой и передачей персональныхданных, т. е. данных, ко
торые могут быть связаны с конкретным лицом или лицами. В зависимости от соответствующего
национального законодательства такие меры и средства контроля и управления могут налагать опре
деленные обязанности на лиц, собирающих, обрабатывающих и распространяющих персональную
информацию через сети, идаже могут ограничивать возможность передачи этих данных в определен
ные страны, приводя к дополнительным серьезным проблемам, связанным с безопасностью. Менее
наглядными примерами данных, которые могут стать объектом такого законодательства, являются
некоторые сведения об отдельных категориях аппаратных средств и IP-адреса.)
Таким образом, риски, с которыми сталкивается организация, могут быть связаны с проблемами
несанкционированного доступа к информации, несанкционированной передачи информации, внесения
17