ГОСТ Р ИСО/МЭК 27033-1—2011
Таким образом, для идентификации и подтверждения технических мер исредств контроля и управ
ления безопасностью, аспектов специализированной архитектуры/проекта безопасности и поддержива
ющих иетехнических мер и средств контроля и управления безопасностью должна проводиться оценка
риска сетевой безопасности и, руководством организации. — проверка обеспечения безопасности в со
ответствии с рекомендациями, представленными в ИСО/МЭК27001. ИСО/МЭК27002 и ИСО/МЭК 27005.
Для этого должны быть выполнены следующие основные действия:
-определениестепени значимости информации иуслуг, выраженной с точки зрения потенциально
го неблагоприятного воздействия на основную деятельность организации в случае возникновения неже
лательных инцидентов (оценка активов). К оценке активов относится рассмотрение ценности
информации для деятельности организации, передаваемой по сети, и любой другой информации, к ко
торой можно получить несанкционированный доступ посредством сети, а также рассмотрение ценности
предоставляемых услуг;
- идентификация и оценка вероятности или уровней угроз, направленных против информации и
услуг;
- идентификация и оценка степени серьезности или уровня уязвимостей (слабых мест), которые
могли бы быть использованы идентифицированными угрозами;
- оценка величины рисков, основывающихся на определенных последствиях потенциального не
благоприятного воздействия на операции деятельности организации и уровнях угроз и уязвимостей;
- идентификация аспектов специализированной архитектуры/проекта безопасности и оправдан
ных потенциальных областей действия мер и средств контроля и управления безопасностью, необходи
мых для обеспечения того, чтобы оцененные риски оставались в допустимых пределах.
Основные процессы оценки и менеджмента риска сетевой безопасности показаны ниже на рисунке 6
(в сущности, это является расширением представленного на рисунке 4 блока «Определение области/кон-
текста и последующая оценка рисков» исвязанного с ним блока «Идентификация рисков, связанных с сетя
ми. и подготовка к идентификации мер и средств контроля и управления безопасностью»).
Первые два ряда блоков, представленные на рисунке 6 «Установление границ/области проверки»
и «Идентификация активов», соответствуют подготовительным мероприятиям. Следующие два ряда
блоков соответствуют мероприятиям по оценке риска, а нижние два ряда блоков — мероприятиям по
выбору мер и средств контроля и управления информационной безопасностью и принятию (остаточно
го) риска.
4
fKMO MNO(|U
0
риал
Рисунок 6 — Процессы оценки и менеджмента риска сетевой безопасности
19