ГОСТ Р ИСО/МЭК 27033-1—2011
Подробную информацию по этим вопросам см. в ИСО/МЭК 27002, ИСО/МЭК 27005 и
ИСО/МЭК 18044м. В настоящем разделе предоставленодальнейшее руководство только по тем вопро
сам, которые особенно важны в отношении использования сетей.
8 2.2.2 Политика сетевой безопасности
Обязанностью руководства организации является принятие и обеспечение поддержки политики
сетевой безопасности организации (см. ИСО/МЭК 27002). Политика сетевой безопасности должна сле
довать из политики информационной безопасности организации и бытьсогласована с ней. Политика се
тевой безопасности организации должна быть реализуемой, легко доступной для уполномоченных
сотрудников организации и должна содержать четкие формулировки:
- с точки зрения руководства организации в отношении приемлемого использования сети;
- правил безопасного использования конкретных сетевых ресурсов, услуг и приложений;
- последствий невыполнения правил безопасности;
- отношения организации к неправильному использованию сети;
- логического обоснования политики и конкретных правил безопасности.
[При необходимости эти формулировки могут быть включены в политику информационной безопас
ности, если это более удобно для организации и (или) это делает политику болеепонятной для персонала].
Содержание политики сетевой безопасности должно включать в себя краткое изложение результа
тов оценки риска сетевой безопасности и проводимой руководством проверки (что служит обосновани
ем расходов на меры и средства контроля и управления) сдетализацией всех выбранных мер и
средств контроля и управления безопасностью, соразмерных оцененным рискам (см. 7.3).
8.2.2.3 Операционные процедуры сетевой безопасности
В поддержку политики сетевой безопасности необходимо разработать документы по осуществле
нию процедур безопасности. Документы должны содержатьдетализированные операционные процеду
ры. связанные с обеспечением сетевой безопасности, а также сведения о лицах, ответственных за их
применение и менеджмент. Примерный образец представлен в приложении С.
8.2.2.4 Проверка соответствия требованиям сетевой безопасности
Для всех сетей должна проводиться проверка соответствия требованиям безопасности по ком
плексному контрольному перечню, составленному из мер и средств контроля и управления, определен
ных в:
- политике сетевой безопасности:
- соответствующих SecOPs.
- специализированной архитектуре безопасности:
- политике (безопасности) доступа к сервису шлюза безопасности;
- планах обеспечения непрерывности деятельности;
- условиях обеспечения безопасности соединения (при необходимости).
Проверка должна проводиться до введения любой сети в действие, до нового основного варианта
исполнения (связанного со значительными изменениями, имеющими отношение к основной деятель
ности организации или сети) и, ежегодно, во всех иных случаях.
Проверка должна включать в себя проведение тестирования безопасности в соответствии с зара
нее разработанными стратегией тестирования безопасности и связанными с ней планами, точно опре
деляющими. какие тесты должны проводиться, с чем. где и когда. Обычно проверка должна сочетать
в себе поиск уязвимостей итестирование на проникновение. Перед началом любого такого
тестирования необходимо проверить план тестирования с тем. чтобы обеспечить его проведение в
полном соотве тствии с национальным законодательством. При проведении этой проверки не следует
забывать о том, что сеть может не ограничиваться распространением только в одной стране - она
может распростра няться на другие страны с иным законодательством. После проведения тестирования
в отчетах должны указываться особенности обнаруженных уязвимостей, необходимые меры по их
устранению и приори тет их принятия.
8.2.2.5 Условия обеспечения безопасности сетевых соединений со многими организациями
При отсутствии согласованных вдоговоре условийобеспечения безопасности соединений организа
ция фактически принимает риски, связанные с другой оконечностью сетевого соединения, находящегося
вне сферы ее действия. Такие риски могут включать в себя риски, связанные с неприкосновенностью
частной жизни/защитой данных, если сетевые соединения используются для обмена персональными
данными, подчиняющегося национальному законодательству на одном или обоих концах, и если другой
конец сетевого соединения (находящийся вне сферы действия организации) находится в другой стране
и законодательство может быть другим.
” 8 тексте ИСО/МЭК 27033-1:2009 даны ссылки на ИСО/МЭК 27035 — это опечатка.
21