ГОСТ Р ИСО/МЭК 27033-1—2011
Например, организация А может потребовать, чтобы перед подключением к ее системам через се
тевое соединение, организация В поддерживала и наглядно показывала конкретный уровень обеспече
ния безопасности для своей системы, участвующей в этом соединении. Таким образом, организация А
может убедиться в том, что организация В осуществляет менеджмент своих рисков приемлемым спосо
бом. В подобных случаях организация А должна представить документ, содержащий условия обеспече ния
безопасности соединения и детально описывающий меры и средства контроля и управления,
которыедолжны существовать на конце соединения организации В. Меры исредства контроля и управ
ления должны быть реализованы организацией В, после чего организация подписывает обязательное
соглашение о поддержании безопасности. Организация А сохраняет за собой право на назначение или
проведение проверки соответствия в организации В.
Также бывают случаи, когда организации в сообществе обоюдно согласуют документ «Условия
обеспечения безопасности соединения», в котором фиксируют обязательства и ответственность всех
сторон, включая взаимную проверку соответствия.
8.2.2.6 Документированные условия обеспечения безопасностидля удаленных сетевых пользова
телей
Пользователям, получившим разрешение на выполнение удаленной работы, должен выдаваться
документ «Условия обеспечения безопасности для удаленных сетевых пользователей». В нем должна
быть изложена ответственность пользователя за аппаратные ипрограммные средства иданные относи
тельно сети и ее безопасности.
8.2.2.7 Менеджмент инцидентов сетевой безопасности
Инциденты информационной безопасности происходят с большей вероятностью и оказывают бо
лее серьезное негативное воздействие на основную деятельность организации в случае использования
сетей {в отличие от случаев их отсутствия). Кроме того, особенно в случае сетевого соединения с други ми
организациями, возможны значительные юридические последствия, связанные с инцидентами безо
пасности.
Следовательно, организация, имеющая сетевые соединения, должна обладать хорошо докумен
тально оформленной и реализованной схемой менеджмента инцидентов информационной безопасности и
связанной с ней инфраструктурой, чтобы иметь возможность быстро реагировать на идентифицирован ные
инциденты, сводить к минимуму их воздействие и извлекать из них уроки, для предотвращения их по
вторного появления. Следуя этой схеме, должна быть обеспечена возможность реагирования, как на
события информационной безопасности (идентифицированные возникновения состояния системы, услу ги
или сети, указывающие на возможное нарушение политики информационной безопасности, или отказ
средствзащиты или прежде неизвестной ситуации, которая может иметь значение для безопасности), так и
на инциденты информационной безопасности (на единичное событие или серии нежелательных или не
ожиданных событий информационной безопасности, которые со значительной вероятностью могут под
вергнуть операции основной деятельности организации и угрожать информационной безопасности).
Более подробная информация о менеджменте инцидентов информационной безопасности представлена в
ИСО/МЭК 180441’.
8.2.3 Роли и обязанности, связанные с обеспечением сетевой безопасности
В связи с менеджментом сетевой безопасности должны выполняться следующие роли и обязаннос
ти. (Следует отметить, что в зависимости от численности организации эти роли могут комбинироваться).
Высшее руководство должно:
- определять цели безопасности организации:
- инициировать, утверждать, доводитьдо сведения персонала и устанавливать политику, процеду
ры и правила безопасности организации:
- инициировать, утверждать, доводить до сведения персонала и устанавливать политику допусти
мого использования сетевых ресурсов организации;
- обеспечивать и приводить в исполнение политику обеспечения безопасности и допустимого ис
пользования сетевых ресурсов.
П р и м е ч а н и е — Высшее руководство включает в себя владельцев основной деятельности.
Руководители, осуществляющие сетевой менеджмент, должны:
- разрабатывать детальную политику сетевой безопасности:
- реализовывать политику сетевой безопасности.
- реализовывать политику допустимого использования сетевых ресурсов;
- управлять взаимодействием с внешними заинтересованными сторонами/внешними провайдера
ми услуг для обеспечения соответствия внутренней и внешней политикам сетевой безопасности;
4 В тексте ИСО/МЭК 27033-1:2009 даны ссылки на ИСО/МЭК 27035 — это опечатка.
22