ГОСТ Р ИСО/МЭК 27033-1—2011
Риски, методы проектирования и вопросы, касающиеся мер и средств контроля и управления безопас
ностью для определенных аспектов «технологий», представляющих интерес для современных органи
заций, представлены в разделе 11. Конкретное решение по обеспечению сетевой безопасности
фактически можетохватывать ряд вопросов иобластей применения мер исредств контроля иуправле
ния. представленных в разделах 10 и 11. Таблица, содержащая перекрестные ссылки между раздела ми
ИСО/МЭК27001 и ИСО/МЭК 27002 и настоящего стандарта, отражающими/определяющими меры и
средства контроля и управления, связанные с сетевой безопасностью, представлена в приложении В.
В соответствии с разделами 8—11 (и приложением А) необходимо тщательно рассмотреть пред
лагаемую специализируемую архитектуру/проект сетевой безопасности и список идентифицированных
мер и средств контроля и управления в контексте соответствующих сетевых архитектур и приложений.
Затем, при необходимости, следует скорректировать архитектуру и список мер и средств контроля и
управления и затем использовать их как основу для разработки, реализации и тестирования комплекса
программных и технических средств и услуг по обеспечению безопасности (см. раздел 12). После того как
специализированная архитектура безопасности и. следовательно, реализация мер и средств кон троля
и управления безопасностью одобрены, следует начинать их реализацию (см. раздел 13) при
постоянном мониторинге и с их проверкой (см. раздел 14).
9.2 Специализированная архитектура/проект сетевой безопасности
Документирование возможных вариантов специализированной архитектуры/проекта сетевой бе
зопасности и реализации обеспечиваетспособ изучения различных решений и анализа с целью выбора
компромиссного решения. К томужедокументирование облегчает разрешение часто возникающих про
блем. связанных с техническими ограничениями и конфликтами между требованиями основной
деятельности организации и требованиями безопасности.
Документируя возможные варианты, следует надлежащим образом учитывать любые требования
корпоративной политики информационной безопасности (см. 7.2.1). соответствующие сетевые архитек
туры. приложения, сервисы, виды соединений и другие характеристики (см. 7.2.2). а также перечень по
тенциальных мер и средств контроля и управления, установленных в результате оценки риска
безопасности и проводимой руководством проверки (см. 7.3). При выполнении необходимых при доку
ментировании действий следует учитывать любые существующие специализированные архитекту-
ры/проекты безопасности. После того как варианты будут документально оформлены и проверены как
часть процесса проектирования специализированной архитектуры, предпочтительная архитектура бе
зопасности должна быть согласована и представлена в документации по определению мер и средств
контроля и управления специализированной архитектуры/проекта безопасности (совместимой или не
совместимой с проектом специализированной архитектуры). Затем могут быть проведены изменения
сетевой архитектуры, приложений и услуг (для обеспечения совместимости с предпочтительной специ
ализированной архитектурой/проектом безопасности) и (или) перечня потенциальных мер и средств
контроля и управления [например, создавая необходимость альтернативы идентифицированным ме
рам и средствам контроля и управления, поскольку достигнута договоренность о том. что проект/архи-
тектура безопасности может быть технически реализован(а) только определенным образом].
Следует отметить, что в ИСО/МЭК 27033-2 определено, как организации должны достигать ка
чества специализированных архитектур/проектов безопасности, которые обеспечат сетевую безопас
ность. соответствующую среде их основной деятельности, используя последовательный подход к пла
нированию. проектированию и реализации сетевой безопасности.
Входная информация для процесса разработки специализированной архитектуры/проекта сете
вой безопасности, представленного в ИСО/МЭК 2703322, включает в себя:
- документированные требования услуг организации/сообщества;
- документациюлюбой существующей или планируемой архитектуры, проекта и (или) реализации;
- текущую политику сетевой безопасности (или соответствующие части связанной с ней политики
безопасности информационных систем), предпочтительно основанную на результатах оценки риска
или проводимой руководством проверки;
- определение активов, требующих защиты;
- текущие и планируемые требования функционирования, включая связанный с ним трафик;
- текущую информацию о продукции организации.
Выходная информация процесса проектирования включает в себя:
- документацию специализированной архитектуры/проекта сетевой безопасности;
30