ГОСТ Р ИСО/МЭК 27033-1—2011
- документацию требований (безопасности) доступа к услугам для каждой системы шлюза безо-
пасности/межсетевого экрана [включающую в себя базу(ы) правил межсетевого экрана];
- операционные процедуры безопасности;
- условия безопасного сетевого соединения для сторонних организаций (при необходимости);
- руководства пользователей для сторонних пользователей, при необходимости.
Документирование специализированной архитектуры/проекта сетевой безопасности подробно
рассмотрено в ИСО/МЭК27033-2, приложение D которого также включает в себя типовой образецдоку
ментации. содержащей требования (безопасности) доступа к услугам. Дальнейшую информацию (2-4
дефис выходной информации процесса проектирования) можно найти в 8.2.2 и ИСО/МЭК 27033-2.
Кроме того, после того как необходимая специализированная архитектура/проект сетевой безо
пасности документально оформлена и реализована, должны быть разработаны планы тестирования
безопасности и проведено тестирование. При получении приемлемых результатов тестирования с лю
быми корректировками, осуществленными с учетом обнаруженных во время тестирования проблем,
должно быть получено формальное одобрение руководством специализированной архитектуры/проек
та сетевой безопасности и одобрение завершения реализации (см. раздел 12).
Информация о каждом из следующих видов деятельности представлена в ИСО/МЭК 27033-2 (и
потому не приводится):
- подготовка к техническому проектированию и реализации сетевой безопасности:
инициирование проекта об обеспечения сетевой безопасности,
подтверждение общих сетевых требований организации/сообщества.
проверка существующей и (или) планируемой специализированной архитектуры и реализации.
[Все существующие и (или) планируемые специализированныеархитектуры иреализациидолжны быть
описаны и проведены проверки их согласования с функциональными требованиями и
потребностями организации/сообщества — см. предыдущее перечисление],
идентификация/утверждение активов.
подтверждение результатов оценки риска безопасности и проводимой руководством проверки,
проверка в контексте этих результатов существующих и (или) планируемых мер и средств контроля и
управления сетевой безопасностью и выбор потенциальных меры и средства контроля и управления
безопасностью.
проверка требований функционирования сети и подтверждение критериев [должны быть провере
ны требования функционирования, решены спорные вопросы и формально согласованы критерии
функционирования, которым должны удовлетворятьспециализированная архитектура и связанная(ый)
с ней специализированная(ый) архитектура/проект сетевой безопасности. Соответственно требуются
данные, позволяющие идентифицировать конфигурации линий связи, серверов, шлюзов безопасности
и т. д.. которые обеспечат требуемую доступность услуг];
- специализированный проект сетевой безопасности, охватывающий все применимые техничес
кие вопросы (рассматриваемые в соответствии с заголовками в ИСО/МЭК 27001:2007) и:
использование руководств по сетевым «сценариям» и «технологиям» (которые представлены в
ИСО/МЭК 27033-3 — ИСО/МЭК 27033-6) (см. также разделы 10 и 11),
использование моделей/структур (включая ITU-T Х.805 и др.),
выбор продуктов [который должен проводиться как итеративный процесс не изолированно, а в
связи с разработкой специализированной архитектуры сетевой безопасности, основываясь на многих
факторах (включая техническую пригодность, качество функционирования, расширяемость, средства
управления, логическую безопасность и. конечно, возможности поставщиков, их репутацию и т. д.)],
подтверждение концепции (осуществление проверки концепции рекомендуется в случаях, если
специализированная архитектура сетевой безопасности и связанная с ней совокупность продуктов не
были подготовлены заранее и (или) предусматривается сложный набор услуг (не следует забывать о
том. что продукты не всегда соответствуют предоставляемым поставщиком данным).
завершение разработки специализированной архитектуры/проекта сетевой безопасности и
связанной с ней документации.
- подготовка к тестированию (должна быть разработана документация стратегии тестирования
безопасности, описывающая предпринимаемый подход тестирования для проверки специализирован
ной архитектуры сетевой безопасности, главным образом направленная нато, как должны тестировать ся
основные технические меры и средства контроля и управления безопасностью. Затем для
специализированной архитектуры сетевой безопасности должен быть разработан план тестирования,
31