ГОСТ Р ИСО/МЭК 27033-1—2011
Услуги могут быть реализованы внутренними силами организации или приобретены у сторонней
организации. В тех случаях, когда услуги используются только для внутренних целей, наиболее вероят
ной будет их реализация внутренними силами организации. Если услуги будут использоваться внутри и
вне организации, то более приемлемым решением может стать приобретение услугсовместной работы
усторонней организации. Риски безопасности ирекомендации по методам проектирования безопаснос ти
имерам исредствам контроля иуправления безопасностью для уменьшения этих рисковописывают ся
как для внутреннего, так и для внутреннего и внешнего использования.
10.4 Услуги «бизнес — бизнес»
Традиционно услуги «бизнес — бизнес» реализовывались путем использования выделенных ли
ний или сегментов сети. Интернет и связанные с ним технологии предоставляют больше вариантов ис
пользования. нотакже вносят новые риски безопасности, связанныес реализацией такихуслуг. Обычно
услуги «бизнес — бизнес» предполагают собственные требования к ним. Например, очень важны тре
бования доступности идостоверности, так как организации часто напрямую зависят от функционирова
ния услуг «бизнес — бизнес».
Если в качестве основного сетевого соединениядля реализации услуг «бизнес— бизнес» исполь
зуется Интернет, то с такими требованиями, какдоступность идостоверность, следуетобращаться ина
че. чем раньше. Испытанные меры, такие как используемые предположения о качестве услуг, например в
соединении по выделенным линиям, в этих условиях уже не работоспособны. Новые риски безопас
ности необходимо снижать с помощью соответствующих методов проектирования и мер и средств кон
троля и управления.
10.5 Услуги «бизнес — клиент»
В услуги «бизнес — клиент» входят электронные торговля и банковские услуги. Их требования
включают в себя конфиденциальность (особенно в отношении электронных банковских услуг), аутенти
фикацию [возможными сейчас способами (например, двухфакторную, на базе сертификатов и т. д.,
основанную на взаимосвязи между затратами на реализацию), обычно высокими по причине очень
большого числа клиентов и снижением рисков, таких как финансовые потери, потеря репутации/дове-
рия к деятельностиорганизации], целостность и стойкость к изощренным атакам, таким как «атакующий
посередине» или «атакующий в браузере».
Характеристики услуги «бизнес — клиент» включают в себя:
- безопасность: «гарантируется» только на конечной платформе, обычно находящейся под кон
тролем организации, обеспечивающей надежную среду для реализации мер и средств контроля и
управления и поддержки достаточной безопасности на уровне платформы;
- безопасность на платформе клиента (обычно ПК): может быть недостаточной. В такой среде
труднеедостичь реализации мер исредств контроля и управления, поэтому платформы клиентов будут
представлять значительные риски в этом сценарии (без совокупности требований «условия обеспече
ния безопасного соединения» зафиксированные в договоре, которые может быть трудно установить в
такой среде).
10.6 Услуги аутсорсинга
Из-за сложности современных ИТ-сред многие организации используют предоставляемые внеш
ним образом услуги ИТ-поддержки или полиостью/частично передают сторонним подрядчикам поддер
жку своей ИТ-инфраструктуры и (или) используют другие услуги, предоставляемые с привлечением
внешних ресурсов. У многих поставщиков также имеется необходимость прямого доступа к своим про
дуктам. используемым организациями-клиентами с тем. чтобы иметь возможность соответствующим
образом справляться с вопросами поддержки и (или) менеджмента инцидентов.
В то время как многие услуги, осуществляемые с привлечением внешних ресурсов, требуют прав
постоянного доступа, например, к поддерживаемой инфраструктуре, другие услуги могут потребовать
только временногодоступа. В некоторыхслучаях услуги, осуществляемые с привлечением внешних ре
сурсов. нуждаются в правах доступа с высоким уровнем привилегированности для того, чтобы выпол
нять необходимые задачи, особенно в сценариях менеджмента инцидентов.
10.7 Сегментация сети
Для многих организаций, особенно транснациональных, характерныедля разных стран законы ока
зывают огромное влияние на требования информационной безопасности. Международные организации
обычно осуществляют свою деятельность в ряде стран и. соответственно, обязаны соблюдать законы,
действующие в разных странах, результатом чего может возникнуть различие в требованиях информаци-
33