ГОСТ Р ИСО/МЭК 27033-1—2011
11 Аспекты «технологии» — риски, методы проектирования и вопросы,
касающиеся мер и средств контроля и управления
Подробности, касающиеся рисков безопасности, методов проектирования и вопросов мер и
средств контроля и управления, связанных с аспектами «технологии», представлены в приложении А и
охватывают следующие темы:
- локальные вычислительные сети (см. А.1, приложение А);
- глобальные вычислительные сети (см. А.2. приложение А);
- беспроводные сети (см. А.З, приложение А);
- радиосети (см. А.4. приложение А);
- широкополосные сети (см. А.5. приложение А);
- шлюзы безопасности (см. А.6, приложение А);
- виртуальные частные сети (см. А.7, приложение А);
- сети телефонной связи (см. А.8. приложение А):
- IP-конвергенция (см. А.9, приложение А);
- размещение информации на сервере веб-узлов (см. А.10. приложение А);
- электронная почта в Интернете (см. А.11, приложение А):
- маршрутизированный доступ к сторонним организациям (см. А.12. приложение А);
- центр обработки и хранения данных (см. А.13. приложение А).
12 Разработка итестирование комплекса программных итехнических
средств и услуг по обеспечению безопасности
После того как специализированная архитектура безопасности полностью документально оформ
лена и согласована, включая одобрение высшего руководства, должен быть разработан комплекс про
граммных и технических средств и услуг по обеспечению безопасности, который должен быть
реализован в «экспериментальном режиме», тщательно протестирован, и должна быть проведена
проверка его соответствия.
Общая проверка комплекса программных и технических средств и услуг на «соответствие назна
чению» должна проводиться в соответствии сдокументацией постратегии тестирования, описывающей
метод тестирования и позволяющей испытывать комплекс программных и технических средств и услуг, и
планом тестирования. В результате идентификации недостатков в ходе такого тестирования могут по
требоваться внесение изменения и проведение любого необходимого повторного тестирования.
После того кактестирование на «соответствие назначению» успешно проведено и осуществлены
какие-либо необходимые изменения, должна быть проведена проверка реализации на предмет соот
ветствия документированной специализированной архитектуре безопасности необходимым мерам и
средствам контроля и управления безопасностью, определенным в следующих документах:
- специализированная архитектура безопасности:
- политика сетевой безопасности;
- документы, связанные с SecOPs;
- политика (безопасности) доступа к услуге шлюза безопасности:
- план(ы) обеспечения непрерывности деятельности;
- условия обеспечения безопасности соединения (при необходимости).
Проверка соответствия комплекса программных и технических средств иуслугдолжна проводить
ся до начала фактического функционирования. Проверка комплекса программных и технических
средств и услуг будет завершена, когда все недостатки идентифицированы, исправлены и признаны
высшим руководством.
Следует подчеркнуть, что проверка соответствия комплекса программных и технических средств и
услуг должна включать в себя проведение тестирования безопасности по соответствующим националь
ным стандартам, стандартам организации (в отсутствие национальных стандартов) в соответствии с за
ранее разработанной стратегией тестирования безопасности и связанными с ней планами тестирования
безопасности, точно определяющими, какое тестирование должно проводиться, с помощью чего, где и
когда (примерный образец плана тестирования безопасности приведен в ИСОУМЭК 27033-2). Обычно
тестированиедолжно сочетать в себе поиск уязвимостей итестирование на проникновение. Перед нача
лом любого такого тестирования необходимо проверить план тестирования с тем. чтобы обеспечить уве-
35