ГОСТ Р ИСО/МЭК 27002-2012
эксплуатации, могут оказывать влияние на надежность прикладных программ (см. также
12.5.1).
Изменения эксплуатируемых систем следует осуществлять только в том случае,
если на это имеется обоснованная причина, затрагивающая бизнес,например
возрастание риска в отношении системы. Обновление систем новейшими версиями
эксплуатируемой системы или прикладных программ
нестабильность, чем действующая версия. Могут также потребоваться дополнительное
обучение, расходы на лицензирование, поддержка, сопровождение и административный
надзор, а также аппаратные средства, особенно в течение периода миграции.
10.1.3 Разделение обязанностей
Мера и средство контроля и управления
Обязанности и области ответственности должны быть разделены для уменьшения
возможностейнеавторизованнойилинепреднамеренноймодификацииактивов
организации или их нецелевого использования.
Рекомендация по реализации
Разделение обязанностей - это способ сведения к минимуму риска нецелевого
использованиясистемвследствиеошибочныхилизлонамеренныхдействий
пользователей. Необходимо предпринять определенные меры предосторожности, чтобы
ни один сотрудник не мог осуществлять доступ, модифицировать или использовать
активы, не имея авторизации или не будучи обнаруженным. Инициирование события
должно быть отделено от его авторизации. При разработке мер и средств контроля и
управления следует учитывать опасность сговора.
Небольшиеорганизациимогутпризнаватьразделениеобязанностей
труднодостижимым, однако, данный принцип должен быть применен насколько это
возможно. В случаях, когда разделение обязанностей осуществить затруднительно,
следует рассматривать использование альтернативных мер и средств контроля и
управления, таких как мониторинг деятельности, использование контрольных записей, а
также надзор со стороны руководства. В то же время важно, чтобы аудит безопасности
оставался независимым.
60