ГОСТ Р ИСО/МЭК ТО 13335-3—2007
Обычнотаким ответственным лицом в организации является сотрудникслужбы безопасности информаци
онных технологий, помимо своихдолжностных обязанностей отвечающий и за проведение дополнитель
ных мероприятий, которые должны включать в себя контрольный анализ действующих защитных мер.
обработку инцидентов, связанных с нарушением системы безопасности и обнаружением уязвимостей в
системе, а также внесением изменений в содержание политики безопасности, если в результате проведен
ных мероприятий возникнет такая необходимость.
8 Основные варианты стратегии анализа риска организации
Прежде чем приступить клюбымдействиям, связанным с анализом риска, организациядолжна иметь
стратегию проведения такого анализа, причем составные части этой стратегии (методы, способы и т.д.)
должны бытьотражены в содержании политики обеспечения безопасности информационныхтехнологий.
Эти методы и критерии выбора вариантов стратегии анализа рискадолжны отвечать потребностям органи
зации. Стратегия анализа рискадолжна обеспечивать соответствие выбранного варианта стратегии усло
виям осуществления деловых операций и приложения усилий по обеспечению безопасности в тех облас
тях. где этодействительно необходимо. Рассматриваемые ниже варианты стратегии представляют собой
четыре разных подхода к анализу риска. Основное различие между ними состоит в степени глубины прово
димого анализа. Поскольку обычно проведениедетального анализа риска для всех систем информацион
ных технологий сопряжено со слишком большими затратами, тогда как поверхностное рассмотрение
проблем, связанных с серьезным риском, недает нужного эффекта, необходимо найти баланс между рас
сматриваемыми ниже вариантами.
Если не рассматривать вариант стратегии анализа риска, заключающийся в отсутствии принятия ка
ких-либо защитных мер. и допустить, что реально появление различных видов риска неизвестного уровня
и интенсивности, то существуютчетыре основных варианта стратегии анализа риска организации:
- использование базового подхода (с низкой степенью риска)для всех систем информационных тех
нологий. независимо от уровня риска, которому подвергаются системы, принятие того, что уровеньобеспе
чения безопасности не всегда может оказаться достаточным:
- использование неформального подхода к проведению анализа риска,обращая особое внимание на
системы информационных технологий, которые, как представляется, подвергаются наибольшему риску;
- проведениедетального анализа риска с использованием формального подхода ко всем системам
информационных технологий или
- проведение сначала анализа риска «высокого уровня» с тем. чтобы определить, какие из систем
информационных технологий подвержены высокому уровню риска и какие имеют критическое значение
для ведения деловых операций, с последующим проведением детального анализа риска для выделенных
систем, а для всех остальных — ограничиваются применением базового подхода к проблемам обеспече
ния безопасности.
Ниже рассматриваются возможные варианты подхода к обеспечению безопасности и приводятся
рекомендации по выборупредпочтительных вариантов.
Если организация решит не уделять внимания вопросам безопасности или отложить на потом внедре
ние защитных мер. то ее руководство должно ясно представлять себе возможные последствия такого
решения. Хотя в этом случае отпадает необходимость затрат времени, средств, рабочих или других ресур
сов. такое решение имеет ряд недостатков. Если организация не уверена втом. что функционирование ее
систем информационных технологий абсолютно не критично к внешним угрозам, она можетвпоследствии
встретитьсяс серьезными проблемами. Так. организация может нарушить положения каких-либо законода
тельных и нормативных актов или репутация организации может пострадать в случае несанкционирован
ныхдоступов к информации и непринятия действий по их предупреждению. Если организацию не очень
заботят проблемы обеспечения безопасности информационныхтехнологий или она не имеет систем, безо
пасностькоторых важна для ведения деловых операций, она может следовать подобной стратегии. Однако
при этом не будет иметь представления о том. насколько хорошо или плохо реальное состояние ее дел. так
чтодля большинства организаций следование такой стратегии вряд ли является правильным.
8.1 Базовый подход
В случае использования первого варианта подхода к анализу риска организация может применить
базовый уровень обеспечения безопасности ковсем системам информационных технологий путем выбора
стандартных защитных мербезопасности. Перечень рекомендуемыхстандартных защитных мер приведен
3-1773
7