ГОСТ Р ИСО/МЭК ТО 13335-3—2007
9 Комбинированный подход
Настоящий раздел содержит указания для реализации рекомендованной вышестратегии комбиниро
ванного подхода.
9.1 Анализ высокого уровня риска
Прежде всего проводят предварительный анализ высокого уровня риска с тем. чтобы установить,
какой извариантов подхода (базовый илидетальный) лучше подходитдля конкретной системы информаци
онных технологий. В ходе проведения такого предварительного анализа рассматривают деловую значи
мость систем информационных технологий и обрабатываемой с их помощью информации, а также уровня
риска с учетом вида деловой деятельности организации. Исходныеданные для принятия решения о том.
какой вариант подхода является наиболее подходящим для каждой системы информационных технологий,
могут быть получены на основе рассмотрения следующих условий:
-деловых целей,длядостижения которых организация используетданную систему информационных
технологий;
- в какой степениделовая активность предприятия зависит от конкретной системы информационных
технологий, т. е. насколько функции, которые организация считает критическими для своего существования
или эффективной реализацииделовой деятельности, зависят отфункционирования этой системы илиобес
печения конфиденциальности, целостности, доступности, достоверности и надежности информации, обра
батываемой этой системой;
- вложенияденежных средств вэтусистему информационных технологий, в том числе вее разработ
ку. обслуживание или замену:
- активов данной системы ИТ. в которые организация вкладывает средства.
После того как эти условия проанализированы, принятие решения обычно не вызывает затруднений.
Если целевое назначениесистемы важнодля проведенияорганизацией своейделовойдеятельности, если
стоимость замены системы высока или средства, вложенные в активы, подвержены высокому уровню
риска, то дляданной системы необходимо проведениедетального анализа риска. Наличие одного из
пере численных выше условий можетслужить основанием для проведениядетального анализа риска.
Придерживаются следующего общего правила; если прекращение функционированияданной систе
мы информационных технологий может причинитьущерб или принести убытки организации, отрицательно
повлиять на ее деловую деятельность или активы, то для оценки потенциального риска проводятдеталь
ный анализ риска (см. 9.3). Во всехдругих случаяхдостаточная безопасность системы может быть обеспе
чена применением базового подхода (см. 9.2).
9.2 Базовый подход
Цель обеспечения безопасности с помощью базового подхода состоит в том. чтобы подобратьдля
организации минимальный набор защитных мердля защиты всех или отдельных систем информационных
технологий. Используя базовый подход, можно применять соответствующий ему базовый уровень безо
пасности в организации и. кроме того (см. 9.1). дополнительно использовать результаты детального анали за
рискадля обеспечения безопасности систем информационных технологийс высоким уровнем риска или
систем, играющих важную роль в деловой деятельности организации. Использование базового подхода
позволяет снизить инвестиции организации на исследование результатов анализа риска (см. 8.1).
Удовлетворительная защита с помощью базового подхода может быть обеспечена путем использо
вания справочных материалов (каталогов) по защитным мерам безопасности, где можно подобрать набор
средствдля защиты системы информационныхтехнологий от наиболее часто встречающихся угроз. Базо
вый уровеньбезопасности может быть установлен в соответствии с потребностями организации, при этом в
проведениидетальной оценки угроз, рисков и уязвимости систем не будет необходимости. Все. что нужно
сделать, применяя базовый подход к обеспечению безопасности. — выбрать из справочных материалов
(каталогов)ло защитным мерам безопасности соответствующие пункты которые подходятдля рассматри
ваемой системы информационных технологий. При наличии всистеме установленных защитных мер их
необходимо сравнить с рекомендуемыми в каталогах. Защитные меры, которые отсутствуют в системе, но
могут быть в ней использованы, должны быть реализованы.
Справочные материалы (каталоги) по защитным мерам безопасности могут содержать во-первых,
подробное описание рекомендуемых защитных мер. во-вторых, рекомендации с набором требований по
обеспечению безопасности, которыми можно воспользоваться при выборе рекомендуемых мер для дан
ной системы. Оба варианта имеют свои преимущества. Сведенияо справочных материалах обоих вариан
тов можно найти в приложениях А — Н. приведенных в ИСО/МЭК ТО 13335-4. Одной из целей базового
10