ГОСТ Р ИСО/МЭК ТО 13335-3—2007
подхода является согласование защитных мер в масштабе всей организации, что может бытьдостигнуто
при использовании каждого из указанных выше вариантов.
В настоящее время существует несколько справочников, содержащих перечни базовых защитных
мер. Кроме того, в ряде случаев среди компаний, занятых в одной отрасли производства, можно найти
компании сосхожими условиями ведения деловой деятельности. После изучения их основных
потребнос тей может оказаться, что справочники с перечнем базовых мер безопасности могут быть
использованы несколькими различными организациями. Такие справочники можно найти, например, в:
- международныхорганизациях по стандартизации и национальных научно- технических центрах по
стандартизации и метрологии.
- научно-технических центрах отраслевых стандартов (или нормативов);
- организациях, имеющих аналогичную деловую деятельность или сопоставимых по масштабам ра
бот.
Любая организация может выработать свой базовый уровень безопасности в соответствии с соб
ственными условиями деловой деятельности и деловыми целями.
9.3 Детальный анализ риска
Какбыло показано в 8.3.детальный анализ рискадля систем информационных технологий предпола
гает идентификацию всех возможных рисков и оценку их уровня. Необходимость проведения детального
анализа риска может быть определена без ненужных затрат времени и средств после анализа высокого
уровня риска для всех систем и последующего изучения результатов детального анализа риска, проведен
ного толькодля критических систем (см. 8.3) или систем с высоким уровнем риска, в соответствии с 8.4.
Анализ риска проводится путем идентификации нежелательных событий, создающих неблагоприят
ныеделовые ситуации, и определения вероятности их появления. Нежелательные события также могут
негативно влиять на деловой процесс, сотрудников организации или любой элементделового процесса.
Такое неблагоприятное воздействие нежелательных событий является сложным сочетанием возможных
видов ущерба, наносимого стоимости активов, подвергающихся риску. Вероятность такого события зави
ситоттого, насколько привлекательным являетсяданный активдля потенциальногонарушителя, вероятно
сти реализации угроз и легкости, с какой нарушитель может воспользоваться уязвимыми местами систе
мы. Результаты анализа риска позволяют идентифицировать системы информационных технологий с высо
ким уровнем риска и выбрать меры обеспечения безопасности, которые могут быть использованы для
снижения уровня идентифицированного рискадо приемлемогоуровня.
Менеджмент риска,детальный анализ риска приведены на рисунке 2. Результаты детальногоанализа
риска позволяют проводить выбор обоснованных защитных мер как части процесса управления риском.
Требования, предъявляемые к выбранным мерам защиты, должны быть зафиксированы в политике безо
пасности систем информационных технологий и соответствующем ей плане безопасности. Множество ин
цидентов. связанных с нарушением системы безопасности, и внешние угрозы могут оказать влияние на
требования кобеспечению безопасности системы и вызвать необходимость в пересмотре части анализа
риска (или анализа в целом). Ктаким внешним угрозам могут относиться: недавние существенные измене
ния в системе, запланированные изменения, а также последствия инцидентов нарушений безопасности, по
которым необходимо принимать соответствующие меры.
Существует несколько методов проведения анализа риска, начиная с подходов, основывающихся
на перечне контрольных операций, и кончая методами, основанными на структурном анализе системы. При
этом могут использоваться как автоматизированные (компьютерные) программы, так и расчет вручную.
Любые метод или программа, используемые организацией, должны, по меньшей мере, содержать опера
ции. перечисленные в пунктах 9.3.1—9.3.7. Важно также, чтобы используемые методы не противоречили
практике ведения дел, сложившейся в организации.
После завершения первогоэтапа рассмотрения результатовдетального анализа рисков для системы
результаты рассмотрения — сведения о активах и их ценностях, угрозах, уязвимостях и уровнях риска,
определенных мерах обеспечения безопасности— должны быть сохранены (напримерв базе данных
системы). Применение методов, использующих вспомогательные программные средства, сильно облег
чает эту работу.
Представляемая информация, иногда рассматриваемая в качестве модели, может быть затем до
вольно эффективно использована после того как со временем с ней происходят изменения, не зависящие от
конфигурации, типа обрабатываемой информации, сценариев угроз и т.д.При этом в качестве входных
данных приводят только сведения об этих изменениях, что позволяет определить влияние изменений на
4—1773
11