ГОСТ Р ИСО/МЭК ТО 13335-3—2007
Кроме того, необходимо провести дополнительную проверку с тем. чтобы определить, являются ли
защитные меры безопасности, выбранные после проведения анализа риска (см. 9.4), совместимыми с
действующими и планируемыми мерами безопасности (т. е. выбранные и действующие меры безопаснос
ти недолжны противоречить другдругу).
В процессе идентификации уже действующих защитных мер безопасности необходимо проверить,
правильно ли они функционируют. Если предполагается, что какое-тосредство защитной меры безопасно
сти функционирует правильно, однако это не подтверждается в процессе осуществления деловых опера
ций. то функционирование его может стать источником возможной уязвимости.
По результатам проведения идентификации защитных мер составляют переченьдействующих и пла
нируемых защитных мер безопасности с указанием статуса их реализации и использования.
9.3.7 Оценка рисков
Целью данного этапа является идентификация и оценка рисков, которым подвергаются рассматри
ваемая система информационных технологий и ее активы с тем.чтобы идентифицировать и выбрать подхо
дящие и обоснованные защитные меры безопасности. Величина риска определяется ценностью подвер
гающихся риску активов, вероятностью реализации угроз, способных оказать негативное воздействие на
деловую активность, возможностью использования уязвимостей идентифицированными угрозами, а также
наличием действующих или планируемых защитных мер. использование которых могло бы снизить уро
вень риска.
Существуют различные способы учета такихфакторов (активы, угрозы, уязвимости), например, мож
но объединить оценки риска, связанные с активами, уязвимостями и угрозами, для того, чтобы получить
оценки измерения общего уровня риска. Различные варианты подхода к анализу риска, основанные на
использовании оценок, полученныхдля активов, уязвимостей и угроз, см. приложение Е.
Вне зависимости от использованного способа оценки измерения риска результатом оценки прежде
всего должно стать составление перечня оцененных рисков для каждого возможного случая раскрытия,
изменения, ограничения доступности и разрушения информации в рассматриваемой системе информаци
онных технологий. Составленный переченьоцененных рисков затем используют при идентификации рис
ков. на которые следует обращать внимание в первую очередь при выборе защитных мер. Метод оценки
рисковдолжен быть повторяемым и прослеживаемым.
Как уже говорилось выше (см. 9.3), для ускорения всех или отдельных элементов процесса анализа
риска могут использоваться различные автоматизированные программные средства. Если организация
решит использовать такие средства, необходимо проследить, чтобы выбранный подход соответствовал
принятым в организации стратегии и политике безопасности информационныхтехнологий. Кроме того, сле
дует обратить особое внимание на правильность используемых входныхданных, поскольку качество
рабо ты программных средств определяется качеством входных данных.
9.4 Выбор защитных мор
Для снижения оцененных уровней риска до приемлемых необходимо отобрать и идентифицировать
подходящие и обоснованные меры безопасности. Для правильности выбора необходимо принять во вни
мание наличиедействующих или запланированных мер безопасности, структуру обеспечения безопаснос
ти информационныхтехнологий и наличие ограничений различного типа (см. 9.3.6.9.4.2 и 9.4.3).Дополни
тельные рекомендации по выбору защитных мер — в соответствии с ИСО/МЭК Т0 13335-4.
9.4.1 Определение защитных мер
Результаты оценки уровня риска, проведенной на предыдущем этапе (см. 9.3), должны использо
ваться в качестве основы для идентификации защитных мер, необходимых для должного обеспечения
безопасности системы.
Для выбора защитных мер. обеспечивающих эффективную защиту при некоторых уровнях риска,
необходимо рассмотреть результаты анализа риска. Наличие уязвимости к определенным видам угроз
позволяет определить, где и в какой форме необходимо использованиедополнительных мер защиты.
Возможны также альтернативные варианты использования защитных мер. выбор которых произво
дится исходя из стоимости рассмотренных защитных мер. Область использования защитных мер включает в
себя:
- физическую окружающую среду;
- обслуживающий персонал;
- администрацию;
- аппаратные средства/программное обеспечение:
- средства обеспечения связи (коммуникации).
в*17