ГОСТ Р ИСО/МЭК ТО 13335-3—2007
Действующие и запланированные меры защиты безопасности следует рассмотреть повторно сточки
зрения их сравнительной стоимости (с учетом стоимости обслуживания) и принять решение об их невклю
чении (или отказе от их реализации) илидоработке, если они недостаточно эффективны. Следуетотметить,
что иногда удаление недостаточно эффективныхдействующих защитных мер обходится дороже, чем их
использование и принятие дополнительных защитных мер (в случае необходимости). Возможны также
случаи, когда действие защитных мер может быть распространено на активы, находящиеся вне установ
ленных границ рассмотрения (см. 9.3.1).
Для идентификации защитных мер полезно рассмотреть уязвимости системы, требующие защиты, и
виды угроз, которые могутреализоваться при наличии этих уязвимостей. Существуют следующие возмож
ности снижения уровня риска:
- избегать риска:
- уступить риск (например, путем страховки);
- снизить уровень угроз;
- снизить степень уязвимости системы ИТ;
- снизить возможность воздействия нежелательных событий;
- отслеживать появление нежелательных событий, реагировать на их появление и устранять их по
следствия.
Какая из этих возможностей (или их сочетание) окажется наиболее приемлемойдля конкретной орга
низации, зависит от конкретных обстоятельств. Существенную помощь может оказать также использова
ние справочных материалов (каталогов) по защитным мерам безопасности. Однако при использовании
защитных мер. выбранных по каталогу, необходимо их доработать с тем. чтобы они соответствовали специ
фическим требованиям организации.
Другим важным аспектом выбора защитных мер являются экономические соображения. Не следует
рекомендовать использование защитных мер. стоимость реализации и эксплуатации которых превышала
бы стоимость защищаемых активов. Также нерационально рекомендовать использование защитных мер,
стоимость которых превышает бюджет той организации, где предполагается их использование. Однако
следует с большой осторожностью подходить к случаям, когда из-за ограниченности бюджета приходится
уменьшать число или снижать качество реализуемых защитных мер. поскольку это подразумевает воз
можность более высокого, чем планировалось, уровня риска. Принятый бюджеторганизации на защитные
меры должен с осторожностью использоваться в качестве ограничивающего затраты фактора.
В случае, если для обеспечения безопасности системы информационных технологий используется
базовый подход, выбор защитных мер сравнительно прост. Справочные материалы (каталоги) по защит
ным мерам безопасности предлагают набор защитных мер. способных защитить систему информационных
технологий от наиболее часто встречающихся водов угроз. В этом случав рекомендуемые каталогом меры
обеспечения безопасности следуетсравнить с ужедействующими или запланированными, а упомянутые в
каталоге меры (отсутствующие или применение которых не планируется)должны составить перечень за
щитных мер, которые необходимо реализоватьдля обеспечения базового уровня безопасности.
Выбор защитных мердолжен всегда включать в себя комбинацию организационных (нетехнических)
и технических мер защиты. В качестве организационных рассматриваются меры, обеспечивающие физи
ческую. персональную и административную безопасность.
Защитные меры для физической безопасности включают в себя обеспечение прочности внутренних
стен зданий, использование кодовыхдверных замков, систем пожаротушения и охранных служб. Обеспе
чение безопасности персонала включает в себя проверку лиц при приеме на работу (особенно лиц, нани
мающихся на важные сточки зрения обеспечения безопасностидолжности), контроль за работой персона
ла и реализацию программ знания и понимания мер защиты.
Административная безопасность включает всебя безопасныеспособы ведения документации, нали
чие методов разработки и принятия прикладных программ, а также процедур обработки инцидентов вслу
чаях нарушения систем безопасности. При таком способе обеспечения безопасности очень важно, чтобы
для каждой системы была разработана система веденияделовойдеятельности организации, предусматри
вающая в том числе возможность появления непредвиденных обстоятельств (ликвидацию последствий
нарушения систем безопасности) и включающая в себя соответствующую стратегию и план (планы). План
должен содержать подробные сведения о важнейших функциях и приоритетах, подлежащих
восстановле нию. необходимых условиях обработки информации и способах организации, которые
необходимо осуще ствлять в случае аварии или временногопрекращения работы системы. Пландолжен
содержать перечень шагов, которые следует предпринять для обеспечения безопасности важнейшей
информации, подлежа щей обработке, не прекращая при этом ведения организациейделовых операций.
18