ГОСТ Р ИСО/МЭК ТО 13335-3—2007
нию безопасности и на их основе разработать набор технических мер защиты по обеспечению безопасно
сти систем. В ряде случаев, если изменения вносят в существующие системы, некоторые требования
могут быть в форме специфических защитных мер. которые должны быть использованы.
В структуре безопасности информационных технологий особое внимание уделяют техническим за
щитным мерам по обеспечению безопасности и достижению с их помощью целей безопасности; при этом
следует принимать во внимание также соответствующие нетехнические средства обеспечения безопасно
сти. Хотя структура безопасности может быть построена на основе использования ряда различных подхо
дов и перспектив, следует всегда учитыватьследующий фундаментальный принцип ее построения нельзя
допускать неблагоприятное воздействие проблемы обеспечения безопасности в пределах уникальной зоны
безопасности (зоны с одинаковыми или схожими требованиями к обеспечению безопасности и средствам
ее защиты) на обеспечение безопасности вдругой отдельной зоне безопасности. Структура безопасности
информационных технологий обычно включает в себя одну или более зон безопасности. Зоны безопаснос
тидолжны соответствовать областямделовойдеятельности организации. Эти области деловой деятельно
сти могут соответствовать функциональным секторам отдельных видов деловой деятельности организа
ции, таким как выплата заработной платы, производство продукции или обслуживание покупателей, илиони
могут соответствовать функциональным секторам таких видов деятельности, какобслуживание электрон
ной почты или выполнение конторских операций.
В зависимости от наличия одного или нескольких признаков существуют различные типы зон безо
пасности. Примерами признаков могут быть;
- уровни, категории или веды информации,доступные в пределах зоны безопасности;
- операции, которые могут проходить в пределах зоны безопасности;
- объединения по интересам, ассоциируемые с зоной безопасности;
- отношения кдругим зонам безопасности и окружающим их средам;
- виды функций или доступ к информации, которые могут запрашивать объединения по интересам
внутри зоны безопасности.
При построении структуры обеспечения безопасности информационных технологий необходимо
также учитывать следующие проблемы;
- взаимоотношения и взаимозависимости между отдельными зонами безопасности;
- роль (или участие) взаимоотношений и взаимозависимостей в снижении качества услуг по обеспе
чению безопасности,
- необходимостьорганизации дополнительных услуг или принятия дополнительных мер защитыдля
исправления, контроля или недопущения случаев снижения качества услуг.
Структура безопасности информационных технологий не существует сама по себе, но опирается на
содержание других документов по информационным технологиям и согласовывается с ними. Наиболее
важными изэтихдокументов являются структурасистемы информационныхтехнологий и структурыдругих
соответствующих систем (аппаратные средства, средства связи и прикладные программы). Структура бе
зопасности информационных технологий не должна содержать полного описания системы ИТ, а только
описание технических вопросов и элементов, касающихся обеспечения безопасности. Назначение этой
структуры состоит в том, чтобы свести к минимуму случаи неблагоприятного воздействия на пользовате
лей. обеспечивая при этом оптимальную внутреннюю защиту инфраструктуры систем ИТ.
К структуребезопасности информационных технологий имеет отношение множестводругихдокумен
тов или она может находиться в подчиненном положении по отношению к ним. Кчислу таких документов
относятся;
- проектбезопасности информационных технологий;
- рабочая концепция безопасности информационных технологий;
- план безопасности информационных технологий;
- политика безопасности системы информационных технологий;
-документы по сертификации и аккредитации системы информационныхтехнологий (вслучае необхо
димости).
9.4.3 Идентификация и анализ ограничений
На выбор мер защиты влияют многие ограничения. Эти ограничения необходимо принимать во вни
мание при разработке и реализации рекомендаций. К типичным ограничениям относят;
- ограничения по времени.
Может существовать множество видов ограничений по времени. Например, первый вид — защитная
мера безопасности — должен быть реализован в пределах периода времени, приемлемогодля руковод-
20