ГОСТ Р ИСО/МЭК ТО 13335-3—2007
сгва организации. Второй вид ограничения по времени — реализация конкретной защитной меры безопас
ности в пределах жизненного срока соответствующей системы. Третьим видом ограничения по времени
может бытьдлительность периода времени, необходимого руководству организации для принятия реше
ния о том. стоит ли и дальше подвергать систему угрозам наличия конкретного риска;
- финансовые ограничения.
Стоимость реализации рекомендуемых мер защиты не должна превышать ценности активов, для
безопасности которых они предназначены. Необходимо сделать все возможное, чтобы не выйти за преде
лы выделенных на эти цели ассигнований. Однако в ряде случаев достижение необходимого уровня безо
пасности и приемлемого уровня риска может оказаться невозможным в пределах подобных финансовых
ограничений. В этом случае выход изсложившейся ситуации предоставляется на усмотрение руководства
организации,
- технические ограничения.
Технические проблемы, например совместимость программ или аппаратных средств, легко разреша
ются, если уделить им серьезное внимание в процессе выбора средств защиты. Кроме того, при реализа
ции разработанных ранее защитных мор применительно к существующим системам часто возникают
затруднения, связанные с техническими ограничениями. Наличие подобных затруднений могут перемес
титьнаправленность (пересмотр выбора) защитных мер всторону организационных и физическихспособов
защиты;
- социологические ограничения.
Особенности социологическихограничений при выборе защитных мер могут зависеть от того, о какой
стране, отрасли, организации или даже отделе организации идет речь. Этими ограничениями нельзя пре
небрегать. поскольку эффективность использования многих технических защитных мер зависит от актив
ной поддержки их сотрудниками организации. Если сотрудники не понимают необходимости таких мер или
не считают их приемлемыми по моральным соображениям, то существует большая вероятностьтого, что
со временем эффективность защитных мер будет снижаться;
- ограничения окружающей среды.
На выбор защитных мер могут влиять также и экологические факторы, например прилегающие терри
тории, экстремальные природные условия, состояние окружающей среды и прилегающих городских тер
риторий и т. д.;
- правовые ограничения.
Правовые ограничения, например установленные законодательством требования о защите личной
информации илистатьи уголовного кодекса, касающиеся обработки информации, могут повлиять на выбор
мер защиты. Законы и нормативы, не имеющие прямого отношения к защите информационных технологий,
например требования противопожарной безопасности и статьи трудового законодательства, могут также
повлиять на выбор мер защиты.
9.5 Приемлемость рисков
После выбора защитных мер и идентификации снижения уровня риска в результате применения за
щитных мер всегда будут иметь место остаточные риски, поскольку система не может быть абсолютно
безопасной. Эти остаточные рискидолжны оцениваться организацией какприемлемые или неприемлемые.
Такая оценка может бытьосуществлена путем рассмотрения потенциальных неблагоприятных воздействий
на сферу деловой деятельности, которые могут быть вызваны остаточными рисками. Очевидно, что
существование неприемлемых рисков нельзя допускать без дальнейшего их обсуждения. Необходимо
управленческое решение о допустимости таких рисков в связи с имеющимися ограничениями (например
по затратам средств или невозможности предупреждения рисков — падение самолетов на здания или
землетрясения, тем не менее планы восстановительных работ на случай подобных катастроф могут быть
подготовлены)либонеобходимо предусмотретьдополнительные и, возможно, дорогостоящие меры защи
ты для снижения уровня неприемлемых рисков.
9.6 Политика безопасности систем информационных технологий
Вдокументе, отражающем политику безопасности системы информационных технологий, должносо
держаться подробное описание применяемых защитных мер с обоснованием их необходимости. Исполь
зование применяемых защитных мердолжно бытьописано в плане безопасности информационных техно
логий.
Многие системы информационных технологий нуждаются в собственной политике безопасности, по
строенной на основе рассмотрения результатов анализа рисков. Обычно это справедливо по отношению к
крупным и сложным системам. Политика безопасности системы информационных технологий должна быть
21