ГОСТР ИСО/МЭКТО 13335-3—2007
и последовательности действий может быть выполнено различными способами. Документация по защит
ным мерам должна быть составной частью документации по безопасности организации, например плана
обеспечения информационной безопасности, бизнес-плана, документации по анализу рисков, политики и
процедур по обеспечению безопасности. Документациядолжна быть разработана с учетом потребностей
руководства организации, пользователей, системных администраторов, обслуживающего персонала и лиц,
вовлеченных вуправление изменениями и конфигурации систем. Документация должна постоянно актуа
лизироваться и бытьдостаточно подробнойдля исключения ошибок при обеспечении безопасности систем и
в то же время предоставлять информацию, обеспечивающую правильность и эффективностьдеятельно сти
по защите их систем безопасности. Часть документов, особенно касающихся угроз, уязвимостей и
рисков, может содержать конфиденциальные данные и должна быть защищена от несанкционированного
раскрытия. Организациядолжна обращаться с подобными документами оченьаккуратно идополнительно
может использовать доверительные распределенные процедуры.
Распределенные процедуры должны определять способы хранения, использования и обеспечения
доступа конфиденциальной информации по мерам защиты. Кроме того,эти процедурыдолжны определять
лиц. отвечающих за хранение информации по мерам защиты, имеющих право доступа и использования
информации. При разработке процедур распространения информации и определениидоступа к ней необхо
димо учитывать ряд специфических факторов, таких как необходимостьобеспечения бесперебойной ра
боты систем информационных технологий, наличие плана аварийного восстановления производственной
деятельности, стратегию и план действий в случае бедствия или другого непредвиденного события, для
которых время является критическим фактором. Наконец, необходим строгий контроль за документацией по
мерам защиты стем. чтобы не допустить несанкционированных изменений, способных снизить эффек
тивность мер защиты.
Кактолько план информационной безопасности будет закончен и расписан по ответственным функ
циям. должны быть внедрены меры защиты, проверена и испытана их сочетаемость с безопасностью.
Анализ проверки сочетаемости с безопасностью проводят для подтверждения того, что меры защиты вне
дрены корректно, соответственно испытаны и эффективно применяются.Допускается проведение оценки
безопасности как частиэтогоанализа. Тестирование является важным способом обеспечения корректности
внедренных мер защиты. Оценку безопасности проводят в соответствии с планом проверки обеспечения
безопасности, описывающим подход к тестированию, график проверки обеспечения безопасности и окру
жающую среду. В зависимости от результатов оценки рисков может использоваться тестирование по пре
одолению защиты. Необходимо иметьдетальные методы тестирования защиты с использованием стан
дартной формы отчета. Цель тестирования — внедрение и проверка мер защиты методом, обеспечиваю
щим выполнение плана обеспечения информационной безопасности с учетом снижения риска до требуе
мого уровня.
10.2 Компетентность в вопросах безопасности
Цель программы обеспечения компетентности в вопросах безопасности состоит втом. чтобы повы
сить знания сотрудников организациидо необходимого уровня, когда процессы обеспечения безопасности
становятся регулярными и все сотрудники их выполняют. Программадолжна обеспечить персоналу и ко
нечным пользователям достаточное знание систем ИТ (в аппаратных средствах и программном обеспече
нии)с тем. чтобы они понимали необходимость мер защиты и могли ихправильно использовать. Эффектив
ными можносчитать только те меры защиты, которыехорошо усвоены персоналом организации и конечны
ми пользователями.
Данные для программы обеспечения компетентности в вопросах безопасности должны поступатьот
всех подразделений организации. Данныедолжны включать в себя вопросы общей стратегии организации
по информационной безопасности и охватывать все задачи плана обеспечения информационной
безопас ности организации. Группе, занимающейся программой обеспечения компетентности в вопросах
безопас ности. должна бытьобеспечена административная поддержка всех отделов. Программа
обеспечения ком петентности в вопросах безопасности должна затрагивать следующие темы при
проведении обучающих курсов, обсуждений или других видов обучения в целях повышения
эффективности этих мер:
- значение информационной безопасности для организации и сотрудников:
- цели и задачи системы обеспечения информационной безопасности в части сохранения ее конфи
денциальности. целостности, доступности, подлинности и надежности.
- последствия инцидентов нарушения информационной безопасности какдля организации, так и для
ее сотрудников;
- важность корректного использования информационных систем, включая аппаратные средства и
программное обеспечение:
24