ГОСТ Р ИСО/МЭК ТО 13335-3—2007
Содержание
1 Область применения........................................................................................................................................... 1
2 Нормативные ссылки........................................................................................................................................... 1
3 Термины и определения...................................................................................................................................... 1
4 Структура .............................................................................................................................................................. 1
5 Ц е л ь ......................................................................................................................................................................... 1
6 Способы управления безопасностью информационных технологий..................................................... 2
7 Цели, стратегия и политика безопасности информационных технологий ......................................... 3
7.1 Цели и стратегия безопасности информационных технологий................................................ 4
7.2 Политика безопасности информационных технологий..............................................................5
8 Основные варианты стратегии анализа риска организации....................................................................7
8.1 Базовый подход...................................................................................................................................7
8.2 Неформальный подход.....................................................................................................................8
8.3 Детальный анализ риска ...................................................................................................................9
8.4 Комбинированный п о д хо д ..................................................................................................................9
9 Комбинированный подход..................................................................................................................................10
9.1 Анализ высокого уровня риска...........................................................................................................10
9.2 Базовый п о д хо д .....................................................................................................................................10
9.3 Детальный анализ р и с ка ....................................................................................................................11
9.4 Выбор защитных м е р ...........................................................................................................................17
9.5 Приемлемость р и ско в .........................................................................................................................21
9.6 Политика безопасности систем информационных технологий.................................................21
9.7 План безопасности информационных технологий......................................................................22
10 Выполнение плана информационной безопасности...............................................................................23
10.1 Осуществление мер защ иты ...........................................................................................................23
10.2 Компетентность по вопросам безопасности...............................................................................24
10.3 Обучение персонала информационной безопасности.............................................................26
10.4 Процесс одобрения информационных систем ...........................................................................27
11 Последующее сопровождение систем ы ....................................................................................................28
11.1 Обслуживание......................................................................................................................................28
11.2 Проверка соответствия безопасности...........................................................................................28
11.3 Управление изменениями.................................................................................................................30
11.4 Мониторинг............................................................................................................................................30
11.5 Обработка инцидентов..................................................................................................................31
12 Резюме ..................................................................................................................................................................33
Приложение А (справочное) Примерный перечень вопросов, входящих в состав политики безопас
ности информационных технологий организации.................................................................34
Приложение В (справочное) Оценка активов ................................................................................................36
Приложение С (справочное) Перечень типичных видов угроз .................................................................38
Приложение D (справочное) Примеры общих уязвимостей ......................................................................39
Приложение Е (справочное) Типология методов анализа риска.............................................................41
Приложение F (справочное) Сведения о соответствии национальных стандартов Российской Феде
рации ссылочным международным стандартам....................................................................45
1-1773III