ГОСТ Р ИСО/МЭК ТО 13335-3—2007
стратегия безопасности,
регулярная проверка согласованности мер защиты,
обработка инцидентов, связанных с нарушением безопасности:
- физическая безопасность:
здания.
офисные и компьютерные помещения и комнаты,
оборудование,
- безопасность персонала:
- безопасность носителей;
- безопасность аппаратных средств/протрам многообеспечения:
идентификация и аутентификация.
логический контрольдоступа,
учет и аудит безопасности,
очистка носителейданных;
- телекоммуникационная безопасность:
сетевая инфраструктура.
каналы, маршрутизаторы, шлюзы, межсетевыеэкраны.
Интернет идругие внешние связи.
непрерывность бизнеса, включая планированиедействий в чрезвычайных ситуациях (восста
новление после аварий), стратегия и план(планы).
10.4 Процесс одобрения информационных систем
Организациидолжны обеспечить одобрение всех или предпочтительных информационныхсистем на
предмет их соответствия установленным требованиям политики информационной безопасности и плануее
обеспечения. Процесс одобрениядолжен быть проведен такими методами, какпроверка согласованности
мер защиты, тестирование мер защиты и/или оценка системы. Процедуры одобрения могут проводиться
согласностандартам организации или национальным стандартам, а орган, выполняющий процедуруодоб
рения, может быть внутренним или внешним поотношению к организации.
Процессодобрения должен быть направлен на обеспечение внедренными мерами защиты необходи
мого уровня безопасности информации. Одобрение должно иметь силудля конкретной операционной сре
ды в течение конкретного периода времени, оговоренного в стратегии или плане обеспечения
информаци онной безопасности организации. Любые значительные изменения вмерах защиты или
изменения в инст рукциях, влияющие на безопасность, могут потребовать нового их одобрения.
Критерии, на основании которых делается новое одобрение, должны быть включены в стратегию
информационной безопасности организации.
Процессодобрения систем ИТ состоит, главным образом, из анализа документов, техническихосмот
ров и оценок (например проверки согласованности мер защиты). Для выполнения этого процесса необхо
димо руководствоваться следующими положениями:
- процессодобрения должен бытьспланирован и приспособлен к конкретным информационным сис
темам; этот первый шаг помогает также определить график осуществления плана информационной безо
пасности, необходимые ресурсы и ответственность:
-должны быть собраны документы, используемые в процессе;
- каждый документ должен проверяться на полноту и согласованность сдругими документами;
- должен быть закончен анализ и тестирование по критериям, описанным в плане информационной
безопасности;
- итоги процессаодобрения должны быть изложены в отчете суказанием уровня соответствия систе
мы требованиям безопасности (полная, частичная, ограниченная или несоответствие), наличия отклонений
или ограничений в рабочем процессе;
- новое одобрение необходимо, если информационная система или ее среда претерпели изменения,
а также в конце срока действия предыдущего одобрения.
Сразу после окончания процесса одобрения начинают процедуры сопровождения информационной
системы. Сопровождение помогает обнаружить и проанализировать изменения в системе, ее защите и
среде. При обнаружении изменений в системе необходимо ее обновление с последующим новым одобре
нием.
27