ГОСТ Р ИСО/МЭК ТО 13335-3—2007
Необходимостьодобрения систем коммерческого партнера определяется базовым уровнем безопас
ности и нормами, действующими в организации, которая:
- желает установить собственную версию базового уровня безопасности или свои нормы и передать
их партнерам/поставщикам для одобрения до подключения к своим ресурсам;
- ведет торговлю с другими компаниями и желает поддерживать с ними информационную связь, для
чего ей необходимо продемонстрировать свой уровень безопасности с позиций базового уровня и общих
норм безопасности;
- желает установить уровни рисков нарушений информационной безопасностидля других информа
ционно подсоединенных компаний, которые эти компаниидолжны соблюдать. Это даст возможность орга
низации заставить партнеров провести процесс одобрения безопасности своих систем на основании про
верки согласованности мер защиты, которые будут указывать на степень соответствия этих мер частям
базового уровня и норм безопасности, совместимым с принятыми ворганизации требованиями безопас
ности.
11 Последующее сопровождение системы
Последующее сопровождение системы ИТ (хотя ими часто пренебрегают) является одним из наибо
лее важных аспектов обеспечения информационной безопасное™. Внедренные меры защиты могут быть
эффективны, если они проверены в реальном производственном процессе. Необходима уверенность в
том, что защитные меры используются правильно и любые инциденты и изменения безопасности будут
обнаружены при сопровождении. Главная цель последующего сопровождения состоит вобеспечении про
должения функционирования мер защиты системы, как былоназначено при их планировании. Со временем
качество работы каждого механизма или службы снижается. Последующее сопровождениедолжно обна
ружить это ухудшение и определить корректирующиедействия. Этот способ является единственным для
поддержания необходимого для защиты системы уровня безопасности. Процедуры, описанные в настоя
щем разделе, составляют основу эффективной программы последующего сопровождения. Управление
информационной безопасностью является непрерывным процессом, который незавершается после выпол
нения плана обеспечения безопасности.
11.1 Обслуживание
Большинство мер защиты требуют обслуживания и административной поддержки для обеспечения
их правильного и соответствующегофункционирования в течение срока службы. Этидействия (обслужива
ние и администрирование)должны планироваться и выполняться регулярно, чтодолжно свести кминиму
му связанные с ними накладные расходы и сохранить эффективность мер защиты.
Для обнаружения сбоев в системах ИТ необходим периодический контроль. Бесконтрольная мера
защиты не представляет ценности, так как нельзя определить, в какой степени можно на нее положиться.
Обслуживание включает в себя:
- проверку системныхжурналов;
- корректировку параметров, отражающих изменения и добавления в систему;
- переоценку рыночных цен или схем пересчета;
- обновление системы новыми версиями.
Затраты на обслуживание иадминистрированиедолжны всегда рассматриваться отдельно при оцен
ке и выборе мер защиты, так как стоимость обслуживания и администрирования могут значительно отли
чатьсядля различных мер защиты. Поэтому затраты могут бытьопределяющим фактором при выборе мер
защиты. В общем случае желательно везде, где возможно, свести к минимуму затраты на обслуживание
и администрирование, поскольку они представляют собой периодические издержки, а не одноразовые
затраты.
11.2 Проворка соответствия безопасности
Проверка соответствия безопасности включает в себя обзор и анализ осуществленных мер защиты.
Она используется для контроля соответствия информационной системы или услуги требованиям, указан
ным в политике безопасности, принятой организацией, и плане информационной безопасности. Проверки
уровня безопасности могут использоваться для контроля в ситуациях:
- внедрения новых информационных систем и услуг;
- наступления времени периодической (например годовой) проверки существующих систем или ус
луг;
- внесения изменений в стратегию информационной безопасности существующих систем и услуг с
целью определения поправок, необходимыхдля сохранения заданного уровня безопасности.
28