ГОСТ Р ИСО/МЭК ТО 13335-3—2007
Проверки безопасности могут проводиться с использованием собственного или привлеченного пер
сонала и. по существу, основаны на использовании контрольных проверок, касающихся стратегии безо
пасности.
Меры защиты информационной системы могут быть проверены:
- периодическим контролем и тестированием:
- отслеживанием инцидентов в процессе эксплуатации системы;
- проведением выборочных проверок с оценкой уровня безопасности вспецифических чувствитель
ных областяхдеятельности организации или в местах, вызывающих беспокойство.
При проведении любой проверки уровня безопасности ценная информация о работе информационной
системы может быть получена от использования:
- пакетов программ, регистрирующихсобытия:
- контрольных журналов с полной записью событий.
Проверка уровня безопасности, проводимая в процессе одобрения и при дальнейших регулярных
проверках, должна базироваться на согласованных перечнях мер защиты, составленных по результатам
последнего анализа рисков, на стратегии информационной безопасности, принятой в организации, а также
инструкциях по информационной безопасности, принятых руководством организации, включая регистра
цию инцидентов. Цель проверок— убедиться, что меры защиты внедрены корректно, используются пра
вильно и (при необходимости) тестированы.
Контролер/инспектор по проверке уровня безопасности должен втечение рабочегодня проходить по
помещениям и наблюдать за выполнением мер защиты. Результаты наблюденийдолжны быть, по возмож
ности, перепроверены. Люди обычно говорят то, чему верят, а не то, что есть на самом деле, поэтому
необходимы перепроверки при участиидругих людей, работающих вместе.
Большое значение при проверке уровня безопасности имеют подробная таблица контрольных прове
рок и согласованная форма отчета по результатам проверки. Таблица контрольных проверокдолжна охва
тывать общую идентифицирующую информацию, например детали конфигурации системы, обязанности
персонала пообеспечению информационной безопасности, документы, определяющие стратегию, окружа
ющую обстановку. Физическая безопасностьдолжна касаться как внешних (например окружающей обста
новки вокругздания, возможности проникновения через крышки люков), так и внутренних (например проч
ности конструкции здания, замков, системы пожарной сигнализации и защиты, системы сигнализации при
затоплении водой’жидкостью.отказов в энергоснабжении и т. д.) аспектов.
Существует ряд критическихдля безопасности слабых мест, требующих контроля:
- области, доступные для физического проникновения или охраняемые по периметру (например зак
линенные двери, которые открываются карточками или наборным шифром).
- неправильно работающие или установленные механизмы (например их отсутствие, неполное рас
пределение по контролируемой зоне или неправильный выбор типа детекторных устройств).
Достаточно лидетекторов дыма/температурыдля даннойобласти, установлены ли они на правильной
высоте. Срабатывает ли система сигнализации. Подается ли ее сигнал на контрольный пункт. Не появились
ли новые источники угроз, например, не используется ли помещение для хранения легковоспламеняю
щихся веществ. Имеется ли адекватный запасной источник электропитания и предусмотрены ли процеду ры
его включения. Правильно ли выбраны типы кабелей, не проходят ли они около острых кромок.
При поиске слабых мест может быть полезно ответить на следующие вопросы:
- безопасность персонала (необходимость следить за процедурами приема на службу):
действенны ли рекомендации. Проверены ли перерывы в трудовой деятельности. Имеет ли персонал
представление о безопасности. Существует ли зависимость ключевых функций от одного человека;
- организационная безопасность:
как распределяются документы. Являются ли документы общего пользования обновленными. Пра
вильноли используются процедуры по анализу риска, проверке состояния и регистрации инцидентов. Яв
ляется ли план обеспечения непрерывности бизнеса корректным и действующим;
- безопасность аппаратных средств/программиогообеспечения:
находится ли резервное копирование надостаточном уровне. Насколько хороши процедуры выбора
идентификатора/пароля пользователей. Содержат ли журналы контроля регистрацию ошибок и их просле
живание сдостаточной степеньюдетализации и выбором. Соответствуетли проверенная программа согла
сованным требованиям,
- безопасность коммуникаций:
обеспечена литребуемая степеньдублирования;имеетсяли необходимое оборудование и программное
обеспечение и правильно ли оно используется при наборе телефонного номера с клавиатуры ЭВМ. На-
29