ГОСТ Р ИСО/МЭК ТО 13335-3—2007
сколько эффективна система управления ключами и связанные с этим операции, если требуется шифрова
ние и/или аутентификация сообщения?
Проверка уровня безопасности — важная задача, требующая для успешного ее выполнения доста
точногоопытаи знаний. Этот отдельный виддеятельности отличается от внутреннего аудита в организации.
11.3 Управление изменениями
Информационные системы и окружающая среда, вкоторой они функционируют, постоянно изменяют
ся. Изменения информационных систем есть результат появления новых защитных мер и услуг или обнару
жения новых угроз и уязвимостей. Данные изменения могут также привести к новым угрозам и образова
нию новых уязвимостей. Изменения информационной системы включают всебя:
- новые процедуры:
- новые защитные меры;
- обновление программногообеспечения:
- пересмотр аппаратной среды;
- появление новых потребителей, в том числе внешних организаций или анонимных пользователей;
- дополнительную организацию сети и внутреннюю связь.
Когда планируются или происходят изменения в информационной системе, важно определить, как
это повлияет (если повлияет) на информационную безопасность системы в целом. Если система имеет
службу управления конфигурацией или другую организационную структуру, управляющую техническими
системными изменениями, то в составэтой службы должнобыть включеноответственное лицо по безопас
ности илиего представитель сполномочиями определять воздействиелюбого изменения на информацион
ную безопасность. При больших изменениях, включающих в себя покупку новых аппаратных средств,
программного обеспечения, служба проводит повторный анализ требований безопасности. При незначи
тельных изменениях в системе всесторонний анализ не требуется, но все-таки некоторый анализ необхо
дим. В обоих случаях следует оценить преимущества и расходы, связанные с изменениями. Для незначи
тельных изменений этот анализ может быть проведен неофициально, но результаты анализа и связанные с
ними решениядолжны быть зарегистрированы.
11.4 Мониторинг
Мониторинг — это продолжениедействий,направленных напроверкусоответствия системы,ее пользо
вателей и среды уровню безопасности, предусмотренному планом информационной безопасности, приня
тым ворганизации. Необходимы также повседневные планы контроля сдополнительными рекомендация
ми и процедурами для обеспечения безопасной работы системы, периодические консультации с пользова
телями. рабочим персоналом и разработчиками систем для обеспечения полной отслеживаемости всех
аспектов безопасности и соответствия плана информационной безопасности текущемусостоянию дел.
Одна из причин, определяющих важность контроля информационной безопасности, заключается в
том. что он позволяет выявить изменения, влияющие на безопасность. Некоторые аспекты обеспечения
безопасности ИТ. которые должны находиться под контролем, включают в себя активы и их стоимость,
угрозы активам и их уязвимость, меры защиты активов.
Активы контролируютдля определения изменений их ценности и обнаружения изменений в требова
ниях информационной безопасности систем. Возможными причинами этих изменений могут быть измене
ния:
- производственных целей организации;
- программных приложений, работающих в информационной системе;
- информации,обрабатываемой информационной системой:
- аппаратного обеспечения информационной системы.
Угрозы и уязвимости контролируют с целью определения изменений в уровне их опасности (напри
мер. вызванных изменениями среды, инфраструктуры или техническими возможностями) и обнаружения
на ранней стадиидругих видов угроз или уязвимостей. Изменения угроз и уязвимостей могут быть
вызва ны также в результате изменений в активах.
Меры защиты контролируютна предмет их соответствия результативности и эффективности втечение
воеговремени применения. Необходимо, чтобы защитные меры были адекватными и защищали информа
ционную систему на требуемом уровне. Не исключено, что изменения, связанные с активами, угрозами и
уязвимыми местами, могут повлиять на эффективность и адекватность мер защиты.
Кроме того, если внедряется новая информационная система или изменяется существующая, то
появляется необходимость убедиться в том. что такие изменения не повлияют на состояние существую
щих мер защиты и новые системы будут введены с адекватными мерами защиты.
30