ГОСТ Р ИСО/МЭК ТО 13335-3—2007
ваться по мере необходимости как в пределах продолжительности одного из этапов, так и после заверше
ния одного или несхольких этапов. Данная схема демонстрирует основные направления, рассматривае
мые в настоящем стандарте.
Управление безопасностью информационных технологий включает всебя анализ требований по обес
печению безопасности, разработку плана выполнения этих требований, реализацию положений этого пла
на. а также управление и административный контроль над реализуемой системой безопасности. Этот про
цесс начинается с определения целей и стратегии, которые устанавливаетдля себя организация в целях
обеспечения безопасности и разработки политики безопасности информационныхтехнологий.
Важной частью процесса управления безопасностью информационных технологий является оценка
уровня риска и методов снижения егодо приемлемого уровня. Необходимо при этом учитывать направлен
ностьделовой деятельности организации, ее организационную структуру и условия эксплуатации систе
мы ИТ, а также специфические вопросы и виды рисков, присущие каждой системе обеспечения безопасно
сти информационных технологий.
После проведения оценки требований безопасности, предъявляемых ксистемам информационных
технологий и отдельным видам услуг, следует выбрать стратегию анализа риска. Основные варианты такой
стратегии подробно рассматриваются в разделе 8. Для выделения системы с высоким уровнем риска
необходимо провести анализ уровня риска и выбрать варианты стратегии обеспечения безопасности ин
формационных технологий. Затем выделенные системы рассматриваются с использованием метода де
тального анализа риска, адля остальных систем может применяться базовый подход (с принятием базово
го уровня риска). Применительно ксистемам с высоким уровнем риска подробно рассматриваются активы,
возможные угрозы и уязвимости системы в целях проведения детального анализа риска, что позволит
облегчить выбор эффективных защитных мер. которые будут соответствовать оценкам уровня риска. Ис
пользование данного варианта базового подхода позволит сосредоточить процесс управления риском на
областях, отличающихся наивысшим уровнем риска или требующих наибольшего внимания. Таким обра
зом может быть разработана программа, характеризующаяся наименьшими затратами времени и средств.
После оценки уровня риска для каждой системы информационных технологий определяют соответ
ствующие меры защиты, направленные на снижение уровня риска до приемлемого уровня. Эти меры
реализуются всоответствии с планом безопасности информационныхтехнологий. Реализация плана долж
на сопровождаться выполнением программ знания и понимания мер безопасности и обучения использова
нию этих мер. что является важным результатом эффективности принятых защитных мер.
Кроме того, управление безопасностью информационныхтехнологий включает в себя решение теку
щих задач, связанных с проведением различных последующих действий, что может привести к корректи
ровке полученных ранее результатов и принятых решений. Последующие действия включают в себя об
служивание и проверку соответствия безопасности, управление изменениями, мониторинг и обработку ин
цидентов.
7 Цели, стратегия и политика безопасности информационных технологий
После того какорганизация сформулировала цели безопасности информационных технологий, долж
на быть выбрана стратегия безопасности с тем, чтобы сформировать основудля разработки политики безо
пасности информационных технологий. Разработка политики безопасности ИТчрезвычайноважнадля обес
печения приемлемости результатов процесса менеджмента риска и должногоэффекта от снижения уровня
риска. Для разработки и эффективной реализации политики безопасности ИТ требуется организационное
решение в рамках организации. Важно, чтобы разработанная политика безопасности информационных тех
нологий учитывала цели и конкретные особенности деятельности организации. Она должна соответство
вать политике безопасности иделовой направленности организации. При наличии такогосоответствия реа
лизация политики безопасности информационныхтехнологий будет способствовать наиболее эффективно
му использованию ресурсов и обеспечит последовательный подход к проблемам безопасности для широ
когодиапазонаусловий функционирования системы.
Может возникнуть необходимость в разработке отдельной и специфической политики безопасности
для каждой из систем информационных технологий. Подобная политика должна быть основана на резуль
татаханализа риска (или результатах базового подхода) и соответствовать политике безопасности систем
информационныхтехнологий, при этом политика безопасности должна учитывать рекомендации по обеспе
чению безопасности, выработанныедля соответствующей системы.
2—1773
3