ГОСТ Р ИСО/МЭК ТО 13335-3—2007
7.1 Цели и стратегия безопасности информационных технологий
В качестве первого шага в процессе управления безопасностью информационных технологий необ
ходимо рассмотреть вопрос о том. какой общий уровень риска является приемлемым для данной органи
зации. Правильно выбранный уровень приемлемого риска и. соответственно, допустимый уровень безо
пасности являются ключевыми моментами успешногоуправления безопасностью.Допустимый общий уро
вень безопасности определяется целями, которые ставит передсобой организация при создании системы
обеспечения безопасности информационных технологий. Для того чтобы оценить и сформулироватьтакие
цели, необходимо изучить имеющиеся активы и определить, насколько ценными они являются дляданной
организации. Критерием вэтом случав является то, насколько важную роль играют информационные тех
нологии в процессе проведения организацией своей деловой деятельности, при этом стоимость самих
информационных технологий составляет лишь малую часть общих затрат. При рассмотрении вопроса о
том. насколько важныдля функционирования организации информационныетехнологии, необходимоотве
тить на следующие вопросы:
- какие важные (очень важные) элементы деловой практики предприятия не могут осуществляться
без привлечения информационных технологий;
- какие вопросы могут решаться исключительно с помощью использования информационных техно
логий:
- принятие каких важных решений зависит от достоверности, целостности или доступности информа
ции. обрабатываемой с использованием информационных технологий, или от своевременного получения
такой информации;
- какие виды конфиденциальной информации, обрабатываемой с использованием информационных
технологий, подлежат защите;
- какие последствия могут наступить для организации после появления нежелательного инцидента
нарушения системы обеспечения безопасности?
Ответы на поставленные вопросы могут помочь сформулировать целисоздания системы безопасно
сти ворганизации. Если, например какие-то важные или очень важные элементы деятельности предприя
тия зависят отдостоверности или своевременности полученной информации, то одной из целей создания
системы безопасности можетстать необходимостьобеспечения целостности и оперативности информации
в процессе обработки последней системами информационных технологий. Кроме того, при рассмотрении
целей создания системы безопасности необходимо учитывать степень важности целей проводимыхдело
вых операций, а также их связь с вопросами безопасности.
В зависимости от поставленных организацией целей создания системы безопасности необходимо
выработать стратегиюдостижения этих целей. Стратегиядолжна соответствовать ценности защищаемых
активов. Если, например ответ на один или несколько приведенных выше вопросов является положитель
ным. то весьма вероятно, чтоданная организация должна предъявлять повышенные требования кобеспе
чению безопасности и ей необходимо выбрать стратегию, предусматривающую приложение значительных
усилийдля выполнения этих требований.
Любая стратегия, направленная на обеспечение информационной безопасности, должна содержать
общие положения о том. как организация собирается обеспечитьдостижение своих целей вэтой области.
Основное содержание этих положений стратегии будет зависеть отчисла, содержания и важности постав
ленныхцелей, при этом обычноорганизация считает необходимым распространить поставленные требова
ния на все свои подразделения. По своему содержанию основные положения стратегий могут иметь как
специфический, таки общий характер.
В качестве положений стратегии специфического характера можно привести следующий пример, ког
да первичной целью системы обеспечения безопасности информационныхтехнологий является, исходя из
деловых соображений, необходимость обеспечения высокого уровня доступности. В этом случае одно из
направлений стратегии должно заключаться всведении к минимумуопасности заражения системы инфор
мационных технологий вирусами путем повсеместного размещения антивирусных программных средств
(или выделения отдельных сайтов, через которыедолжна проходить вся получаемая информация для ее
проверки на наличие вирусов).
В качестве положений общего характера, имеющих общий характер, можно привести следующий
пример, когда основная работа организации заключается воказании информационных услуг, в связи с чем
возможные потребители должны быть уверены в защищенности ее систем информационных технологий. В
этом случае основным положением стратегии можетбыть проведение аттестации систем информационных
технологий на безопасность с привлечением третьей стороны, обладающей соответствующим опытом.
4