ГОСТ Р ИСО/МЭК ТО 13335-3—2007
В качестведругих возможных основных положений стратегии безопасности информационныхтехно
логий можно, взависимости от конкретных целей и их комбинаций, привести следующие положения:
- стратегия и методы анализа риска, используемые в масштабе всей организации;
-оценка необходимости разработки политики безопасности информационных технологий для каждой
системы;
- оценка необходимости создания рабочих процедур безопасности для каждой системы;
- разработка схемы классификации систем по уровню чувствительности информации в масштабах
всейорганизации;
- оценка необходимости учета и проверка условий безопасности соединенийдо места подключения к
ним других организаций;
- разработка схем обработки инцидентов, связанных с нарушением системы безопасности для уни
версального использования.
После разработки стратегии безопасностиэта стратегия иее составныеэлементы должны быть вклю
чены всостав политики безопасности информационныхтехнологий организации.
7.2 Политика безопасности информационных технологий
Политика безопасности информационных технологий должна вырабатываться на основе содержания
стратегии и целей созданиясистемы обеспечениябезопасности. Важно сформировать политикубезопасно
сти и затем проводить ее в соответствии с направленностьюдеятельности организации, состоянием обес
печения безопасности, содержанием политики в области информационных технологий, а также с учетом
положений законодательства и нормативныхдокументов вобласти обеспечения безопасности.
Как было показано в разделе 7.1. важным фактором, влияющим на содержание политики в области
обеспечения безопасности информационных технологий, является то, как ворганизации используются эти
технологии. Чем большей является необходимость их использования и чем шире организации приходится
их применять, тем более практичной является потребность в обеспечении безопасности информационных
технопогийдля достижения организацией своихделовых целей. При формировании ворганизации полити
ки безопасности информационных технологий необходимо учитывать сложившуюся практикуделовой дея
тельности. организацию и культуру ведения производства, поскольку они могут повлиять как на подход к
обеспечению безопасности, так и на отдельные защитные меры, которые легко встраиваются в одни усло
вия производственной деятельности и могут оказаться неприемлемыми в других.
Перечисленные в политике безопасности информационных технологий мероприятия, касающиеся
проблем обеспечения безопасности информационных технологий, могутосновываться на целях и стратегии
организации, результатах проведенного ранее анализа риска систем безопасности и принципов управле
ния. результатах проведениядополнительных мероприятий, таких как проверка действенности состояния
реализованных защитных мер. результатах мониторинга и изучения процесса повседневного использова
ния систем безопасности, а также на содержании отчетов об экстренных ситуациях, связанных с вопроса ми
обеспечения безопасности.
Необходимо рассматривать любые случаи обнаружения серьезных угроз или уязвимостей в системе
безопасности, а политика безопасности информационных технологийдолжна содержать описание общих
методов подхода организации к решению указанных проблем обеспечения безопасности. Более подробно
методы и действия по обеспечению безопасности систем информационныхтехнологий описываются в по
литиках безопасности различныхсистем информационных технологий либо вдругих подобных документах,
например в инструкциях по обеспечению безопасности.
В разработке политики безопасности информационных технологий должны принимать участие:
- персонал служб аудита:
- персонал финансовых служб;
- персонал подразделений, обслуживающих информационные системы, и их пользователей;
- персонал служб, обеспечивающих функционирование вычислительной техники и инфраструктур
(т. е. лиц. ответственных за состояние помещений и вспомогательного оборудования, электрооборудова
ния и кондиционеров);
- личный состав:
- персонал служб безопасности;
- руководство организации.
В соответствии с целями безопасности и стратегией, принятой организацией для достижения этих
целей, выбирается соответствующий уровеньдетализации политикиобеспечения безопасности информа-
2*
5