ГОСТ Р ИСО/МЭК 27034-1—2014
Приложение В
(справочное)
Сопоставление ASC существующих стандартов
Пример: сопоставление мер и средств контроля и управления безопасностью приложений,
описанных в NIST SP 800-53 (редакция 3), с ASC, описанными в ИСО/МЭК 27034
Цель данного приложения — проиллюстрировать, как меры и средства контроля и управления безопасно
стью приложений из существующего источника, например из третьей редакции NIST SP 800-53, могут быть инте
грированы как ASC для использования в соответствии с ИСО/МЭК 27034.
В.1 Категории потенциальных ASC
В данном подразделе сделана попытка рассмотреть возможные аспекты категорий потенциальных ASC. не
посредственно приводимых в SP 800-53 (редакция 3).
Организация может определить следующие аспекты категории ASC, связанные с безопасностью
приложений.
В.1.1 Аспекты, связанные с общими мерами и средствами контроля и управления безопасностью
Менеджмент мер и средств контроля и управления безопасностью, обозначенных организацией как общие
меры и средства контроля и управления, в большинстве случаев осуществляется организационной сущностью,
отличной от владельца информационной системы. Организационные решения, касающиеся общих мер и средств
контроля и управления безопасностью, могут существенно повлиять на обязанности отдельных собственников
информационной системы в связи с реализацией мер и средств контроля и управления в соответствии с тем или
иным базовым уровнем. Каждая мера и средство контроля и управления на базовом уровне должны полностью
рассматриваться либо организацией, либо владельцем информационной системы.
В.1.2 Аспекты, связанные с операционной деятельностью/средой
Меры и средства контроля и управления безопасностью, зависящие от характера операционной среды, при
менимы только в том случав, если информационная система используется в условиях, требующих этих мер и
средств контроля и управления. Например, определенные меры и средства контроля и управления физической
безопасностью могут быть неприменимы для космических информационных систем, а меры и средства контроля и
управления температурой и влажностью могут быть неприменимы для дистанционных датчиков, существующих вне
помещений, которые содержат информационные системы.
В.1.3 Аспекты, связанные с физической инфраструктурой
Меры и средства контроля и управления безопасностью, относящиеся к физической инфраструктуре, напри
мер к помещениям организации (физические меры и средства контроля и управления, такие как замки и охрана,
меры и средства контроля и управления защитой от влияния внешней среды: температуры, влажности, грозовых
разрядов, возгорания и проблем энергоснабжения), применимы только к тем их частям, которые непосредственно
обеспечивают защиту и поддержку информационных систем или связаны с информационными системами
(вклю чая активы информационных технологий, такие как почтовые и веб-серверы, группы серверов,
информационные центры, сетевые узлы, устройства защиты границ и аппаратура связи).
В.1.4 Аспекты, связанные с открытым доступом
Меры и средства контроля и управления безопасностью, связанные с общедоступными информационны
ми системами, должны тщательно рассматриваться и применяться с осторожностью, поскольку некоторые меры
и средства контроля и управления безопасностью определенных базовых уровней контроля и управления (на
пример, идентификация и аутентификация, управление безопасностью персонала) могут быть неприменимы для
пользователей, получающих доступ к информационным системам через общедоступные интерфейсы. Например,
наряду с тем. что меры исредства контроля и управления безопасностью базового уровня требуют идентификации
и аутентификации персонала организации, осуществляющего техническое обслуживание и поддержку информа
ционных систем, предоставляющих услуги открытого доступа, те же меры и средства контроля и управления без
опасностью могут не потребоваться для доступа к информационным системам через общедоступные интерфейсы
для получения общедоступной информации. С другой стороны, в некоторых случаях будет требоваться
иденти фикация и аутентификация для пользователей, получающих доступ к информационным системам через
общедо ступные интерфейсы, например, для доступа/изменения своей персональной информации.
В.1.5 Аспекты, связанные с технологией
Меры и средства контроля и управления безопасностью, относящиеся к определенным технологиям (напри
мер. беспроводная связь, криптография, инфраструктура открытых ключей), применимы только в том случае, если
эти технологии используются в информационной системе или требуется их использование.
Меры и средства контроля и управления безопасностью применимы только к компонентам информацион
ной системы, обеспечивающим или поддерживающим возможности безопасности, на которые направлены меры и
средства контроля и управления безопасностью, и являющимися источниками потенциального риска,
уменьшае-
52