ГОСТ Р ИСО/МЭК 27034-1—2014
мого посредством мер и средств контроля и управления безопасностью. Например, если компоненты информаци
онной системы являются однопользовательскими, а не относящимися к сетевой структуре или локальной сетевой
структуре, то одна или несколько таких характеристик могут обеспечивать соответствующее логическое обосно
вание для неприменения выбранных мер и средств контроля и управления безопасностью кданному компоненту.
Меры и средства контроля и управления безопасностью, которые мотут явно или неявно поддерживаться
автоматическими механизмами, не требуют разработки таких механизмов, если они еще не существуют или не
доступны среди продуктов, готовых к использованию в коммерческих или государственных целях. В ситуациях,
когда автоматические механизмы не являются доступными, экономически эффективными или технически осуще
ствимыми. для компенсации определенных мер и средств контроля и управления безопасностью или расширений
мер и средств контроля и управления, необходимо использовать компенсационные меры и средства контроля и
управления безопасностью, реализующиеся путем неавтоматизированных механизмов или процедур (условия
применения компенсационных мер и средств контроля и управления см. ниже).
В.1.6 Аспекты, связанные с политикой/регулятивными требованиями
Меры и средства контроля и управления безопасностью, предназначенные для решения вопросов, регули
руемых соответствующими законами, административными указами, директивами, политиками, стандартами или
предписаниями (например, оценки влияния на приватность), требуются только в том случае, если применение
этих мер и средств контроля и управления безопасностью согласуется с видами информации и информацион
ных систем, охватываемых соответствующими законами, административными указами, директивами, политиками,
стандартами или предписаниями.
В.1.7 Аспекты, связанные с масштабируемостью
Меры и средства контроля и управления безопасностью масштабируемы в отношении объема и строгости
реализации контроля и управления. Масштабируемость регулируется классификацией безопасности защищаемой
информационной системы по F1PS 199. Например, план действий в чрезвычайных ситуациях для информацион
ной системы с высоким влиянием по FIPS 199 может быть весьма обьемным и содержать значительное количество
деталей реализации. В отличие от этого план действий в чрезвычайных ситуациях для информационной системы с
низким влиянием no FIPS 199 может быть значительно короче и содержать гораздо меньше деталей реализа ции.
Организации должны осмотрительно применять меры и средства контроля и управления безопасностью к ин
формационным системам, учитывая факторы масштабируемости в конкретной среде. Такой подход способствует
экономически эффективному, основанному на риске подходу к реализации мер и средств контроля и управления
безопасностью, при котором затрачивается ресурсов не больше, чем это необходимо, однако достигаются суще
ственное уменьшение риска и адекватная безопасность.
В.1.8 Аспекты, связанные с целями безопасности
Меры и средства контроля и управления безопасностью, однозначным образом поддерживающие цели без
опасности по обеспечению конфиденциальности, целостности или доступности, могут быть понижены до более
низкого базового уровня мер и средств контроля и управления (соответствующим образом модифицированы или
устранены, если они не определены в более низком базовом уровне) тогда и только тогда, если такое понижение: (i)
согласуется с классификацией безопасности FIPS 199 для соответствующих целей безопасности по обеспе чению
конфиденциальности, целостности или доступности до перемещения на отметку максимального уровня; (ii)
поддерживается оценкой риска организации; (iii) не влияет на имеющую отношение к безопасности информа цию в
информационной системе. Рекомендуемыми на понижение мерами и средствами контроля и управления
безопасностью являются следующие: (i) конфиденциальность (АС-15. МА-3 (3), МР-2 (1). МР-3. МР-4. МР-5 (1) (2) (3).
МР-6. РЕ-5, SC-4. SC-9]; (ii) целостность (SC-8) и (iii) доступность [СР-2. СР-3. СР-4. СР-б. СР-7. СР-8. МА-6, РЕ-9,
РЕ-10. РЕ-11. РЕ-13. РЕ-15. SC-6],
В.2 Классы мер и средств контроля и управления безопасностью
В данном подразделе представлена классификации ASC. взятых из SP 800-53 (редакция 3).
Т а б л и ц а В.1 — Идентификаторы, семейства и классы мер и средств контроля и управления безопасностью
ИдентификаторСемейство
Класс
АСУправление доступом
Технические
АТИнформирование и обучение
Операционные
AUАудит и подотчетность
Технические
САСертификация, аккредитация и оценки безопасности
Административные
СММенеджмент конфигурации
Операционные
СРПланирование действий в чрезвычайных ситуациях
Операционные
IAИдентификация и аутентификация
Технические
53