ГОСТ Р ИСО/МЭК 27033-3—2014
14.3 Методы проектирования безопасности и меры и средства контроля и управления
Методы проектирования информационной безопасности и меры и средства контроля и управле
ния. относящиеся к сетевой поддержке мобильных пользователей, приведены в таблице 10.
Т а б л и ц а 10 — Меры и средства контроля и управления сетевой поддержки мобильных пользователей
П рим еняемы е свойства без
опасности для идентиф ициР еализуемы е проекты и методы
рованны х угроз
Несанкционированный доступ
- Управление доступом
- Аутентификация
- Безопасность связи
- Конфиденциальность
- Усовершенствованные методы аутентификации (аутентификация на основе
сертификатов, двухфакторной аутентификации или аутентификации вызов-
ответ).
- Специализированные услуги для мобильных пользователей, основанные на
протоколах TLS/SSLv3 защищенных веб-интерфейсов.
- Использование методов безопасных виртуальных частных сетей в сочетании
с соответствующими шлюзами безопасности на клиентских системах (например,
персональные брандмауэры):
- реализации уровней 2/3, например. IPSec;
- уровня приложений VPN. например, основанного на TLS.
- Шифрование хранимых данных пользователя.
Снижение доступности сети связи
- Доступность- Привлечение общеизвестных провайдеров услуг и использование соглаше
ния об уровне услуг для надежности и производительности.
15 Услуги аутсорсинга
15.1 Исходные данные
Этот сценарий должны рассматривать организации, использующие услуги аутсорсинга.
Организации используют услуги аутсорсинга, поскольку они рассматриваются в качестве жизне
способной стратегии бизнеса, но это вносит организационные и оперативные сложности, особенно
для обеспечения качества и безопасности услуг аутсорсинга.
Такое расширение сфер действия предприятия наследует дополнительные риски в связи с за
висимостью от поставщика услуг. Например, поставщикам или продавцам услуг может потребоваться
прямой доступ к активам внутри организации для поддержки и (или) исходя из управления инциден
тами. тем самым подвергая критические активы рискам безопасности. Наряду с тем, что для многих
вспомогательных услуг требуются постоянные права доступа к поддерживаемой инфраструктуре, для
других, возможно, необходим лишь временный доступ. Часто услуги поддержки нуждаются в высоко
привилегированных правах доступа для выполнения своих задач.
Независимо от типа сценария аутсорсинга рассмотрение безопасности и надзора являются обя
зательными для всех таких договорных отношений. Общее представление о соответствующих угро
зах и проблемах приведено в настоящем документе. Более подробные сведения об обеспечении
безопасности услуг аутсорсинга можно найти в ИСО/МЭК 27036.
В пунктах ниже описываются угрозы безопасности и даются рекомендации по методам проекти
рования безопасности, а также приводятся меры и средства контроля и управления для уменьшения
соответствующих рисков, как только для внутреннего, так и для внутреннего и внешнего использова
ния.
23