ГОСТ Р 56205—2014
блюдения и однозначны, они допускают их использование для аудитов. Политики безопасности орга
низации учитывают также нормативно-правовые и контрактные обязательства, относительно которых
осуществляется проверка фактической деятельности организации в рамках аудитов.
Дополняют
п о л и т и к и
безопасности регламенты. Регламенты безопасности определяют деталь
ную последовательность действий, необходимых для осуществления той или иной меры безопасно
сти. По уровню применения регламенты используют для решения конкретной проблемы. Регламенты
могут относиться к конкретной технологии. Политики безопасности ссылаются на регламенты и упол
номочивает их применение.
Противоположностью политикам безопасности и регламентам являются директивы. Директивы
не обязательны для выполнения. Они предназначены для описания способа выполнения чего-либо,
что желательно, но не обязательно. Поскольку директивы не обязательны для выполнения и могут
быть неоднозначны, практические действия не могут подвергаться аудитам с опорой на директивы.
Директивы иногда разрабатывает группа специалистов, которая неправомочна требовать их
выпол нения. Директивы не содержат описания практических действий, которые подлежат
обязательному выполнению.
Политики и регламенты безопасности в основном различны для разных частей организации, по
этому важно их правильное координирование. В частности, политику безопасности систем промыш
ленной автоматики и контроля следует координировать с аналогичной политикой безопасности ин
формационной техники общего назначения. Программа безопасности будет реализована успешнее,
если в команде установлены хорошие деловые взаимоотношения, и правильно скоординированные
методики действий могут им поспособствовать.
Некоторое единообразие структуры для разных политик безопасности и регламентов повышает
согласованность между универсальными наборами политик безопасности и регламентов. Каждый до
кумент, описывающий политику или регламент, содержит краткую, но точную формулировку своего
назначения. Документ содержит также формулировку границ применимости документа. Кроме того, он
содержит описание рисков, которые предполагается снизить, и ключевых принципов, на которых
строится документ.
Разным этапам жизненного цикла системы соответствуют разные профили проблем безопасно
сти. Политики и регламенты безопасности могут затрагивать лишь конкретные этапы жизненного цик
ла. В некоторых политике и регламенте может быть указано, что они относятся только к определен
ным этапам жизненного цикла. В наборе политик и регламентов безопасности все вопросы безопас
ности. относящиеся к разным этапам жизненного цикла, рассматриваются в соответствующих пунк
тах.
Политики и регламенты безопасности содержат инструкции относительно того, каким образом
организация должна определять степень соответствия политики нормативам и как обновлять их. При
проведении или оценке аудитов организации часто обнаруживают, что политика требует пересмотра.
Аудиты могут выявить неясности в политике и регламенте в целом или в их частях, ведущие к неод
нозначной трактовке требуемой операции или результата. Аудиты могут выявить проблемы, которые
следует учесть при разработке политики и регламента. Аудиты могут выявить и требования, которые
следует пересмотреть и скорректировать или даже исключить в случае необходимости.
Политики и регламенты безопасности должны по возможности учитывать непредвиденные об
стоятельства. которые делают невозможным их применение. Политика должна по возможности уста
навливать порядок документирования и утверждения исключений к политике и регламентам. Если
утвержденные исключения документировать, это обеспечит более совершенную безопасность, чем
если оставлять в политике и регламентах неточности и неясности.
Кроме того, организации должны обеспечивать четкость понимания того, что в политике являет
ся требованием, а что — пожеланием. Такая четкость обеспечивается использованием глаголов вро
де «должен», «следует», «может» и «является». Эти слова могут быть уточнены во
вступительных разделах текста политики. «Должен» используется в контексте требований; «следует»
используется в контексте рекомендаций. «Может» используется в контексте пожелания, которое
является необяза тельным. Может быть целесообразно предусмотреть варианты изложения
требования. Фразы типа «там. где возможно» или «при необходимости» вносят неясность, если
только при этом не описано, как отличить контекст возможности от контекста необходимости.
Политики и регламенты безопасности устанавливают, кто и за что отвечает: отвечает ли техно
логический персонал за управляющую сеть, отвечает ли он за DMZ. расположенную между управ
ляющей сетью и корпоративной сетью. В случае, если отдел корпоративных информационных систем
35