ГОСТ Р 56205—2014
ватывает специфические подробности, в то время как более общая политика не охватывает аспекты
систем управления. Например, политика безопасности систем управления согласует роли доступа к
системам управления с методиками отбора и контроля местонахождения персонала.
5.8.4.11 Политика субподряда
Вопросы безопасности затрагивают деятельность, которая может требовать привлечения суб
подрядчиков в лице поставщика, сборщика, поставщика услуг технического обслуживания, консуль
танта и др. Политика безопасности, предусматривающая субподряд, рассматривает взаимодействия
с субподрядчиком, который может открывать уязвимости. Политика определяет обязанности различ
ных сторон. Политика учитывает изменение обязанностей по мере перехода проектов из этапа в этап и
по мере поставки материалов и систем. Политика может требовать прописания в контрактах с суб
подрядчиками определенных сроков.
Без надлежащей организации работ контрактных (сторонних) программистов целостность при
кладных программ и процессов может быть поставлена под угрозу, а программный код потерять под
держку. Важно найти квалифицированных контрактных программистов, которые будут придерживать
ся организационных стандартов программирования и документирования и выполнять надлежащие
тестирования, а также будут надежными и соблюдать сроки разработки.
5.8.4.12 Аудит
Безопасность системы регулярно подвергают аудиту для определения степени соответствия
безопасности политике и нормам безопасности. Политика безопасности учитывает необходимость
аудитов и устанавливает ответственность, периодичность и требования к корректирующим воздейст
виям. Всесторонняя процедура аудита может затрагивать аспекты, отличные от безопасности, на
пример. эффективность и результативность процессов, а также их нормативно-правовое соответст вие.
5.8.4.13 Обновление политики безопасности
Политику безопасности подвергают мониторингу для определения изменений, необходимых в
политике как таковой. Мониторинг политики безопасности — это обязательный раздел каждого доку
мента. содержащего политику и регламент. Политика безопасности предприятия устанавливает об
щий подход. В каждом документе, содержащем операционную политику и регламент, приведены ин
струкции на предмет того, когда и кем должна быть пересмотрена и обновлена политика или регла
мент как таковые.
Должны по возможности действовать программы инструктажа ввиду найма новых работников,
новых операций эксплуатации и технического обслуживания, модернизаций и планирования преемст
венности. Программы инструктажа следует надлежащим образом документировать, структурировать и
дорабатывать с регулярной периодичностью для учета изменений в операционной среде.
5.9 Зоны безопасности
5.9.1 Общие положения
Каждой ситуации соответствует свой допустимый уровень безопасности. В случае крупных или
сложных систем может быть нецелесообразно или не следует применять один и тот же уровень безо
пасности для всех компонентов. Различия можно учитывать, используя понятие зоны безопасности или
защищаемого участка. Зона безопасности представляет собой логическое объединение физиче ских.
информационных и прикладных объектов имущества, к которым предъявляются общие требо вания
безопасности. Это понятие применимо к электронной среде, в которой некоторые системы вхо дят в
состав зоны безопасности, а все остальные находятся за ее пределами. Могут существовать также
зоны внутри зон или подзоны, которые обеспечивают многоуровневую (эшелонированную) за щиту.
соответствуя серии уровней требований безопасности. Эшелонированная защита может быть
обеспечена за счет присвоения различных свойств ее зонам безопасности.
Зона безопасности имеет границу, которая представляет собой рубеж между элементами, при
надлежащими ей и элементами ей не принадлежащими. Концепция зоны предполагает также обяза
тельную возможность доступа к объектам, находящимся как внутри зоны, так и вне ее. Это определя ет
коммуникацию и доступ, необходимые для перемещения информации и людей внутри зон безо
пасности и между ними. Зоны можно рассматривать как надежные и ненадежные.
Зоны безопасности могут быть определены в физическом смысле (физическая зона) или логи
ческом смысле (виртуальная зона). Физические зоны определены посредством группировки объектов по
их физическому местоположению. В случае зон такого типа легко установить, какие объекты нахо дятся
внутри каждой зоны. Виртуальные зоны определены посредством группировки физических
39