ГОСТ Р МЭК 62443-2-1—2015
А.3.2.6.5 Применение политик кибербезопасности
При создании политики кибербеэопасности необходимо определить метод их применения. Например, по
литики безопасности могут быть выложены в корпоративный Интернет, и пользователи могут пройти обучение и
узнать, каким образом политика скажется на них. Политики являются основой CSMS. поэтомуметодих применения
должен соответствовать применению системы управления.
А.3.2.6.6 Вспомогательные методы
А.3.2.6.6.1 Основные методы
Косновным методам относятся следующие действия:
a) определение обязательств, участия и поддержки руководства при создании и реализации политик
кибербезопасности.
b
)анализ иутверждение всеми подразделениямии отделами, ккоторым относится политика, включая управ
ление деятельностью;
c) опубликование письменных документов, описывающих политики безопасности;
d) регулярный анализ, подтверждение и пересмотр политик для подтверждения их актуальности и
выполнения;
e) донесение и распространение политик кибербезопасности среди персонала.
А.3.2.6.6.2 Дополнительные методы
Кдополнительным методам относятся следующие действия;
a) создание политик, соответствующих определенному жизненному циклу организации. Политики не подле
жат постоянным изменениям или изменениям в связи с актуальными вопросами;
b
) создание вспомогательных политик, которые определяют, каким образом политика более высокого уровня
выполняется для этих трупп. Например, ограничения по защите паролем и контроль физического доступа могут
быть неуместными в некоторых ситуациях, связанных с производственным управлением. На этот случай должны
быть предусмотрены процедурные гарантии с исключениями;
c) создание политик безопасности для разрешения ряда проблем с безопасностью, включая снижение ри
сков и изменение отношения персонала к кибербезопасности;
d) приведение политик безопасности в соответствие с общими политиками и стратегиями организации;
e) интеграция политик кибербеэопасности в общую политику безопасности, которая также рассматривает
физические элементы;
f) определение лиц и способа выполнения политики;
д>определение того, каким образом пользователи должны выполнять положения политик:
h) обеспечение среды последовательного управления политикой;
i) определение того, какие политики применяются к конкретным пользователям и группам пользователей;
j) определение системы измерения степени соответствия политикам.
А.3.2.6.7 Использованные ресурсы
Этот элемент был частично основан на материалах [23]. [26]. [30]. [43].
А.3.3 Группа элементов «Избранные контрмеры по безопасности»
А.3.3.1 Описание группы элементов
Второй группой элементов вданной категории являются «Избранные контрмеры по безопасности». Элемен
ты в этой группе описывают основные типы средств управления безопасностью, которые являются частью хоро
шо спроектированной CSMS. В настоящем стандарте не предпринимается попытка описать полную реализацию
любой из избранных контрмер по безопасности. В нем рассматриваются аспекты политики, процедур и
практиче ских методов, относящихся кэтим конкретным контрмерам по безопасности. На рисунке А.7 графически
показаны шесть элементов группы:
- безопасность персонала;
- физическая безопасность и безопасность среды;
- сегментация сети;
- контроль доступа — администрирование учетных записей;
- контроль доступа — аутентификация;
- контроль доступа — авторизация.
65