ГОСТ Р 56850—2015
вать МЭК 80001-1:2010 (т. в. БЕЗОПАСНОСТИ. ЭФФЕКТИВНОСТИ и ЗАЩИЩЕННОСТИ ДАННЫХ И
СИСТЕМЫ). В МЭК/ТО 80001-2-1:2012 предоставлено подробное пошаговое руководство по выполне
нию МЕНЕДЖМЕНТА РИСКА.
МЭК 80001-1:2010 в определение ВРЕДА включает ОСНОВНЫЕ СВОЙСТВА: БЕЗОПАСНОСТЬ.
ЭФФЕКТИВНОСТЬ и нарушение ЗАЩИЩЕННОСТИ ДАННЫХ И СИСТЕМ. Предложение «..нарушение
ЗАЩИЩЕННОСТИ ДАННЫХ И СИСТЕМ», определяющее ВРЕД, равносильно выполнению действий в
области ИТ защиты (например, в системе защиты от кибератак). При рассмотрении ОПАСНОСТЕЙ в
защите ИТ. уязвимость системы может привести к нарушению (посредством вторжения). Похожим об
разом, угрозой может быть что-либо, что представляет опасность для ЗАЩИЩЕННОСТИ ДАННЫХ И
СИСТЕМЫ. Здесь проходит параллель между ОПАСНОСТЬЮ и возможным источником ВРЕДА. Проще
говоря, угрозы используют уязвимости, что может привести к вторжению (известному источнику воз
можного ВРЕДА) или. как отмечено в ИСО/МЭК 27005:2011, «РИСК для защиты информации связан с
возможностью того, что угрозы будут реализовываться, используя уязвимости информационного сред
ства или группы информационных средств, и таким образом причинять ВРЕД организации».
Настоящий стандарт использует термины, связанные с защитой и РИСКОМ, как из области ИТ.так
и из области МЕНЕДЖЕМНТА РИСКА МЕДИЦИНСКИХ ПРИБОРОВ (на основе ИСО 14971). Таблица 1
может быть использована для установления связи между терминологией, связанной с защитой ИТ. и
терминологией, основанной на ИСО 14971. Данная связь не является точной, но позволяет
сопоставить концепции.
Т а б л и ц а 1 — Связь между терминологией, связанной с защитой ИТ. и терминологией, основанной на ИСО 14971
М Е Н Е Д Ж М Е Н Т Р И С К А д л я И Т защ и ты
М Е Н Е Д Ж М Е Н Т Р И С К А , о с н о в а н н ы й н а И С О 14971
Уязвимость — признанная незащищенность в
защите, которая, в случае присутствия угрозы,
может привести к ухудшению обеспечения ин
формации данных и систем
Атрибут системы, который ведет к возможности причинения
ВРЕДА (в особенности данным и системам), т.е. является
ОПАСНОСТЬЮ, возникающей из атрибута, явно подвержен
ного использованию во вредоносных целях (в терминах ИТ)
Угроза — нечто (преднамеренное или случай
ное), что способно причинить ВРЕД системам и
организациям
Обстоятельство или событие, которое может повлечь за собой
ВРЕД. г. е. ОПАСНОСТЬ, возникающая из уязвимости, плюс
обстоятельство или событие, которое является ее инициато
ром (в ИТ она часто предполагает участив фактора угрозы)
Незащищенность — ситуация, которая может
повлечь за собой причинение ВРЕДА
ОПАСНАЯ СИТУАЦИЯ
Вторжение — программное обеспечение или
набор команд, создающий брешь в защите
Экземпляр ВРЕДА
Угроза + уязвимость + «активация» — ВРЕД ОПАСНОСТЬ+ОПАСНАЯ СИТУАЦИЯ+«последовательность
событий» — ВРЕД
РИСК — влияние неопределенности на дости
жение целей. (ИСО/МЭК 27005:2011]
РИСК — комбинация вероятности причинения вреда и его тя
жести. [ИСО 14971:2007]
Контрмеры, гарантии безопасности, средства
управления безопасностью
Возможности УПРАВЛЕНИЯ РИСКОМ (в ИТ они иногда име
нуются ослаблением РИСКОВ, осуществляемой при логиче
ском обосновании АНАЛИЗОМ РИСКА)
Нарушение конфиденциальности, целостности
или доступности систем и данных (включает
брешь в защите личных данных)
ВРЕД
5 ВОЗМОЖНОСТИ ЗАЩИТЫ
6
5.1 Автоматический выход из системы — ALOF
Применение:Стандарт. Нет.
Политика. Местная ИТ политика МО.