ГОСТ Р ИСО/МЭК ТО 13335-4—2007
ИСО/МЭКТ 0 13335-3. Целью этих защитных мер являетсядостижение необходимого уровня безопасности
организации. Ниже перечислены защитные меры вэтой области:
1 Политика обеспечения безопасности ИТорганизации
Организациядолжна разработатьдокументированную процедуру, содержащую правила, директивы
и установленный порядокдействий управления, защиты и распределения активов организации. Вдокумен
тированной процедуредолжны быть установлены потребности организации вдокументах пополитике обес
печения безопасности систем ИТ и ихсодержание и управление.
2 Политика обеспечения безопасности системы ИТ
Для каждой системы ИТ следует разработать политикубезопасностисистемы ИТ. содержащей описа
ние защитных мер. подлежащих реализации на месте.
3 Управление безопасностью ИТ
Управление безопасностью ИТ следует сформулировать и скоординировать внутри организации в
зависимости от ее размера, например путем учреждения комитета по безопасности ИТ и назначения лица
(уполномоченного по безопасности ИТ), ответственного за безопасность каждой системы ИТ.
4 Распределение ответственности и полномочий
Распределение ответственности и полномочий пообеспечению безопасности ИТорганизациидолжно
проводиться и быть задокументировано всоответствии с политикой обеспечения безопасности ИТи полити
кой обеспечения безопасности систем ИТ.
5 Организация безопасности ИТ
Для оказания поддержки вобласти обеспечения безопасности организация должна обеспечить безо
пасность ИТ всех своих бизнес-процессов (например закупки, взаимодействия сдругими организациями).
6 Идентификация и определение стоимости активов
Все активы организации по каждой системе ИТ должны быть идентифицированы, стоимость активов
должна быть оценена.
7 Одобрение систем ИТ
Системы ИТ следует одобрять всоответствии с политикой обеспечения безопасности ИТ. Целью про
цесса одобрения должно быть обеспечение внедрения защитных мер. гарантирующих необходимый уро
вень безопасности. Следует учитывать то. что система ИТ может включать всебя сети и основные линии
связи.
8.1.2 Проверка соответствия безопасности установленным требованиям
Для организации важно обеспечивать соответствие необходимых защитных мер соответствующим
законодательным и обязательным требованиям и политике организации вданной области. Это связано с
тем. что любая защита, правило и политика работают только в случае, если их соблюдают пользователи и
им соответствуют сами системы. К этой категории относятся следующие защитные меры:
1Соответствие политики обеспечения безопасности ИТ защитным мерам
Организация должна проводить через запланированные интервалы времени проверки всех установ
ленных защитных мер. перечисленных вполитике обеспечения безопасности ИТ организации и систем ИТ. а
также вдругой взаимосвязанной документации организации, например впроцедурах обеспечения безо
пасности работы и планахдействий в непредвиденных ситуациях на соответствие корректности и эффек
тивности их использования (включая конечного пользователя). В случае необходимости защитные меры
должны проходить испытания.
2 Соответствие законодательным иобязательным требованиям
Организация должна проводить проверкусоответствия системы ИТустановленным законодательным
и обязательным требованиям стран(ы). в которых (ой) расположена система ИТ. В случае, если такие требо
вания существуют, то они должны включать в себя обязательные требования по охране авторских прав и
конфиденциальности информации, защите от копирования программного обеспечения, защите записей
организации и защите от неправильного использования систем ИТ и другие (например по применению
криптографии).
8.1.3 Обработка инцидента
Персонал организациидолжен понимать необходимостьотчетов об инцидентах безопасности, вклю
чая нарушения правильногофункционирования программного обеспечения ислучаи неустойчивой работы
системы. Для этого в организации должна быть разработана соответствующая схема передачи сообще
ний. Обработка инцидента включает в себя:
1 Отчетоб инциденте безопасности
Отчет об инциденте является обязанностью каждого сотрудника. Инциденты и сбои могут бытьтакже
идентифицированы и зарегистрированы с помощью инструментальных средств.Для повышения эффектив-
3"9