ГОСТ Р ИСО/МЭК ТО 13335-4—2007
безопасности с активами системы, так как это может повлиять на возможные угрозы и, как следствие, на
выбор защитных мер.
Проблемы обеспечения безопасности могутбыть оценены с позиции воздействия неисправностей или
нарушений безопасности, которое может стать причиной серьезного или незначительного сбоя в коммер
ческих операциях, или непричинить никакого вреда. Например, если конфиденциальная информация орга
низации обрабатывается в системе ИТ. то несанкционированное раскрытие этой информации конкуренту
дает ему возможность сделать предложения по более низкой цене, нанося тем самым ущерб бизнесу
организации. С другой стороны, если общедоступная информация обрабатывается в системе ИТ. то ее
раскрытие не принесет никакого вреда. Рассмотрение возможных угроз (см. 10.2,10.3) может помочь в
выявлении проблем безопасности. Приведенные ниже оценки, должны быть сделаны отдельнодля каждо го
актива системы, так как проблемы обеспечения безопасностидля каждого актива могут быть различны ми.
В случае, если проблемы безопасности достаточно изучены, то активы организации и соответствующие
проблемы обеспечения безопасности могутбыть сгруппированы.
Если система ИТ обрабатывает информациюболее одноготипа, тодля различных типов информации
может быть необходимо отдельное рассмотрение. Защита, которую в состоянии предоставить система ИТ.
должна быть достаточной для всех типов обрабатываемой информации. Таким образом, если отдельная
информация имеет высокий уровень проблем обеспечения безопасности, то вся системадолжна быть соот
ветствующим образом защищена. В случае, если объем информации с высоким уровнем проблем безо
пасности небольшой, тодолжна быть рассмотрена возможность перевода этой информации в другую сис
тему, если она совместима с бизнес-процессами организации.
В случае, если идентифицированы все возможные варианты потери конфиденциальности, целостнос
ти. доступности, подотчетности,аутентичности и достоверности, способные причинить незначительный ущерб,
то для рассматриваемой системы ИТ должен быть применен подход начиная от пункта 10.2 и далее по
тексту настоящегостандарта. В случае, если любая из идентифицированных выше потерь способна причи
нить серьезный ущерб организации, должна быть проведена оценка, необходимости выбора защитных
мерах, предложенныхдополнительно в 10.2—10.5. Предложения по более подробным оценкам и выбору
защитных мер на основе результатов этих оценок приведены в ИСО/МЭК ТО 13335-3 и разделе 11
настоящего стандарта. Тем не менее в качествебазовыхдля более точного выбора защитных мер.должны
рассматриваться защитные меры, предложенные в 10.2.
10.1.1 Потеря конфиденциальности
Организация должна рассмотреть возможный ущерб при потере конфиденциальности определенного
актива(ов) (преднамеренно или случайно). Например, потеря конфиденциальности может привести к:
- потере общественного доверия или снижению ее имиджа вобществе;
-ответственности перед законом, включая ответственность за нарушение законодательства вобласти
защиты данных;
- отрицательному влиянию на политикуорганизации;
- созданию угрозы безопасности персонала;
- финансовым потерям.
Рассмотрев вышеперечисленные возможные виды потери конфиденциальности, организация должна
принять решение о том. будет ли общий ущерб от потери конфиденциальности серьезным, незначитель
ным или не будет никакого ущерба. Принятое решениедолжно быть документировано.
10.1.2 Потеря целостности
Организациядолжна рассмотреть возможный ущерб при потере целостности определенного акти-
ва(ов) (преднамеренно или случайно). Например, потеря целостности может привести к следующим по
следствиям:
- принятию неправильных решений;
- обману;
- прерыванию коммерческих операций организации,
- потере общественногодоверия или снижению общественного имиджа организации;
- финансовым потерям;
- ответственности перед законом, включая ответственность за нарушение законодательства вобласти
защиты данных.
Рассмотрев вышеперечисленные последствия потери целостности, организация должна принять ре
шение о том. будет ли общий ущерб от потери целостности серьезным, незначительным или не будет
никакого ущерба. Принятое решениедолжно быть задокументировано.
28