ГОСТ Р ИСО/МЭК ТО 13335-4—2007
10.1.6 Потеря достоверности
Организация должна рассмотреть возможный ущерб при потере достоверности систем. Это также
важно в отношении функциональности, которая является вторичной характеристикойдостоверности (см.
ИСО/МЭК 9126). Например, потеря достоверности может привести к следующим последствиям:
- обману,
- потередоли рынка;
- снижению мотивации в работе персонала организации;
- ненадежным поставщикам;
- снижению доверия покупателей;
- ответственности перед законом, включая ответственность за нарушение законодательства вобласти
защиты данных.
Рассмотрев вышеперечисленные последствия потери достоверности, организация должна принять
решение о том. будет ли общий ущерб от потеридостоверности серьезным, незначительным или не будет
никакого ущерба. Принятое решениедолжно быть задокументировано.
10.2 Защитные моры для обеспечения конфиденциальности
Вданном разделе перечислены защитные меры от предполагаемыхугроз, связанных с нарушением
конфиденциальности. Кроме того, приведены соответствующие ссылки на защитные меры, в соответствии с
разделом 8. Если эти защитные меры подходят при выборе защитных мер, тоследует принять во внима ние
тип и характеристики системы ИТ.
Большинство защитных мер. перечисленных в8.1. обеспечивают более общую защиту, т. е. направ
лены на ряд угроз, и предоставляют защиту путем поддержки общего эффективного менеджмента безо
пасности ИТ. Настоящийстандарт не содержит подробного перечисления защитных мер. но ихдействие не
должно быть недооценено и они должны быть реализованыдля общей эффективной безопасности.
10.2.1 Подслушивание
Одним из способов получения доступа к конфиденциальной информации является подслушивание,
например путем подключения клинии и прослушивания телефонного разговора. Защитные меры от этой
угрозы включают всебя:
- физическую защиту.
Защита может включать в себя помещения, стены, здания и т. д., которые делают подслушивание
невозможным или маловероятным. Другой способ защиты заключается вдобавлении шумов. Этот способ
защиты подробно не рассматривается в разделе 8. Для обеспечения безопасности телефонов от подслу
шивания в качестве защитной моры может использоваться надлежащая прокладка кабелей. Этот вопрос
подробно изложен в ИСО/МЭК Т 0 13335-5:
- политику обеспечения безопасности.
Другой способ избежать подслушивания заключается в установлении строгих правил, определяю
щих когда, где и каким образом следует обмениваться конфиденциальной информацией;
- сохранение конфиденциальности данных.
Еще одним способом защиты от подслушивания является шифрование сообщений перед сеансом
обмена данными. Более подробно этот способ изложен в 8.2.5.
10.2.2 Электромагнитное излучение
Электромагнитное излучение может использовать взломщикдля получения сведений об информа
ции. обрабатываемой в системе ИТ. Защитные меры отэлектромагнитного излучения включают в себя:
- физическую защиту.
Физическая защита может включать в себя наружную обшивку помещений, стен и т. д„ не позволя
ющую электромагнитному излучению выходить за ее пределы. Этот способ защиты подробно но рассмат
ривается в 8.1.7, так как это не самый дешевый способ защиты от электромагнитного излучения;
- сохранение конфиденциальности данных.
Более подробную информацию см. в 8.2.5. Следует отметить, что сохранение конфиденциальности
данных применимо к шифрованной информации, но не к информации на этапе обработки, отображения или
распечатки;
- использование оборудования ИТ с малым уровнем излучения.
Использование оборудования ИТ с малым уровнем излучения не рассматривается подробно в разде
ле 8. однакодля защиты организация может приобрести оборудование, имеющее встроенные средства
защиты от электромагнитного излучения.
30