ГОСТ Р ИСО/МЭК ТО 13335-4—2007
(см. базовый уровень 1а на рисунке 4) или всех (см. базовый уровень 1Ьна рисунке 4)систем ИТ. Целесо
образно стремиться к наивысшему уровню обеспечения безопасности систем ИТ с помощью базовых
защитных мер, так как они обеспечиваютдостаточный уровень безопасностидля всех рассматриваемых
систем ИТ при небольших затратах. Для принятия окончательного решения о том, какие системы ИТдолж ны
быть защищены на одном и том же базовом уровне, организация должна провести детальное рассмот
рение систем ИТ. Некоторые системы ИТ во многом схожи по характеристикам и^или требованиям обеспе
чения безопасности. В этом случае они должны быть защищены на одном и том же базовом уровне. Если,
сдругой стороны, несколько систем полностью отличаются посвоим требованиям к обеспечению безопас
ности, то часто самым легким способом удовлетворения требований безопасности является рассмотрение
каждой системы в отдельности.
Это справедливо и для случая, если принято решение о внедрении базового уровня обеспечения
безопасности для всей организации. Принятый базовый уровень безопасности может стремиться к реали
зации трех разных уровней обеспечения безопасности:
- низкого уровня с добавлением специальных защитных мер для защиты всей системы ИТ с более
высокими требованиями.
- среднего уровня с добавлением специальных защитных мер для защиты всей системы ИТ с более
высокими требованиями;
- высокого уровня, достаточногодля обеспечения безопасности всех систем ИТ. подлежащих защите
с помощью базовой безопасности.
Как было указано выше, средний или высокий уровень обеспечения базовой безопасности целесооб
разно использоватьдля многих организаций для обеспечениядостаточной защиты безопасности организа
ции и снижения накладных расходов. Окончательное решениедолжно быть принято в соответствии с поли
тикой безопасности организации и требований к обеспечению безопасности рассматриваемых систем ИТ.
13 Выводы
В настоящем стандарте рассмотрены различные пути выбора защитных мер. которые могут быть
использованы для достижения базового уровня обеспечения безопасности и в качостве дополнительной
информации к методам,описанным в ИСО/МЭКТ 0 13335-3. Настоящий стандарт содержитобзоробщепри
нятых защитных мер. которые могут быть выбраны, исходя из упомянутых выше подходов. Настоящий
стандарт содержит ссылки на разные руководства по базовой безопасности сболее подробным описанием
защитных мер. В нем также приведеноописание различных путей разработки базовой безопасности орга
низации, преимущества и недостатки различных подходов по обеспечению безопасности. Настоящий стан
дарт может применяться любыми организациями малого и крупногобизнеса, выбирающих защитные меры
для своих систем информационных технологий.
47