ГОСТ Р ИСО/МЭК ТО 13335-4—2007
Приложение D
(справочное)
Справочник NIST1* по компьютерной безопасности
В настоящем приложении приведено краткое описание справочника NIST [5].
О б л а с т ь п р и м е н е н и я
Справочник NIST обеспечивает защиту компьютеризованных ресурсов, включая аппаратуру, программное
обеспечение и информацию. В нем разъясняются важные концепции, вопросы стоимости и взаимоотношения
средств управления безопасностью. В нем приведены преимущества внедрения средств управления безопасно
стью. основные технологии или подходы для каждого вида контроля.
Справочник NIST дает широкий обзор компьютерной безопасности с тем. чтобы пользователь мог понять
свои нужды в этой области и разработать правильный подход к выбору подходящих средств управления безопас
ностью. Справочник NIST не содержит описания этапов, необходимых для реализации программы обеспечения
компьютерной безопасности. Справочник NIST предоставляет подробные методики внедрения средств управле
ния безопасностью или предлагает руководящие указания по аудиту безопасности специальных систем. В конце
каждой главы справочника NIST приведены ссылочные данные.
Целью справочника NIST не является описание требований. В нем рассматриваются преимущества ис
пользования различных средств управления компьютерной безопасностью и ситуации, в которых их применение
может быть необходимым. Особые требования для национальных систем выделены в тексте. Справочник NIST
содержит рекомендации и руководящие указания, в нем не предусмотрены какие-либо меры наказания.
С о д е р ж а н и е
I Введение и общий обзор
1 Введение
2 Элементы компьютерной безопасности
3 Распределение ответственности и полномочий
4 Общие угрозы: краткий обзор
II Средства менеджмента
5 Политика обеспечения компьютерной безопасности
6 Менеджмент программы компьютерной безопасности
7 Менеджмент риска компьютерной безопасности
8 Безопасность и планирование в жизненном цикле компьютерной системы
9 Гарантии
III Средства операционного управления
10 Управление персоналом/пользователями
11 Подготовка к внештатным ситуациям и стихийным бедствиям
12 Обработка инцидента в компьютерной безопасности
13 Осведомленность, обучение и образование
14 Вопросы безопасности при эксплуатации и технической поддержки компьютера
15 Безопасность физической и окружающей среды
IV Технические средства управления
16 Идентификация и аутентификация
17 Логическое управление доступом
18 Следы аудита
19 Криптография
V Пример
20 Оценка и снижение риска для гипотетической компьютерной системы
Л Н а ц и о н а л ь н ы й и н с т и т у т с т а н д а р т о в и т е х н о л о г и й С Ш А .
5 3