ГОСТ Р ИСО/МЭК ТО 13335-4—2007
Приложение F
(справочное)
ТК 68 Банковские и другие финансовые услуги.
Руководящие указания по информационной безопасности
В настоящем приложении приведено краткое описание документа [7J.
О б л а с т ь п р и м е н е н и я
Финансовые учреждения все чаще используют информационные технологии для успешного ведения бизне
са. Менеджмент риска является основным компонентом обеспечения качественных финансовых услуг. Финансо
вые учреждения управляют риском через эффективную практику бизнеса, внимательное заключение договоров,
страхование и использование механизмов безопасности.
Финансовые учреждения испытывают потребность управления безопасностью информации в любых ситу
ациях. Настоящий документ не предлагает решений для всех ситуаций. Каждая ситуация должна быть исследова на
индивидуально. Настоящий документ содержит общие рекомендации.
Основными задачами настоящего документа являются:
- представление структуры программы информационной безопасности;
- представление руководства по выбору средств управления безопасностью, устанавливающего приемле
мую практику ведения бизнеса.
- соответствие существующим стандартам, а также новым разработкам объективных и общепринятых крите
риев безопасности.
Настоящий документ предназначается для использования финансовыми учреждениями всех типов, кото
рые желают применить экономную и коммерчески целесообразную программу обеспечения информационной
безопасности. Он также полезен для тех, кто предоставляет услуги финансовым учреждениям. Настоящий доку
мент может также служить в качестве первоисточника для преподавателей и издателей, обслуживающих финан
совую деятельность.
С о д е р ж а н и е
1 Введение
2 Управление безопасностью ИТ
3 Политика безопасности ИТ организации
4 Организация безопасности ИТ
4.1 Обязательства
4.2 Ответственность и полномочия
5 Анализ риска
5.1 Введение
5.2 Иллюстрированный процесс оценки риска
5.3 Угрозы
5.4 Уязвимости
5.5 Категории рисков
5.6 Идентификация и анализ функций организации
5.7 Процесс оценки риска
6 Рекомендации по обеспечению безопасности ИТ
6.1 Принятие риска
7 Выбор защитных мер по обеспечению безопасности
7.1 Классификация информации
7.2 Логическое управление доступом
7.3 След ревизии
7.4 Управление изменениями
8 Внедрение защитных мер
8.1 Компьютеры
8.2 Сети
8.3 Программное обеспечение
8.4 Голосовая, телефонная и другая взаимосвязанная аппаратура
8.5 Факсы и изображения
8.6 Электронная почта
8.7 Документы на бумажном носителе
8.8 Микроформы и другие способы хранение носителей информации
8.9 Карты финансовой транзакции
8.10 Автоматические ответчики
5 5