Предисловие

Предлагаемый британский стандарт подготовлен BSFD/12 (Управление Информационной безопасностью). Он предназначен для использования в качестве справочного документа руководителями и рядовыми сотрудниками, отвечающими за планирование, реализацию и поддержание системы информационной безопасности внутри своих организаций. Поэтому его можно рассматривать в качестве основы для определения стандартов информационной безопасности организаций.

Предлагаемый британский стандарт основан на документе PD 0003 (Практические правила управления информационной безопасностью), разработанном Министерством торговли и промышленности при участии специалистов из ведущих компаний и организаций Великобритании. В стандарте содержится исчерпывающий набор средств управления безопасностью, которые включают в себя самые совершенные процедуры обеспечения информационной безопасности, используемые в настоящее время как в Великобритании, так и в других странах.

В настоящих практических правилах даются по возможности исчерпывающие рекомендации. Их цель — служить в качестве справочника для определения средств контроля, требуемых для большиства ситуаций, встречаемых в промышленности и торговле, а следовательно они могут применяться целым рядом организаций — крупных, средних и мелких. Учитывая возрастающую роль электронной передачи данных по сети между организациями, становится очевидной польза от разработки единого справочного документа по управлению информационной безопасностью. Он позволяет установить взаимное доверие между организациями, объединенными в сеть, и торговыми партнерами, а также составляет основу для управления информационными ресурсами.

Не все вышеописанные средства контроля подходят для любой ситуации. Кроме того, они не в состоянии учесть все ограничения локального характера, накладываемые окружающими условиями и технологией; не могут они и удовлетворить по форме всех пользователей организации. Следовательно, предлагаемые практические правила могут потребовать дальнейшей доработки, прежде чем их можно будет использовать в качестве основы (например) для политики организации или торгового соглашения между компаниями.

Как набор практических правил, данный британский стандарт написан в форме руководства и рекомендаций. На него не следует ссылаться как на спецификацию. Необходимо особенно позаботиться о том, чтобы требования к соблюдению правил не вводили в заблуждение.

При составлении настоящего стандарта предполагалось, что реализация его положений будет поручена лицам, имеющим надлежащую квалификацию и опыт работы.

Само по себе соответствие британскому стандарту не освобождает от правовых обязательств

Введение Что такое информационная безопасность?

Цель информационной безопасности — обеспечить бесперебойную работу организации и свести к минимуму ущерб от событий, таящих угрозу безопасности, посредством их предотвращения и сведения последствий к минимуму.

Управление информационной безопасностью (см. Управление информационной безопасностью) позволяет коллективно использовать информацию, обеспечивая при этом ее защиту и защиту вычислительных ресурсов.

Информационная безопасность состоит из трех основных компонентов:

а) конфиденциальность (см. Конфиденциальность): защита конфиденциальной информации от несанкционированного раскрытия или перехвата;

б) целостность (см. Целостность): обеспечение точности и полноты информации и компьютерных программ;

в) доступность (см. Доступность): обеспечение доступности информации и жизненно важных сервисов для пользователей (см. Специальная привилегия), когда это требуется.

Информация (см. Информация) существует в различных формах. Ее можно хранить на компьютерах, передавать по вычислительным сетям, распечатывать или записывать на бумаге, а также озвучивать в разговорах. С точки зрения безопасности все виды информации, включая бумажную документацию, базы данных, пленки, микрофильмы, модели, магнитные ленты, дискеты, разговоры и другие способы, используемые для передачи знаний и идей, требуют надлежащей защиты.