9.1 Обычно применяемые защитные меры

Обычно применяются следующие категории защитных мер:

- политика и управление безопасностью ИТ (см. 8.1.1);

- проверка соответствия безопасности установленным требованиям (см. 8.1.2);

- обработка инцидента (см. 8.1.3);

- персонал (см. 8.1.4);

- эксплуатационные вопросы (см. 8.1.5);

- планирование непрерывности бизнеса (см. 8.1.6);

- физическая безопасность (см. 8.1.7).

Защитные меры этих категорий формируют основу для успешного управления безопасностью ИТ. В этом смысле их не следует недооценивать. Важно также обеспечить рабочее взаимодействие этих защитных мер с технической защитой, рассмотренной ниже. Деятельность организации в этой области зависит от ее потребностей обеспечения безопасности (см. раздел 10) и выделенных ресурсов.

Организация может применять и другие категории защитных мер, но способ их реализации зависит от конкретных условий (например защитные меры, обеспечивающие управление доступом к сети, отличаются от управления доступом к автономной рабочей станции).

При выборе защитных мер должны учитываться размер организации и потребности в обеспечении ее безопасности, так как они могут повлиять на степень реализации защитных мер. Например, у небольшой организации не существует ни потребности, ни необходимого персонала для создания группы по обеспечению безопасности ИТ. Тем не менее, в организации должен быть назначен ответственный за выполнение этих функций. Защитные меры, перечисленные в 8.1, должны систематизироваться всякий раз, когда это необходимо.

9.2 Специальные защитные меры систем ит

В дополнение к обычно применяемым защитным мерам, должны быть выбраны специальные защитные меры для каждого типа компонента системы. Алгоритм выбора специальных защитных мер системы ИТ приведен в качестве примера в таблице 9.2. В этом примере знак "" обозначает защитные меры, которые должны быть применены в нормальных условиях, а "()" - защитные меры, которые могут потребоваться в особых случаях. Процесс выбора защитных мер должен быть продолжен путем рассмотрения их характеристик, представленных в 8.2. Дополнительная информация может быть получена из документов по базовой защите, перечисленных в приложениях А-Н.

10 Выбор защитных мер в соответствии с проблемами безопасности и угрозами

Выбор защитных мер в соответствии с проблемами и угрозами безопасности, изложенными в настоящем разделе, может быть использован следующим образом:

- на первом этапе должна быть проведена идентификация и оценка проблем безопасности. Организация должна рассмотреть требования по обеспечению конфиденциальности, целостности, доступности, подотчетности, аутентичности и достоверности. Прочность защиты и число выбранных защитных мер должны соответствовать оценкам проблем обеспечения безопасности;

- на втором этапе для каждой из выявленных проблем безопасности должны быть перечислены типичные угрозы и для каждой угрозы в зависимости от рассматриваемой системы ИТ должны быть предложены соответствующие защитные меры. Различные типы систем ИТ приведены в 7.1, краткий перечень защитных мер приведен в подпунктах раздела 8. В некоторых случаях у организации могут возникнуть дополнительные потребности и цели при обеспечении безопасности.