10.1.4 Потеря подотчетности

Организация должна рассмотреть возможный ущерб при потере подотчетности пользователей системы или субъектов (например, программного обеспечения), действующих от имени пользователя. В этом пункте должны быть рассмотрены автоматически генерируемые сообщения, которые могут стать причиной возникновения инцидента. Например, потеря подотчетности может привести к следующим последствиям:

- манипулированию системой со стороны пользователей;

- обману;

- промышленному шпионажу;

- неконтролируемым действиям;

- ложным обвинениям;

- ответственности перед законом, включая ответственность за нарушение национального законодательства РФ в области защиты данных.

Рассмотрев вышеперечисленные последствия потери подотчетности, организация должна принять решение о том, будет ли общий ущерб от потери подотчетности серьезным, незначительным или не будет никакого ущерба. Принятое решение должно быть задокументировано.

10.1.5 Потеря аутентичности

Организация должна рассмотреть возможный ущерб при потере аутентичности данных, сообщений, независимо от того, используют ли их люди или системы. Это особенно важно в распределенных системах, где принятые решения распространяются на широкие сообщества или где используются ссылки на информацию. Потеря аутентичности может привести к следующим последствиям:

- обману;

- использованию достоверных процессов с недостоверными данными (что может привести к результату, вводящему в заблуждение);

- манипулированию организацией извне;

- промышленному шпионажу;

- ложным обвинениям;

- ответственности перед законом, включая ответственность за нарушение национального законодательства РФ в области защиты данных.

Рассмотрев вышеперечисленные последствия потери аутентичности, организация должна принять решение о том, будет ли общий ущерб от потери аутентичности серьезным, незначительным или не будет никакого ущерба. Принятое решение должно быть задокументировано.

10.1.6 Потеря достоверности

Организация должна рассмотреть возможный ущерб при потере достоверности систем. Это также важно в отношении функциональности, которая является вторичной характеристикой достоверности (см. ИСО/МЭК 9126). Например, потеря достоверности может привести к следующим последствиям:

- обману;

- потере доли рынка;

- снижению мотивации в работе персонала организации;

- ненадежным поставщикам;

- снижению доверия покупателей;

- ответственности перед законом, включая ответственность за нарушение законодательства в области защиты данных.

Рассмотрев вышеперечисленные последствия потери достоверности, организация должна принять решение о том, будет ли общий ущерб от потери достоверности серьезным, незначительным или не будет никакого ущерба. Принятое решение должно быть задокументировано.

10.2 Защитные меры для обеспечения конфиденциальности

В данном разделе перечислены защитные меры от предполагаемых угроз, связанных с нарушением конфиденциальности. Кроме того, приведены соответствующие ссылки на защитные меры, в соответствии с разделом 8. Если эти защитные меры подходят при выборе защитных мер, то следует принять во внимание тип и характеристики системы ИТ.

Большинство защитных мер, перечисленных в 8.1, обеспечивают более общую защиту, т.е. направлены на ряд угроз, и предоставляют защиту путем поддержки общего эффективного менеджмента безопасности ИТ. Настоящий стандарт не содержит подробного перечисления защитных мер, но их действие не должно быть недооценено и они должны быть реализованы для общей эффективной безопасности.