12 Разработка базовой безопасности организации

В случае, если организация принимает решение о применении базовой безопасности ко всей организации или к ее части, то должны быть рассмотрены следующие вопросы:

- какие части организации или систем могут быть защищены на одном и том же базовом уровне, а какие требуют разного уровня безопасности, или должен ли применяться один и тот же базовый уровень для всей организации;

- на какой уровень обеспечения безопасности должна быть нацелена базовая безопасность (или ее варианты);

- как могут быть определены защитные меры, образующие различную (при необходимости) базовую безопасность.

Схема различных базовых уровней обеспечения безопасности представлена на рисунке 4.

Рисунок 4 - Различные базовые уровни

Преимущество применения различных уровней базовой безопасности в организации заключается в том, что большинство систем будут соответствующим образом защищены, т.е. им будет обеспечен не слишком низкий и не слишком высокий уровень безопасности (например для систем ИТ 1, 2, 6 и 8 с уровнем базовой безопасности 1 и для систем ИТ 3, 4 и 5 с уровнем базовой безопасности 2 на рисунке 4). Если системы ИТ с различными требованиями безопасности действительно отличаются (большинство требуемых защитных мер различны для каждой системы ИТ), тогда для данной организации рекомендуется применять различные базовые уровни безопасности. Если имеются принципиально разные требования обеспечения безопасности, то решение о применении базового уровня безопасности должно быть пересмотрено.

Если, с другой стороны, единственным различием между различными базовыми уровнями безопасности является потребность в некоторых дополнительных защитных мерах для повышения базового уровня безопасности, то возможно отсутствует необходимость во внедрении нескольких различных базовых уровней. Если реализуется только один базовый уровень безопасности, то непроизводительные издержки организации могут быть значительно снижены, и персонал организации может ориентироваться на один и тот же существующий уровень обеспечения безопасности.

Использование базового уровня обеспечения безопасности должно соотноситься с возможностью логически реализовать один или более уровней базовой безопасности. Если выбраны различные базовые уровни обеспечения безопасности, то они должны быть точно установлены в соответствии с требованиями обеспечения безопасности защищаемой системы ИТ. Обычно базовый уровень обеспечения безопасности не должен быть нацелен на удовлетворение требований систем ИТ к безопасности самого низкого уровня (см. требования системы ИТ 2 на рисунке 4). Следует стремиться к уровню, достаточному для большинства (см. базовый уровень 1а на рисунке 4) или всех (см. базовый уровень 1b на рисунке 4) систем ИТ. Целесообразно стремиться к наивысшему уровню обеспечения безопасности систем ИТ с помощью базовых защитных мер, так как они обеспечивают достаточный уровень безопасности для всех рассматриваемых систем ИТ при небольших затратах. Для принятия окончательного решения о том, какие системы ИТ должны быть защищены на одном и том же базовом уровне, организация должна провести детальное рассмотрение систем ИТ. Некоторые системы ИТ во многом схожи по характеристикам и/или требованиям обеспечения безопасности. В этом случае они должны быть защищены на одном и том же базовом уровне. Если, с другой стороны, несколько систем полностью отличаются по своим требованиям к обеспечению безопасности, то часто самым легким способом удовлетворения требований безопасности является рассмотрение каждой системы в отдельности.

Это справедливо и для случая, если принято решение о внедрении базового уровня обеспечения безопасности для всей организации. Принятый базовый уровень безопасности может стремиться к реализации трех разных уровней обеспечения безопасности:

- низкого уровня с добавлением специальных защитных мер для защиты всей системы ИТ с более высокими требованиями,

- среднего уровня с добавлением специальных защитных мер для защиты всей системы ИТ с более высокими требованиями;

- высокого уровня, достаточного для обеспечения безопасности всех систем ИТ, подлежащих защите с помощью базовой безопасности.

Как было указано выше, средний или высокий уровень обеспечения базовой безопасности целесообразно использовать для многих организаций для обеспечения достаточной защиты безопасности организации и снижения накладных расходов. Окончательное решение должно быть принято в соответствии с политикой безопасности организации и требований к обеспечению безопасности рассматриваемых систем ИТ.