Для обеспечения доступности данных, требуемой производительности и ресурсов систем необхо­ димо провести предварительное планирование и подготовку.

Для снижения риска перегрузки систем необходимо проводить анализ предполагаемой ее нагрузки. Требования к эксплуатации новых систем должны быть определены, документально оформлены и

протестированы перед их приемкой и использованием.

8.2.1 Планирование производительности

Для обеспечения необходимых мощностей по обработке и хранению информации необходим ана­ лиз текущих требований к производительности, а также прогноз будущих. Эти прогнозы должны учитывать новые функциональные и системные требования, а также текущие планы и перспективные планы развития информационных технологий в организации.

Мэйнфреймы требуют особого внимания вследствие значительных финансовых и временных затрат на повышение их производительности. Руководители, отвечающие за предоставление мэйнфреймовых услуг, должны проводить мониторинг загрузки ключевых системных ресурсов, в том числе процессоров, оперативной и внешней памяти, принтеров и других устройств вывода, а также систем связи. Эти руководители должны определять общие потребности и тенденции в использовании компьютерных ресурсов, что особенно важно для поддержки бизнес-приложений или систем управления для руководства.

Руководителям следует использовать эту информацию с целью идентификации/избежания потен­ циально узких мест, представляющих угрозу безопасности системы или пользовательским сервисам, а также с целью планирования соответствующих мероприятий по обеспечению информационной безопасности.

8.2.2 Приемка систем

Перед приемкой систем должны быть определены критерии приемки новых информационных сис­ тем, новых версий и обновлений, а также должно проводиться необходимое их тестирование. Требования и критерии для принятия новых систем должны быть четко определены, согласованы, документально оформлены и опробованы. В этих целях необходимо предусматривать следующие мероприятия по управлению информационной безопасностью:

-оценка выполнения требований к мощности и производительности компьютера;

-определение процедур восстановления после сбоев и повторного запуска, а также формирование планов обеспечения непрерывной работы;

-подготовка и тестирование типовых операционных процессов на соответствие определенным стандартам;

-наличие необходимого набора средств контроля информационной безопасности;

-разработка эффективных руководств по процедурам;

-обеспечение непрерывности бизнеса в соответствии с требованиями 11.1;

-обязательная проверка отсутствия неблагоприятного влияния новых систем на существующие, особенно во время максимальных нагрузок, например, в конце месяца;

-контроль проведения анализа влияния, оказываемого новой системой на общую информационную безопасность организации;

-организация профессиональной подготовки персонала к эксплуатации и использованию новых

систем.

Для консультаций на всех этапах разработки новых систем должны привлекаться службы поддержки (эксплуатации) и пользователи с целью обеспечения эффективной эксплуатации проектируемой системы. При этом должны проводиться соответствующие тесты для подтверждения того, что все критерии приемки удовлетворены полностью.

8.3 Защита от вредоносного программного обеспечения

Цель: обеспечение защиты целостности программного обеспечения и массивов информации. Необходимо принимать меры предотвращения и обнаружения внедрения вредоносного програм­

много обеспечения.

Программное обеспечение и средства обработки информации уязвимы к внедрению вредоносного программного обеспечения, такого как компьютерные вирусы, сетевые «черви», «троянские кони» (10.5.4) и логические бомбы. Пользователи должны быть осведомлены об опасности использования неавторизованного или вредоносного программного обеспечения, а соответствующие руководители должны обеспечить внедрение специальных средств контроля с целью обнаружения и/или предотвра­ щения проникновения подобных программ, В частности, важно принятие мер предосторожности с целью обнаружения и предотвращения заражения компьютерными вирусами персональных компьютеров.

20