тичными сточки зрения безопасности. Требования к безопасности следует идентифицировать и согласовывать до разработки информационных систем,

Все требования безопасности, включая необходимые мероприятия по переходу на аварийный режим, следует идентифицировать на стадии определения задач проекта, а также обосновывать, согла­ совывать и документировать в рамках общего проекта по внедрению информационной системы.

10.1.1 Анализ и спецификация требований безопасности

Необходимо, чтобы в формулировках требований бизнеса в отношении новых систем или усовер­ шенствования существующих систем были учтены требования информационной безопасности. При этом следует учитывать как возможности встроенных в систему автоматизированных средств обеспечения информационной безопасности, так и необходимость применения организационных мероприятий по управлению информационной безопасностью или разработку специальных средств. Аналогично следует подходить к оценке пакетов прикладных программ. Как правило, руководство должно обеспечивать использование сертифицированных программных продуктов или продуктов, прошедших независимую оценку.

Требования безопасности и соответствующие мероприятия по обеспечению информационной безопасности должны учитывать ценность информационных активов, потенциальный ущерб бизнесу, который может стать результатом неэффективности или отсутствия мер безопасности, Оценка и управ­ ление рисками — основа для анализа требований к безопасности и определения необходимых мероп­ риятий по управлению информационной безопасностью.

Планирование мероприятий по обеспечению информационной безопасности на стадии проекти­ рования системы позволяет существенно снизить затраты на их внедрение и поддержку по сравнению с разработкой соответствующих мероприятий во время или после внедрения системы.

10.2 Безопасность в прикладных системах

Цель: предотвращение потерь, модификации или неправильного использования пользовательских данных в прикладных системах.

Соответствующие мероприятия по обеспечению информационной безопасности, включая функции аудита или протоколирование действий пользователя, необходимо предусматривать в прикладных системах, включая приложения, написанные самими пользователями. Эти меры должны включать в себя обеспечение функциональности подтверждения корректности ввода, обработки и вывода данных.

Дополнительные мероприятия по обеспечению информационной безопасности могут потребоваться для систем, которые обрабатывают или оказывают воздействие на важные, ценные или критические активы организации, и их необходимо определять на основе требований безопасности и оценки рисков.

10.2.1 Подтверждение корректности ввода данных

Необходимо обращать особое внимание на корректность входных данных для прикладных систем. При вводе бизнес-транзакций, постоянных данных (имена и адреса, кредитные лимиты, идентификаци­ онные номера клиентов) и таблиц параметров (цены продаж, курсы валют, ставки налогов) следует при­ менять проверку корректности ввода для обеспечения уверенности в их соответствии исходным данным. Для этого целесообразно применение следующих мероприятий по обеспечению информационной безопасности:

а) проверки исключения двойного ввода или другие проверки ввода с целью обнаружения следующих ошибок:

1)значений, выходящих за допустимый диапазон;

2)недопустимых символов в полях данных;

3)отсутствующие или неполные данные;

4)превышение верхних и нижних пределов объема данных;

5)неавторизованные или противоречивые контрольные данные;

б) периодический анализ (просмотр) содержимого ключевых полей или файлов данных для подтверждения их достоверности и целостности;

в) сверка твердых (печатных) копий вводимых документов с вводимыми данными на пред мет выявления любых неавторизованных изменений этих данных (необходимо, чтобы все изменения во вводимых документах были авторизованы);

г) процедуры реагирования на ошибки, связанные с подтверждением данных; д) процедуры проверки правдоподобия вводимых данных;

е) определение обязанностей всех сотрудников, вовлеченных в процесс ввода данных.

40