Потеря доступности (готовности)

Организация должна рассмотреть возможный ущерб при кратковременной потере доступности приложения или информации, т.е. рассмотреть прерывание каких коммерческих операций возможно приведет к несоблюдению времени их завершения из-за недоступности приложений или информации. Должны быть также рассмотрены чрезвычайные формы потери доступности, постоянную потерю данных и/или физическое повреждение аппаратных и программных средств. Например, потеря доступности может привести к следующим последствиям:

- принятию неправильных решений;

- неспособности выполнять важные поставленные задачи;

- потере общественного доверия или снижению общественного имиджа организации;

- финансовым потерям;

- ответственности перед законом, включая ответственность за нарушение законодательства в области защиты данных и невыполнения договоров в установленные сроки;

- большим затратам на восстановление.

Ущерб от потери доступности может значительно колебаться для разных периодов подобной потери. Желательно рассмотреть все потери, которые могут возникнуть в разные периоды времени, и оценить ущерб для каждого периода как серьезный, незначительный или как отсутствие ущерба. Эта информация должна быть использована при выборе защитных мер.

Рассмотрев вышеперечисленные последствия потери доступности, организация должна принять решение о том, будет ли общий ущерб от потери доступности серьезным, незначительным или не будет никакого ущерба. Принятое решение должно быть задокументировано.

Потеря подотчетности

Организация должна рассмотреть возможный ущерб при потере подотчетности пользователей системы или субъектов (например, программного обеспечения), действующих от имени пользователя. В этом пункте должны быть рассмотрены автоматически генерируемые сообщения, которые могут стать причиной возникновения инцидента. Например, потеря подотчетности может привести к следующим последствиям:

- манипулированию системой со стороны пользователей;

- обману;

- промышленному шпионажу;

- неконтролируемым действиям;

- ложным обвинениям;

- ответственности перед законом, включая ответственность за нарушение национального законодательства РФ в области защиты данных.

Рассмотрев вышеперечисленные последствия потери подотчетности, организация должна принять решение о том, будет ли общий ущерб от потери подотчетности серьезным, незначительным или не будет никакого ущерба. Принятое решение должно быть задокументировано.

Потеря аутентичности

Организация должна рассмотреть возможный ущерб при потере аутентичности данных, сообщений, независимо от того, используют ли их люди или системы. Это особенно важно в распределенных системах, где принятые решения распространяются на широкие сообщества или где используются ссылки на информацию. Потеря аутентичности может привести к следующим последствиям:

- обману;

- использованию достоверных процессов с недостоверными данными (что может привести к результату, вводящему в заблуждение);

- манипулированию организацией извне;

- промышленному шпионажу;

- ложным обвинениям;

- ответственности перед законом, включая ответственность за нарушение национального законодательства РФ в области защиты данных.

Рассмотрев вышеперечисленные последствия потери аутентичности, организация должна принять решение о том, будет ли общий ущерб от потери аутентичности серьезным, незначительным или не будет никакого ущерба. Принятое решение должно быть задокументировано.

Потеря достоверности

Организация должна рассмотреть возможный ущерб при потере достоверности систем. Это также важно в отношении функциональности, которая является вторичной характеристикой достоверности (см. ИСО/МЭК 9126). Например, потеря достоверности может привести к следующим последствиям:

- обману;

- потере доли рынка;

- снижению мотивации в работе персонала организации;

- ненадежным поставщикам;

- снижению доверия покупателей;

- ответственности перед законом, включая ответственность за нарушение законодательства в области защиты данных.

Рассмотрев вышеперечисленные последствия потери достоверности, организация должна принять решение о том, будет ли общий ущерб от потери достоверности серьезным, незначительным или не будет никакого ущерба. Принятое решение должно быть задокументировано.

Защитные меры для обеспечения конфиденциальности

В данном разделе перечислены защитные меры от предполагаемых угроз, связанных с нарушением конфиденциальности. Кроме того, приведены соответствующие ссылки на защитные меры, в соответствии с разделом 8. Если эти защитные меры подходят при выборе защитных мер, то следует принять во внимание тип и характеристики системы ИТ.

Большинство защитных мер, перечисленных в 8.1, обеспечивают более общую защиту, т.е. направлены на ряд угроз, и предоставляют защиту путем поддержки общего эффективного менеджмента безопасности ИТ. Настоящий стандарт не содержит подробного перечисления защитных мер, но их действие не должно быть недооценено и они должны быть реализованы для общей эффективной безопасности.

Подслушивание

Одним из способов получения доступа к конфиденциальной информации является подслушивание, например путем подключения к линии и прослушивания телефонного разговора. Защитные меры от этой угрозы включают в себя:

- физическую защиту.

Защита может включать в себя помещения, стены, здания и т.д., которые делают подслушивание невозможным или маловероятным. Другой способ защиты заключается в добавлении шумов. Этот способ защиты подробно не рассматривается в разделе 8. Для обеспечения безопасности телефонов от подслушивания в качестве защитной меры может использоваться надлежащая прокладка кабелей. Этот вопрос подробно изложен в ИСО/МЭК ТО 13335-5;

- политику обеспечения безопасности.

Другой способ избежать подслушивания заключается в установлении строгих правил, определяющих когда, где и каким образом следует обмениваться конфиденциальной информацией;

- сохранение конфиденциальности данных.

Еще одним способом защиты от подслушивания является шифрование сообщений перед сеансом обмена данными. Более подробно этот способ изложен в 8.2.5.

Электромагнитное излучение

Электромагнитное излучение может использовать взломщик для получения сведений об информации, обрабатываемой в системе ИТ. Защитные меры от электромагнитного излучения включают в себя:

- физическую защиту.

Физическая защита может включать в себя наружную обшивку помещений, стен и т.д., не позволяющую электромагнитному излучению выходить за ее пределы. Этот способ защиты подробно не рассматривается в 8.1.7, так как это не самый дешевый способ защиты от электромагнитного излучения;

- сохранение конфиденциальности данных.

Более подробную информацию см. в 8.2.5. Следует отметить, что сохранение конфиденциальности данных применимо к шифрованной информации, но не к информации на этапе обработки, отображения или распечатки;

- использование оборудования ИТ с малым уровнем излучения.

Использование оборудования ИТ с малым уровнем излучения не рассматривается подробно в разделе 8, однако для защиты организация может приобрести оборудование, имеющее встроенные средства защиты от электромагнитного излучения.

Злонамеренные коды

Злонамеренный код может привести к утрате конфиденциальности, например путем перехвата и/или раскрытия паролей. Защитные меры от этой угрозы включают в себя:

- защиту от злонамеренного кода.

Подробное описание защиты от злонамеренного кода изложено в 8.2.3;

- обработку инцидента.

Своевременный отчет о любых инцидентах может ограничить ущерб от злонамеренных атак. Обнаружение вторжения может использоваться для пресечения попыток проникновения в систему или сеть. Дополнительную информацию см. в 8.1.3.