Все госты и снипы онлайн

Более 10000 документов в открытом доступе, абсолютно бесплатно

ГОСТ 8032-84 - Предпочтительные числа и ряды предпочтительных чисел

Этот документ был распознан автоматически. В блоке справа Вы можете найти скан-копию. Мы работаем над ручным распознаванием документов, однако это титанический труд и на него уходит очень много времени. Если Вы хотите помочь нам и ускорить обработку документов, Вы всегда можете сделать это, пожертвовав нам небольшую сумму денег.

Файлы для печати:

ФЕДЕРАЛЬНОЕ АГЕНТСТВО

ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ

НАЦИОНАЛЬНЫЙ ГОСТр ИСО/МЭК

СТАНДАРТ

РОССИЙСКОЙ 27033-1— ФЕДЕРАЦИИ 2011

Информационная технология

МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ Безопасность сетей Часть 1

Обзор и концепции

ISO/IEC 27033-1:2009 information technology — Security techniques — Network security — Part 1: Overview and concepts (IDT)

Издание официальное

Москва Стандартинформ 2012


ФЕДЕРАЛЬНОЕ АГЕНТСТВО

ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ

НАЦИОНАЛЬНЫЙ ГОСТр ИСО/МЭК

СТАНДАРТ

РОССИЙСКОЙ 27033-1— ФЕДЕРАЦИИ 2011

Информационная технология

МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ Безопасность сетей Часть 1

Обзор и концепции

ISO/IEC 27033-1:2009 information technology — Security techniques — Network security — Part 1: Overview and concepts (IDT)

Издание официальное

Москва Стандартинформ 2012


ГОСТР ИСО/МЭК 27033-1—2011

Предисловие

Цели и принципы стандартизации в Российской Федерации установлены Федеральным законом от 27 декабря 2002 г. № 184-ФЗ «О техническом регулировании», а правила применения национальных стандартов Российской Федерации — ГОСТ Р 1.0—2004 «Стандартизация в Российской Федерации. Основные положения»

Сведения о стандарте

1 ПОДГОТОВЛЕН Обществом с ограниченной ответственностью «Научно-производственная фир- ма «Кристалл» (ООО «НПФ «Кристалл»), Федеральным государственным учреждением «Государственный научно-исследовательский испытательный институт проблем технической защиты информации Федеральной спужбы по техническому и экспортному контролю» (ФГУ «ГНИИИ ПТЗИ ФСТЭК России») и «Газпромбанк» [Открытое акционерное общество) (ГПБ (ОАО\] на основе собственного аутентичного перевода на русский язык стандарта, указанного в пункте 4

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 362 «Защита информации»

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регу- лированию и метрологии от 1 декабря 2011 г. № 683-ст

4 Настоящий стандарт идентичен международному стандарту ИСОЛМЭК 27033-1:2009 «Информационная технология. Методы и средства обеспечения безопасности. Сетевая безопасность. Часть 1. Обзор и (ISO/IEC 27033-1:2009 «information technology — Security techniques — Network security — Part 1: Overview and concepts»).

Наименование настоящего стандарта изменено относительно наименования указанного между- народного стандарта для приведения в соответствие с ГОСТ Р 1.5 (пункт 3.5).

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты Российской Федерации и межгосу- дарственные стандарты, сведения о которых приведены в дополнительном приложении ДА

5 ВЗАМЕН ГОСТ Р ИСО!МЭК 18028-1—2008

Информация об изменениях к настоящему стандарту публикуется в ежегодно издаваемом информационном указателе «Национальные стандарты», а текст изменений и поправок— в ежемесячно издаваемых информационных указателях «Национальные стандарты». В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ежемесячно издаваемом информационном указателе «Национальные стандарты». Соответству- ющая информация, уведомления и тексты размещаются также в информационной системе общего пользования - на официальном сайте национального органа Российской Федерации по стандартизации в сети Интернет

@ Стандартинформ. 2012

Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и рас- пространен в качестве официального издания без разрешения Федерального агентства по техническо-

му регулированию и метрологии И




ГОСТР ИСО/МЭК 27033-1—2011

Предисловие

Цели и принципы стандартизации в Российской Федерации установлены Федеральным законом от 27 декабря 2002 г. № 184-ФЗ «О техническом регулировании», а правила применения национальных стандартов Российской Федерации — ГОСТ Р 1.0—2004 «Стандартизация в Российской Федерации. Основные положения»

Сведения о стандарте

1 ПОДГОТОВЛЕН Обществом с ограниченной ответственностью «Научно-производственная фир- ма «Кристалл» (ООО «НПФ «Кристалл»), Федеральным государственным учреждением «Государственный научно-исследовательский испытательный институт проблем технической защиты информации Федеральной спужбы по техническому и экспортному контролю» (ФГУ «ГНИИИ ПТЗИ ФСТЭК России») и «Газпромбанк» [Открытое акционерное общество) (ГПБ (ОАО\] на основе собственного аутентичного перевода на русский язык стандарта, указанного в пункте 4

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 362 «Защита информации»

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регу- лированию и метрологии от 1 декабря 2011 г. № 683-ст

4 Настоящий стандарт идентичен международному стандарту ИСОЛМЭК 27033-1:2009 «Информационная технология. Методы и средства обеспечения безопасности. Сетевая безопасность. Часть 1. Обзор и (ISO/IEC 27033-1:2009 «information technology — Security techniques — Network security — Part 1: Overview and concepts»).

Наименование настоящего стандарта изменено относительно наименования указанного между- народного стандарта для приведения в соответствие с ГОСТ Р 1.5 (пункт 3.5).

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты Российской Федерации и межгосу- дарственные стандарты, сведения о которых приведены в дополнительном приложении ДА

5 ВЗАМЕН ГОСТ Р ИСО!МЭК 18028-1—2008

Информация об изменениях к настоящему стандарту публикуется в ежегодно издаваемом информационном указателе «Национальные стандарты», а текст изменений и поправок— в ежемесячно издаваемых информационных указателях «Национальные стандарты». В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ежемесячно издаваемом информационном указателе «Национальные стандарты». Соответству- ющая информация, уведомления и тексты размещаются также в информационной системе общего пользования - на официальном сайте национального органа Российской Федерации по стандартизации в сети Интернет

@ Стандартинформ. 2012

Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и рас- пространен в качестве официального издания без разрешения Федерального агентства по техническо-

му регулированию и метрологии И


ГОСТР ИСО/МЭК 27033-1—2011

Содержание Введение ................-...- еее IV 1 OGnmacts npumeHeHuA 2 ee eee 1 2 HOPMaTMBHBIG CCHINKH ws we ee ee 1 3 Термины и определения ...........-....... ee 2 OT ель оао аи офф вара лиана 5 5 Структура .............-.- еее неее 6 -.-...----- сало осо ею соль зао 8 6.1 Вводная информация. ............. еее 8 6.2 Планирование и менеджмент сетевой безопасности. ........ а 10 7 Идентификация рисков и подготовка к идентификации мер и средств контроля и управления РОО ТВ. сли кои a th Kh ta ges 13 7.1 Введение............-.. еее ee 13 7.2 Информация о текущем и (или) планируемом построении сети. ......-. еее. 13 7.3 Риски информационной безопасности и потенциальные области применения мер и средств контроля и управления. еее ученики 17 8 Поддерживающие меры и средства контроля и управления. ........... еее. 20 8.1 еее еее: 20 8.2 Менеджмент сетевой безопасности еее 20 8.3 Менеджмент технических уязвимостей .............. еее 23 8.4 Идентификация и аутентификация. ............ еее а 24 8.5 Ведение контрольных журналов и мониторинг сети ........... еее ен 25 8.6 Обнаружение и предотвращение вторжений ............. еее 26 8.7 Защита от вредоносных программ. ......-...-.... 27 8.8 Услуги, основанные на криптографии .....-...--....-. 28 8.9 Менеджмент непрерывности деятельности. ......... еее 29 9 Рекомендации по проектированию и реализации сетевой безопасности ............... 29 9.1 Вводная информация............ еек 29 9.2 Специализированная архитектура/проект сетевой безопасности. ............-... 30 10 Типовые сетевые сценарии — риски. методы проектирования и вопросы, касающиеся мер и средств контроля и еее еее 32 10.1 Введение .............. еее иена я 32 10.2 Услуги доступа сотрудников в Интернет еее 32 10.3 Расширенные услуги совместной работы. ......... еее еее на 32 10.4 Услуги «бизнес — бизнес». еее ние я 33 10.5 Услуги «бизнес — клиент»............ еее 33 10.6 Услуги аутсорсинга .............--.. еее еек 33 10.7 Сегментация сети. .......-. еее инея 33 10.8 Mo6unbHan CBASb. еее нае 34 10.9 Сетевая поддержка для пользователей, находящихся в разъездах .............. 34 10.10 Сетевая поддержка для домашних офисов и офисов малых предприятий. ......... 34 11 Аспекты «технологии» — риски, методы проектирования и вопросы, касающиеся мер и средств контроля и управления. ...............-..... еее на 35 12 Разработка и тестирование комплекса программных и технических средств и услуг по обеспечеОО РОТА ig kt юаня аа риоя оо кара лена 35

13 Реализация комплекса программных и технических средств и услуг по обеспечению безопасности . 36 14 Мониторинг и проверка эксплуатации комплекса программных и технических средств и услуг . . 36 Приложение А (справочное) Аспекты «технологии» — риски, методы проектирования и вопросы, касающиеся мер и средств контроля и управления ................... 37 Приложение В (справочное) Перекрестные ссылки между ИСОЛМЭК 27001, ИСОЛМЭК 27002 и разделами настоящего стандарта, отражающими меры и средства контроля и

управления, связанные с сетевой безопасностью. ее. - 56

Приложение С (справочное) Примерный образец документа, касающегося ЗесОР$ ......... 61

Библиография . . . еее елена нае. 64 Приложение ДА (справочное) Сведения о соответствии ссылочных международных стандартов

ссылочным национальным стандартам Российской Федерации ........... 65




ГОСТР ИСО/МЭК 27033-1—2011

Содержание Введение ................-...- еее IV 1 OGnmacts npumeHeHuA 2 ee eee 1 2 HOPMaTMBHBIG CCHINKH ws we ee ee 1 3 Термины и определения ...........-....... ee 2 OT ель оао аи офф вара лиана 5 5 Структура .............-.- еее неее 6 -.-...----- сало осо ею соль зао 8 6.1 Вводная информация. ............. еее 8 6.2 Планирование и менеджмент сетевой безопасности. ........ а 10 7 Идентификация рисков и подготовка к идентификации мер и средств контроля и управления РОО ТВ. сли кои a th Kh ta ges 13 7.1 Введение............-.. еее ee 13 7.2 Информация о текущем и (или) планируемом построении сети. ......-. еее. 13 7.3 Риски информационной безопасности и потенциальные области применения мер и средств контроля и управления. еее ученики 17 8 Поддерживающие меры и средства контроля и управления. ........... еее. 20 8.1 еее еее: 20 8.2 Менеджмент сетевой безопасности еее 20 8.3 Менеджмент технических уязвимостей .............. еее 23 8.4 Идентификация и аутентификация. ............ еее а 24 8.5 Ведение контрольных журналов и мониторинг сети ........... еее ен 25 8.6 Обнаружение и предотвращение вторжений ............. еее 26 8.7 Защита от вредоносных программ. ......-...-.... 27 8.8 Услуги, основанные на криптографии .....-...--....-. 28 8.9 Менеджмент непрерывности деятельности. ......... еее 29 9 Рекомендации по проектированию и реализации сетевой безопасности ............... 29 9.1 Вводная информация............ еек 29 9.2 Специализированная архитектура/проект сетевой безопасности. ............-... 30 10 Типовые сетевые сценарии — риски. методы проектирования и вопросы, касающиеся мер и средств контроля и еее еее 32 10.1 Введение .............. еее иена я 32 10.2 Услуги доступа сотрудников в Интернет еее 32 10.3 Расширенные услуги совместной работы. ......... еее еее на 32 10.4 Услуги «бизнес — бизнес». еее ние я 33 10.5 Услуги «бизнес — клиент»............ еее 33 10.6 Услуги аутсорсинга .............--.. еее еек 33 10.7 Сегментация сети. .......-. еее инея 33 10.8 Mo6unbHan CBASb. еее нае 34 10.9 Сетевая поддержка для пользователей, находящихся в разъездах .............. 34 10.10 Сетевая поддержка для домашних офисов и офисов малых предприятий. ......... 34 11 Аспекты «технологии» — риски, методы проектирования и вопросы, касающиеся мер и средств контроля и управления. ...............-..... еее на 35 12 Разработка и тестирование комплекса программных и технических средств и услуг по обеспечеОО РОТА ig kt юаня аа риоя оо кара лена 35

13 Реализация комплекса программных и технических средств и услуг по обеспечению безопасности . 36 14 Мониторинг и проверка эксплуатации комплекса программных и технических средств и услуг . . 36 Приложение А (справочное) Аспекты «технологии» — риски, методы проектирования и вопросы, касающиеся мер и средств контроля и управления ................... 37 Приложение В (справочное) Перекрестные ссылки между ИСОЛМЭК 27001, ИСОЛМЭК 27002 и разделами настоящего стандарта, отражающими меры и средства контроля и

управления, связанные с сетевой безопасностью. ее. - 56

Приложение С (справочное) Примерный образец документа, касающегося ЗесОР$ ......... 61

Библиография . . . еее елена нае. 64 Приложение ДА (справочное) Сведения о соответствии ссылочных международных стандартов

ссылочным национальным стандартам Российской Федерации ........... 65


rOCT P ACO/M3K 27033-1—2011

Введение

В современном мире информационные системы большинства коммерческих и государственных организаций связаны сетями (см. рисунок 1), при этом сетевые соединения могут относиться к следую- щим (одному или нескольким) видам:

- в пределах организации;

- между различными организациями;

- между организацией и неограниченным кругом лиц.

Организация С

Неограниченный круг лиц

Рисунок 1 — Разнообразные виды сетевых соединений

Кроме того, при бурном развитии общедоступной сетевой технологии (в особенности Интернета}, предлагающей значительные возможности для ведения бизнеса, организации все больше занимаются электронной торговлей в глобальном масштабе и предоставляют общедоступные услуги в режиме реального времени (далее — в режиме Эти возможности обеспечивают более дешевый способ передачи данных с использованием Интернета в качестве глобального средства связи благодаря услу- гам, предоставляемым провайдерами Интернет-услуг. Это может означать использование относитель- но дешевых локальных точек подключения на каждом конце линии связи к полномасштабным системам электронной торговли и предоставление услуг, использующих сервисы и приложения, основанные на Интернет-технологии. Кроме того, новые технологии (включающие объединение данных, речи и видео} расширяют возможности для удаленной работы (также известной как «дистанционная работа»), позволяющей сотрудникам работать значительную часть времени дома. Они могут поддерживать контакт пу- тем использования средств дистанционного доступа к сетям организации и сообщества, а также к информации и услугам, связанным с поддержкой основной деятельности организации.

Однако в то время как среда, образованная новыми технологиями, способствует получению значительных преимуществ для деятельности организации, также появляются новые риски безопасности, требующие управления. Утрата конфиденциальности, целостности и доступности информации и услуг может оказывать существенное неблагоприятное влияние на деятельность организации, поскольку организации в значительной степени зависят от использования информации и связанных с нею сетей

Vv


rOCT P ACO/M3K 27033-1—2011

Введение

В современном мире информационные системы большинства коммерческих и государственных организаций связаны сетями (см. рисунок 1), при этом сетевые соединения могут относиться к следую- щим (одному или нескольким) видам:

- в пределах организации;

- между различными организациями;

- между организацией и неограниченным кругом лиц.



Организация С

Неограниченный круг лиц

Рисунок 1 — Разнообразные виды сетевых соединений

Кроме того, при бурном развитии общедоступной сетевой технологии (в особенности Интернета}, предлагающей значительные возможности для ведения бизнеса, организации все больше занимаются электронной торговлей в глобальном масштабе и предоставляют общедоступные услуги в режиме реального времени (далее — в режиме Эти возможности обеспечивают более дешевый способ передачи данных с использованием Интернета в качестве глобального средства связи благодаря услу- гам, предоставляемым провайдерами Интернет-услуг. Это может означать использование относитель- но дешевых локальных точек подключения на каждом конце линии связи к полномасштабным системам электронной торговли и предоставление услуг, использующих сервисы и приложения, основанные на Интернет-технологии. Кроме того, новые технологии (включающие объединение данных, речи и видео} расширяют возможности для удаленной работы (также известной как «дистанционная работа»), позволяющей сотрудникам работать значительную часть времени дома. Они могут поддерживать контакт пу- тем использования средств дистанционного доступа к сетям организации и сообщества, а также к информации и услугам, связанным с поддержкой основной деятельности организации.

Однако в то время как среда, образованная новыми технологиями, способствует получению значительных преимуществ для деятельности организации, также появляются новые риски безопасности, требующие управления. Утрата конфиденциальности, целостности и доступности информации и услуг может оказывать существенное неблагоприятное влияние на деятельность организации, поскольку организации в значительной степени зависят от использования информации и связанных с нею сетей

Vv


ГОСТР ИСО/МЭК 27033-1—2011

для ведения своей деятельности. Следовательно, основным требованием является обеспечение надлежащей защиты сетей и связанных с ними информационных систем и информации. Другими словами реализация и поддержка адекватной сетевой безопасности абсолютно необходима для успеха операций основной деятельности любой организации.

В этом контексте для индустрии телекоммуникаций и информационных технологий ведется поиск рентабельных всесторонних программных и технических средств и услуг по обеспечению безопасности. направленных на защиту сетей от злпонамеренных атаки непреднамеренных неверных действий и обес- печение конфиденциальности, целостности и доступности информации и услуг в соответствии с потребностями организации. Обеспечение безопасности сети также важно в случае необходимости обеспечения точности информации об учете или использовании услуг. Возможности обеспечения безопасности в продуктах!’ являются необходимыми для общей сетевой безопасности (включая приложения и сервисы). Однако когда все больше продуктов комбинируется для обеспечения общих решений, их функциональная совместимость — или ее отсутствие — будет определять успех решения. Безопас- ность должна быть не только одним из поводов для беспокойства в отношении каждого продукта или услуги, но и разработана так, чтобы способствовать интегрированию возможностей продукта или услуги по обеспечению безопасности в общее решение по обеспечению безопасности организации.

Назначение ИСОЛМЭК 27033 состоит в том, чтобы предоставить подробные рекомендации по ас- пектам безопасности менеджмента, функционирования и использования сетей информационных сис- тем и их соединений. Лица, отвечающие за обеспечение в организации информационной безопасности в целом и сетевой безопасности в частности, должны быть способны адаптировать материал настоящего стандарта для соответствия своим конкретным требованиям. Основными целями частей стандарта ИСОЛМЭК 27033 являются:

- для ИСО/МЭК 27033-1 «Обзор и концепция» — определение и описание концепций, связанных с сетевой безопасностью, и предоставление рекомендаций по менеджменту сетевой безопасности. Стандарт содержит общий обзор сетевой безопасности и связанных с ней определений, рекомендации по идентификации и анализу рисков сетевой безопасности, и, кроме того, определение требований сетевой безопасности. Он также знакомит с тем, как добиваться высокого качества специализированных ар- хитектур безопасности, а также с аспектами риска, проектирования, аспектами мер и средств контроля и управления, связанными с типичными сетевыми сценариями и областями сетевых «технологий» (которые подробно рассматриваются в следующих частях стандарта ИСОЛМЭК 27033);

- для 27033-2 «Рекомендации по проектированию и реализации сетевой безопаснос- ти» — определение того, каким образом организации должны добиваться требуемого качества специализированных архитектур сетевой безопасности, проектирования и реализации, которые обеспечат уверенность в сетевой безопасности, соответствующей их среде деятельности, используя при необходимости последовательный подход к планированию, проектированию и реализации сетевой безопас- ности с применением моделей/систем (в данном контексте термины «модель/система» используются для формулирования в общих чертах представления или описания, показывающего структуру и высокоуровневую деятельность некоторого вида специализированной архитектуры/проекта безопасности). Данный стандарт предназначен для всего персонала, вовлеченного в планирование, проектирование и реализацию аспектов архитектуры сетевой безопасности (например, для проектировщиков и разработ- чиков сетевой архитектуры, сетевых менеджеров и сотрудников, ответственных за сетевую безопас- НОСТЬ); - для ИСОЛМЭК 27033-3 «Риски, методы проектирования ивопросы, касающиеся мер и средств контроля и управления для типовых сетевых сценариев» — определение конкретных рисков, методов проектирования и вопросов, касающихся мер и средств контроля и управления, связанных с типовыми сетевыми сценариями. Данный стандарт предназначен для персонала, вовлеченного в планирование, проектирование и реализацию аспектов архитектуры сетевой безопасности (например, для проектировщиков и разработчиков сетевой архитектуры, сетевых менеджеров и сотрудников, ответственных за сетевую безопасность).

Предполагается, что следующие части ИСО/МЭК 27033 будут рассматривать:

ИСО/МЭК 27033-4 «Риски, методы проектирования и вопросы, касающиеся мер и средстве контроля и управления для обеспечения безопасности передачи информации между сетями с использо-

'! В настоящем стандарте под «продуктом» следует понимать «изделия/средства (программные. техничес- кие или программно-технические)».




ГОСТР ИСО/МЭК 27033-1—2011

для ведения своей деятельности. Следовательно, основным требованием является обеспечение надлежащей защиты сетей и связанных с ними информационных систем и информации. Другими словами реализация и поддержка адекватной сетевой безопасности абсолютно необходима для успеха операций основной деятельности любой организации.

В этом контексте для индустрии телекоммуникаций и информационных технологий ведется поиск рентабельных всесторонних программных и технических средств и услуг по обеспечению безопасности. направленных на защиту сетей от злпонамеренных атаки непреднамеренных неверных действий и обес- печение конфиденциальности, целостности и доступности информации и услуг в соответствии с потребностями организации. Обеспечение безопасности сети также важно в случае необходимости обеспечения точности информации об учете или использовании услуг. Возможности обеспечения безопасности в продуктах!’ являются необходимыми для общей сетевой безопасности (включая приложения и сервисы). Однако когда все больше продуктов комбинируется для обеспечения общих решений, их функциональная совместимость — или ее отсутствие — будет определять успех решения. Безопас- ность должна быть не только одним из поводов для беспокойства в отношении каждого продукта или услуги, но и разработана так, чтобы способствовать интегрированию возможностей продукта или услуги по обеспечению безопасности в общее решение по обеспечению безопасности организации.

Назначение ИСОЛМЭК 27033 состоит в том, чтобы предоставить подробные рекомендации по ас- пектам безопасности менеджмента, функционирования и использования сетей информационных сис- тем и их соединений. Лица, отвечающие за обеспечение в организации информационной безопасности в целом и сетевой безопасности в частности, должны быть способны адаптировать материал настоящего стандарта для соответствия своим конкретным требованиям. Основными целями частей стандарта ИСОЛМЭК 27033 являются:

- для ИСО/МЭК 27033-1 «Обзор и концепция» — определение и описание концепций, связанных с сетевой безопасностью, и предоставление рекомендаций по менеджменту сетевой безопасности. Стандарт содержит общий обзор сетевой безопасности и связанных с ней определений, рекомендации по идентификации и анализу рисков сетевой безопасности, и, кроме того, определение требований сетевой безопасности. Он также знакомит с тем, как добиваться высокого качества специализированных ар- хитектур безопасности, а также с аспектами риска, проектирования, аспектами мер и средств контроля и управления, связанными с типичными сетевыми сценариями и областями сетевых «технологий» (которые подробно рассматриваются в следующих частях стандарта ИСОЛМЭК 27033);

- для 27033-2 «Рекомендации по проектированию и реализации сетевой безопаснос- ти» — определение того, каким образом организации должны добиваться требуемого качества специализированных архитектур сетевой безопасности, проектирования и реализации, которые обеспечат уверенность в сетевой безопасности, соответствующей их среде деятельности, используя при необходимости последовательный подход к планированию, проектированию и реализации сетевой безопас- ности с применением моделей/систем (в данном контексте термины «модель/система» используются для формулирования в общих чертах представления или описания, показывающего структуру и высокоуровневую деятельность некоторого вида специализированной архитектуры/проекта безопасности). Данный стандарт предназначен для всего персонала, вовлеченного в планирование, проектирование и реализацию аспектов архитектуры сетевой безопасности (например, для проектировщиков и разработ- чиков сетевой архитектуры, сетевых менеджеров и сотрудников, ответственных за сетевую безопас- НОСТЬ); - для ИСОЛМЭК 27033-3 «Риски, методы проектирования ивопросы, касающиеся мер и средств контроля и управления для типовых сетевых сценариев» — определение конкретных рисков, методов проектирования и вопросов, касающихся мер и средств контроля и управления, связанных с типовыми сетевыми сценариями. Данный стандарт предназначен для персонала, вовлеченного в планирование, проектирование и реализацию аспектов архитектуры сетевой безопасности (например, для проектировщиков и разработчиков сетевой архитектуры, сетевых менеджеров и сотрудников, ответственных за сетевую безопасность).

Предполагается, что следующие части ИСО/МЭК 27033 будут рассматривать:

ИСО/МЭК 27033-4 «Риски, методы проектирования и вопросы, касающиеся мер и средстве контроля и управления для обеспечения безопасности передачи информации между сетями с использо-

'! В настоящем стандарте под «продуктом» следует понимать «изделия/средства (программные. техничес- кие или программно-технические)».


ГОСТР ИСО/МЭК 27033-1—2011

ванием шлюзов безопасности» — определение конкретных рисков, методов проектирования и вопросов, касающихся мер и средств контроля и управления для обеспечения безопасности информационных потоков между сетями с использованием шлюзов безопасности. Данный стандарт будет представлять интерес для всего персонала, вовлеченного в детальное планирование, проектирование и реализацию шлюзов безопасности (например, для проектировщиков и разработчиков сетевой архитектуры, сетевых менеджеров и сотрудников. ответственных за сетевую безопасность);

ИСОЛМЭК 27033-5 «Риски, методы проектирования и вопросы. касающиеся мер и средств контроля и управления для обеспечения безопасности виртуальных частных сетей» — определение конкретных рисков, методов проектирования и вопросов, касающихся мер и средств контроля и управления для обеспечения безопасности соединений, установленных с использованием УРМ. Данный стандарт будет представлять интерес для всего персонала, вовлеченного в детальное планирование, проектирование и реализацию безопасности виртуальных частных сетей (например, для проектировщиков и разработчиков сетевой архитектуры, сетевых менеджеров и сотрудников, ответственных за сетевую безопасность);

ИСОЛМЭК 27033-6 «/Р-конвергенция» — определение конкретных рисков. методов проектирования и вопросов, касающихся мер и средств контроля и управления для обеспечения безопасности сетей с т. е. с конвергенцией данных, речи и видео. Данный стандарт будет представлять интерес для всего персонала, вовлеченного в детальное планирование, проектирование и реализацию безопасности сетей с 1Р-конвергенцией (например, для проектировщиков и разработчиков сетевой ар- хитектуры, сетевых менеджеров и сотрудников, ответственных за сетевую безопасность);

ИСОЛМЭК 27033-7 «Беспроводная связь» — определение конкретных рисков, методов проектирования и вопросов, касающихся мер и средств контроля и управления, для обеспечения безопасности беспроводных сетей и радиосетей. Данный стандарт будет представлять интерес для всего персонала, вовлеченного в детальное планирование, проектирование и реализацию безопасности беспроводных сетей и радиосетей (например, для проектировщиков и разработчиков сетевой архитектуры, сетевых менеджеров и сотрудников, ответственных за сетевую безопасность).



Следует подчеркнуть, что ИСО/МЭК 27033 предоставляет дополнительные детализированные рекомендации по реализации мер и средств контроля и управления сетевой безопасностью, определенных в базовом стандарте ИСОЛМЭК 27002.

Если в будущем появятся другие части стандарта, они могут представлять интерес для всего пер- сонала. вовлеченного в детальное планирование, проектирование и реализацию сетевых аспектов, охватываемых этими частями (например, для проектировщиков и разработчиков сетевой архитектуры, сетевых менеджеров и сотрудников, ответственных за сетевую безопасность).

Следует отметить, что настоящий стандарт не является справочным или нормативным документом для регулирующих и законодательных требований безопасности. Хотя в нем подчеркивается важность этих оказывающих влияние факторов, они не могут быть сформулированы конкретно, так как зависят от страны, вида основной деятельности ит. д.

Если не указано иное, требования настоящего стандарта применимы к действующим в настоящее время и (или) планируемым сетям, но в тексте настоящего стандарта будут применены только термины «сети» или «сеть».

VI


ГОСТР ИСО/МЭК 27033-1—2011

ванием шлюзов безопасности» — определение конкретных рисков, методов проектирования и вопросов, касающихся мер и средств контроля и управления для обеспечения безопасности информационных потоков между сетями с использованием шлюзов безопасности. Данный стандарт будет представлять интерес для всего персонала, вовлеченного в детальное планирование, проектирование и реализацию шлюзов безопасности (например, для проектировщиков и разработчиков сетевой архитектуры, сетевых менеджеров и сотрудников. ответственных за сетевую безопасность);

ИСОЛМЭК 27033-5 «Риски, методы проектирования и вопросы. касающиеся мер и средств контроля и управления для обеспечения безопасности виртуальных частных сетей» — определение конкретных рисков, методов проектирования и вопросов, касающихся мер и средств контроля и управления для обеспечения безопасности соединений, установленных с использованием УРМ. Данный стандарт будет представлять интерес для всего персонала, вовлеченного в детальное планирование, проектирование и реализацию безопасности виртуальных частных сетей (например, для проектировщиков и разработчиков сетевой архитектуры, сетевых менеджеров и сотрудников, ответственных за сетевую безопасность);

ИСОЛМЭК 27033-6 «/Р-конвергенция» — определение конкретных рисков. методов проектирования и вопросов, касающихся мер и средств контроля и управления для обеспечения безопасности сетей с т. е. с конвергенцией данных, речи и видео. Данный стандарт будет представлять интерес для всего персонала, вовлеченного в детальное планирование, проектирование и реализацию безопасности сетей с 1Р-конвергенцией (например, для проектировщиков и разработчиков сетевой ар- хитектуры, сетевых менеджеров и сотрудников, ответственных за сетевую безопасность);

ИСОЛМЭК 27033-7 «Беспроводная связь» — определение конкретных рисков, методов проектирования и вопросов, касающихся мер и средств контроля и управления, для обеспечения безопасности беспроводных сетей и радиосетей. Данный стандарт будет представлять интерес для всего персонала, вовлеченного в детальное планирование, проектирование и реализацию безопасности беспроводных сетей и радиосетей (например, для проектировщиков и разработчиков сетевой архитектуры, сетевых менеджеров и сотрудников, ответственных за сетевую безопасность).

Следует подчеркнуть, что ИСО/МЭК 27033 предоставляет дополнительные детализированные рекомендации по реализации мер и средств контроля и управления сетевой безопасностью, определенных в базовом стандарте ИСОЛМЭК 27002.

Если в будущем появятся другие части стандарта, они могут представлять интерес для всего пер- сонала. вовлеченного в детальное планирование, проектирование и реализацию сетевых аспектов, охватываемых этими частями (например, для проектировщиков и разработчиков сетевой архитектуры, сетевых менеджеров и сотрудников, ответственных за сетевую безопасность).

Следует отметить, что настоящий стандарт не является справочным или нормативным документом для регулирующих и законодательных требований безопасности. Хотя в нем подчеркивается важность этих оказывающих влияние факторов, они не могут быть сформулированы конкретно, так как зависят от страны, вида основной деятельности ит. д.

Если не указано иное, требования настоящего стандарта применимы к действующим в настоящее время и (или) планируемым сетям, но в тексте настоящего стандарта будут применены только термины «сети» или «сеть».

VI


ГОСТ Р ИСО/МЭК 27033-1—2011

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

Информационная технология МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ Безопасность сетей Часть 1 Обзор и концепции

information technology. Security techniques. Network security. Part 1. Overview and concepts

Дата введения — 2012—01—01

1 Область применения

Настоящий стандарт содержит обзор сетевой безопасности и связанных с ней определений. Стандарт определяет и описывает концепции, связанные с сетевой безопасностью, и предоставляет рекомендации по менеджменту сетевой безопасности. (В дополнение к безопасности информации, передаваемой по линиям связи, сетевая безопасность затрагивает безопасность устройств, безопас- ность деятельности по менеджменту данных устройств, приложений/услуг, а также безопасность конеч- ных пользователей).

Настоящий стандарт предназначен для лиц, владеющих, управляющих или использующих сети. Помимо руководителей и администраторов, имеющих конкретные обязанности по обеспечению инфор- мационной и (или) сетевой безопасности и функционированию сети или отвечающих за разработку общей программы обеспечения безопасности и попитики безопасности организации, стандарт предназначен и для представителей высшего руководства и других руководителей или пользователей, не имеющих технической подготовки. Настоящий стандарт также предназначен для всех вовлеченных в планирование, проектирование и реализацию аспектов архитектуры сетевой безопасности.



Настоящий стандарт также:

- представляет рекомендации по идентификации и анализу рисков сетевой безопасности и дает определение требований сетевой безопасности, основанных на этом анализе;

- представляет обзор мер и средств контроля и управления, поддерживающих специализированные архитектуры сетевой безопасности, и связанные с ними технические меры и средства контроля и управления, а также технические и нетехнические меры и средства контроля и управления, применяемые не только к сетям:

- знакомит с тем, как добиться высокого качества специализированных архитектур сетевой безопасности, а также с аспектами риска, проектирования, мер и средств контроля и управления, связанны- ми с типичными сетевыми сценариями и областями сетевых «технологий» (которые детально рассматриваются в следующих частях ИСОЛМЭК 27033);

- содержит краткое рассмотрение вопросов, связанных с реализацией и функционированием мер и средств контроля и управления сетевой безопасностью, постоянным мониторингом и проверкой их реализации.

В целом, в настоящем стандарте представлен обзор существующих частей ИСОЛМЭК 27033, ион является «путеводителем» по остальным частям стандарта.

2 Нормативные ссылки

В настоящем стандарте использованы нормативные ссылки на следующие международные стандарты. Для датированных стандартов применяют только указанное издание. Для недатированных стандартов применяют последнее издание упомянутого стандарта (включая опубликованные изменения).

Издание официальное


ГОСТ Р ИСО/МЭК 27033-1—2011

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

Информационная технология МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ Безопасность сетей Часть 1 Обзор и концепции

information technology. Security techniques. Network security. Part 1. Overview and concepts

Дата введения — 2012—01—01

1 Область применения

Настоящий стандарт содержит обзор сетевой безопасности и связанных с ней определений. Стандарт определяет и описывает концепции, связанные с сетевой безопасностью, и предоставляет рекомендации по менеджменту сетевой безопасности. (В дополнение к безопасности информации, передаваемой по линиям связи, сетевая безопасность затрагивает безопасность устройств, безопас- ность деятельности по менеджменту данных устройств, приложений/услуг, а также безопасность конеч- ных пользователей).

Настоящий стандарт предназначен для лиц, владеющих, управляющих или использующих сети. Помимо руководителей и администраторов, имеющих конкретные обязанности по обеспечению инфор- мационной и (или) сетевой безопасности и функционированию сети или отвечающих за разработку общей программы обеспечения безопасности и попитики безопасности организации, стандарт предназначен и для представителей высшего руководства и других руководителей или пользователей, не имеющих технической подготовки. Настоящий стандарт также предназначен для всех вовлеченных в планирование, проектирование и реализацию аспектов архитектуры сетевой безопасности.

Настоящий стандарт также:

- представляет рекомендации по идентификации и анализу рисков сетевой безопасности и дает определение требований сетевой безопасности, основанных на этом анализе;

- представляет обзор мер и средств контроля и управления, поддерживающих специализированные архитектуры сетевой безопасности, и связанные с ними технические меры и средства контроля и управления, а также технические и нетехнические меры и средства контроля и управления, применяемые не только к сетям:

- знакомит с тем, как добиться высокого качества специализированных архитектур сетевой безопасности, а также с аспектами риска, проектирования, мер и средств контроля и управления, связанны- ми с типичными сетевыми сценариями и областями сетевых «технологий» (которые детально рассматриваются в следующих частях ИСОЛМЭК 27033);

- содержит краткое рассмотрение вопросов, связанных с реализацией и функционированием мер и средств контроля и управления сетевой безопасностью, постоянным мониторингом и проверкой их реализации.

В целом, в настоящем стандарте представлен обзор существующих частей ИСОЛМЭК 27033, ион является «путеводителем» по остальным частям стандарта.

2 Нормативные ссылки

В настоящем стандарте использованы нормативные ссылки на следующие международные стандарты. Для датированных стандартов применяют только указанное издание. Для недатированных стандартов применяют последнее издание упомянутого стандарта (включая опубликованные изменения).

Издание официальное


ГОСТР ИСО/МЭК 27033-1—2011

ИСОЛМЭК 7498 (все части) Информационная технология. Взаимосвязь открытых систем. Базовая gTanoHHaa MogeNnb (ISO/IEC 7498 (all parts), Information technology — Open Systems Interconnection — Basic Reference Model)

ИСОЛМЭК 27000:2009 Информационная технология. Методы и средства обеспечения безопаснос- ти. Системы менеджмента информационной безопасности. Обзор и терминология (1ЗОЛЕС 27000:2009 Information technology — Security techniques — Information security management systems — Overview and vocabulary)

ИСОЛМЭК 27001:2005 Информационная технология. Методы и средства обеспечения безопаснос- ти. Системы менеджмента информационной безопасности. Требования (1ЗОЛЕС 27001:2005 имоюптаноп technology — Security techniques — Information security management systems — Requirements)



ИСОЛМЭК 27002:2005 Информационная технология. Методы и средства обеспечения безопаснос- ти. Свод правил для менеджмента информационной безопасности (1ЗОЛЕС 27002:2005 имоптаНоп technology — Security techniques — Code of practice for information security management)

ИСОЛМЭК 27005:2008 Информационная технология. Методы и средства обеспечения безопаснос- ти. Менеджмент рисков информационной безопасности (15ОЛЕС 27005:2008 шпюгтапоп 1есппоюду — Security techniques — Information security risk management)

3 Термины и определения

В настоящем стандарте применены термины по ИСОЛМЭК 7498, ИСОЛМЭК 27000, ИСОЛМЭК 27001, ИСОЛМЭК 27002, ИСОЛМЭК 27005, а также следующие термины с соответствующими определениями.

Примечание — Приведенные ниже термины и определения будут также применены в следующих час- Tax ACO/MSK 27033.

3.1 предупреждение об опасности (аеп): «Немедленное» оповещение о том, что информационная система и сеть подвергаются атаке или находятся в опасности вследствие аварии, сбоя или человеческой ошибки.

3.2 архитектура Базовая организация системы, воплощенная в ее компонентах. их отношениях между собой и с окружением, а также принципы, определяющие проектирование и развитие системы.

[ИСОЛМЭК 15288:2008, определение 4.5]

3.3 нарушитель (attacker): Любое лицо, преднамеренно использующее уязвимости технических и нетехнических мер и средств контроля и управления безопасностью с целью захвата или компрометации информационных систем и сетей, или снижения доступности ресурсов информационной системы и сетевых ресурсов для законных пользователей.

3.4 ведение контрольных журналов (audit logging): Фиксирование данных о событиях, связанных с информационной безопасностью, в целях проверки, анализа и постоянного мониторинга.

3.5 инструментальные средства аудита (ацдИ {00!5): Автоматизированные инструментальные средства, помогающие анализировать содержание журналов событий.

3.6 центр сертификации [открытых ключей] (сей ; СА): Орган, которому доверяет один или более пользователей в вопросе создания и распределения сертификатов открытого ключа.

Примечания

1 Факультативно орган сертификации может создавать ключи пользователей.

2 Роль органа сертификации в этом процессе заключается в обеспечении уверенности, что пицо, которому выдан уникальный сертификат, на самом деле является тем, кем оно себя заявляет. Обычно это означает, что орган сертификации имеет соглашение с учреждением, предоставляющим ему информацию для подтверждения предъявленной идентификационной инфорывции в отношении лица. Органы сертификации являются важнейшим компонентом в информационной безопасности и электронной коммерции. потому что они гарантируют, что две стороны, обменивающиеся информацией, действительно являются теми, кем они себя заявляют.

3.7 корпоративная политика информационной GesonacHoctn (corporate information security ройсу): Документ, отражающий позицию руководства по обеспечению информационной безопасности в соответствии с требованиями основной деятельности организации и правовыми и регулирующими нормами.

2


ГОСТР ИСО/МЭК 27033-1—2011

ИСОЛМЭК 7498 (все части) Информационная технология. Взаимосвязь открытых систем. Базовая gTanoHHaa MogeNnb (ISO/IEC 7498 (all parts), Information technology — Open Systems Interconnection — Basic Reference Model)

ИСОЛМЭК 27000:2009 Информационная технология. Методы и средства обеспечения безопаснос- ти. Системы менеджмента информационной безопасности. Обзор и терминология (1ЗОЛЕС 27000:2009 Information technology — Security techniques — Information security management systems — Overview and vocabulary)

ИСОЛМЭК 27001:2005 Информационная технология. Методы и средства обеспечения безопаснос- ти. Системы менеджмента информационной безопасности. Требования (1ЗОЛЕС 27001:2005 имоюптаноп technology — Security techniques — Information security management systems — Requirements)

ИСОЛМЭК 27002:2005 Информационная технология. Методы и средства обеспечения безопаснос- ти. Свод правил для менеджмента информационной безопасности (1ЗОЛЕС 27002:2005 имоптаНоп technology — Security techniques — Code of practice for information security management)

ИСОЛМЭК 27005:2008 Информационная технология. Методы и средства обеспечения безопаснос- ти. Менеджмент рисков информационной безопасности (15ОЛЕС 27005:2008 шпюгтапоп 1есппоюду — Security techniques — Information security risk management)

3 Термины и определения

В настоящем стандарте применены термины по ИСОЛМЭК 7498, ИСОЛМЭК 27000, ИСОЛМЭК 27001, ИСОЛМЭК 27002, ИСОЛМЭК 27005, а также следующие термины с соответствующими определениями.

Примечание — Приведенные ниже термины и определения будут также применены в следующих час- Tax ACO/MSK 27033.

3.1 предупреждение об опасности (аеп): «Немедленное» оповещение о том, что информационная система и сеть подвергаются атаке или находятся в опасности вследствие аварии, сбоя или человеческой ошибки.

3.2 архитектура Базовая организация системы, воплощенная в ее компонентах. их отношениях между собой и с окружением, а также принципы, определяющие проектирование и развитие системы.

[ИСОЛМЭК 15288:2008, определение 4.5]

3.3 нарушитель (attacker): Любое лицо, преднамеренно использующее уязвимости технических и нетехнических мер и средств контроля и управления безопасностью с целью захвата или компрометации информационных систем и сетей, или снижения доступности ресурсов информационной системы и сетевых ресурсов для законных пользователей.

3.4 ведение контрольных журналов (audit logging): Фиксирование данных о событиях, связанных с информационной безопасностью, в целях проверки, анализа и постоянного мониторинга.

3.5 инструментальные средства аудита (ацдИ {00!5): Автоматизированные инструментальные средства, помогающие анализировать содержание журналов событий.

3.6 центр сертификации [открытых ключей] (сей ; СА): Орган, которому доверяет один или более пользователей в вопросе создания и распределения сертификатов открытого ключа.



Примечания

1 Факультативно орган сертификации может создавать ключи пользователей.

2 Роль органа сертификации в этом процессе заключается в обеспечении уверенности, что пицо, которому выдан уникальный сертификат, на самом деле является тем, кем оно себя заявляет. Обычно это означает, что орган сертификации имеет соглашение с учреждением, предоставляющим ему информацию для подтверждения предъявленной идентификационной инфорывции в отношении лица. Органы сертификации являются важнейшим компонентом в информационной безопасности и электронной коммерции. потому что они гарантируют, что две стороны, обменивающиеся информацией, действительно являются теми, кем они себя заявляют.

3.7 корпоративная политика информационной GesonacHoctn (corporate information security ройсу): Документ, отражающий позицию руководства по обеспечению информационной безопасности в соответствии с требованиями основной деятельности организации и правовыми и регулирующими нормами.

2


ГОСТР ИСО/МЭК 27033-1—2011

Примечание — Документ, описывающий высокоуровневые требования информационной безопаснос- ти, которые должны соблюдаться в организации.

3.8 демилитаризованная зона (детИНапгед гопе; ОМ); ДМЗ: Пограничный сегмент сети (также известный как защищенная подсеть), выполняющий функции «нейтральной зоны» между сетями.

3.9 отказ в обслуживании (деп!а! of service; DoS): Npexpawenve санкционированного доступа к ресурсам системы или задержка операций и функций системы, приводящее в итоге к потере доступнос- ти для авторизованных пользователей.

3.10 экстранет (ехгапе!): Расширение сети Интранет организации, особенно через инфраструкту- ру общедоступной сети, делающее возможным совместное использование ресурсов организацией, другими организациями и лицами, с которыми она имеет дело, с предоставлением ограниченного досту- па к своей сети Интранет.

п римечание— Например, клиентам организации может предоставляться доступ к некоторым частям ее сети, Интранет посредством создания Экстранет, но клиентов нельзя считать «довереннымих с точки зрения безопасности.

3.11 фильтрация (ПНеппа): Процесс приема или отклонения потоков данных в сети в соответствии с определенными критериями.

3.12 межсетевой экран (Яге\ма!): Вид барьера безопасности, размещенного между различными сетевыми средами, состоящего из специализированного устройства или совокупности нескольких компонентов и технических приемов, через который должен проходить весь трафик из одной сетевой среды в другую и, наоборот, при этом пропускается только авторизованный трафик, соответствующий местной политике безопасности.

3.13 концентратор (пиб): Сетевое устройство, которое функционирует на первом уровне эталонной модели взаимодействия открытых систем.

п римечание— Сетевые концентраторы не являются интеллектуальными устройствами, они обеспечивают только точки физического соединения для сетевых систем или ресурсов.

3.14 Интернет (the |пете!): Глобальная система взаимосвязанных сетей общедоступного пользования.

3.15 интерсеть (и\{ете!: Совокупность взаимосвязанных сетей, называемая «объединенной сетью» или просто «интерсетью».

3.16 интранет (м!гапе!): Частная компьютерная сеть, использующая Интернет-протоколы и возможность сетевого соединения для безопасного коллективного использования части информации или операций организации ее сотрудниками.

3.17 вторжение (ткизюп): Несанкционированный доступ к сети или подсоединенной к сети системе, т. е. преднамеренный или случайный несанкционированный доступ к информационной системе, включая злонамеренную деятельность против информационной системы или несанкционированное ис- пользование ресурсов в информационной системе.

3.18 обнаружение вторжений (т!гизоп деесйоп): Формальный процесс обнаружения вторжений. обычно характеризующийся сбором сведений об аномальном характере использования, а также о том, какая уязвимость была использована и каким образом, включая то, когда и как это произошло.

Примечание — См. ИСОЛМЭК 18043.

3.19 система обнаружения вторжений дееспоп зуз{ет):10$: Специализированная система, используемая для идентификации того факта, что была предпринята попытка вторжения, вторжение происходит или произошло, а также для возможного реагирования на вторжение в информационные сис- темы и сети.

Примечание — См. ИСОЛМЭК 18043.

3.20 предотвращение вторжений ргеуепйоп): Формальный процесс активного реагирования с целью предотвращения вторжений.

3.21 система предотвращения вторжений (т!гизюп ргемепйоп |Р$: Вид систем обнаружения вторжений, специально предназначенных для обеспечения активной возможности реагирования.

Примечание — См. ИСОЛМЭК 18043.


ГОСТР ИСО/МЭК 27033-1—2011

Примечание — Документ, описывающий высокоуровневые требования информационной безопаснос- ти, которые должны соблюдаться в организации.

3.8 демилитаризованная зона (детИНапгед гопе; ОМ); ДМЗ: Пограничный сегмент сети (также известный как защищенная подсеть), выполняющий функции «нейтральной зоны» между сетями.

3.9 отказ в обслуживании (деп!а! of service; DoS): Npexpawenve санкционированного доступа к ресурсам системы или задержка операций и функций системы, приводящее в итоге к потере доступнос- ти для авторизованных пользователей.

3.10 экстранет (ехгапе!): Расширение сети Интранет организации, особенно через инфраструкту- ру общедоступной сети, делающее возможным совместное использование ресурсов организацией, другими организациями и лицами, с которыми она имеет дело, с предоставлением ограниченного досту- па к своей сети Интранет.



п римечание— Например, клиентам организации может предоставляться доступ к некоторым частям ее сети, Интранет посредством создания Экстранет, но клиентов нельзя считать «довереннымих с точки зрения безопасности.

3.11 фильтрация (ПНеппа): Процесс приема или отклонения потоков данных в сети в соответствии с определенными критериями.

3.12 межсетевой экран (Яге\ма!): Вид барьера безопасности, размещенного между различными сетевыми средами, состоящего из специализированного устройства или совокупности нескольких компонентов и технических приемов, через который должен проходить весь трафик из одной сетевой среды в другую и, наоборот, при этом пропускается только авторизованный трафик, соответствующий местной политике безопасности.

3.13 концентратор (пиб): Сетевое устройство, которое функционирует на первом уровне эталонной модели взаимодействия открытых систем.

п римечание— Сетевые концентраторы не являются интеллектуальными устройствами, они обеспечивают только точки физического соединения для сетевых систем или ресурсов.

3.14 Интернет (the |пете!): Глобальная система взаимосвязанных сетей общедоступного пользования.

3.15 интерсеть (и\{ете!: Совокупность взаимосвязанных сетей, называемая «объединенной сетью» или просто «интерсетью».

3.16 интранет (м!гапе!): Частная компьютерная сеть, использующая Интернет-протоколы и возможность сетевого соединения для безопасного коллективного использования части информации или операций организации ее сотрудниками.

3.17 вторжение (ткизюп): Несанкционированный доступ к сети или подсоединенной к сети системе, т. е. преднамеренный или случайный несанкционированный доступ к информационной системе, включая злонамеренную деятельность против информационной системы или несанкционированное ис- пользование ресурсов в информационной системе.

3.18 обнаружение вторжений (т!гизоп деесйоп): Формальный процесс обнаружения вторжений. обычно характеризующийся сбором сведений об аномальном характере использования, а также о том, какая уязвимость была использована и каким образом, включая то, когда и как это произошло.

Примечание — См. ИСОЛМЭК 18043.

3.19 система обнаружения вторжений дееспоп зуз{ет):10$: Специализированная система, используемая для идентификации того факта, что была предпринята попытка вторжения, вторжение происходит или произошло, а также для возможного реагирования на вторжение в информационные сис- темы и сети.

Примечание — См. ИСОЛМЭК 18043.

3.20 предотвращение вторжений ргеуепйоп): Формальный процесс активного реагирования с целью предотвращения вторжений.

3.21 система предотвращения вторжений (т!гизюп ргемепйоп |Р$: Вид систем обнаружения вторжений, специально предназначенных для обеспечения активной возможности реагирования.

Примечание — См. ИСОЛМЭК 18043.


ГОСТР ИСО/МЭК 27033-1—2011

3.22 вредоносное программное средство (та№аге): Вредоносное программное средство, специально разработанное для повреждения или разрушения системы посредством нарушения ее конфиденциальности, целостности и (или) доступности.

Примечание — Примерами вредоносного программного средства являются вирусы и «троянские коних.

3.23 MHOTONPOTOKONEHaA KOMMYTALIMA Ha OCHOBE MeTOK (Multi protocol label switching — MPLS): Метод, разработанный для использования в межсетевой маршрутизации, в соответствии с которым индивидуальным трактам передачи данных или потокам данных присваиваются метки, и который исполь- зуется для коммутации соединений на более низком уровне и в дополнение к обычным механизмам протоколов маршрутизации.

Примечание — Коммутация на основе меток может использоваться как один из методов создания туннелей.

3.24 сетевое администрирование (пемо к адтиигайой): Повседневная эксплуатация и управление сетевыми процессами и средствами, используемыми сетью.

3.25 сетевой анализатор (пемогк апа!угег): Устройство или программное средство, используемое для наблюдения и анализа информационного сетевого трафика.

Примечание — До проведения анализа информационного потока информация должна быть собрана определенным образом, например, путем использования сетевого анализатора пакетов.

3.26 сетевой элемент (пеммок еетеп!): Информационная система, подсоединенная к сети.

3.27 сетевой менеджмент (пемо тападетет: Процесс планирования, разработки, реализации, эксплуатации, мониторинга и поддержки сети.

3.28 сетевой мониторинг (пемок топйойпа): Процесс постоянного наблюдения и проверки зафиксированных данных о сетевой деятельности и операциях, включая контрольные журналы и предупреждения об опасности, и связанный с этим анализ.

3.29 политика сетевой безопасности (пемок зесищу Совокупность положений, правил и практических приемов, устанавливающих подход организации к использованию ее сетевых ресурсов и определяющих, как должна обеспечиваться защита ее сетевой инфраструктуры и сервисов.

3.30 сетевой анализатор пакетов (пемуогк зп Мег): Устройство или программное средство, ис- пользуемое для сбора информации, проходящей через сети.

3.31 порт (роп): Конечная точка соединения.

п римечание— В контексте Интернет-протокола порт представляет собой конечную точку логического канала ТСР или ЦОР соединения. Протоколы приложений на основе ТСР или ЦОР обычно имеют назначенные по умолчанию номера портов, например. порт 80 для НТТР протокола.

3.32 удаленный доступ (гето{е ассез$): Процесс получения доступа к сетевым ресурсам из дру- гой сети или с терминала, не являющегося постоянно соединенным физически или логически с сетью, к которой он получает доступ.



3.33 удаленный пользователь (гето{е изег): Пользователь. находящийся на объекте (площадке, филиале). отличном от того, на котором размещаются используемые сетевые ресурсы.

3.34 маршрутизатор (гощег): Сетевое устройство, используемое для установления и управления потоками данных между различными сетями путем выбора трактов или маршрутов на основе механизмов и алгоритмов протоколов маршрутизации.

Примечания 1 Сети сами могут быть основаны на разных протоколах. 2 Информация о маршрутизации хранится в таблице маршрутизации.

3.35 домен безопасности (зесищу дотат): Совокупность активов и ресурсов, подчиняющихся единой политике безопасности.

3.36 шлюз безопасности (зесищу дайемау): Точка соединения между сетями, между сегментами сетей или между программными приложениями в различных доменах безопасности, предназначенная для защиты сети в соответствии с существующей политикой безопасности.

3.37 спам (зрат): Незапрашиваемые сообщения электронной почты, содержание которых может быть вредоносным и (или) мошенническим.

3.38 спуфинг (зроойЙпд): Маскировка под легального пользователя или сетевой ресурс.


ГОСТР ИСО/МЭК 27033-1—2011

3.22 вредоносное программное средство (та№аге): Вредоносное программное средство, специально разработанное для повреждения или разрушения системы посредством нарушения ее конфиденциальности, целостности и (или) доступности.

Примечание — Примерами вредоносного программного средства являются вирусы и «троянские коних.

3.23 MHOTONPOTOKONEHaA KOMMYTALIMA Ha OCHOBE MeTOK (Multi protocol label switching — MPLS): Метод, разработанный для использования в межсетевой маршрутизации, в соответствии с которым индивидуальным трактам передачи данных или потокам данных присваиваются метки, и который исполь- зуется для коммутации соединений на более низком уровне и в дополнение к обычным механизмам протоколов маршрутизации.

Примечание — Коммутация на основе меток может использоваться как один из методов создания туннелей.

3.24 сетевое администрирование (пемо к адтиигайой): Повседневная эксплуатация и управление сетевыми процессами и средствами, используемыми сетью.

3.25 сетевой анализатор (пемогк апа!угег): Устройство или программное средство, используемое для наблюдения и анализа информационного сетевого трафика.

Примечание — До проведения анализа информационного потока информация должна быть собрана определенным образом, например, путем использования сетевого анализатора пакетов.

3.26 сетевой элемент (пеммок еетеп!): Информационная система, подсоединенная к сети.

3.27 сетевой менеджмент (пемо тападетет: Процесс планирования, разработки, реализации, эксплуатации, мониторинга и поддержки сети.

3.28 сетевой мониторинг (пемок топйойпа): Процесс постоянного наблюдения и проверки зафиксированных данных о сетевой деятельности и операциях, включая контрольные журналы и предупреждения об опасности, и связанный с этим анализ.

3.29 политика сетевой безопасности (пемок зесищу Совокупность положений, правил и практических приемов, устанавливающих подход организации к использованию ее сетевых ресурсов и определяющих, как должна обеспечиваться защита ее сетевой инфраструктуры и сервисов.

3.30 сетевой анализатор пакетов (пемуогк зп Мег): Устройство или программное средство, ис- пользуемое для сбора информации, проходящей через сети.

3.31 порт (роп): Конечная точка соединения.

п римечание— В контексте Интернет-протокола порт представляет собой конечную точку логического канала ТСР или ЦОР соединения. Протоколы приложений на основе ТСР или ЦОР обычно имеют назначенные по умолчанию номера портов, например. порт 80 для НТТР протокола.

3.32 удаленный доступ (гето{е ассез$): Процесс получения доступа к сетевым ресурсам из дру- гой сети или с терминала, не являющегося постоянно соединенным физически или логически с сетью, к которой он получает доступ.

3.33 удаленный пользователь (гето{е изег): Пользователь. находящийся на объекте (площадке, филиале). отличном от того, на котором размещаются используемые сетевые ресурсы.

3.34 маршрутизатор (гощег): Сетевое устройство, используемое для установления и управления потоками данных между различными сетями путем выбора трактов или маршрутов на основе механизмов и алгоритмов протоколов маршрутизации.

Примечания 1 Сети сами могут быть основаны на разных протоколах. 2 Информация о маршрутизации хранится в таблице маршрутизации.

3.35 домен безопасности (зесищу дотат): Совокупность активов и ресурсов, подчиняющихся единой политике безопасности.

3.36 шлюз безопасности (зесищу дайемау): Точка соединения между сетями, между сегментами сетей или между программными приложениями в различных доменах безопасности, предназначенная для защиты сети в соответствии с существующей политикой безопасности.

3.37 спам (зрат): Незапрашиваемые сообщения электронной почты, содержание которых может быть вредоносным и (или) мошенническим.

3.38 спуфинг (зроойЙпд): Маскировка под легального пользователя или сетевой ресурс.


ГОСТР ИСО/МЭК 27033-1—2011

3.39 коммутатор (з\/Исп): Устройство, обеспечивающее соединение сетевых устройств посредством внутренних механизмов коммутации, с технологией коммутации, обычно реализованной на втором или третьем уровне эталонной модели взаимодействия открытых систем.

п римечание — Коммутаторы отличаются от других соединительных устройств покальной сети {напри-



мер, концентраторов), так как используемая в коммутаторах технология устанавливает соединения на основе «точ- ка — точка».

3.40 туннель Канал передачи данных между сетевыми устройствами, который устанавливают через существующую сетевую инфраструктуру.

Примечание — Туннели могут устанавливать путем использования таких технических приемов. как протокольная инкапсуляция, коммутация на основе меток или виртуальный канал.

3.41 виртуальная локальная вычислительная сеть (ушиа! local area network): Hesasucumaa сеть, созданная с логической точки зрения внутри физической сети.

4 Сокращения Примечание — Перечисленные ниже сокращения применяют во всех частях ИСОЛМЭК 27033.

3С — система цифровой мобильной связи третьего поколения; ААА — аутентификация, авторизация и учет;

АСЕ — список контроля доступом;

АОЗЕ — асимметричная цифровая абонентская линия;

АЕ$ — улучшенный стандарт шифрования;

АТМ — асинхронный режим передачи;

BPL — широкополосная передача через линии электропередачи; СА — центр сертификации [открытых ключей];

СОМА — многостанционный доступ с кодовым разделением каналов; СОРО — сотовая цифровая передача пакетов данных;

СИО — идентификатор линии вызова;

CLNP — протокол сетевого обслуживания без установления соединения; Со$ — класс обслуживания (услуг);

СКМ —управление взаимосвязями с клиентами;

ОЕЁ —прямая линия обмена информацией;

ОЕ$ —стандарт шифрования данных;

ОМ$ — служба доменных имен;

DoS — отказ в обслуживании;

ОРМ$$ —цифровая сигнальная система частных сетей;

DSL — цифровая абонентская линия;

EDGE — улучшенные скорости передачи данных для развития ЕО! —электронный обмен данными;

ЕСРК$ — улучшенный общий сервис пакетной радиопередачи; Е!$ — информационная система предприятия;

FiOS — сервис с применением волоконной оптики;

РТР — протокол передачи файлов;

ЕТТН — сеть с доведенным до пользователя оптическим кабелем; СРК$ — общий сервис пакетной радиопередачи;

GSM — глобальная система мобильной связи;

HIDS — система обнаружения вторжений на базе хостов/серверов; НТТР — протокол передачи гипертекста;

0$ — система обнаружения вторжений;

iG — Руководство по реализации;

Р — Интернет-протокол;

IPS — система предупреждения вторжений;

15Р — провайдер Интернет-услуг;

MPLS — многопротокольная коммутация на основе меток;

МКР — планирование производственных ресурсов;


ГОСТР ИСО/МЭК 27033-1—2011

3.39 коммутатор (з\/Исп): Устройство, обеспечивающее соединение сетевых устройств посредством внутренних механизмов коммутации, с технологией коммутации, обычно реализованной на втором или третьем уровне эталонной модели взаимодействия открытых систем.

п римечание — Коммутаторы отличаются от других соединительных устройств покальной сети {напри-

мер, концентраторов), так как используемая в коммутаторах технология устанавливает соединения на основе «точ- ка — точка».

3.40 туннель Канал передачи данных между сетевыми устройствами, который устанавливают через существующую сетевую инфраструктуру.

Примечание — Туннели могут устанавливать путем использования таких технических приемов. как протокольная инкапсуляция, коммутация на основе меток или виртуальный канал.

3.41 виртуальная локальная вычислительная сеть (ушиа! local area network): Hesasucumaa сеть, созданная с логической точки зрения внутри физической сети.

4 Сокращения Примечание — Перечисленные ниже сокращения применяют во всех частях ИСОЛМЭК 27033.

3С — система цифровой мобильной связи третьего поколения; ААА — аутентификация, авторизация и учет;

АСЕ — список контроля доступом;

АОЗЕ — асимметричная цифровая абонентская линия;

АЕ$ — улучшенный стандарт шифрования;

АТМ — асинхронный режим передачи;

BPL — широкополосная передача через линии электропередачи; СА — центр сертификации [открытых ключей];

СОМА — многостанционный доступ с кодовым разделением каналов; СОРО — сотовая цифровая передача пакетов данных;

СИО — идентификатор линии вызова;

CLNP — протокол сетевого обслуживания без установления соединения; Со$ — класс обслуживания (услуг);

СКМ —управление взаимосвязями с клиентами;

ОЕЁ —прямая линия обмена информацией;

ОЕ$ —стандарт шифрования данных;

ОМ$ — служба доменных имен;

DoS — отказ в обслуживании;

ОРМ$$ —цифровая сигнальная система частных сетей;

DSL — цифровая абонентская линия;

EDGE — улучшенные скорости передачи данных для развития ЕО! —электронный обмен данными;

ЕСРК$ — улучшенный общий сервис пакетной радиопередачи; Е!$ — информационная система предприятия;

FiOS — сервис с применением волоконной оптики;

РТР — протокол передачи файлов;

ЕТТН — сеть с доведенным до пользователя оптическим кабелем; СРК$ — общий сервис пакетной радиопередачи;

GSM — глобальная система мобильной связи;

HIDS — система обнаружения вторжений на базе хостов/серверов; НТТР — протокол передачи гипертекста;

0$ — система обнаружения вторжений;

iG — Руководство по реализации;

Р — Интернет-протокол;

IPS — система предупреждения вторжений;

15Р — провайдер Интернет-услуг;

MPLS — многопротокольная коммутация на основе меток;

МКР — планирование производственных ресурсов;


ГОСТР ИСО/МЭК 27033-1—2011

МАТ — трансляция сетевых адресов;

М№МО$ — система обнаружения сетевых вторжений;

МТР — синхронизирующий сетевой протокол;

ООВ — внеполбсный;

РАВХ — учрежденческая АТС с исходящей и входящей связью; РАМ — личный идентификационный номер;

РК! — инфраструктура открытых ключей;

РТМ — телефонная коммутируемая сеть общего пользования; Оо$ — качество обслуживания;

КАШЮШ — матрица независимых дисковых накопителей с избыточностью: RAS — сервис удаленного доступа;

КТР — протокол реального времени;

$0$Е — симметричная цифровая абонентская линия;

ЗесОР$ — операционные процедуры безопасности;

ЗИМ — модуль идентификации абонента;

SNMP — простой протокол сетевого управления;

ЭР — спам через

З$Н — безопасная оболочка;

ТСР — протокол управления передачей;

ТОМА — многостанционный доступ с временным разделением каналов: ТЕТКА — наземное транкинговое радио;

ТКР — протокол целостности временного ключа;

ЦОР — протокол передачи дейтаграмм пользователя;

ОМТ$ — универсальная система мобильной связи;

USB — универсальная последовательная шина;

VLAN — виртуальная локальная вычислительная сеть;

\оР — передача речи no IP;

У\РМ — виртуальная частная сеть;

WAP — протокол приложений для беспроводной связи;

WEP — безопасность, эквивалентная проводной сети;

УМЛАМ — беспроводная локальная вычислительная сеть; М/ОКМ — с однократной записью и многократным считыванием; МИРА — защищенный доступ в беспроводных сетях:

ГВС (WAN) — глобальная вычислительная сеть;

QM3 (DMZ) — демилитаризованная зона;

ИБП (ЧР$) — источник бесперебойного питания;

ИТ (1) — информационная технология;

КПК (РОА) — «карманный» персональный компьютер;

ЛВС (ЕАМ) — покальная вычислительная сеть;

ОВЧ (МНР) —очень высокая частота;

ПК (РС) — персональный компьютер.

5 Структура

Структура серии стандартов ИСОЛМЭК 27033 представлена в виде схемы или «путеводителя» на рисунке 2.

Сплошными линиями на рисунке 2 отмечена естественная иерархия частей ИСОЛМЭК 27033. Пунктирными линиями отмечено, что, следуя процессам:

а} описанным в части 1, — можно обращаться за информацией по вопросу, касающемуся рисков безопасности, к частям 3—7 ИСОЛМЭК 27033;

Ь) описанным в части 2, — можно обращаться за информацией по вопросам, касающимся методов проектирования и мер и средств контроля и управления к частям 3—7 ИСОЛМЭК 27033.

Кроме того, в части 3 ИСО/ЛМЭК 27033 есть ссылки на конкретные аспекты, содержащиеся в час- тях 4—7 ИСОЛМЭК 27033 стем, чтобы избежать дублирования (т. е. при использовании части 3 возможно обращение к частям 4—7).

6


ГОСТР ИСО/МЭК 27033-1—2011

МАТ — трансляция сетевых адресов;

М№МО$ — система обнаружения сетевых вторжений;

МТР — синхронизирующий сетевой протокол;

ООВ — внеполбсный;

РАВХ — учрежденческая АТС с исходящей и входящей связью; РАМ — личный идентификационный номер;

РК! — инфраструктура открытых ключей;

РТМ — телефонная коммутируемая сеть общего пользования; Оо$ — качество обслуживания;

КАШЮШ — матрица независимых дисковых накопителей с избыточностью: RAS — сервис удаленного доступа;

КТР — протокол реального времени;

$0$Е — симметричная цифровая абонентская линия;

ЗесОР$ — операционные процедуры безопасности;

ЗИМ — модуль идентификации абонента;

SNMP — простой протокол сетевого управления;

ЭР — спам через

З$Н — безопасная оболочка;

ТСР — протокол управления передачей;

ТОМА — многостанционный доступ с временным разделением каналов: ТЕТКА — наземное транкинговое радио;

ТКР — протокол целостности временного ключа;

ЦОР — протокол передачи дейтаграмм пользователя;

ОМТ$ — универсальная система мобильной связи;

USB — универсальная последовательная шина;

VLAN — виртуальная локальная вычислительная сеть;

\оР — передача речи no IP;

У\РМ — виртуальная частная сеть;

WAP — протокол приложений для беспроводной связи;

WEP — безопасность, эквивалентная проводной сети;

УМЛАМ — беспроводная локальная вычислительная сеть; М/ОКМ — с однократной записью и многократным считыванием; МИРА — защищенный доступ в беспроводных сетях:

ГВС (WAN) — глобальная вычислительная сеть;

QM3 (DMZ) — демилитаризованная зона;

ИБП (ЧР$) — источник бесперебойного питания;

ИТ (1) — информационная технология;

КПК (РОА) — «карманный» персональный компьютер;

ЛВС (ЕАМ) — покальная вычислительная сеть;

ОВЧ (МНР) —очень высокая частота;

ПК (РС) — персональный компьютер.

5 Структура

Структура серии стандартов ИСОЛМЭК 27033 представлена в виде схемы или «путеводителя» на рисунке 2.

Сплошными линиями на рисунке 2 отмечена естественная иерархия частей ИСОЛМЭК 27033. Пунктирными линиями отмечено, что, следуя процессам:

а} описанным в части 1, — можно обращаться за информацией по вопросу, касающемуся рисков безопасности, к частям 3—7 ИСОЛМЭК 27033;

Ь) описанным в части 2, — можно обращаться за информацией по вопросам, касающимся методов проектирования и мер и средств контроля и управления к частям 3—7 ИСОЛМЭК 27033.

Кроме того, в части 3 ИСО/ЛМЭК 27033 есть ссылки на конкретные аспекты, содержащиеся в час- тях 4—7 ИСОЛМЭК 27033 стем, чтобы избежать дублирования (т. е. при использовании части 3 возможно обращение к частям 4—7).

6


ГОСТР ИСО/МЭК 27033-1—2011

н-----------=--

г | | | | 1

Примечание — Следует отметить, что в будущем возможно появление и других частей ИСО/МЗЭК 27033. Примеры возможных тем, охватываемых будущими частями ИСОЛИЗЭК 27033, включают в себя покальные, слобапьные и широкопопосные сети; размещение информации на сервере веб-узлов; электронную почту в Интернете и маршрутизированный доступ для сторонних организаций. Основными пунктами всех этих частей должны быть риски, методы проектирования и вопросы, касающиеся мер и средств контроля и управления.

Рисунок 2 — «Путеводитель» по ИСОЛИЭК 27033

Таким образом, любой организации, начинающей с «нуля» или проводящей серьезную проверку существующей сети (сетей), следует в первую очередь использовать настоящий стандарт, а затем ИСОЛМЭК 27033-2, и, по мере необходимости, обращаться к информации о рисках безопасности, методах проектирования и вопросах. касающихся мер и средств контроля и управления, содержащихся в частях 3—7 ИСОЛМЭК 27033.

Например, организация рассматривает реализацию новой сетевой среды, включающей в себя применение шлюзов безопасности, частичное применение беспроводной связи, а также размещение информации на сервере веб-узлов и использование Интернета (например, для электронной почты и доступа в режиме оп-пе).

Используя описанные в настоящем стандарте процессы определения рисков безопасности для новой сетевой среды, организация будет учитывать относящуюся к риску информацию из других соот- ветствующих частей ИСОЛМЭК 27033, т. е. тех частей, которые определяют конкретные риски безопас- ности (а также методы проектирования и вопросы, касающиеся мер и средств контроля и управления), относящиеся к |Р-конвергенции, шлюзам безопасности, частичному применению беспроводной связи, а

7


ГОСТР ИСО/МЭК 27033-1—2011

н-----------=--

г | | | | 1

Примечание — Следует отметить, что в будущем возможно появление и других частей ИСО/МЗЭК 27033. Примеры возможных тем, охватываемых будущими частями ИСОЛИЗЭК 27033, включают в себя покальные, слобапьные и широкопопосные сети; размещение информации на сервере веб-узлов; электронную почту в Интернете и маршрутизированный доступ для сторонних организаций. Основными пунктами всех этих частей должны быть риски, методы проектирования и вопросы, касающиеся мер и средств контроля и управления.

Рисунок 2 — «Путеводитель» по ИСОЛИЭК 27033

Таким образом, любой организации, начинающей с «нуля» или проводящей серьезную проверку существующей сети (сетей), следует в первую очередь использовать настоящий стандарт, а затем ИСОЛМЭК 27033-2, и, по мере необходимости, обращаться к информации о рисках безопасности, методах проектирования и вопросах. касающихся мер и средств контроля и управления, содержащихся в частях 3—7 ИСОЛМЭК 27033.

Например, организация рассматривает реализацию новой сетевой среды, включающей в себя применение шлюзов безопасности, частичное применение беспроводной связи, а также размещение информации на сервере веб-узлов и использование Интернета (например, для электронной почты и доступа в режиме оп-пе).

Используя описанные в настоящем стандарте процессы определения рисков безопасности для новой сетевой среды, организация будет учитывать относящуюся к риску информацию из других соот- ветствующих частей ИСОЛМЭК 27033, т. е. тех частей, которые определяют конкретные риски безопас- ности (а также методы проектирования и вопросы, касающиеся мер и средств контроля и управления), относящиеся к |Р-конвергенции, шлюзам безопасности, частичному применению беспроводной связи, а

7


ГОСТР ИСО/МЭК 27033-1—2011

также размещение информации на сервере веб-узлов и использованию Интернета (например, для электронной почты и доступа в pexume on-line).

При использовании ИСО/МЭК 27033-2 для определения требуемой специализированной архитектуры сетевой безопасности организации следует учитывать информацию о методах проектирования и вопросах, касающихся мер и средств контроля и управления из других соответствующих частей ИСОЛМЭК 27033, т. е. тех частей, которые определяют конкретные методы проектирования и вопросы, касающиеся мер и средств контроля и управления (а также риски безопасности), относящиеся к |Р-конвергенции, шлюзам безопасности, частичному применению беспроводной связи, а также размещению информации на сервере веб-узлов и использованию Интернета (например, для электронной почты и доступа в режиме

Структура настоящего стандарта включает в себя:

- обзор подхода к обеспечению сетевой безопасности (см. раздел 6);

- краткое изложение процесса идентификации рисков, связанных с сетями, и подготовки к идентификации мер и средств контроля и управления безопасностью, т. е. установлению требований сетевой безопасности (см. раздел 7);

- обзор мер и средств контроля и управления, поддерживающих специализированные архитекту- ры сетевой безопасности и связанные с ними технические меры и средства контроля и управления, т.е. обзор других мер и средств контроля и управления (технических и нетехнических), которые применимы не только к сетям (см. раздел 8). Представляются соответствующие ссылки на ИСОЛМЭК 27001, ИСО/МЭК 27002 и ИСОЛМЭК 27005;

- ознакомление с возможностями специализированных архитектур безопасности, которые будут обеспечивать сетевую безопасность. соответствующую среде основной деятельности организаций, применяя последовательный подход к планированию и проектированию сетевой безопасности с ис- пользованием при необходимости моделей/систем (т. е. введение к ИСО/МЭК 27033-2) (см. раздел 9);

- знакомство с конкретными рисками, методами проектирования и вопросами, касающимися мер и средств контроля и управления, связанными с типовыми сетевыми сценариями (т. е. введения к содер- жанию ИСО/МЭК 27033-3)} (см. раздел 10);

- знакомство с конкретными рисками, методами проектирования и вопросами, касающимися мер и средств контроля и управления для сетевой «технологии» (т.е. введения кчастям 4—7 ИСОЛМЭК 27033 икдругим частям 27033, появление которых возможно в будущем) (см. раздел 11 и приложение А):

- краткое изложение вопросов, связанных с разработкой, реализацией и тестированием комплекса программных и технических средств и услуг по обеспечению сетевой безопасности (см. раздел 12), экс- плуатацией комплекса программных и технических средств и услуг по обеспечению сетевой безопас- ности (см. раздел 13) и постоянным мониторингом и проверкой реализации сетевой безопасности (см. раздел 14);

- таблицу, содержащую перекрестные ссылки между разделами ИСОЛМЭК 27001, ИСОЛМЭК 27002 и разделами настоящего стандарта, где рассматриваются меры и средства контроля и управления, связанные с сетевой безопасностью (см. приложение В}.

6 Обзор

6.1 Вводная информация

Пример сетевой среды, которую в настоящее время можно видеть во многих организациях, представлен на рисунке 3 (рисунок 3 приведен в настоящем разделе в качестве примера).

Интранет является внутренней сетью, используемой и поддерживаемой организацией. Обычно только работающие в организации лица имеют прямой физический доступ к этой сети, а поскольку сеть располагается в пределах помещений, являющихся собственностью организации, можно легко обеспечить определенный уровень физической защиты. В большинстве случаев сеть Интранет является неоднородной в отношении использованных технологий и требований безопасности; она может включать в себя инфраструктуры, нуждающиеся в более высоком уровне защиты, чем предоставляемый сетью Интранет.

Управление такими инфраструктурами, например, важнейшими частями среды РК! (инфраструктуры открытых ключей), может осуществляться в выделенном сегменте сети Интранет. С другой стороны, определенные технопогии [например, инфраструктуры WLAN (беспроводной локальной


ГОСТР ИСО/МЭК 27033-1—2011

также размещение информации на сервере веб-узлов и использованию Интернета (например, для электронной почты и доступа в pexume on-line).

При использовании ИСО/МЭК 27033-2 для определения требуемой специализированной архитектуры сетевой безопасности организации следует учитывать информацию о методах проектирования и вопросах, касающихся мер и средств контроля и управления из других соответствующих частей ИСОЛМЭК 27033, т. е. тех частей, которые определяют конкретные методы проектирования и вопросы, касающиеся мер и средств контроля и управления (а также риски безопасности), относящиеся к |Р-конвергенции, шлюзам безопасности, частичному применению беспроводной связи, а также размещению информации на сервере веб-узлов и использованию Интернета (например, для электронной почты и доступа в режиме

Структура настоящего стандарта включает в себя:

- обзор подхода к обеспечению сетевой безопасности (см. раздел 6);

- краткое изложение процесса идентификации рисков, связанных с сетями, и подготовки к идентификации мер и средств контроля и управления безопасностью, т. е. установлению требований сетевой безопасности (см. раздел 7);

- обзор мер и средств контроля и управления, поддерживающих специализированные архитекту- ры сетевой безопасности и связанные с ними технические меры и средства контроля и управления, т.е. обзор других мер и средств контроля и управления (технических и нетехнических), которые применимы не только к сетям (см. раздел 8). Представляются соответствующие ссылки на ИСОЛМЭК 27001, ИСО/МЭК 27002 и ИСОЛМЭК 27005;

- ознакомление с возможностями специализированных архитектур безопасности, которые будут обеспечивать сетевую безопасность. соответствующую среде основной деятельности организаций, применяя последовательный подход к планированию и проектированию сетевой безопасности с ис- пользованием при необходимости моделей/систем (т. е. введение к ИСО/МЭК 27033-2) (см. раздел 9);

- знакомство с конкретными рисками, методами проектирования и вопросами, касающимися мер и средств контроля и управления, связанными с типовыми сетевыми сценариями (т. е. введения к содер- жанию ИСО/МЭК 27033-3)} (см. раздел 10);

- знакомство с конкретными рисками, методами проектирования и вопросами, касающимися мер и средств контроля и управления для сетевой «технологии» (т.е. введения кчастям 4—7 ИСОЛМЭК 27033 икдругим частям 27033, появление которых возможно в будущем) (см. раздел 11 и приложение А):

- краткое изложение вопросов, связанных с разработкой, реализацией и тестированием комплекса программных и технических средств и услуг по обеспечению сетевой безопасности (см. раздел 12), экс- плуатацией комплекса программных и технических средств и услуг по обеспечению сетевой безопас- ности (см. раздел 13) и постоянным мониторингом и проверкой реализации сетевой безопасности (см. раздел 14);

- таблицу, содержащую перекрестные ссылки между разделами ИСОЛМЭК 27001, ИСОЛМЭК 27002 и разделами настоящего стандарта, где рассматриваются меры и средства контроля и управления, связанные с сетевой безопасностью (см. приложение В}.

6 Обзор

6.1 Вводная информация

Пример сетевой среды, которую в настоящее время можно видеть во многих организациях, представлен на рисунке 3 (рисунок 3 приведен в настоящем разделе в качестве примера).

Интранет является внутренней сетью, используемой и поддерживаемой организацией. Обычно только работающие в организации лица имеют прямой физический доступ к этой сети, а поскольку сеть располагается в пределах помещений, являющихся собственностью организации, можно легко обеспечить определенный уровень физической защиты. В большинстве случаев сеть Интранет является неоднородной в отношении использованных технологий и требований безопасности; она может включать в себя инфраструктуры, нуждающиеся в более высоком уровне защиты, чем предоставляемый сетью Интранет.

Управление такими инфраструктурами, например, важнейшими частями среды РК! (инфраструктуры открытых ключей), может осуществляться в выделенном сегменте сети Интранет. С другой стороны, определенные технопогии [например, инфраструктуры WLAN (беспроводной локальной


ГОСТР ИСО/МЭК 27033-1—2011

Рисунок 3 — Пример сетевой среды

вычислительной сети)] могут потребовать некоторого изолирования и аутентификации, так как они вносят дополнительные риски. Во всех ситуациях для реализации такого сегментирования могут использоваться внутренние шлюзы безопасности.

Потребности основной деятельности большинства организаций делают необходимыми связь и обмен данными с внешними партнерами и другими организациями. Часто связь с большинством важнейших деловых партнеров осуществляется способом, непосредственно расширяющим Интранет в сторону сети организации-партнера; для таких расширений обычно используется термин «Экстранет». Поскольку доверие к подключенным организациям-партнерам в большинстве случаев ниже, чем к сотрудникам самой организации, для устранения рисков, вносимых этими соединениями, используются шлюзы безопасности Экстранет.

Кроме того, общедоступные сети, наиболее распространенным примером которых является Интернет, используются сегодня для предоставления экономически оправданных средств связи и обмена данными с партнерами, клиентами и широкой публикой и обеспечения различных форм расширения сети Интранет. Из-за низкого уровня доверия в общедоступных сетях, особенно в Интернете, для содействия менеджменту соответствующих рисков необходимы усовершенствованные шлюзы безопасности. Эти шлюзы безопасности включают в себя специфические компоненты для учета требований различных форм расширения сети Интранет, а также связи с партнерами и клиентами.

Удаленные пользователи могут быть подсоединены посредством технологии виртуальных час- тных сетей. Кроме того, они могут использовать беспроводные средства связи, такие. например, как общедоступные точки доступа к МАМ, для получения доступа к Интернету. В качестве альтернативы для установления прямых коммутируемых соединений по телефонной линии с сервером удаленного досту-

3


ГОСТР ИСО/МЭК 27033-1—2011

Рисунок 3 — Пример сетевой среды

вычислительной сети)] могут потребовать некоторого изолирования и аутентификации, так как они вносят дополнительные риски. Во всех ситуациях для реализации такого сегментирования могут использоваться внутренние шлюзы безопасности.

Потребности основной деятельности большинства организаций делают необходимыми связь и обмен данными с внешними партнерами и другими организациями. Часто связь с большинством важнейших деловых партнеров осуществляется способом, непосредственно расширяющим Интранет в сторону сети организации-партнера; для таких расширений обычно используется термин «Экстранет». Поскольку доверие к подключенным организациям-партнерам в большинстве случаев ниже, чем к сотрудникам самой организации, для устранения рисков, вносимых этими соединениями, используются шлюзы безопасности Экстранет.

Кроме того, общедоступные сети, наиболее распространенным примером которых является Интернет, используются сегодня для предоставления экономически оправданных средств связи и обмена данными с партнерами, клиентами и широкой публикой и обеспечения различных форм расширения сети Интранет. Из-за низкого уровня доверия в общедоступных сетях, особенно в Интернете, для содействия менеджменту соответствующих рисков необходимы усовершенствованные шлюзы безопасности. Эти шлюзы безопасности включают в себя специфические компоненты для учета требований различных форм расширения сети Интранет, а также связи с партнерами и клиентами.

Удаленные пользователи могут быть подсоединены посредством технологии виртуальных час- тных сетей. Кроме того, они могут использовать беспроводные средства связи, такие. например, как общедоступные точки доступа к МАМ, для получения доступа к Интернету. В качестве альтернативы для установления прямых коммутируемых соединений по телефонной линии с сервером удаленного досту-

3


ГОСТР ИСО/МЭК 27033-1—2011

па, который часто размещается в ДМЗ межсетевого экрана Интернет, удаленные пользователи могут задействовать телефонную сеть.

Если организация решает использовать технологии передачи речи no IP (VoIP) anA реализации внутренней телефонной сети, то, как правило, используются соответствующие шлюзы безопасности для телефонной сети.

Благоприятные возможности для основной деятельности организации, предлагаемые новыми видами сетевой среды, должны сопоставляться с рисками, которые привносят новые технологии. Например, Интернет имеет ряд технических свойств, которые могут вызывать беспокойство с точки зрения безопасности, так как он первоначально проектировался в расчете на установление соединения, а не исходя из соображений безопасности — и многие из его обычно используемых основных протоколов не являются безопасными по своей природе. В глобальной сетевой среде насчитывается большое число людей, обладающих способностями, знаниями и склонностью к получению доступа к лежащим в ее основе механизмам и протоколам и созданию инцидентов безопасности от несанкционированного доступа до крупномасштабного отказа в обслуживании.

6.2 Планирование и менеджмент сетевой безопасности

При рассмотрении вопроса о сетевых соединениях все сотрудники организации, чьи обязанности связаны с обслуживанием соединений сети, должны отчетливо сознавать важность требований и выгод основной деятельности организации. взаимосвязанных рисков безопасности и взаимосвязанных аспектов специализированной архитектуры безопасности/методы проектирования и области действия мер и средств контроля и управления безопасностью. Требования и выгоды основной деятельности организации влияют на многие решения и действия, предпринимаемые в процессе рассмотрения вопроса сетевых соединений, идентификации аспектов специализированной архитектуры безопасности/методов проектирования и потенциальных областей действия мер и средств контроля и управления безопаснос- тью и, в конечном счете, выбора, проектирования, реализации и поддержки безопасных сетей.

Общий процесс достижения и поддержки необходимой сетевой безопасности можно кратко изложить следующим образом:

а) определение областижонтекста, а затем оценка рисков безопасности:

1} сбор информации о текущей и (или) планируемой сетевой среде: {) рассмотрение корпоративной политики информационной безопасности на предмет фор- мулировок о рисках, связанных с сетями, которые всегда будут считаться высокими, а также мерах и средствах контроля и управления сетевой безопасностью, которые должны быть реализованы независимо от оцененных рисков.

Примечание — Следует отметить, что эта политика должна также отражать позицию организации в от- ношении {см. перечисление 1), регулирующих и законодательных требований безопасности, связанных с сетевыми соединениями, которые определены соответствующими регулирующими или законодательными органами (вклю- чая органы исполнительной власти) (см. перечисление 2), значимости данных, которые будут храниться в сети или передаваться по сети,

й) сбор и проверка информации о текущей и (или) планируемой сети (сетях) — архитектура (архитектуры), приложения, услуги, виды соединений и другие характеристики, что будет иметь отношение кидентификации и оценке рисков и определению того, что является возможным с точки зрения специализированной архитектуры/проекта сетевой безопасности,

Ш) сбор другой информации с тем, чтобы иметь возможность оценить потенциальное неблагоприятное влияние на основную деятельность организации. угрозы и уязвимости (представляет ценность для операций основной деятельности организации, касающихся информации, которая должна передаваться через сетевые соединения, и любой другой информации, потенциально доступной несанкционированным образом через эти соединения, а также для предоставляемых услуг);

2) идентификация и оценка рисков сетевой безопасности и соответствующих потенциальных областей действия мер и средств контроля и управления:

i) осуществление оценки риска сетевой безопасности и проводимой руководством проверки с использованием информации о риске, связанном с требуемыми сетевыми сценариями и вопросами сетевых «технопогий» (см. разделы 10 и 11) — определение требований безопасности. [Следует обратить внимание на то, что это будет включать в себя (см. перечисление 1), оценку рисков, связанных с потенциальными нарушениями значимых предписаний и законов, касающихся сетевых соединений, которые определены соответствующими регулирующими или законодательными органами (включая органы исполнительной власти) (см. перечисление 2), использование установленных потенциальных

10


ГОСТР ИСО/МЭК 27033-1—2011

па, который часто размещается в ДМЗ межсетевого экрана Интернет, удаленные пользователи могут задействовать телефонную сеть.

Если организация решает использовать технологии передачи речи no IP (VoIP) anA реализации внутренней телефонной сети, то, как правило, используются соответствующие шлюзы безопасности для телефонной сети.

Благоприятные возможности для основной деятельности организации, предлагаемые новыми видами сетевой среды, должны сопоставляться с рисками, которые привносят новые технологии. Например, Интернет имеет ряд технических свойств, которые могут вызывать беспокойство с точки зрения безопасности, так как он первоначально проектировался в расчете на установление соединения, а не исходя из соображений безопасности — и многие из его обычно используемых основных протоколов не являются безопасными по своей природе. В глобальной сетевой среде насчитывается большое число людей, обладающих способностями, знаниями и склонностью к получению доступа к лежащим в ее основе механизмам и протоколам и созданию инцидентов безопасности от несанкционированного доступа до крупномасштабного отказа в обслуживании.

6.2 Планирование и менеджмент сетевой безопасности

При рассмотрении вопроса о сетевых соединениях все сотрудники организации, чьи обязанности связаны с обслуживанием соединений сети, должны отчетливо сознавать важность требований и выгод основной деятельности организации. взаимосвязанных рисков безопасности и взаимосвязанных аспектов специализированной архитектуры безопасности/методы проектирования и области действия мер и средств контроля и управления безопасностью. Требования и выгоды основной деятельности организации влияют на многие решения и действия, предпринимаемые в процессе рассмотрения вопроса сетевых соединений, идентификации аспектов специализированной архитектуры безопасности/методов проектирования и потенциальных областей действия мер и средств контроля и управления безопаснос- тью и, в конечном счете, выбора, проектирования, реализации и поддержки безопасных сетей.

Общий процесс достижения и поддержки необходимой сетевой безопасности можно кратко изложить следующим образом:

а) определение областижонтекста, а затем оценка рисков безопасности:

1} сбор информации о текущей и (или) планируемой сетевой среде: {) рассмотрение корпоративной политики информационной безопасности на предмет фор- мулировок о рисках, связанных с сетями, которые всегда будут считаться высокими, а также мерах и средствах контроля и управления сетевой безопасностью, которые должны быть реализованы независимо от оцененных рисков.

Примечание — Следует отметить, что эта политика должна также отражать позицию организации в от- ношении {см. перечисление 1), регулирующих и законодательных требований безопасности, связанных с сетевыми соединениями, которые определены соответствующими регулирующими или законодательными органами (вклю- чая органы исполнительной власти) (см. перечисление 2), значимости данных, которые будут храниться в сети или передаваться по сети,

й) сбор и проверка информации о текущей и (или) планируемой сети (сетях) — архитектура (архитектуры), приложения, услуги, виды соединений и другие характеристики, что будет иметь отношение кидентификации и оценке рисков и определению того, что является возможным с точки зрения специализированной архитектуры/проекта сетевой безопасности,

Ш) сбор другой информации с тем, чтобы иметь возможность оценить потенциальное неблагоприятное влияние на основную деятельность организации. угрозы и уязвимости (представляет ценность для операций основной деятельности организации, касающихся информации, которая должна передаваться через сетевые соединения, и любой другой информации, потенциально доступной несанкционированным образом через эти соединения, а также для предоставляемых услуг);

2) идентификация и оценка рисков сетевой безопасности и соответствующих потенциальных областей действия мер и средств контроля и управления:

i) осуществление оценки риска сетевой безопасности и проводимой руководством проверки с использованием информации о риске, связанном с требуемыми сетевыми сценариями и вопросами сетевых «технопогий» (см. разделы 10 и 11) — определение требований безопасности. [Следует обратить внимание на то, что это будет включать в себя (см. перечисление 1), оценку рисков, связанных с потенциальными нарушениями значимых предписаний и законов, касающихся сетевых соединений, которые определены соответствующими регулирующими или законодательными органами (включая органы исполнительной власти) (см. перечисление 2), использование установленных потенциальных

10


ГОСТР ИСО/МЭК 27033-1—2011

неблагоприятных влияний на основную деятельность организации, подтверждающих значимость/секретность данных, которые будут храниться или передаваться по сети];

5) идентификация поддерживающих мер и средств контроля и управления безопасностью — тех- нических и нетехнических — применяемых не только к сетям (см. раздел 8);

с) рассмотрение вариантов специализированной архитектуры/проекта сетевой безопасности с учетом сетевых сценариев и вопросов сетевых «технологий», выбором и документированием предпоч- тительной специализированной архитектуры/проекта безопасности и связанных с ними мер и средств контроля и управления безопасностью (см. разделы 9—11 и приложение А). [Следует отметить, что это будет касаться мер и средств контроля и управления, необходимых для соблюдения соответствующих предписаний и законов, связанных с сетевыми соединениями, которые определены соответствующими регулирующими или законодательными органами {включая органы исполнительной власти)];

9) разработка и тестирование комплекса программных и технических средств и услуг по обеспечению безопасности (см. раздел 12);

е) реализация и эксплуатация мер и средств контроля и управления безопасностью (см. раз- gen 13);

®) мониторинги проверка реализации (см. раздел 14). [Следует отметить. что процесс будет вклю- чать мониторинг и проверку мер и средств контроля и управления, необходимых для соблюдения соот- ветствующих предписаний и законов, связанных с сетевыми соединениями, которые определены соответствующими регулирующими или законодательными органами (включая органы исполнительной власти)]:

1) проверки должны проводиться периодически, а также в случае существенных изменений (в потребностях основной деятельности организации, технологии, решений по обеспечению безопасности ит. д.), ипо мере необходимости должны пересматриваться и корректироваться результаты описанных выше предыдущих этапов.

Схема процесса планирования и менеджмента сетевой безопасности представлена на рисунке 4.

Следует подчеркнуть, что на протяжении этого процесса, по мере необходимости и для получения общих рекомендаций по идентификации мер и средств контроля и управления безопасностью, необходимо обратиться кИСОЛМЭК 27001, ИСОЛИЭК 27002 и ИСО/МЯЭК 27005. Настоящий стандарт дополняет эти стандарты, предоставляя вводную информацию к тому, как следует идентифицировать соответствующие меры и средства контроля и управления сетевой безопасностью и, следовательно, к ИСОЛМЭК 27033-2 — ИСО/МЭК 27033-7.

11


ГОСТР ИСО/МЭК 27033-1—2011

неблагоприятных влияний на основную деятельность организации, подтверждающих значимость/секретность данных, которые будут храниться или передаваться по сети];

5) идентификация поддерживающих мер и средств контроля и управления безопасностью — тех- нических и нетехнических — применяемых не только к сетям (см. раздел 8);

с) рассмотрение вариантов специализированной архитектуры/проекта сетевой безопасности с учетом сетевых сценариев и вопросов сетевых «технологий», выбором и документированием предпоч- тительной специализированной архитектуры/проекта безопасности и связанных с ними мер и средств контроля и управления безопасностью (см. разделы 9—11 и приложение А). [Следует отметить, что это будет касаться мер и средств контроля и управления, необходимых для соблюдения соответствующих предписаний и законов, связанных с сетевыми соединениями, которые определены соответствующими регулирующими или законодательными органами {включая органы исполнительной власти)];

9) разработка и тестирование комплекса программных и технических средств и услуг по обеспечению безопасности (см. раздел 12);

е) реализация и эксплуатация мер и средств контроля и управления безопасностью (см. раз- gen 13);

®) мониторинги проверка реализации (см. раздел 14). [Следует отметить. что процесс будет вклю- чать мониторинг и проверку мер и средств контроля и управления, необходимых для соблюдения соот- ветствующих предписаний и законов, связанных с сетевыми соединениями, которые определены соответствующими регулирующими или законодательными органами (включая органы исполнительной власти)]:

1) проверки должны проводиться периодически, а также в случае существенных изменений (в потребностях основной деятельности организации, технологии, решений по обеспечению безопасности ит. д.), ипо мере необходимости должны пересматриваться и корректироваться результаты описанных выше предыдущих этапов.

Схема процесса планирования и менеджмента сетевой безопасности представлена на рисунке 4.

Следует подчеркнуть, что на протяжении этого процесса, по мере необходимости и для получения общих рекомендаций по идентификации мер и средств контроля и управления безопасностью, необходимо обратиться кИСОЛМЭК 27001, ИСОЛИЭК 27002 и ИСО/МЯЭК 27005. Настоящий стандарт дополняет эти стандарты, предоставляя вводную информацию к тому, как следует идентифицировать соответствующие меры и средства контроля и управления сетевой безопасностью и, следовательно, к ИСОЛМЭК 27033-2 — ИСО/МЭК 27033-7.

11


ГОСТ Р ИСО!МЭК 27033-1—2011

Ge es oot ee вез © A AS GE A EN ОДНИ О ОИ ОИ ОН GD GD MED QED ENN TONES TD ENED ED SE

VAQGHT (ea © OGTRMM, TK K пдюнтификацим NOD 4 EOHTPONA 4

Ta):

- per o M [PIM] LIED pane

чб = = = =

обор дула пбитучения Оцёнкм

ни берез утром и укимыюстой бизнес,

ом. разделы 10н 71; — Опрадапеные требований бегопаанооти fou. 7)

PSL A CLUS LHC eo Проверки, ME M Hix C HARM BHD NM срадста

я управления (сла. 6 - 11)

Резрабстки, реализация и тестирюеныние решенымй па обосточюнияй (см. раздел 12)

(ом. раздал 18)

a но око о ва са ош на а а оо май

Примечание — См. также 27001 — ИСОЛИЭК 27005

Рисунок 4 — Процесс планирования и менеджмента сетевой безопасности


ГОСТ Р ИСО!МЭК 27033-1—2011

Ge es oot ee вез © A AS GE A EN ОДНИ О ОИ ОИ ОН GD GD MED QED ENN TONES TD ENED ED SE

VAQGHT (ea © OGTRMM, TK K пдюнтификацим NOD 4 EOHTPONA 4

Ta):

- per o M [PIM] LIED pane

чб = = = =

обор дула пбитучения Оцёнкм

ни берез утром и укимыюстой бизнес,

ом. разделы 10н 71; — Опрадапеные требований бегопаанооти fou. 7)

PSL A CLUS LHC eo Проверки, ME M Hix C HARM BHD NM срадста

я управления (сла. 6 - 11)

Резрабстки, реализация и тестирюеныние решенымй па обосточюнияй (см. раздел 12)

(ом. раздал 18)

a но око о ва са ош на а а оо май

Примечание — См. также 27001 — ИСОЛИЭК 27005

Рисунок 4 — Процесс планирования и менеджмента сетевой безопасности


Похожие документы