9.4.3 Идентификация и анализ ограничений

На выбор мер защиты влияют многие ограничения. Эти ограничения необходимо принимать во внимание при разработке и реализации рекомендаций. К типичным ограничениям относят:

- ограничения по времени.

Может существовать множество видов ограничений по времени. Например, первый вид - защитная мера безопасности - должен быть реализован в пределах периода времени, приемлемого для руководства организации. Второй вид ограничения по времени - реализация конкретной защитной меры безопасности в пределах жизненного срока соответствующей системы. Третьим видом ограничения по времени может быть длительность периода времени, необходимого руководству организации для принятия решения о том, стоит ли и дальше подвергать систему угрозам наличия конкретного риска;

- финансовые ограничения.

Стоимость реализации рекомендуемых мер защиты не должна превышать ценности активов, для безопасности которых они предназначены. Необходимо сделать все возможное, чтобы не выйти за пределы выделенных на эти цели ассигнований. Однако в ряде случаев достижение необходимого уровня безопасности и приемлемого уровня риска может оказаться невозможным в пределах подобных финансовых ограничений. В этом случае выход из сложившейся ситуации предоставляется на усмотрение руководства организации;

- технические ограничения.

Технические проблемы, например, совместимость программ или аппаратных средств, легко разрешаются, если уделить им серьезное внимание в процессе выбора средств защиты. Кроме того, при реализации разработанных ранее защитных мер применительно к существующим системам часто возникают затруднения, связанные с техническими ограничениями. Наличие подобных затруднений могут переместить направленность (пересмотр выбора) защитных мер в сторону организационных и физических способов защиты;

- социологические ограничения.

Особенности социологических ограничений при выборе защитных мер могут зависеть от того, о какой стране, отрасли, организации или даже отделе организации идет речь. Этими ограничениями нельзя пренебрегать, поскольку эффективность использования многих технических защитных мер зависит от активной поддержки их сотрудниками организации. Если сотрудники не понимают необходимости таких мер или не считают их приемлемыми по моральным соображениям, то существует большая вероятность того, что со временем эффективность защитных мер будет снижаться;

- ограничения окружающей среды.

На выбор защитных мер могут влиять также и экологические факторы, например, прилегающие территории, экстремальные природные условия, состояние окружающей среды и прилегающих городских территорий и т.д.;

- правовые ограничения.

Правовые ограничения, например, установленные законодательством требования о защите личной информации или статьи уголовного кодекса, касающиеся обработки информации, могут повлиять на выбор мер защиты. Законы и нормативы, не имеющие прямого отношения к защите информационных технологий, например, требования противопожарной безопасности и статьи трудового законодательства, могут также повлиять на выбор мер защиты.