10.4 Процесс одобрения информационных систем

Организации должны обеспечить одобрение всех или предпочтительных информационных систем на предмет их соответствия установленным требованиям политики информационной безопасности и плану ее обеспечения. Процесс одобрения должен быть проведен такими методами, как проверка согласованности мер защиты, тестирование мер защиты и/или оценка системы. Процедуры одобрения могут проводиться согласно стандартам организации или национальным стандартам, а орган, выполняющий процедуру одобрения, может быть внутренним или внешним по отношению к организации.

Процесс одобрения должен быть направлен на обеспечение внедренными мерами защиты необходимого уровня безопасности информации. Одобрение должно иметь силу для конкретной операционной среды в течение конкретного периода времени, оговоренного в стратегии или плане обеспечения информационной безопасности организации. Любые значительные изменения в мерах защиты или изменения в инструкциях, влияющие на безопасность, могут потребовать нового их одобрения. Критерии, на основании которых делается новое одобрение, должны быть включены в стратегию информационной безопасности организации.

Процесс одобрения систем ИТ состоит, главным образом, из анализа документов, технических осмотров и оценок (например, проверки согласованности мер защиты). Для выполнения этого процесса необходимо руководствоваться следующими положениями:

- процесс одобрения должен быть спланирован и приспособлен к конкретным информационным системам; этот первый шаг помогает также определить график осуществления плана информационной безопасности, необходимые ресурсы и ответственность;

- должны быть собраны документы, используемые в процессе;

- каждый документ должен проверяться на полноту и согласованность с другими документами;

- должен быть закончен анализ и тестирование по критериям, описанным в плане информационной безопасности;

- итоги процесса одобрения должны быть изложены в отчете с указанием уровня соответствия системы требованиям безопасности (полная, частичная, ограниченная или несоответствие), наличия отклонений или ограничений в рабочем процессе;

- новое одобрение необходимо, если информационная система или ее среда претерпели изменения, а также в конце срока действия предыдущего одобрения.

Сразу после окончания процесса одобрения начинают процедуры сопровождения информационной системы. Сопровождение помогает обнаружить и проанализировать изменения в системе, ее защите и среде. При обнаружении изменений в системе необходимо ее обновление с последующим новым одобрением.

Необходимость одобрения систем коммерческого партнера определяется базовым уровнем безопасности и нормами, действующими в организации, которая:

- желает установить собственную версию базового уровня безопасности или свои нормы и передать их партнерам/поставщикам для одобрения до подключения к своим ресурсам;

- ведет торговлю с другими компаниями и желает поддерживать с ними информационную связь, для чего ей необходимо продемонстрировать свой уровень безопасности с позиций базового уровня и общих норм безопасности;

- желает установить уровни рисков нарушений информационной безопасности для других информационно подсоединенных компаний, которые эти компании должны соблюдать. Это даст возможность организации заставить партнеров провести процесс одобрения безопасности своих систем на основании проверки согласованности мер защиты, которые будут указывать на степень соответствия этих мер частям базового уровня и норм безопасности, совместимым с принятыми в организации требованиями безопасности.