ФЕДЕРАЛЬНОЕ АГЕНТСТВО ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ

НАЦИОНАЛЬНЫЙ

СТАНДАРТ

РОССИЙСКОЙ

ФЕДЕРАЦИИ

Системная инженерия

ЗАЩИТА ИНФОРМАЦИИ В ПРОЦЕССЕ ОПРЕДЕЛЕНИЯ СИСТЕМНЫХ ТРЕБОВАНИЙ

Предисловие

1    РАЗРАБОТАН Федеральным государственным учреждением «Федеральный исследовательский центр «Информатика и управление» Российской академии наук» (ФГУ ФИЦ ИУ РАН) и Федеральным автономным учреждением «Государственный научно-исследовательский испытательный институт проблем технической защиты информации Федеральной службы по техническому и экспортному контролю» (ФАУ ГНИИИ ПТЗИ ФСТЭК России)

2    ВНЕСЕН Техническим комитетом по стандартизации ТК 22 «Информационные технологии»

3    УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 30 апреля 2021 г. No 332-ст

4    ВВЕДЕН ВПЕРВЫЕ

Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. № 162-ФЗ «О стандартизации в Российской Федерации». Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе «Национальные стандарты», а официальный текст изменений и поправок — в ежемесячном информационном указателе «Национальные стандарты». В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя «Национальные стандарты». Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)

© Стандартинформ. оформление. 2021

Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и распространен в качестве официального издания без разрешения Федерального агентства по техническому регулированию и метрологии И

3.1.19    целостность моделируемой системы: Состояние моделируемой системы, которое отвечает целевому назначению модели системы в течение задаваемого периода прогноза.

3.1.20 _

эффективность защиты информации: Степень соответствия результатов защиты информации

цели защиты информации.

[ГОСТ Р 50922-2006, статья 2.9.1]_

3.2 В настоящем стандарте использованы следующие сокращения:

ЗИ    — защита информации;

ИИ    — искусственный интеллект;

ТЗ    — техническое задание.

ПМП    — пол у марковский процесс;

СМО — система массового обслуживания;

СПМ — сеть Петри — Маркова.

4 Основные положения системной инженерии по защите информации в процессе определения системных требований

4.1    Общие положения

Организации используют процесс определения системных требований в рамках создания (модернизации. развития) и эксплуатации системы для преобразовании представления заинтересованных сторон о возможностях системы в требования, реализация которых удовлетворит эксплуатационные потребности пользователей системы и возможности разработчика, для обеспечения при этом эффективности защиты информации, а также для сохранения конфиденциальности сведений об активах системы и о самой системе. На стадии выведения системы из эксплуатации требования применения процесса направлено на защиту информации в части определения сроков и порядка выведения системы из эксплуатации, а также утилизации носителей защищаемой информации.

При планировании и реализации процесса определения системных требований осуществляют защиту информации, направленную на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию. Должно быть обеспечено надежное выполнение процесса.

Для прогнозирования рисков нарушения надежности реализации процесса и обоснования эффективных превентивных мер по снижению этих рисков или их удержанию в допустимых пределах используют системный анализ с учетом требований по защите информации.

Определение выходных результатов процесса и типовых действий по защите информации осуществляют по ГОСТ 2.102. ГОСТ 2.114. ГОСТ 15.101, ГОСТ 34.201, ГОСТ 34.602. ГОСТ Р ИСО 9001. ГОСТ Р ИСО/МЭК 12207. ГОСТ Р ИСО 15704, ГОСТ Р ИСО/МЭК 27001. ГОСТ Р ИСО/МЭК 27002. ГОСТ Р ИСО/МЭК 27003. ГОСТ Р 51904. ГОСТ Р 57102. ГОСТ Р 57193, ГОСТ Р 57839. с учетом специфики системы и стандартов соответствующей отрасли (см., например ГОСТ 15.016. ГОСТ IEC 61506-3. ГОСТ Р 51583. ГОСТ Р 56939. ГОСТ Р 58412, ГОСТ Р МЭК 61508-2. ГОСТ Р МЭК 61508-7, [7}—[14]). Оценку различных рисков нарушения требований по защите информации осуществляют по настоящему стандарту с использованием рекомендаций ГОСТ Р ИСО 9001. ГОСТ Р ИСО/МЭК 27005, ГОСТ Р ИСО 31000. ГОСТ Р 51901.1, ГОСТ Р 51901.5. ГОСТ Р 51901.7. ГОСТ Р 54124. ГОСТ Р 57102, ГОСТ Р 57272.1. ГОСТ Р 58771, ГОСТ Р 59339. ГОСТ Р 59349. ГОСТ Р 59355. При этом учитывают специфику системы и организации, применяющей процесс — см., например. [7]—[14].

4.2    Стадии и этапы жизненного цикла системы

Процесс определения системных требований может быть использован на любой стадии жизненного цикла системы. Стадии и этапы работ устанавливают в договорах, соглашениях и ТЗ с учетом специфики и условий функционирования системы. Перечень этапов и конкретных работ в жизненном цикле системы формируют с учетом требований ГОСТ 2.114, ГОСТ 15.016. ГОСТ 34.601. ГОСТ 34.602. ГОСТ Р 15.301. ГОСТ Р ИСО 9001. ГОСТ Р ИСО/МЭК 12207. ГОСТ Р ИСО 31000. ГОСТ Р 51583. ГОСТ Р 51901.1. ГОСТ Р 51901.7. ГОСТ Р 57102. ГОСТ Р 57193. ГОСТ Р 57272.1, ГОСТ Р 57839. [1]—[6]. [7]—{11], [14]. Процесс определения системных требований может входить в состав работ, выполняемых в рамках других процессов жизненного цикла системы, и при необходимости включать в себя другие процессы.

4.3    Цели процесса и назначение мер защиты информации

4.3.1    Формирование целей процесса определения системных требований осуществляют по ГОСТ Р ИСО 9001, ГОСТ Р ИСО/МЭК 12207, ГОСТ Р ИСО/МЭК 27002, ГОСТ Р 57102. ГОСТ Р 57193, ГОСТ Р МЭК 61508-1, ГОСТ Р МЭК 62264-1 с учетом специфики системы. В общем случае цель процесса определения системных требований состоит в преобразовании ориентированного на пользователей представления заинтересованных сторон о возможностях системы в требования для такого технического предоставления решения, которое удовлетворит эксплуатационным потребностям пользователей и возможностям разработчика по реализации этих решений.

Применительно к стадии замысла, формирования требований, разработки концепции (концептуальных положений) и ТЗ цель процесса определения системных требований в части защиты информации состоит в пресечении возможности выявления существенной информации о самой системе и выбора мер и средств защиты информации (ЗИ). подлежащих использованию в системе для адекватного противодействия угрозам.

Примечание — Существенность информации рассматривается с точки зрения реализации угроз безопасности информации на текущей и последующих стадиях жизненного цикла системы.

Применительно к стадиям разработки, производства и поставки системы заказчику определение системных требований в части ЗИ должно быть направлено на предупреждение и пресечение возможностей несанкционированного внесения разработчиком недекларированных возможностей в программное и программно-аппаратное обеспечение системы и выявление существенной информации о самой системе (существенной с точки зрения реализации угроз безопасности информации при ее эксплуатации), а также на обоснование мер и средств ЗИ. подлежащих использованию на этих стадиях.

Применительно к стадии эксплуатации, включая сопровождение системы, требования в части ЗИ направлены на защиту информации о самой системе (в том числе о применяемых в ней мерах и средствах защиты информации) и об обрабатываемой в системе информации пользователей, сведений об организации и ее контрагентах, а также об иных системах, с которыми осуществляет взаимодействие рассматриваемая система.

Применительно к стадии выведения системы из эксплуатации требования в части ЗИ направлены на защиту информации, касающейся сроков и порядка выведения системы из эксплуатации, а также на утилизацию носителей защищаемой информации, исключающую возможность выявления ее содержания.

Применительно ко всем стадиям жизненного цикла в процессе определения системных требований проводится системный анализ различных процессов — см. ГОСТ Р 59349.

Использование процесса определения системных требований позволяет задать разработчику функциональные и эксплуатационные возможности, которыми система должна обладать для удовлетворения требований заинтересованных сторон, а также условия и меры ЗИ. Насколько допускают ограничения. системные требования не должны диктовать никакой конкретной реализации.

4.3.2    Меры ЗИ в процессе определения системных требований предназначены для конфиденциальности. целостности и доступности защищаемой информации, предотвращения утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию. Определение мер ЗИ осуществляют по ГОСТ Р ИСО/МЭК 27001. ГОСТ Р ИСО/МЭК 27002, ГОСТ Р 51583, ГОСТ Р 56939, ГОСТ Р 58412, ГОСТ Р МЭК 61508-7, [7]—{14] с учетом специфики системы и реализуемой стадии ее жизненного цикла.

4.4    Основныо принципы системного анализа

При проведении системного анализа процесса определения системных требований руководствуются основными принципами, определенными в ГОСТ Р 59349. с учетом дифференциации требований по защите информации в зависимости от категории значимости системы и важности обрабатываемой в ней информации (см. [7]—[14]). Все применяемые принципы подчинены принципу целенаправленности осуществляемых действий.

4.5    Основные усилия для обеспечения защиты информации

Основные усилия системной инженерии для обеспечения защиты информации в процессе определения системных требований сосредоточивают:

- на определении выходных результатов и действий, предназначенных для достижения целей процесса и защиты активов, информация которых или о которых необходима для достижения этих целей;

• выявлении потенциальных угроз и определении возможных сценариев возникновения и развития угроз для активов, подлежащих защите, выходных результатов и выполняемых действий процесса, выявлении множества уязвимостей системного и прикладного программного обеспечения функционирования системы, которые могут быть использованы при реализации потенциальных угроз безопасности информации;

-    определении и прогнозировании рисков, подлежащих системному анализу,

-    проведении системного анализа для обоснования мер. направленных на противодействие угрозам и достижение целей процесса.

5 Общие требования системной инженерии по защите информации в процессе определения системных требований

5.1    Общие требования системной инженерии по защите информации устанавливают в ТЗ на выполнение работ. Эти требования и методы их выполнения детализируют в ТЗ на составную часть системы (в качестве составной части системы может выступать система защиты информации), в конструкторской. технологической и эксплуатационной документации, в спецификациях на поставляемые продукцию и/или услуги. Поскольку элементы процесса определения системных требований могут использоваться на этапах, предваряющих получение и утверждение ТЗ, соответствующие требования по защите информации, применимые к этому процессу, могут быть оговорены в рамках соответствующих договоров и соглашений. Содержание требований формируют при выполнении процесса с учетом нормативных правовых документов Российской Федерации (см., например (1}— [4]. [7]— [14]), уязвимостей системы, преднамеренных и непреднамеренных угроз нарушения функционирования системы и/или ее программных и программно-аппаратных элементов.

Примечание — Если информация относится к категории государственной тайны, в вопросах защиты информации руководствуются регламентирующими документами соответствующих государственных регуляторов.

5.2    Требования системной инженерии по защите информации призваны обеспечивать управление техническими и организационными усилиями по планированию и реализации процесса определения системных требований и поддержке при этом эффективности защиты информации.

К системным требованиям, связанным с ЗИ, в соответствии с общими требованиями системной инженерии относят;

-    требования к описанию системы, касающиеся состава защищаемой информации, состава и места в системе ее программных и программно-аппаратных элементов, в которых обрабатывается такая информация, а также требования к описанию технических решений по взаимодействию рассматриваемой системы с другими системами;

-    требования к составам выходных результатов, выполняемых действий и используемых при этом активов, подлежащих защите от угроз безопасности информации;

-    требования к порядку выявления уязвимостей системы, угроз безопасности информации, реализуемых путем использования этих уязвимостей, а также требования к прогнозированию рисков реализации этих угроз на всех этапах жизненного цикла системы;

-    требования по защите от преднамеренных и непреднамеренных угроз нарушения функционирования системы и/или ее программных и программно-аппаратных элементов;

-    требования по защите от угроз утечки информации, содержащей сведения, не подлежащие распространению по требованиям заинтересованных сторон системы, а также по требованиям нормативных правовых актов государственных регуляторов в области ЗИ:

-    требования к функциональным характеристикам системы защиты информации, обрабатываемой в системе и/или передаваемой по сетям общего пользования (в том числе по сети Интернет) или по выделенным каналам в сопряженные сети иных организаций, включая требования по обоснованию эффективных превентивных способов снижения рисков или их удержания в допустимых пределах;

-    требования к нефункциональным характеристикам системы защиты (в том числе к мерам и способам обеспечения ее функционирования), включая требования по обоснованию эффективных превентивных организационных действий, направленных на снижение рисков или их удержание в допустимых проделах;

-    требования, касающиеся проектных ограничений.

Примечание — В системах искусственного интеллекта (ИИ) возникает необходимость формирования требований, касающихся:

-    гарантированного подтверждения достаточности автоматизированной анонимизации и деперсонификации конфиденциальной информации при предоставлении доступа разработчиков систем к обучающим наборам исходных данных. являющихся изначально конфиденциальными:

-    умета возможности повышения уровня конфиденциальности данных в процессе их обработки в системе ИИ (по мере агрегирования, выявления скрытых зависимостей, восстановления изначально отсутствующей информации);

-    регламентации процессов обеспечения конфиденциальности тестовых выборок исходных данных, используемых испытательными лабораториями при оценке соответствия прикладных систем ИИ. с сохранением прозрачности и подотчетности такой оценки.

5.3    Состав выходных результатов и выполняемых действий в процессе определения системных требований определяют по ГОСТ 2.102. ГОСТ 2.114, ГОСТ 15.016, ГОСТ 15.101, ГОСТ 34.201, ГОСТ 34.602. ГОСТ Р 15.301. ГОСТ Р ИСО 9001, ГОСТ Р ИСО/МЭК 12207. ГОСТ Р ИСО 15704, ГОСТ Р 51583, ГОСТ Р 51904, ГОСТ Р 56939. ГОСТ Р 57102, ГОСТ Р 57193. ГОСТ Р 57839 с учетом специфики системы.

5.4    Меры защиты информации и действия по защите информации должны охватывать активы, информация которых или о которых подлежит защите для получения выходных результатов и выполнения действий процесса определения системных требований.

Примечание — В состав активов могут быть включены активы, используемые для достижения целей процесса определения системных требований для иных систем, подсистем или средств, не вошедших в состав рассматриваемой системы, но охватываемых по требованиям заказчика — например, для привлекаемых средств контроля надежности.

5.5    Определение активов, информация которых или о которых подлежит защите, и формирование перечня потенциальных угроз и возможных сценариев возникновения и развития угроз для каждого из активов осуществляют по ГОСТ 34.602. ГОСТ IEC 61508-3, ГОСТ Р ИСО/МЭК 27001, ГОСТ Р 51583, ГОСТ Р 56939. ГОСТ Р 57102. ГОСТ Р 57193, ГОСТ Р 58412 с учетом рекомендаций ГОСТ 15.016, ГОСТ Р ИСО 9001. ГОСТ Р ИСО/МЭК 12207, ГОСТ Р ИСО/МЭК 27002, ГОСТ Р ИСО/МЭК 27005. ГОСТ Р ИСО 31000, ГОСТ Р 51275, ГОСТ Р 51901.1, ГОСТ Р 51901.7, ГОСТ Р 59329. ГОСТ Р МЭК 61508-1, ГОСТ Р МЭК 61508-2. ГОСТ Р МЭК 61508-6 и специфики системы (см., например. (7]—[14]).

Примеры перечней учитываемых активов и угроз в процессе определения системных требований приведены в приложениях А и Б.

5.6    Эффективность ЗИ при выполнении процесса определения системных требований оценивают по показателям, рассчитываемым на основе значений показателей рисков реализации угроз в условиях отсутствия мер защиты информации и прогнозируемого применения выбираемых мер защиты информации в зависимости от специфики системы и особенностей ее функционирования.

Системный анализ процесса осуществляют с использованием методов, моделей и методических указаний (см. приложения В. Г, Д. Е, Ж) с учетом рекомендаций ГОСТ Р ИСО 9001, ГОСТ Р ИСО 13379-1. ГОСТ Р ИСО 13381-1, ГОСТ Р ИСО/МЭК 15026. ГОСТ Р ИСО 17359, ГОСТ Р ИСО/МЭК 27002, ГОСТ Р 51901.1. ГОСТ Р 51901.5. ГОСТ Р 54124. ГОСТ Р 58771, ГОСТ Р 59339, ГОСТ Р 59349. ГОСТ Р МЭК 61069-2, ГОСТ Р МЭК 61069-3. ГОСТ Р МЭК 61069-4. ГОСТ Р МЭК 61069-5, ГОСТ Р МЭК 61069-6, ГОСТ Р МЭК 61069-7, ГОСТ Р МЭК 61069-8, ГОСТ Р МЭК 61508-5, ГОСТ Р МЭК 61508-7, ГОСТ Р МЭК 62264-1.

5.7    Для обоснования эффективных превентивных мер защиты, направленных на снижение различных рисков или их удержание в допустимых пределах, применяют системный анализ с использованием устанавливаемых специальных качественных и количественных показателей рисков и показателей эффективности ЗИ. Примерный состав методик системного анализа приведен в приложении В. типовая номенклатура показателей для оценки рисков и эффективности ЗИ в системе — в приложении Г. методы и модели для оценки рисков — в приложении Д. а методические указания по прогнозированию рисков и определению угроз безопасности информации — в приложении Ж.

Качественные показатели для оценки рисков в области информационной безопасности определены в ГОСТ Р ИСО/МЭК 27005. Целесообразность использования количественных показателей рисков в дополнение к качественным показателям может потребовать дополнительного обоснования. Состав и требования к специальным количественным показателям рисков в интересах системного анализа процесса определения системных требований определены в 6.2 и 6.3.

Характеристики мер ЗИ и исходные данные, обеспечивающие применение методов, моделей и методик, определяют на основе собираемых и накапливаемых сведений по реализованным угрозам безопасности информации, по применяемым или рекомендуемым к применению мерам, средствам и способам ЗИ в системах.

6 Специальные требования к количественным показателям

6.1    Общие положения

6.1.1    Применительно к защищаемым активам, действиям и выходным результатам процесса определения системных требований при необходимости устанавливают заданный уровень (класс) защищенности или категорию значимости (важности) системы. С учетом этого определяют возможные варианты мер защиты информации, с использованием которых может быть достигнут заданный уровень (класс) защищенности системы. Оценивают эффективность ЗИ на основе прогнозирования рисков в условиях возможных угроз. Осуществляют обоснование эффективных превентивных мер и действий по снижению рисков и/или их удержанию в допустимых пределах.

6.1.2    В общем случае основными выходными результатами процесса определения системных требований являются:

-    установленный состав заинтересованных сторон системы в течение ее жизненного цикла;

-    результаты анализа выявленных потребностей и требований заинтересованных сторон (см. ГОСТ Р 57193. ГОСТ Р 59344 и ГОСТ Р 59345):

-    ТЗ на разработку системы и конкретные системные требования, отражающие потребности и требования заинтересованных сторон;

-    отчеты о прослеживаемости сформулированных системных требований относительно удовлетворения потребностей и требований заинтересованных сторон на всех стадиях жизненного цикла системы.

-    характеристики и условия использования возможностей системы для ЗИ. критические показатели влияния предлагаемых мер защиты информации на функционирование системы и снижение рисков реализации угроз или их удержание в допустимых пределах;

-    ограничения со стороны системных требований для принимаемых системных решений:

-    системные требования к обеспечивающим системам, которые предполагается использовать в жизненном цикле рассматриваемой системы;

-    достигнутые соглашения с заинтересованными сторонами о том. что их потребности и требования правильно отражены в сформулированных системных требованиях;

-    функциональное описание системы, включая ее границы и взаимодействия;

-    материалы в отчеты об обследовании объектов системы, проведении необходимых научно-исследовательских работ.

6.1.3    Для получения выходных результатов процесса определения системных требований в общем случае выполняют следующие основные действия;

-    определение заинтересованных сторон системы в течение ее жизненного цикла;

-    определение и анализ потребностей и требований заинтересованных сторон, представляющих начальные неформальные посылки для технических решений (замысел новой системы, модернизация или развитие существующей системы);

-    определенно контекста использования рассматриваемой системы, требований и порядка взаимодействия с другими системами, необходимыми для обеспечения установленных потребностей и требований заинтересованных сторон:

-    разработку концепции функционирования (эксплуатации) системы и других концепций жизненного цикла системы, включая определение сценариев функционирования и порядка взаимодействия между пользователями и системой;

-    преобразование потребностей и требований заинтересованных сторон в конкретные системные требования, включая:

-    требования к критичным характеристикам, таким как уровень (класс) защищенности или категория значимости системы, показатели защищенности системы от возможных угроз безопасности информации. показатели защищенности окружающей среды и здоровья персонала, пользователей и окружающего населения (при необходимости).

-    требования, связанные со сценариями, взаимодействиями, ограничениями и критичными характеристиками качества, безопасности и эффективности системы в ее жизненном цикло,

-    требования по ограничению принимаемых системных решений, вытекающие из существующих соглашений, управленческих и технических возможностей.

-    системный анализ потребностей и требований заинтересованных сторон, включая обеспечение обратной связи с заинтересованными сторонами для получения гарантии того, что их потребности, требования и ожидания правильно интерпретированы и выражены в системных требованиях:

-    поддержание основных информационных активов, создаваемых в рамках процесса определения системных требований;

-    формирование ТЗ на выполнение определенных работ, необходимых для последующей реализации системных требований.

6.1.4 Текущие данные, накапливаемая и собираемая статистика, связанные с нарушениями требований по ЗИ и по защите системы от угроз нарушения ее функционирования, являются основой для принятия решений по факту наступления событий и источником исходных данных для прогнозирования рисков. Риски оценивают объективными вероятностными показателями, вычисляемыми путем моделирования (см. приложения Г, Е) или с использованием экспертного балльного метода (см. приложение Д) с учетом возможного ущерба.

6.2    Требования к составу показателей

Показатели должны обеспечивать проведение;

-    прогнозирования рисков нарушения надежности реализации процесса определения системных требований;

-    прогнозирования рисков реализации преднамеренных угроз безопасности информации в системе с учетом выполняемых мор ЗИ;

-    оценки эффективности защиты информации в системе и о системе в зависимости от установленного для нее уровня (класса) защищенности или категории значимости применительно к каждой стадии жизненного цикла и в целом за весь жизненный цикл системы.

Показатели рисков реализации возможных угроз используют для оценки влияния предлагаемых мер защиты на снижение рисков или их удержание в допустимых пределах.

Показатели эффективности ЗИ применяют:

-для формирования представления о текущих и потенциальных проблемах или о возможных причинах. обусловливающих возможность реализации угроз безопасности информации;

-    для сравнения эффективности применяемых и'или возможных мер в действующей системе защиты информации, выбора и оптимизации состава применяемых мер и действий по защите информации.

При оценке эффективности ЗИ дополнительно могут быть использованы вспомогательные статистические данные об инцидентах нарушения безопасности и последствиях в интересах уточнения их потенциального влияния на эффективность.

6.3    Требования к количественным показателям прогнозируемых рисков

6.3.1    Для прогнозирования рисков в процессе определения системных требований используют следующие количественные показатели:

-    частные показатели риска реализации угроз безопасности информации в условиях отсутствия мер ЗИ. предлагаемых к использованию в процессе определения системных требований;

-    частные показатели риска реализации угроз безопасности информации в случае применения мер ЗИ. предлагаемых к использованию в процессе определения системных требований (т. е. показатели остаточного риска при нарушении требований по ЗИ);

-    интегральный риск нарушения функционирования системы и утечки защищаемой информации при применении мер ЗИ (предлагаемых к использованию в процессе определения системных требований);

-    показатель риска нарушения надежности реализации процесса определения системных требований в части ЗИ.

6.3.2    В качестве частных показателей риска реализации угроз безопасности информации используют вероятности реализации угроз в системе в условиях выполнения сформулированных системных требований. При их расчетах должны быть учтены защищаемые активы, последствия, которые могут иметь место при реализации угроз, и выходные результаты в части защиты от этих угроз на каждой стадии и в течение всего жизненного цикла системы в соответствии с предъявляемыми системными требованиями.

6.3.3    Интегральный риск нарушения функционирования системы и утечки защищаемой информации характеризуют соответствующей вероятностью нарушения установленных требований по ЗИ (т. е. вероятностью реализации совокупности угроз безопасности информации или на одной из стадий жизненного цикла системы, или на некоторой выбранной совокупности стадий, или на протяжении всего жизненного цикла) в сопоставлении с возможным ущербом.

6.3.4    В качестве показателя риска нарушения надежности реализации процесса определения системных требований в части ЗИ используют вероятность нарушения надежности реализации этого процесса, которая является функцией частных показателей рисков реализации угроз безопасности информации в системе.

6.3.5    Для оценки эффективности ЗИ и надежности реализации процесса определения системных требований используют:

-    разностные показатели, представляющие собой разность между достигаемым значением вероятности реализации угрозы нарушения функционирования системы или утечки конфиденциальной информации и предельно допустимым значением этой вероятности:

-    относительные показатели, представляющие собой отношение предельно допустимого значения вероятности реализации угрозы (например, выхода системы из строя, нарушения ее функционирования или утечки конфиденциальной информации) к достигаемому ее значению:

-    разностно-относительные показатели, представляющие собой отношение разности между достигаемым значением расчетной вероятности (например, выхода из строя системы, нарушения ее функционирования в результате реализации угроз безопасности информации или утечки конфиденциальной информации) и предельно допустимым значением этой вероятности к достигаемому значению расчетной вероятности.

6.3.6    Номенклатура и взаимосвязь количественных показателей для оценки рисков реализации угроз безопасности информации, рисков нарушения надежности реализации процесса определения системных требований и оценки эффективности ЗИ приведена в приложении Г. В случае, когда статистических данных для оценки возможных ущербов и рисков реализации угроз недостаточно или невозможен учет некоторых существенных факторов аналитическими методами, применяют экспертные методы (см. приложение Д).

6.4 Требования к источникам данных

Источниками исходных данных для расчетов количественных показателей являются (в части, свойственной процессу определения системных требований):

-    временные характеристики реализации угроз безопасности информации в системе, в том числе временные характеристики преодоления мер и средств ЗИ, используемых в системе:

-    статистические данные о состоянии параметров системы защиты информации (привязанные к временам изменения состояний), дающие представление о реакции исполнительных механизмов системы защиты на процессы реализации угроз;

-    статистические данные о системах-аналогах, характеризующие не только данные о нарушениях их функционирования, но и о событиях, связанных с утечкой защищаемой информации, несанкционированными или непреднамеренными воздействиями на защищаемую информацию (привязанные к временам наступления событий, характеризующих нарушения и предпосылки к нарушениям требований по ЗИ),

-    текущие и статистические данные результатов технического диагностирования системы защиты информации, а также данные технического контроля выполнения установленных требований по ЗИ;

-    наличие и готовность персонала системы защиты информации, данные об ошибках персонала (привязанные к временам наступления событий, характеризующих нарушения и предпосылки к нарушениям требований по ЗИ), а также о последствиях этих ошибок для рассматриваемой системы или для системы, выбранной в качестве аналога при расчетах количественных показателей;

-    данные, получаемые по результатам моделирования угроз, и сведения, позволяющие определить перечень потенциальных угроз и возможные сценарии их возникновения и развития для каждого из защищаемых активов.

Типовые исходные данные для моделирования приведены в приложениях Г. Д. Е, Ж.

7 Требования к системному анализу

7.1    Общие положения

7.1.1    Требования к системному анализу процесса определения системных требований включают:

-    требования к прогнозированию рисков и обоснованию допустимых рисков;

-    требования к выявлению уязвимостей системы (в том числе ее аппаратного, системного и прикладного программного обеспечения) и угроз безопасности информации, реализуемых с использованием уязвимостей;

-    требования к поддержке принятия решений в жизненном цикле системы.

Общие применимые рекомендации для проведения системного анализа изложены в ГОСТ Р 59349.

7.1.2    При обосновании и формулировании требований к системному анализу дополнительно руководствуются требованиями ГОСТ 34.602. ГОСТ IEC 61508-3. ГОСТ Р ИСО 9001. ГОСТ Р ИСО/МЭК12207. ГОСТ Р ИСО 13379-1, ГОСТ Р ИСО 13381-1, ГОСТ Р ИСО/МЭК 15026. ГОСТ Р ИСО 17359, ГОСТ Р ИСО/МЭК 27001. ГОСТ Р ИСО/МЭК 27002. ГОСТ Р ИСО 31000. ГОСТ Р 51275. ГОСТ Р 51901.1, ГОСТ Р 51901.7. ГОСТ Р 56939. ГОСТ Р 57272.1, ГОСТ Р 58412, ГОСТ Р МЭК 61508-1. ГОСТ Р МЭК 61508-2, ГОСТ Р МЭК 61508-6. ГОСТ Р МЭК 61508-7 с учетом специфики системы.

7.2    Требования к прогнозированию рисков

7.2.1    Для прогнозирования рисков нарушения требований по ЗИ в процессе определения системных требований должны быть:

-    определены перечни выходных результатов и составных действий процесса, а для каждого из них — используемые активы (см. приложение А) и потенциальные угрозы безопасности информации (см. приложения Б и Ж);

-    определен требуемый класс (уровень) защищенности системы или ев категория значимости при наличии официальных требований по категорированию (или классификации по уровням, классам защищенности) таких систем:

-    определены количественные показатели прогнозируемых рисков реализации возможных угроз безопасности информации в системе;

-    выбраны, адаптированы или разработаны модели и методы для прогнозирования рисков (см. приложение Д):

-    собраны исходные данные в интересах применения моделей и методик для прогнозирования рисков;

-    предусмотрен механизм использования результатов прогнозирования рисков.

Примечание — Требуемые классы (уровни) защищенности и категории значимости устанавливаются постановлениями Правительства Российской Федерации, действующими нормативными документами государственных регуляторов в области ЗИ в интересах реализации дифференцированного подхода к защите информации в системах.

7.2.2    Прогнозирование рисков используют для формального решения задач, связанных с ранним распознаванием и оценкой развития предпосылок к нарушению требований по ЗИ. обоснованием эффективных превентивных мер по снижению рисков или их удержанию в допустимых пределах, выявлением возможных угроз, поддержкой принятия решений по выполнению процесса определения системных требований.

В зависимости от содержания решаемых задач ЗИ прогнозируемый риск связывают с заранее определенным периодом прогноза (например, на месяц, год. несколько лет вперед), при этом учитывают развитие способов реализации угроз, совершенствование мер и средств ЗИ. которые могут быть применены в системе.

Примечание — Период прогноза может быть связан, например, с возникновением новых уязвимостей системного и прикладного программного обеспечения и разработкой специальных программ для их эксплуатации («эксплойтов»), с динамикой разработки новых вредоносных программ для реализации угроз.

7.3 Требования к обоснованию допустимых рисков

7.3.1    Допустимые риски нарушения требований по ЗИ в процессе определения системных требований выступают в качестве характеристики количественных норм эффективности ЗИ. Эти допустимые риски определяют при формировании системных требований для каждой стадии жизненного цикла и для всего жизненного цикла системы и задают во внутренних документах организации. Допустимые риски могут быть установлены в договорах, соглашениях и ТЗ с учетом специфики системы.

7.3.2    Количественное обоснование допустимых рисков осуществляют:

-    применительно к рискам нарушения функционирования системы в результате реализации угроз безопасности информации;

-    применительно к рискам утечки информации о системе или информации, обрабатываемой в системе и не подлежащей распространению по требованиям заказчика, разработчика или поставщика системы, а также по требованиям нормативных правовых актов федеральных органов исполнительной власти — государственных регуляторов в области ЗИ:

-    применительно к риску нарушения надежности реализации процесса определения системных требований.

Допустимые риски нарушения функционирования системы устанавливают с учетом требуемого класса (уровня) защищенности системы или категории ее значимости, если она отнесена к значимым объектам критической информационной инфраструктуры (см. [6], [14]). При этом с учетом возможного ущерба допустимый риск определяют как допустимое значение вероятности того, что может быть реализована хотя бы одна из возможных существенных угроз, направленных на нарушение функционирования системы. Пример определения допустимого риска реализации угроз нарушения функционирования системы приведен в приложении Е.

Допустимые риски утечки информации о системе или информации, обрабатываемой в системе и не подлежащей распространению по требованиям заказчика, разработчика или поставщика системы, а также по требованиям нормативных правовых актов государственных регуляторов в области ЗИ. могут быть определены, например, на основе прецедентного принципа или путем экспертного перевода качественных оценок допустимого риска в количественные значения (см. приложение Д).

При использовании прецедентного принципа (см. также ГОСТ Р 59349):

-    выявляют уязвимости системного и прикладного программного обеспечения, которые могут быть использованы для несанкционированного проникновения в операционную среду (получения доступа к командам операционной системы), в том числе уязвимости «нулевого дня», а также, по возможности, новых (неизвестных ранее) уязвимостей;

-    выявляют прецеденты эксплуатации выявленных уязвимостей, наличие специальных программ, предназначенных для эксплуатации выявленных уязвимостей («эксплойтов»), и способы реализации угроз;

-    определяют внешние (при наличии подключения к сетям общего пользования) и внутренние источники угроз безопасности информации, в том числе вредоносные программы, которые могут быть использованы для проникновения в операционную среду системы и воздействия (копирования, уничтожения. блокирования, несанкционированного запуска исполняемых файлов приложений) на защищаемую информацию, выявляют возможные способы инфицирования системы на стадии ее функционирования;

-    формируют перечень реализованных угроз или попытки реализации которых имели место в выявленных инцидентах нарушения безопасности, выявляют возможные способы реализации угроз и оценивают вероятностно-временные характеристики реализации угроз в выявленных инцидентах.

Примечание — При этом может быть использован Банк данных угроз безопасности информации, сопровождаемый соответствующим государственным регулятором, в котором содержатся сведения об уязвимостях применяемых в России программных продуктов как отечественных, так и зарубежных разработчиков.

Расчетные значения рисков реализации угроз утечки информации на задаваемый период прогноза, свойственные состоявшимся нарушениям, связанным с проникновением в операционную среду рассматриваемой системы и/или систем, выбранных в качестве аналога, определяют как недопустимые, а меньшие по сравнению с минимальным недопустимым значением, при которых не было нарушений требований по ЗИ. определяют как допустимые. Для этого периода прогноза во множестве расчетных значений допустимых рисков выбирают максимальное значение. Поскольку это значение допустимого риска отвечает задаваемым условиям функционирования системы и априори является приемлемым для заинтересованных сторон, его признают в качестве допустимого по факту прецедента. Это значение допустимого риска устанавливают в качестве нормы эффективности ЗИ по прецедентному принципу и используют для формального решения задач системной инженерии.

Примечание — При отсутствии собственной статистики для рассматриваемой системы допускается использование статистики для похожих систем, в том числе из разных областей приложения. Применительно к системному анализу рисков такие системы рассматриваются как аналоги.

Экспертный метод преобразования качественных суждений о допустимом риске реализации угроз в количественные значения допустимой вероятности реализации угрозы основывается на теории нечетких суждений. Его применяют в том случае, когда статистика нарушений по возможным угрозам безопасности информации в рассматриваемой системе (и существующих аналогах системы) крайне мала. т. о. не позволяет сформировать аргументированные исходные данные для моделирования, или отсутствует вообще. При этом применяют балльный метод — см., например ГОСТ Р ИСО/МЭК 27005.

Примечание — Отсутствие достаточной статистики на практике является следствием возрастающей интенсивности возникновения новых уязвимостей (например, в системном и прикладном программном обеспечении систем и преимущественного их применения или применения уязвимостей «нулевого дня»), а также широкомасштабной разработкой новых способов реализации угроз, свойственным условиям возможных несанкционированных информационно-технических воздействий на систему (см. также ГОСТ Р 59342. ГОСТ Р 59355).

Примеры расчета допустимого риска реализации угроз и риска нарушения надежности реализации процесса определения системных требований в части ЗИ приведены в приложении Е.

7.4 Требования к выявлению угроз безопасности информации

7.4.1    Формирование перечня существенных угроз в процессе определения системных требований выполняют по результатам оценки рисков реализации возможных угроз.

При использовании прецедентного принципа для возможных анализируемых угроз должны рассматриваться одинаково защищаемые активы в разных системах-аналогах. Те угрозы, для которых значение прогнозируемого риска превышает средний уровень среди сравниваемых вариантов, отмечают как потенциальные угрозы. Из этих угроз путем проведения дополнительного системного анализа выбирают те. для которых риск реализации превышает допустимый, эти угрозы характеризуют как существенные. При изменении условий потенциальные угрозы могут переходить в разряд существенных угроз.

Если по результатам анализа прецедентов выявлено, что в ходе реализации угроз воздействию подвергались разные активы и/или применялись разные меры ЗИ. то проводят дополнительный системный анализ возможности перенесения результатов анализа прецедентов на рассматриваемую систему и приемлемости характеристики данных угроз как существенных для системы. Отнесение угрозы к существенной в этом случае считается обоснованным, если:

-    содержание информации в активе или об активе не влияет на процесс реализации угрозы;

-    можно сопоставить наборы мер и средств защиты, применяемых в системах-аналогах, для которых выявлены прецеденты нарушения безопасности информации, и результаты такого сопоставления учтены в сформированном значении допустимого риска реализации конкретной угрозы в рассматриваемой системе:

-    несмотря на различия в составе конкретного множества действий в реализации угрозы замена этих действий на реализуемые в рассматриваемой системе несущественно скажется на риске реализации угрозы.

Таким образом угроза относится к существенной, если расчетный риск ее реализации превышает установленное значение допустимого риска. Непрсвышение допустимого риска характеризует отсутствие существенной угрозы в течение заданного периода прогноза. На практике эти результаты расчетов интерпретируют так: подобными угрозами, для которых риск удерживается в допустимых пределах, возможно пренебречь.

Примечание — Ситуации, когда применительно к рассматриваемой системе все расчетные риски не превышают установленных допустимых рисков, означают несущественность или отсутствие реальных угроз в течение всего периода прогноза. Если же все расчетные риски превышают максимально допустимые, это означает полную неприемлемость рассматриваемой системы с точки зрения обеспечения ЗИ для установленных допустимых рисков.

7.4.2    Если прецедентов по реализации рассматриваемых угроз нет или статистических данных недостаточно, то для выявления угроз используют моделирование. Краткая характеристика методов и моделей, которые могут быть использованы, приведена в приложении Д. см. также ГОСТ Р 59339, ГОСТ Р 59349.

Примечание — К примеру, при моделировании процессов реализации угроз, налраапенных на нарушение функционирования автоматизированной системы, определяют тип и версию операционной системы, состав и местонахождение системных файлов и их дескрилторных таблиц, нарушение которых может привести к сбою в функционировании системы, тип и версию системы управления базами данных, состав и местонахождение исполняемых файлов прикладных программ, а также выявляют известные неустраненные уязвимости системного программного обеспечения, использование которых возможно при реализации угроз. Так. при моделировании реализации угроз, направленных на нарушение конфиденциальности, целостности и/или доступности пользовательской информации, определяют состав файлов пользовательской информации и их местонахождение на логических дисках, в директориях и каталогах файловой системы, записи об этих файлах в дескрилторных таблицах, типы и версии прикладных программ, состав записей в электронных базах данных, содержащих сведения, не подлежащие распространению по требованиям заказчика, разработчика или поставщика системы в течение заданного времени (например, времени сохранения коммерческой ценности информации, времени устаревания данных, длительности стадии жизненного цикла системы).

Содержание

1    Область применения..................................................................1

2    Нормативные ссылки..................................................................1

3    Термины, определения и сокращения....................................................4

4    Основные положения системной инженерии по защите информации

в процессе определения системных требований...........................................7

5    Общие требования системной инженерии по защите информации

в процессе определения системных требований...........................................9

6    Специальные требования к количественным показателям..................................11

7    Требования к системному анализу......................................................13

Приложение А (справочное) Пример перечня защищаемых    активов............................18

Приложение Б (справочное) Пример перечня угроз..........................................19

Приложение В (справочное) Примерный состав моделей и методик для системного

анализа в процессе определения системных требований, связанных

с защитой информации...................................................20

Приложение Г (справочное) Взаимосвязь показателей для оценки эффективности

защиты информации......................................................22

Приложение Д (справочное) Типовые методы и модели для    прогнозирования рисков.............27

Приложение Е (справочное) Методы определения допустимых значений рисков.................50

Приложение Ж (справочное) Методические указания по прогнозированию рисков и определению перечня существенных угроз безопасности

информации............................................................57

Библиография........................................................................61

7.4.3    Для моделирования определяют перечень возможных угроз, формируют функциональные, а затем математические модели реализации угроз и оценивают вероятности реализации угроз за задаваемый период времени.

7.4.4    По результатам моделирования оценивают вероятность реализации каждой угрозы и ев значение сравнивают с допустимым. Если вероятность реализации угрозы выше допустимой, то угрозу относят к существенной и для защиты от этой угрозы должны приниматься соответствующие меры.

Примечание — Для определения перечня существенных угроз могут быть использованы экспертные методы (см. 6.3.6). Пример экспертного определения перечня существенных угроз с использованием балльного метода приведен в приложении Д.

7.5 Требования к поддержке принятия решений

7.5.1    Прогнозирование рисков, обоснование допустимых рисков, обоснование эффективных превентивных мер по снижению рисков или их удержанию в допустимых пределах, выявление угроз в процессе определения системных требований осуществляют для поддержки принятия решений:

-    по обеспечению выполнения процесса определения системных требований и норм эффективности ЗИ;

-    по обоснованию мер. направленных на достижение целей процесса, противодействие угрозам и определение сбалансированных решений по ЗИ как на отдельных стадиях, так и на протяжении всего жизненного цикла системы:

-    по обоснованию предложений по совершенствованию и развитию системы защиты информации.

Определяемые при этом допустимые риски играют роль ограничений для аналитического обоснования принимаемых решений.

7.5.2    Поддержка принятия решений по обеспечению выполнения процесса определения системных требований основана на прогнозировании различных рисков — см. 6.3 и приложения В. Д. При этом должна быть обеспечена поддержка принятия решений по прогнозированию риска нарушения требований по ЗИ. обоснования допустимых рисков — см. 7.2, 7.3. Это позволит определить нормы эффективности ЗИ и решить задачи, связанные с выполнением этих норм — см. 7.4.

7.5.3    Поддержка принятия решений по обоснованию мер. направленных на достижение целей процесса определения системных требований и противодействие угрозам, основана на предварительных прогнозах рисков реализации угроз в условиях применения возможных мер ЗИ. Состав возможных мер ЗИ определяется заранее в интересах снижения рисков нарушения требований по защите информации н/или их удержанию в допустимых пределах, а также в интересах восстановления приемлемых условий выполнения процесса определения системных требований в случае выявления предпосылок к нарушениям — см. 4.2.

Причины наступления событий, связанных с выявленными предпосылками к нарушению требований по ЗИ. фактами реализации угроз и произошедшими нарушениями установленных требований, регистрируют для недопущения подобных повторений и/или уточнения мер ЗИ. обеспечения приемлемых условий выполнения процесса определения системных требований и наполнения базы знаний.

7.5.4    Поддержка принятия решений по определению сбалансированных решений по ЗИ основана на системном анализе значений расчетных показателей рисков при сроках прогноза от месяца до одного года или нескольких лет.

При недопустимых значениях прогнозируемых рисков и/или при наступлении реальных нарушений в процессе определения системных требований должны быть выявлены их причины и определены меры для целенаправленного восстановления условий выполнения процесса на уровне рисков, не превышающих допустимые.

7.5.5    Поддержка принятия решений по обоснованию предложений, связанных с совершенствованием и развитием системы защиты информации основана на изучении результатов системного анализа рисков при сроке прогноза от нескольких месяцев до нескольких лет. Реализация этих предложений должна быть учтена в долгосрочных планах организации.

Примечания

1    Для обоснования мер, направленных на достижение целей процесса, противодействие угрозам, обоснование сбалансированных решений по ЗИ. обоснование предложений по совершенствованию и развитию системы защиты информации используют методы, модели и методики системного анализа, оценки риска и методические указания по прогнозированию рисков — см. приложения В—Ж. а также ГОСТ Р 59349.

2    Примеры решения задач системного анализа в приложении к различным системным процессам см. в ГОСТ Р 54124. ГОСТ Р 58494. ГОСТ Р 59331, ГОСТ Р 59333. ГОСТ Р 59335. ГОСТ Р 59338. ГОСТ Р 59341. ГОСТ Р 59345. ГОСТ Р 59347, ГОСТ Р 59356.

Введение

Настоящий стандарт расширяет комплекс национальных стандартов системной инженерии по защите информации при планировании и реализации процессов в жизненном цикле различных систем. Выбор и применение реализуемых процессов для системы в ее жизненном цикле осуществляют по ГОСТ Р 57193. Методы системной инженерии в интересах защиты информации применяют:

-    для процессов соглашения — процессов приобретения и поставки продукции и услуг для системы — по ГОСТ Р 59329;

-    для процессов организационного обеспечения проекта — процессов управления моделью жизненного цикла, инфраструктурой, портфелем проектов, человеческими ресурсами системы, качеством, знаниями — по ГОСТ Р 59330. ГОСТ Р 59331, ГОСТ Р 59332. ГОСТ Р 59333. ГОСТ Р 59334. ГОСТ Р 59335;

-    для процессов технического управления — процессов планирования проекта, оценки и контроля проекта, управления решениями, управления рисками, управления конфигурацией, управления информацией. измерений, гарантии качества — по ГОСТ Р 59336. ГОСТ Р 59337. ГОСТ Р 59338. ГОСТ Р 59339. ГОСТ Р 59340. ГОСТ Р 59341. ГОСТ Р 59342. ГОСТ Р 59343;

-    для технических процессов — процессов анализа бизнеса или назначения, определения потребностей и требований заинтересованной стороны, определения архитектуры, определения проекта, системного анализа, реализации, комплексирования. верификации, передачи системы, аттестации, функционирования, сопровождения, изъятия и списания системы — по ГОСТ Р 59344. ГОСТ Р 59345. ГОСТ Р 59347. ГОСТ Р 59348. ГОСТ Р 59349. ГОСТ Р 59350. ГОСТ Р 59351. ГОСТ Р 59352. ГОСТ Р 59353. ГОСТ Р 59354, ГОСТ Р 59355. ГОСТ Р 59356. ГОСТ Р 59357. Для процесса определения системных требований — по настоящему стандарту.

Стандарт устанавливает основные требования системной инженерии по защите информации в процессе определения системных требований для рассматриваемой системы и специальные требования к используемым количественным показателям.

Для планируемого и реализуемого процесса определения системных требований применение настоящего стандарта при создании (модернизации, развитии), эксплуатации систем и выведении их из эксплуатации обеспечивает проведение системного анализа, основанного на прогнозировании рисков.

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

Системная инженерия ЗАЩИТА ИНФОРМАЦИИ В ПРОЦЕССЕ ОПРЕДЕЛЕНИЯ СИСТЕМНЫХ ТРЕБОВАНИЙ

System engineering. Protection of information in system requirements definition process

Дата введения — 2021—11—30

1    Область применения

Настоящий стандарт устанавливает основные положения системного анализа для процесса определения системных требований применительно к вопросам защиты информации в системах различного назначения.

Для практического применения в приложениях А—Ж приведены примеры перечней защищаемых активов и угроз, примерный состав моделей и методик для системного анализа в процессе определения системных требований, связанных с защитой информации, взаимосвязь показателей для оценки эффективности защиты информации в системе, методы, модели и примеры прогнозирования рисков нарушения безопасности информации в системе, методы определения допустимых значений рисков, методические указания по прогнозированию рисков и определению перечня существенных угроз безопасности информации.

Примечание — Оценка ущербов выходит за рамки настоящего стандарта. Для разработки самостоятельной методики по оценке ущербов учитывают специфику систем — см., например ГОСТ Р 22.10.01, ГОСТ Р 54145. При этом должны учитываться соответствующие положения законодательства Российской Федерации.

Требования стандарта предназначены для использования организациями, участвующими в создании {модернизации, развитии), эксплуатации систем, выведении их из эксплуатации и реализующими процесс определения системных требований, а также теми заинтересованными сторонами, которые уполномочены осуществлять контроль выполнения требований по защите информации в жизненном цикле систем — см. примеры систем в [1]—[14].

2    Нормативные ссылки

В настоящем стандарте использованы нормативные ссылки на следующие стандарты:

ГОСТ 2.051 Единая система конструкторской документации. Электронные документы. Общие положения

ГОСТ 2.102 Единая система конструкторской документации. Виды и комплектность конструкторских документов

ГОСТ 2.114 Единая система конструкторской документации. Технические условия

ГОСТ 2.602 Единая система конструкторской документации. Ремонтные документы

ГОСТ 3.1001 Единая система технологической документации. Общие положения

ГОСТ 7.32 Система стандартов по информации, библиотечному и издательскому делу. Отчет о научно-исследовательской работе. Структура и правила оформления

ГОСТ 15.016 Система разработки и постановки продукции на производство. Техническое задание. Требования к содержанию и оформлению

Издание официальное

ГОСТ 15.101 Система разработки и постановки продукции на производство. Порядок выполнения научно-исследовательских работ

ГОСТ 19.101 Единая система программной документации. Виды программ и программных документов

ГОСТ 27.002 Надежность в технике. Термины и определения

ГОСТ 27.003 Надежность в технике. Состав и общие правила задания требований по надежности ГОСТ 34.003 Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Термины и определения

ГОСТ 34.201 Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем

ГОСТ 34.601 Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадии создания

ГОСТ 34.602 Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы

ГОСТ IEC 61508-3 Функциональная безопасность систем электрических, электронных, программируемых электронных, связанных с безопасностью. Часть 3. Требования к программному обеспечению ГОСТ Р 2.601 Единая система конструкторской документации. Эксплуатационные документы ГОСТ Р 15.301 Система разработки и постановки продукции на производство. Продукция производственно-технического назначения. Порядок разработки и постановки продукции на производство ГОСТ Р 22.10.01 Безопасность в чрезвычайных ситуациях. Оценка ущерба. Термины и определения ГОСТ Р 27.403 Надежность в технике. Планы испытаний для контроля вероятности безотказной работы

ГОСТ Р ИСО 9000 Системы менеджмента качества. Основные положения и словарь ГОСТ Р ИСО 9001 Системы менеджмента качества. Требования

ГОСТ Р ИСО/МЭК 12207 Информационная технология. Системная и программная инженерия. Процессы жизненного цикла программных средств

ГОСТ Р ИСО 13379-1 Контроль состояния и диагностика машин. Методы интерпретации данных и диагностирования. Часть 1. Общее руководство

ГОСТ Р ИСО 13381-1 Контроль состояния и диагностика машин. Прогнозирование технического состояния. Часть 1. Общее руководство

ГОСТ Р ИСО/МЭК 15026 Информационная технология. Уровни целостности систем и программных средств

ГОСТ Р ИСО 15704 Промышленные автоматизированные системы. Требования к стандартным архитектурам и методологиям предприятия

ГОСТ Р ИСО 17359 Контроль состояния и диагностика машин. Общее руководство ГОСТ Р ИСО/МЭК 27001 Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования

ГОСТ Р ИСО/МЭК 27002 Информационная технология. Методы и средства обеспечения безопасности. Свод норм и правил менеджмента информационной безопасности

ГОСТ Р ИСО/МЭК 27003 Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Руководство по реализации системы менеджмента информационной безопасности

ГОСТ Р ИСО/МЭК 27005 Информационная технолотя. Методы и средства обеспечения безопасности. Менеджмент риска информационной безопасности

ГОСТ Р ИСО 31000 Менеджмент риска. Принципы и руководство

ГОСТ Р 51275 Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения

ГОСТ Р 51583 Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Общие положения

ГОСТ Р 51897/Руководство ИСО 73:2009 Менеджмент риска. Термины и определения ГОСТ Р 51901.1 Менеджмент риска. Анализ риска технологических систем ГОСТ Р 51901.5 (МЭК 60300-3-1:2003) Менеджмент риска. Руководство по применению методов анализа надежности

ГОСТ Р 51901.7/ISO/TR 31004:2013 Менеджмент риска. Руководство по внедрению ИСО 31000 ГОСТ Р 51901.16 (МЭК 61164:2004) Менеджмент риска. Повышение надежности. Статистические критерии и методы оценки

ГОСТ Р 51904 Программное обеспечение встроенных систем. Общие требования к разработке и документированию

ГОСТ Р 53114 Защита информации. Обеспечение информационной безопасности в организации. Основные термины и определения

ГОСТ Р 54124 Безопасность машин и оборудования. Оценка риска

ГОСТ Р 54145 Менеджмент рисков. Руководство по применению организационных мер безопасности и оценки рисков. Общая методология

ГОСТ Р 56939 Защита информации. Разработка безопасного программного обеспечения. Общие требования

ГОСТ Р 57102/ISO/IEC TR 24748-2:2011 Информационные технологии. Системная и программная инженерия. Управление жизненным циклом. Часть 2. Руководство по применению ИСО/МЭК 15288 ГОСТ Р 57193-2016 Системная и программная инженерия. Процессы жизненного цикла систем ГОСТ Р 57272.1 Менеджмент риска применения новых технологий. Часть 1. Общие требования ГОСТ Р 57839 Производственные услуги. Системы безопасности технические. Задание на проектирование. Общие требования

ГОСТ Р 58412 Защита информации. Разработка безопасного программного обеспечения. Угрозы безопасности информации при разработке программного обеспечения

ГОСТ Р 58494 Оборудование горно-шахтное. Многофункциональные системы безопасности угольных шахт. Система дистанционного контроля опасных производственных объектов ГОСТ Р 58771 Менеджмент риска. Технологии оценки риска

ГОСТ Р 59329 Системная инженерия. Защита информации в процессах приобретения и поставки продукции и услуг для системы

ГОСТ Р 59330 Системная инженерия. Защита информации в процессе управления моделью жизненного цикла системы

ГОСТ Р 59331 Системная инженерия. Защита информации в процессе управления инфраструктурой системы

ГОСТ Р 59332 Системная инженерия. Защита информации в процессе управления портфелем проектов

ГОСТ Р 59333 Системная инженерия. Защита информации в процессе управления человеческими ресурсами системы

ГОСТ Р 59334 Системная инженерия. Защита информации в процессе управления качеством системы

ГОСТ Р 59335 Системная инженерия. Защита информации в процессе управления знаниями о системе

ГОСТ Р 59336 Системная инженерия. Защита информации в процессе планирования проекта ГОСТ Р 59337 Системная инженерия. Защита информации в процессе оценки и контроля проекта ГОСТ Р 59338 Системная инженерия. Защита информации в процессе управления решениями ГОСТ Р 59339 Системная инженерия. Защита информации в процессе управления рисками для системы

ГОСТ Р 59340 Системная инженерия. Защита информации в процессе управления конфигурацией системы

ГОСТ Р 59341 Системная инженерия. Защита информации в процессе управления информацией системы

ГОСТ Р 59342 Системная инженерия. Защита информации в процессе измерений системы ГОСТ Р 59343 Системная инженерия. Защита информации в процессе гарантии качества для системы

ГОСТ Р 59344 Системная инженерия. Защита информации в процессе анализа бизнеса или назначения системы

ГОСТ Р 59345 Системная инженерия. Защита информации в процессе определения потребностей и требований заинтересованной стороны для системы

ГОСТ Р 59347 Системная инженерия. Защита информации в процессе определения архитектуры системы

ГОСТ Р 59348 Системная инженерия. Защита информации в процессе определения проекта ГОСТ Р 59349 Системная инженерия. Защита информации в процессе системного анализа ГОСТ Р 59350 Системная инженерия. Защита информации в процессе реализации системы ГОСТ Р 59351 Системная инженерия. Защита информации в процессе комплексирования системы

ГОСТ Р 59352 Системная инженерия. Защита информации в процессе верификации системы ГОСТ Р 59353 Системная инженерия. Защита информации в процессе передачи системы ГОСТ Р 59354 Системная инженерия. Защита информации в процессе аттестации системы ГОСТ Р 59355 Системная инженерия. Защита информации в процессе функционирования системы ГОСТ Р 59356 Системная инженерия. Защита информации в процессе сопровождения системы ГОСТ Р 59357 Системная инженерия. Защита информации в процессе изъятия и списания системы ГОСТ Р МЭК 61069-2 Измерение, управление и автоматизация промышленного процесса. Определение свойств системы с целью ее оценки. Часть 2. Методология оценки

ГОСТ Р МЭК 61069-3 Измерение, управление и автоматизация промышленного процесса. Определение свойств системы с целью ее оценки. Часть 3. Оценка функциональности системы

ГОСТ Р МЭК 61069-4 Измерение, управление и автоматизация промышленного процесса. Определение свойств системы с целью ее оценки. Часть 4. Оценка производительности системы

ГОСТ Р МЭК 61069-5 Измерение, управление и автоматизация промышленного процесса. Определение свойств системы с целью ее оценки. Часть 5. Оценка надежности системы

ГОСТ Р МЭК 61069-6 Измерение, управление и автоматизация промышленного процесса. Определение свойств системы с целью ее оценки. Часть 6. Оценка эксллуатабельности системы

ГОСТ Р МЭК 61069-7 Измерение, управление и автоматизация промышленного процесса. Определение свойств системы с целью ее оценки. Часть 7. Оценка безопасности системы

ГОСТ Р МЭК 61069-8 Измерение, управление и автоматизация промышленного процесса. Определение свойств системы с целью ее оценки. Часть 8. Оценка других свойств системы

ГОСТ Р МЭК 61508-1 Функциональная безопасность систем электрических, электронных, программируемых электронных, связанных с безопасностью. Часть 1. Общие требования

ГОСТ Р МЭК 61508-2 Функциональная безопасность систем электрических, электронных, программируемых электронных, связанных с безопасностью. Часть 2. Требования к системам

ГОСТ Р МЭК 61508-4 Функциональная безопасность систем электрических, электронных, программируемых электронных, связанных с безопасностью. Часть 4. Термины и определения

ГОСТ Р МЭК 61508-5 Функциональная безопасность систем электрических, электронных, программируемых электронных, связанных с безопасностью. Часть 5. Рекомендации по применению методов определения уровней полноты безопасности

ГОСТ Р МЭК 61508-6 Функциональная безопасность систем электрических, электронных, программируемых электронных, связанных с безопасностью. Часть 6. Руководство по применению ГОСТ Р МЭК 61508-2 и ГОСТ Р МЭК 61508-3

ГОСТ Р МЭК 61508-7 Функциональная безопасность систем электрических, электронных, программируемых электронных, связанных с безопасностью. Часть 7. Методы и средства

ГОСТ Р МЭК 62264-1 Интеграция систем управления предприятием. Часть 1. Модели и терминология

Примечание — При пользовании настоящим стандартом целесообразно проверить действие ссылочных стандартов в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет или по ежегодному информационному указателю «Национальные стандарты», который опубликован по состоянию на 1 января текущего года, и по выпускам ежемесячного информационного указателя «Национальные стандарты» за текущий год. Если заменен ссылочный стандарт, на который дана недатированная ссылка, то рекомендуется использовать действующую версию этого стандарта с учетом всех внесенных в данную версию изменений. Если заменен ссылочный стандарт, на который дана датированная ссылка, то рекомендуется использовать версию этого стандарта с указанным выше годом утверждения (принятия). Если после утверждения настоящего стандарта в ссылочный стандарт, на который дана датированная ссылка, внесено изменение, затрагивающее положение, на которое дана ссылка, то это положение рекомендуется применять без учета данного изменения. Если ссылочный стандарт отменен без замены, то положение. в котором дана ссыпка на него, рекомендуется применять в части, не затрагивающей эту ссылку.

3 Термины, определения и сокращения

3.1 В настоящем стандарте применены термины по ГОСТ 27.002. ГОСТ 34.003, ГОСТ Р ИСО 9000. ГОСТ Р ИСОУМЭК 27001. ГОСТ Р ИСО 31000. ГОСТ Р 51897. ГОСТ Р 53114. ГОСТ Р 59339. ГОСТ Р 59349. ГОСТ Р МЭК 61508-4. а также следующие термины с соответствующими определениями:

3.1.1 _

актив (asset): Что-либо, что имеет ценность для организации.

Примечание — Имеются различные типы активов:

-    информация;

-    программное обеспечение;

-    материальные активы, например, компьютер;

-    услуги:

-    люди и их квалификация, навыки и опыт:

-    нематериальные активы, такие как репутация и имидж.

[ГОСТ Р ИСО/МЭК 27000—2012. статья 2.3]

3.1.2 _

допустимый риск: Риск, который в данной ситуации считают приемлемым при существующих общественных ценностях.

[ГОСТ Р 51898-2002. пункт 3.9]_

3.1.3 _

защита информации; ЗИ: Деятельность, направленная на предотвращение утечки защищаемой

информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию.

[ГОСТ Р 50922-2006. статья 2.1.1]

3.1.4 _

защита информации от утечки: Защита информации, направленная на предотвращение неконтролируемого распространения защищаемой информации в результате ее разглашения и несанкционированного доступа к ней. а также на исключение (затруднение) получения защищаемой информации [иностранными] разведками и другими заинтересованными субъектами.

Примечание — Заинтересованными субъектами могут быть: государство, юридическое лицо, группа физических лиц. отдельное физическое лицо.

[ГОСТ Р 50922-2006. статья 2.3.2]

3.1.5 _

защита информации от несанкционированного воздействия; ЗИ от НСВ: Защита информации, направленная на предотвращение несанкционированного доступа и воздействия на защищаемую информацию с нарушением установленных прав и (или) правил на изменение информации, приводящих к разрушению, уничтожению, искажению, сбою в работе, незаконному перехвату и копированию, блокированию доступа к информации, а также к утрате, уничтожению или сбою функционирования носителя информации.

[ГОСТ Р 50922-2006, статья 2.3.3]_

3.1.6 _

защита информации от непреднамеренного воздействия: Защита информации, направленная на предотвращение воздействия на защищаемую информацию ошибок ее пользователя, сбоя технических и программных средств информационных систем, природных явлений или иных нецеленаправленных на изменение информации событий, приводящих к искажению, уничтожению, копированию, блокированию доступа к информации, а также к утрате, уничтожению или сбою функционирования носителя информации.

[ГОСТ Р 50922-2006. статья 2.3.4]_

3.1.7 _

известная уязвимость: Уязвимость, опубликованная в общедоступных источниках с описанием

соответствующих мер защиты информации, исправлений недостатков или соответствующих обновлений

[ГОСТ Р 56545-2015. пункт 3.7]_

3.1.8    надежность реализации процесса определения системных требований с учетом требований по защите информации: Свойство процесса сохранять во времени в установленных пределах значения показателей, характеризующих способность выполнить процесс в заданных условиях его реализации с соблюдением требований по защите информации.

3.1.9