ГОСТ Р 59346-2021 Системная инженерия. Защита информации в процессе определения системных требований
4 Основные положения системной инженерии по защите информации в процессе определения системных требований
4.1 Общие положения
Организации используют процесс определения системных требований в рамках создания (модернизации, развития) и эксплуатации системы для преобразования представления заинтересованных сторон о возможностях системы в требования, реализация которых удовлетворит эксплуатационные потребности пользователей системы и возможности разработчика, для обеспечения при этом эффективности защиты информации, а также для сохранения конфиденциальности сведений об активах системы и о самой системе. На стадии выведения системы из эксплуатации требования применения процесса направлено на защиту информации в части определения сроков и порядка выведения системы из эксплуатации, а также утилизации носителей защищаемой информации.
При планировании и реализации процесса определения системных требований осуществляют защиту информации, направленную на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию. Должно быть обеспечено надежное выполнение процесса.
Для прогнозирования рисков нарушения надежности реализации процесса и обоснования эффективных превентивных мер по снижению этих рисков или их удержанию в допустимых пределах используют системный анализ с учетом требований по защите информации.
Определение выходных результатов процесса и типовых действий по защите информации осуществляют по ГОСТ 2.102, ГОСТ 2.114, ГОСТ 15.101, ГОСТ 34.201, ГОСТ 34.602, ГОСТ Р ИСО 9001, ГОСТ Р ИСО/МЭК 12207, ГОСТ Р ИСО 15704, ГОСТ Р ИСО/МЭК 27001, ГОСТ Р ИСО/МЭК 27002, ГОСТ Р ИСО/МЭК 27003, ГОСТ Р 51904, ГОСТ Р 57102, ГОСТ Р 57193, ГОСТ Р 57839, с учетом специфики системы и стандартов соответствующей отрасли (см., например ГОСТ 15.016, ГОСТ IEC 61508-3, ГОСТ Р 51583, ГОСТ Р 56939, ГОСТ Р 58412, ГОСТ Р МЭК 61508-2, ГОСТ Р МЭК 61508-7, [7]-[14]). Оценку различных рисков нарушения требований по защите информации осуществляют по настоящему стандарту с использованием рекомендаций ГОСТ Р ИСО 9001, ГОСТ Р ИСО/МЭК 27005, ГОСТ Р ИСО 31000, ГОСТ Р 51901.1, ГОСТ Р 51901.5, ГОСТ Р 51901.7, ГОСТ Р 54124, ГОСТ Р 57102, ГОСТ Р 57272.1, ГОСТ Р 58771, ГОСТ Р 59339, ГОСТ Р 59349, ГОСТ Р 59355. При этом учитывают специфику системы и организации, применяющей процесс - см., например, [7]-[14].
4.2 Стадии и этапы жизненного цикла системы
Процесс определения системных требований может быть использован на любой стадии жизненного цикла системы. Стадии и этапы работ устанавливают в договорах, соглашениях и ТЗ с учетом специфики и условий функционирования системы. Перечень этапов и конкретных работ в жизненном цикле системы формируют с учетом требований ГОСТ 2.114, ГОСТ 15.016, ГОСТ 34.601, ГОСТ 34.602, ГОСТ Р 15.301, ГОСТ Р ИСО 9001, ГОСТ Р ИСО/МЭК 12207, ГОСТ Р ИСО 31000, ГОСТ Р 51583, ГОСТ Р 51901.1, ГОСТ Р 51901.7, ГОСТ Р 57102, ГОСТ Р 57193, ГОСТ Р 57272.1, ГОСТ Р 57839, [1]-[6], [7]-[11], [14]. Процесс определения системных требований может входить в состав работ, выполняемых в рамках других процессов жизненного цикла системы, и при необходимости включать в себя другие процессы.
4.3 Цели процесса и назначение мер защиты информации
4.3.1 Формирование целей процесса определения системных требований осуществляют по ГОСТ Р ИСО 9001, ГОСТ Р ИСО/МЭК 12207, ГОСТ Р ИСО/МЭК 27002, ГОСТ Р 57102, ГОСТ Р 57193, ГОСТ Р МЭК 61508-1, ГОСТ Р МЭК 62264-1 с учетом специфики системы. В общем случае цель процесса определения системных требований состоит в преобразовании ориентированного на пользователей представления заинтересованных сторон о возможностях системы в требования для такого технического предоставления решения, которое удовлетворит эксплуатационным потребностям пользователей и возможностям разработчика по реализации этих решений.
Применительно к стадии замысла, формирования требований, разработки концепции (концептуальных положений) и ТЗ цель процесса определения системных требований в части защиты информации состоит в пресечении возможности выявления существенной информации о самой системе и выбора мер и средств защиты информации (ЗИ), подлежащих использованию в системе для адекватного противодействия угрозам.
Примечание - Существенность информации рассматривается с точки зрения реализации угроз безопасности информации на текущей и последующих стадиях жизненного цикла системы.
Применительно к стадиям разработки, производства и поставки системы заказчику определение системных требований в части ЗИ должно быть направлено на предупреждение и пресечение возможностей несанкционированного внесения разработчиком недекларированных возможностей в программное и программно-аппаратное обеспечение системы и выявление существенной информации о самой системе (существенной с точки зрения реализации угроз безопасности информации при ее эксплуатации), а также на обоснование мер и средств ЗИ, подлежащих использованию на этих стадиях.
Применительно к стадии эксплуатации, включая сопровождение системы, требования в части ЗИ направлены на защиту информации о самой системе (в том числе о применяемых в ней мерах и средствах защиты информации) и об обрабатываемой в системе информации пользователей, сведений об организации и ее контрагентах, а также об иных системах, с которыми осуществляет взаимодействие рассматриваемая система.
Применительно к стадии выведения системы из эксплуатации требования в части ЗИ направлены на защиту информации, касающейся сроков и порядка выведения системы из эксплуатации, а также на утилизацию носителей защищаемой информации, исключающую возможность выявления ее содержания.
Применительно ко всем стадиям жизненного цикла в процессе определения системных требований проводится системный анализ различных процессов - см. ГОСТ Р 59349.
Использование процесса определения системных требований позволяет задать разработчику функциональные и эксплуатационные возможности, которыми система должна обладать для удовлетворения требований заинтересованных сторон, а также условия и меры ЗИ. Насколько допускают ограничения, системные требования не должны диктовать никакой конкретной реализации.
4.3.2 Меры ЗИ в процессе определения системных требований предназначены для конфиденциальности, целостности и доступности защищаемой информации, предотвращения утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию. Определение мер ЗИ осуществляют по ГОСТ Р ИСО/МЭК 27001, ГОСТ Р ИСО/МЭК 27002, ГОСТ Р 51583, ГОСТ Р 56939, ГОСТ Р 58412, ГОСТ Р МЭК 61508-7, [7]-[14] с учетом специфики системы и реализуемой стадии ее жизненного цикла.
4.4 Основные принципы системного анализа
При проведении системного анализа процесса определения системных требований руководствуются основными принципами, определенными в ГОСТ Р 59349, с учетом дифференциации требований по защите информации в зависимости от категории значимости системы и важности обрабатываемой в ней информации (см. [7]-[14]). Все применяемые принципы подчинены принципу целенаправленности осуществляемых действий.
4.5 Основные усилия для обеспечения защиты информации
Основные усилия системной инженерии для обеспечения защиты информации в процессе определения системных требований сосредоточивают:
- на определении выходных результатов и действий, предназначенных для достижения целей процесса и защиты активов, информация которых или о которых необходима для достижения этих целей;
- выявлении потенциальных угроз и определении возможных сценариев возникновения и развития угроз для активов, подлежащих защите, выходных результатов и выполняемых действий процесса, выявлении множества уязвимостей системного и прикладного программного обеспечения функционирования системы, которые могут быть использованы при реализации потенциальных угроз безопасности информации;
- определении и прогнозировании рисков, подлежащих системному анализу;
- проведении системного анализа для обоснования мер, направленных на противодействие угрозам и достижение целей процесса.