Электронный фонд правовой
и нормативно-технической документации
ГОСТ Р 59339-2021 Системная инженерия. Защита информации в процессе управления рисками для системы
ГОСТ Р 59339-2021
НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ
Системная инженерия
ЗАЩИТА ИНФОРМАЦИИ В ПРОЦЕССЕ УПРАВЛЕНИЯ РИСКАМИ ДЛЯ СИСТЕМЫ
System engineering. Protection of information in risk management process for system
ОКС 35.020
Дата введения 2021-11-30
Предисловие
1 РАЗРАБОТАН Федеральным государственным учреждением "Федеральный исследовательский центр "Информатика и управление" Российской академии наук" (ФГУ ФИЦ ИУ РАН), Федеральным автономным учреждением "Государственный научно-исследовательский испытательный институт проблем технической защиты информации Федеральной службы по техническому и экспортному контролю" (ФАУ ГНИИИ ПТЗИ ФСТЭК России), Федеральным бюджетным учреждением "Научно-технический центр "Энергобезопасность" (ФБУ "НТЦ Энергобезопасность") и Обществом с ограниченной ответственностью "Научно-исследовательский институт прикладной математики и сертификации" (ООО НИИПМС)
2 ВНЕСЕН Техническим комитетом по стандартизации ТК 022 "Информационные технологии"
3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 30 апреля 2021 г. N 330-ст
4 ВВЕДЕН ВПЕРВЫЕ
Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. N 162-ФЗ "О стандартизации в Российской Федерации". Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе "Национальные стандарты", а официальный текст изменений и поправок - в ежемесячном информационном указателе "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)
Введение
Настоящий стандарт расширяет комплекс национальных стандартов системной инженерии по защите информации при планировании и реализации процессов в жизненном цикле различных систем. Выбор и применение реализуемых процессов для системы в ее жизненном цикле осуществляют по ГОСТ Р 57193. Методы системной инженерии в интересах защиты информации применяют для системных процессов:
- процессов соглашения - процессов приобретения и поставки продукции и услуг для системы - по ГОСТ Р 59329;
- процессов организационного обеспечения проекта - процессов управления моделью жизненного цикла, инфраструктурой, портфелем проектов, человеческими ресурсами, качеством, знаниями - по ГОСТ Р 59330, ГОСТ Р 59331, ГОСТ Р 59332, ГОСТ Р 59333, ГОСТ Р 59334, ГОСТ Р 59335;
- процессов технического управления - процессов планирования проекта, оценки и контроля проекта, управления решениями, конфигурацией, информацией, измерений, гарантии качества - по ГОСТ Р 59336, ГОСТ Р 59337, ГОСТ Р 59338, ГОСТ Р 59340, ГОСТ Р 59341, ГОСТ Р 59342, ГОСТ Р 59343. В приложении к процессу управления рисками для системы - по настоящему стандарту;
- технических процессов - процессов анализа бизнеса или назначения, определения потребностей и требований заинтересованной стороны, определения системных требований, определения архитектуры, определения проекта, системного анализа, реализации, комплексирования, верификации, передачи системы, аттестации, функционирования, сопровождения, изъятия и списания системы - по ГОСТ Р 59344, ГОСТ Р 59345, ГОСТ Р 59346, ГОСТ Р 59347, ГОСТ Р 59348, ГОСТ Р 59349, ГОСТ Р 59350, ГОСТ Р 59351, ГОСТ Р 59352, ГОСТ Р 59353, ГОСТ Р 59354, ГОСТ Р 59355, ГОСТ Р 59356, ГОСТ Р 59357.
Стандарт устанавливает основные требования системной инженерии по защите информации в процессе управления рисками для системы и специальные требования к используемым количественным показателям. Для планируемого и реализуемого процесса управления рисками применение настоящего стандарта при создании (модернизации, развитии), эксплуатации систем и выведении их из эксплуатации обеспечивает проведение системного анализа, основанного на прогнозировании рисков.
1 Область применения
Настоящий стандарт устанавливает основные положения системного анализа для процесса управления рисками для системы применительно к вопросам защиты информации в системах различных областей приложения.
Для практического применения в приложениях А-Е приведены примеры перечней активов, подлежащих защите, и угроз, типовые методы, модели и методические указания по прогнозированию рисков, рекомендации по определению допустимых значений для показателей рисков, а также рекомендации по перечню методик системного анализа.
Примечание - Оценка ущербов выходит за рамки настоящего стандарта. Для разработки самостоятельной методики по оценке ущербов учитывают специфику систем (см., например, ГОСТ Р 22.10.01, ГОСТ Р 54145). При этом должны учитываться соответствующие положения законодательства Российской Федерации.
Требования стандарта предназначены для использования организациями, участвующими в создании (модернизации, развитии), эксплуатации систем, выведении их из эксплуатации и реализующими процесс управления рисками для системы, а также теми заинтересованными сторонами, которые уполномочены осуществлять контроль выполнения требований по защите информации в жизненном цикле систем - см. примеры систем в [1]-[26].
2 Нормативные ссылки
В настоящем стандарте использованы нормативные ссылки на следующие стандарты:
ГОСТ 2.114 Единая система конструкторской документации. Технические условия
ГОСТ 2.602 Единая система конструкторской документации. Ремонтные документы
ГОСТ 3.1001 Единая система технологической документации. Общие положения
ГОСТ 7.32 Система стандартов по информации, библиотечному и издательскому делу. Отчет о научно-исследовательской работе. Структура и правила оформления
ГОСТ 15.016 Система разработки и постановки продукции на производство. Техническое задание. Требования к содержанию и оформлению
ГОСТ 15.101 Система разработки и постановки продукции на производство. Порядок выполнения научно-исследовательских работ
ГОСТ 27.002 Надежность в технике. Термины и определения
ГОСТ 34.003 Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Термины и определения
ГОСТ 34.201 Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем
Доступ к полной версии документа ограничен
Документ «ГОСТ Р 59339 2021» посвящён системной инженерии и охватывает вопросы защиты информации в процессе управления рисками для систем. Основное назначение стандарта — предоставить методические рекомендации и требования, которые помогут организациям эффективно управлять рисками, связанными с информационной безопасностью. Сфера применения охватывает как государственные, так и частные организации, работающие в различных отраслях, где необходима защита информации.
Ключевыми аспектами, регламентируемыми документом, являются методы оценки рисков, параметры для их анализа и требования к разработке и внедрению мер по защите информации. Стандарт описывает процедуры, которые должны соблюдаться на всех этапах жизненного цикла системы, начиная от проектирования и заканчивая эксплуатацией. Также особое внимание уделяется методам идентификации и оценки уязвимостей, что позволяет более точно определять потенциальные угрозы.
Важные технические детали включают условия испытаний, которые должны проводиться для проверки эффективности применяемых мер защиты. Стандарт устанавливает классификации рисков и определяет измеряемые величины, что позволяет систематизировать подходы к управлению рисками и обеспечивает единообразие в оценке угроз. Это особенно важно для организаций, работающих в высокорисковых областях, таких как финансовый сектор и критическая инфраструктура.
Целевая аудитория стандарта включает производителей систем, лаборатории, занимающиеся тестированием и сертификацией, а также контролирующие органы, ответственные за соблюдение норм и стандартов в области информационной безопасности. Документ будет полезен специалистам, занимающимся управлением рисками, а также всем, кто участвует в разработке и внедрении систем защиты информации.
Практическое значение стандарта заключается в его влиянии на безопасность информации, качество управления рисками и соблюдение норм охраны труда. Применение данного стандарта способствует повышению уровня защищённости систем и снижению вероятности инцидентов, связанных с утечкой или компрометацией данных. Это, в свою очередь, укрепляет доверие клиентов и партнёров к организациям, внедряющим стандарты управления рисками.
В последней редакции документа были внесены изменения, касающиеся уточнения методов оценки рисков и улучшения рекомендаций по внедрению мер защиты. Эти дополнения направлены на упрощение процесса адаптации стандарта для различных организаций и улучшение его практического применения в условиях быстро меняющихся угроз информационной безопасности.
Описание документа носит справочный характер, достоверность этого материала не гарантируется.
Чтобы получить полный доступ к этому и другим документам, приобретайте доступ к Информационной сети «Техэксперт» - лидеру в области комплексного обеспечения предприятий нормативно-технической документацией.
доступны в системах «Техэксперт» и «Кодекс»
Возможно вас заинтересуют
ГОСТ Р 59333-2021 Системная инженерия. Защита информации в процессе управления человеческими ресурсами системы
ГОСТ Р 59452-2021 Обувь ортопедическая. Требования к документации и маркировке для обеспечения доступности информации
ПНСТ 531-2021 Нефтяная и газовая промышленность. Системы подводной добычи. Горячедеформированные прутки из нелегированной и легированной стали. Технические условия
ГОСТ Р 59345-2021 Системная инженерия. Защита информации в процессе определения потребностей и требований заинтересованной стороны для системы
ГОСТ Р 59346-2021 Системная инженерия. Защита информации в процессе определения системных требований
ГОСТ Р 59347-2021 Системная инженерия. Защита информации в процессе определения архитектуры системы