ГОСТ Р 53131-2008

ФЕДЕРАЛЬНО Е АГЕНТСТВО

                                       ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ



                                                                                   ГОСТ Р
                                             НАЦИОНАЛЬНЫЙ
                                                СТАНДАРТ
                                                                                   53131         —


                                              РОССИЙСКОЙ                           2008
                                               ФЕДЕРАЦИИ                           (ИСО/МЭК ТО
                                                                                   24762 :2008 )



                                               Защита информации

                                   РЕКОМЕНДАЦИИ ПО УСЛУГАМ
                             ВОССТАНОВЛЕНИЯ ПОСЛЕ Ч Р Е ЗВ Ы Ч А Й Н Ы Х
                                СИТУАЦИЙ ФУНКЦИЙ И МЕХАНИЗМОВ
                                БЕЗОПАСНОСТИ ИНФО РМ АЦИО ННЫ Х
                             И ТЕЛЕКОМ М УНИКАЦИОННЫ Х ТЕХНОЛОГИЙ
                                                 Общие положения

                                                     ISO/IEC TR 24762:2008
                                 Information technology — Security techniques — Guidelines for
                                          information and communications technology
                                                   disaster recovery services
                                                              (MOD)



                                                      Издание оф ициальное




                                                                 2011




кружевные свадебные платья

ГОСТ Р 53131— 2008


                                           Предисловие

      Цели и принципы стандартизации в Российской Федерации установлены Федеральным законом от
27 декабря 2002 г. № 184-ФЗ «О техническом регулировании», а правила применения национальных стан­
дартов Российской Федерации — ГОСТ Р 1.0— 2004 «Стандартизация в Российской Федерации. Основные
положения»

     С водения о стандарте

     1 ПОДГОТОВЛЕН Обществом с ограниченной ответственностью «Научно-производственная фирма
«Кристалл» (ООО «НПФ «Кристалл») и Федеральным государственным учреждением «Государственный
научно-исследовательский испытательный институт проблем технической защиты информации Федераль­
ной службы по техническому и экспортному контролю» {ФГУ «ГНИИИ ПТЗИ ФСТЭК России») на основе
аутентичного перевода на русский язык стандарта, указанного в пункте 4

     2 ВНЕСЕН Техническим комитетом по стандартизации No 362 «Защита информации»

     3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регули­
рованию и метрологии от 18 декабря 2008 г. No 533-ст

      4 Настоящий стандарт является модифицированным по отношению к международному стандарту
ИСО/МЭК ТО 24762—2008 «Информационная технология. Методы и средства обеспечения безопасности.
Руководство по услугам по восстановлению информационно-коммуникационных технологий после бед­
ствий» (ISO/IEC TR 24762:2008 «Information technology — Security techniques — Guidelines for information
and communications technology disaster recovery services») путем введения дополнительных положений и
изменения его структуры, обоснование которых приведено во введении к настоящему стандарту
      Наименование настоящего стандарта изменено относительно наименования указанного международ­
ного стандарта для приведения в соответствие с ГОСТ Р 1.5 (пункт 3.5)

     6 ВВЕДЕН ВПЕРВЫЕ



     Информация об изменениях к настоящему стандарту публикуется в ежегодно издаваемом ин­
формационном указателе «Национальные стандарты», а текст изменений и поправок— в ежемесячно
издаваемом информационном указателе «Национальные стандарты». В случав пересмотра (замены)
или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ежеме­
сячно издаваемом информационном указателе «Haцuoнaлы^ыв стандарты». Соответствующая ин­
формация. уведомления и тексты размещаются также в информационной системе общего пользова­
ния — на официальном сайте Федерального агентства по техническому регулированию и метрологии
в сети Интернет




                                                                               ©Стандартинформ. 2011

     Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и распро­
странен в качестве официального издания без разрешения Федерального агентства по техническому регу­
лированию и метрологии

II

ГОСТ Р 53131— 2008


                                                                                С одержание

1 Область п р и м е н е н и я .......................................................................................................................................                     1
2 Нормативные с с ы л к и .......................................................................................................................................                         1
3 Термины, определения и с о к р а щ е н и я ................................................................................................ ... .                                       2
4 Восстановление и обеспечение информационной безопасности информационных и телекоммуни­
  кационных систем организации при чрезвычайной ситуации и обеспечение непрерывности дея­
  тельности о р га н и з а ц и и ......................, .................................................................................................. ... .                         6
  4.1 Общая и н ф о р м а ц и я ..................................................................................................................................                        6
  4.2 Аспекты обеспечения условий непрерывности в информационной сфере организации . . . .                                                                                                7
  4.3 Роль совета директоров и исполнительных органов о р га н и за ц и и ..............................................                                                                  8
  4.4 Идентификация н е д о с т а т к о в ..................................................................................................................                              9
  4.5 Непрерывность сервисов в изменяющейся среде и обеспечение информационной безопасно­
      сти информационных и телекоммуникационных с и с т е м .................................                                                                                             9
5 Понимание рисков непрерывности и их влияния на цели деятельности организации и восстанов­
  ление защитных мер обеспечения информационной безопасности информационных и телекомму­
  никационных с и с т е м ................................................................................................................................., .                            9
6 Восстановление после чрезвычайных ситуаций функций и механизмов безопасности информаци­
  онных и телекоммуникационных технологий ...........................................................................................                                                    11
  6.1 Организационная основа ..................................................................................................................... .                                     11
  6.2 Вопросы системы менеджмента информационной безопасности организации и менеджмента
       непрерывности б и з н е с а ...........................................................................................................................                           12
  6.3 Восстановление и обеспечение функционирования процессов системы менеджмента инфор­
      мационной безопасности организации и защитных мер информационной безопасности при чрез­
      вычайных с и т у а ц и я х ..................................................................................................................................                      13
Приложение А (обязательное) Восстановление информационно-коммуникационных технологий пос­
                                       ле чрезвычайной с и т у а ц и и ........................................................................                                          16
Приложение В (обязательное) Средства восстановления информационно-коммуникационных техно­
                                       логий после чрезвычайной с и т у а ц и и ......................................................                                                   23
Приложение С (обязательное) Выбор площадок для восста н о в л е н и я.................................................                                                                   42
Приложение ДА (справочное) Сведения о соответствии ссылочных национальных стандартов меж­
                                       дународным стандартам, использованным в качестве ссылочных в
                                       примененном международном с т а н д а р т е .............................................                                                         43
Приложение ДБ (справочное) Терминологические статьи международного стандарта ИСО/МЭК ТО
                                       24762. которые применены в настоящем стандарте с модификацией
                                                       и х с о д е р ж а н и я .......................................................................................................   44
Приложение ДВ (справочное) Сопоставление структуры настоящего стандарта со структурой меж­
                                                  дународного стандарта ИСО/МЭК ТО 24762 ........................................                                                        45
Б и б л и о гр а ф и я .........................................................................................................................................................         47




                                                                                                                                                                                         III

ГОСТ Р 53131— 2008


                                            Введение

      Основное конкурентное преимущество любого современного бизнеса лежит в его информационной
сфере. Конкурентное преимущество имеет тот, кто быстрее, точнее и на более длительный срок прогнози­
рует развитие тех или иных направлений деятельности или возможных проблем и рисков, потребностей
бизнеса: кто быстрее и адекватнее реагирует на значимые для деятельности организации события и спосо­
бен извлекать пользу (преимущества) даже из неблагоприятных ситуаций.
      Для реализации вышеупомянутых условий обеспечения конкурентного преимущества требуется вы­
сокоорганизованная. высокотехнологичная и автоматизированная информационная сфера, в которой дол­
жны поддерживаться эффективные процессы. Такая информационная сфера, основанная только на гло­
бальных данных (ранее — преимущественно на локальных), будет более уязвимой. Однако с точки зрения
бизнеса основной причиной уязвимости информационной сферы является неопределенность состояния ее
информационной базы, создающая иногда значительную стохастическую составляющую (риски) бизнеса.
Понесенные потери могут иметь естественные причины, не связанные с нарушениями безопасности.
      Подразделение организации, обеспечивающее ее безопасность, не может и не должно отвечать за
все. Такой «привилегией» обладает только высшее руководство организации, и все ошибки — организаци­
онные. управленческие, ошибки в результате неадекватной и неэффективной деятельности — являются
ошибками системы корпоративного управления организаций. Все остальные подразделения организации
разделяют общую ответственность в объеме определенной им конкретной деятельности, в том числе и в
части обеспечения безопасности. Область ответственности подразделения безопасности организации —
злонамеренная активность, негативно влияющая на цели бизнеса, а самая сложная ее задача — противо­
действие злонамеренному использованию стохастичности бизнеса, то есть противодействие скрытому,
невидимому злоумышленнику.
      Одна из важнейших задач подразделения безопасности — формализация собственной деятельнос­
ти в рамках организации (корпорации), т. е. определение совместно с высшим руководством организации
роли и ответственности подразделения безопасности в организации. Роль подразделения безопасности
должна определяться совокупностью процессов, которые это подразделение будет поддерживать, и меха­
низмов включения этих процессов в общее корпоративное управление, поддержки этих процессов права­
ми (каналами влияния на объект и степенью влияния), ресурсами и ответственностью.
      В связи с усилением зависимости деятельности организации от непрерывности ее информационных
процессов, доступности и готовности компонентов информационной сферы в разряд критических перехо­
дят аспекты, связанные с обеспечением непрерывности бизнеса. Руководство организаций все чаще ощ у­
щает зависимость их деятельности от сбоев, в том числе связанных с рисковыми событиями в информаци­
онной сфере.
      В настоящем стандарте представлены рекомендации по планированию деятельности, связанной с
восстановлением функций и механизмов безопасности информационных и телекоммуникационных техно­
логий после чрезвычайных ситуаций в контексте общего процесса обеспечения непрерывности деятельно­
сти организации.
      Основаниями разработки национального стандарта, модифицированного по отношению к междуна­
родному стандарту, являются:
      - различия в объектах стандартизации национального и международного стандартов, обусловленные
потребностями в обеспечении информационной безопасности субъектов российской экономики и поддерж­
ке деятельности специализированных подразделений организаций;
      - международный стандарт не учитывает государственные интересы и направлен на удовлетворение
потребностей бизнеса (организаций, провайдеров услуг, групп организаций, связанных взаимными согла­
шениями. которые используют услуги аутсорсинга электронной обработки данных) в части восстановле­
ния информационных и коммуникационных технологий (ИКТ) после чрезвычайных ситуаций.
      Объект стандартизации международного стандарта — услуги по восстановлению ИКТ после чрезвы­
чайных ситуаций, в то время как объектом стандартизации гармонизированного модифицированного нацио­
нального стандарта являются услуги по восстановлению после чрезвычайных ситуаций функций и меха­
низмов безопасности информационных и телекоммуникационных технологий, а предметом стандартизации
— общие положения.
      Изменения, введенные в настоящий стандарт по отношению к международному стандарту, обуслов­
лены необходимостью наиболее полного достижения целей национальной стандартизации в области защи­
ты информации.

IV