Режа: Ахборот тизимларининг хавфсизлигига қўйиладиган талаблар ва хавфсизлик талабларини таҳлил қилиш ва спецификациялаш

6-маъруза. Ахборот тизимларини ишлаб чиқиш ва хизмат кўрсатиш.
Режа:
1. Ахборот тизимларининг хавфсизлигига қўйиладиган талаблар ва хавфсизлик талабларини таҳлил қилиш ва спецификациялаш
2. Чиқувчи маълумотларни текшириш
3. Муҳофаза қилишнинг криптографик воситалари
4. Ишлаб чиқиш ва таъминлаш жараёнларининг хавфсизлиги
5. Техник заифликларни бошқариш


Калит сўзлар: спецификация, техник заифлик, криптографик воситалар, ИСО 10007, ИСО/ИЕС 12207


Ахборот тдизимларининг хавфсизлигига қўйиладиган талаблар
Мақсад: хавфсизликни таъминлаш ахборот тизимларининг ажралмас қисмидир.
Ахборот тизимлари операцион тизимларни, инфратузилмани, бизнес иловаларни, тайёр маҳсулотлар, сервислар ва фойдаланувчилар томонидан ишлаб чиқилган иловаларни ўз ичига олади. Лойиҳалаш ва бизнес-илова ёки сервисни жорий қилиш жараёнлари хавфсизлик нуқтаи назаридан сезгир бўлиши мумкин. Хавфсизлик талаблари ахборот тизимларини ишлаб чиқишга қадар белгиланган ва келишилган бўлиши керак.
Хавфсизликнинг барча талабларини ахборот тизимининг техник топшириғини ишлаб чиқиш босқичида белгилаш керак. Улар умумий лойиҳа доирасида белгиланган, асосланган, келишилган ва ҳужжатлаштирилган бўлиши керак.
Хавфсизлик талабларини таҳлил қилиш ва спецификациялаш
Янги тизимларга ёки мавжуд тизимларни модернизация қилишга нисбатан бизнес талабларининг ифодаларида ахборот хавфсизлиги талаблари ҳисобга олинган бўлиши зарур.
Тизимга ўрнатилган бошқариш автоматик воситаларининг имкониятларини ҳисобга олиш зарур, шунингдек, хавфсизликни бошқаришнинг ёрдамчи дастаки воситаларидан фойдаланиш имкониятини ҳам кўриб чиқиш керак. Амалий дастурларнинг пакетларини баҳолашга ҳам худди шундай ёндашиш керак.
Тизим хавфсизлигига ва уни бошқариш воситаларига қўйилган талаблар ахборот активларининг аҳамиятини (7.2), хавфсизлик чораларининг самарасизлиги ёки йўқлиги натижасида бизнесга етказилиши мумкин бўлган потенциал зарарни ҳисобга олиши керак.
Ахборот хавфсизлигининг тизим талабларини ва хавфсизликни жорий қилиш жараёнлари ахборот тизимлари лойиҳаларининг дастлабки босқичларида бирлаштирилиши керак. Тизимни лойиҳалаш бос-қичида унинг хавфсизлигига қўйилган талабларни амалга ошириш тизимни жорий қилиш вақтида ёки ундан сўнг тегишли воситаларни ишлаб чиқишга қараганда кетадиган сарф-харажатларни сезиларли даражада пасайтириш имконини беради.
Агар маҳсулот сотиб олинадиган бўлса, расмий синаш ва сотиб олиш жараёнига риоя қилиш керак. Етказиб берувчилар билан тузиладиган
шартномалар хавфсизликнинг белгиланган талабларини ҳисобга олиши керак. Агар хавфсизликнинг функционал имкониятлари таклиф этилган маҳсулотда белгиланган талабларга жавоб бермаса, олиб кирилаётган хавф ва у билан боғлиқ бўлган бошқариш воситаларини маҳсулот сотиб олингунга қадар қайта кўриб чиқиш керак. Агар хавф-сизлик хавфларини чақирувчи қўшимча функционал имкониятлар берилса, уларни ўчириб қўйиш ёки фойдаланиш мумкин бўлган қўшимча функционал имкониятлардан фойда олиш мумкинлигини аниқлаш учун таклиф этилган бошқариш структурасини қайта кўриб чиқиш керак.
Раҳбарият, масалан, нархини ҳисобга олиб мустақил баҳога ва сертификатга эга бўлган маҳсулотлардан фойдаланишни жоиз деб топиши мумин. Бундан кейинги АТ хавфсизлик маҳсулотлари баҳосининг мезон-лари тўғрисидаги ахборот O‘z DSt ISO/IEC 15408:2008 стандартида ёки, зарурат бўлганда баҳолаш ва сертификатлашнинг бошқа стандартларида бўлади.
ISO/IEC 13335-3 стандарти хавфсизликни бошқариш воситаларига қўйилган талабларни белгилаш учун хавфларни бошқариш жараёнларидан фойдаланиш бўйича қўлланмани ўз ичига олади.