ГОСТ Р 59347-2021. Национальный стандарт Российской Федерации. Системная инженерия. Защита информации в процессе определения архитектуры системы

6 Специальные требования к количественным показателям

 

6.1 Общие положения

 

6.1.1 Применительно к защищаемым активам, действиям и выходным результатам процесса определения архитектуры системы, к которым предъявлены требования по защите информации, выполняют оценку эффективности защиты информации на основе прогнозирования рисков в условиях возможных угроз.

6.1.2 В общем случае основными выходными результатами процесса определения архитектуры системы являются:

- описания для вариантов архитектуры, в соответствии с которыми выполняют идентификацию элементов системы, определяют контекст, границы и внешние взаимодействия системы (по ГОСТ Р 57100);

- общее описание системы, функциональная структура, постановки задач;

- точки зрения на архитектуру, архитектурные представления и модели системы;

- описание автоматизируемых функций, организационная структура (по ГОСТ 34.201);

- схема деления системы, описание системных элементов и порядка их взаимодействия между собой и с внешним окружением;

- спецификации внутренних и внешних интерфейсов для каждого системного элемента;

- чертежи общего вида, схемы (по ГОСТ 2.102);

- системные требования, понятия, свойства, характеристики, функции и/или ограничения, распределенные по элементам системы, описание системы защиты информации в процессе определения системных требований (по ГОСТ Р 59346);

- результаты верификации между системными требованиями и архитектурой системы;

- материалы в эскизный и/или технический проекты системы и/или действующий макет, модели и/или прототипы архитектуры системы;

- отчеты по анализу системных требований;

- требования к обеспечивающим системам или системным элементам, необходимым для выполнения действий процесса;

- карта прослеживаемости элементов архитектуры с требованиями заинтересованных сторон и системными требованиями;

- отчет по архитектуре системы с соответствующими обоснованиями.

6.1.3 Для получения выходных результатов процесса определения архитектуры системы в общем случае выполняют следующие основные действия:

- подготовительные действия, включая:

- анализ необходимой информации (исследования рынка, промышленных проектов, планов и намерений конкурентов, научных результатов, организационной политики и директив, нормативных и юридических ограничений, функциональной концепции и эксплуатационной среды системы),

- уточнение требований заинтересованных сторон, связанных с архитектурой, таких как требования к функционированию (например, надежности, безопасности, эффективности), сопровождению, развитию системы и окружающей среды, производству,

- выработку подходов к разработке и стратегии модернизации и развития архитектуры системы,

- определение критериев оценки вариантов архитектуры, основанных на учете интересов заинтересованных сторон и основных системных требований,

- определение требований и взаимодействий для обеспечивающих систем и/или услуг, использование которых предполагается для поддержки процесса определения архитектуры. Получение или приобретение доступа к обеспечивающим системам и/или услугам;

- разработку описаний для вариантов архитектуры и/или разработку действующих моделей (и/или прототипов) архитектуры системы, включая:

- выбор, приспосабливание или разработку точек зрения на архитектуру и необходимых моделей,

- определение потенциальной структуры архитектуры, которая будет использоваться в разрабатываемых моделях и архитектурных представлениях,

- выбор или разработку методик и инструментариев для поддержания моделирования,

- выбор, приспосабливание или разработку моделей и представлений для архитектурных вариантов,

- согласование моделей архитектуры и архитектурных представлений друг с другом;

- оценку вариантов архитектуры системы, включая:

- оценку каждого варианта архитектуры применительно к установленным ограничениям и требованиям, а также к интересам заинтересованных сторон с использованием установленных критериев оценки,

- выбор и обоснование предпочтительного варианта архитектуры и основных архитектурных решений;

- управление выбранной архитектурой системы, включая:

- официальное согласование архитектуры с заинтересованными сторонами;

- поддержание соответствия и полноты архитектурных сущностей и их архитектурных характеристик.

Примечание - Сущности, которые подлежат проверке могут быть не только техническими, но также юридическими, экономическими, организационными и эксплуатационными, являющимися обычно частью интересов и требований заинтересованных сторон;

 

- поддержание стратегии определения и оценки архитектуры системы.

6.1.4 Текущие данные, накапливаемая и собираемая статистика, связанные с нарушениями требований по защите информации и нарушениями надежности реализации процесса, являются основой для принятия решений по факту наступления событий и источником исходных данных для прогнозирования рисков на задаваемый период прогноза. Риски оценивают вероятностными показателями с учетом возможного ущерба (см. приложения В, Г).