O‘zbekiston respublikasi

1.3. Xavfsizlikni boshqarish va ximoya tizimini qurish.

Zamonaviy axborot texnologiyalaridan muvaffaqiyatli foydalanish uchun nafaqat tarmoqlarning o‘zini, balki tarmoq, xavfsizligi vositalarini xam ishonchli va samarali boshqarish zarur. Hozirgi vaqtda kompaniyaning butun infratuzilmasini qamrab oluvchi boshqarishning kompleks tizimini yaratish birinchi galdagi vazifa xisoblanadi.
Umumiy holda, tarmoqni boshqarish tizimining arxitekturasi 13.3-rasmda keltirilgan ko‘rinishga ega. Tarmoqni boshqarish ilovasi tarmoq, ma'murining ish joyida yoki boshqa kompyuterda bajarilishi mumkin. Uning vazifasi boshqariluvchi qurilmalarda bajariladigan agent - ilovalardan yoki operatsion tizim servislaridan keluvchi boshqariluvchi ob'ekt xususidagi axborotni yig‘ish.
13.3-rasm. Tarmoqni boshqarish tizimining umumlashtirilgan arxitekturasi
Kompaniyaning taqsimlangan axborot tizimida o‘zining xavfsizlik siyosatini muvaffaqiyatli amalga oshirishi uchun xavfsizlikni boshqarish markazlishtirilgan bo‘lishi va ishlatiladigan operatsion tizimga va tarkibiy tizimlarga bog‘lik, bo‘lmasligi lozim.
Korporativ axborot tizimi xavfsizligini markazlashtirilgan boshqarish asosida global boshqarish konsepsiyasi GSM (Global Security Management) yotadi. Ushbu konsepsiya korxona axborot resurslarini quyidagi xususiyatlarga ega bulgan kompleks boshqarish tizimini qurishga imkon beradi:

• 
  korxonaning barcha resurslari (xavfsizlik siyosati ob'ektlari)
  

uchun ximoyalashning yaxlitligini, ziddiyatlik emasligini va qoidalar to‘plamining to‘laligini ta'minlovchi, barcha mavjud ximoya vositalarini
korxona xavfsizligi siyosati asosida boshqarish;

• 
  resurslarni tavsiflovchi shaxsiy vositalar hamda korxonaning
  

boshqa kataloglari bilan aloqasi buyicha faollashuvchi korxona muhitining yagona (taqsimlangan) katalogi orqali korxonaning barcha
resurslarini aniqlash;

• 
  xavfsizlik siyosatiga asoslanib, axborotni ximoyalashning local vositalarini markazlashtirilgan boshqarish;
  
• 
  korxona muhitida siyosat ob'ektlarini tokenlar va ochiq kalitlar infratuzilmasidan foydalanib qat'iy autentifikatsiyalash;
  
• 
  katalogda belgilangan korxona resurslaridan yoki butun katalog qismlaridan foydalanishni ma'murlashning kengaytirilgan imkoniyatlari;
  
• 
  hisob-kitoblikni (korporativ tarmoq, masshtabida tizimning
  

taqsimlangan ob'ektlarining o‘zaro aloqasidagi barcha amallarini ro‘yxatga olish) va auditni, xavfsizlik monitoringini, xavotirli signalizatsiyani ta'minlash;

• 
  umumiy boshqarish tizimlari va xavfsizlikning infratuzilma tizimlari bilan integratsiyalanishi;
  

Ushbu konsepsiya doirasida "xavfsizlik siyosatiga asoslangan RVM (Policy Based Management) boshqarish" deganda korxona biznes-ob'ekti uchun ta'riflangan qoidalar to‘plami tushuniladi. Bu qoidalar to‘plami ob'ektlarning biznes-soxdni to‘liq kamrab olishini va ishlatiluvchi boshqarish qoidalarining ziddiyatlik emasligini kafolatlaydi.
RVM prinsplariga asoslangan, korxona xavfsizligini boshqarishga muljallangan GSM boshqarish tizimi quyidagi talablarga javob beradi:

• 
  korxona xavfsizligi siyosati mantiqiy va semantik bog‘langan, shakllanuvchi, tahrirlanuvchi va tahlillanuvchi ma'lumotlarning bir butun tuzilmasidan iborat;
  
• 
  korxona xavfsizligi siyosati yagona kontekstda ximoyaning barcha sathlari uchun ximoyaning tarmoq siyosati va korxona axborot resurslari xavfsizlik siyosatining bir butuni sifatida belgilanadi;
  
• 
  korxona resurslarini va xavfsizlik siyosatini ma'murlashni yengillashtirish maksadida siyosat parametrlari soni minimallashtiriladi.
  

GSM boshqarish tizimi xavfsizlik siyosatining korxona xavfsizligi kontseptsiyasi modeliga mosligini tekshiruvchi ko‘p mezonli vositalar evaziga xavfsizlik siyosatini tahlillashning turli-tuman mexanizmlarini ta'minlaydi.
Xavf-xatarlarni tahlillash va boshqarish axborot tizimidagi tahdidlar, zaifliklar va xavf-xatarlarni baholash, hamda ushbu axborot tizimi xavfsizligining yetarli darajasini ta'minlovchi qarshi choralarni aniqlash uchun ishlatiladi.
Xavf-xatarlarni tahlillash-taxdidlarni, zaifliklarni va korporativ axborot tizimi xavfsizligiga bo‘lishi mumkin bo‘lgan zararlarni aniqlash jarayoni. Xavf-xatarlarni tahlillashdan maqsad mavjud xavf-xatarlarni aniqlash va ular me'yorini baholash
(ularga miqdoriy baho berish). Xavf-xatarlarni tahlillash kompyuter axborot tizimi xavfsizligini tekshirish bo‘yicha tadbirni o‘z ichiga oladi. Bu tadbirga binoan qaysi resurslarni qaysi tahdidlardan himoyalash zarurligi xamda u yoki bu resurslar qanday darajada ximoyaga muxtoj ekanligi aniqlanadi.
Xavf-xatarlarni tahlillashga turli yondashishlar mavjud. Yondashishni tanlash tashkilotda axborot xavfsizligi rejimiga qo‘yiladigan talablar darajasiga va e'tiborga olinuvchi taxdidlar xarakteriga (taxdidlar ta'siri spektriga) bog‘liq. Talablarning ikkita darajasi farqlanadi:

• 
  axborot xavfsizligi rejimiga minimal talablar;
  
• 
  axborot xavfsizligi rejimiga oshirilgan talablar.
  

Axborot xavfsizligi rejimiga minimal talablar axborot xavfsizligining bazaviy darajasiga moe keladi. Bu darajadan, odatda, namunaviy loyiha yechimlarida foydalaniladi. Xavf-xatarlarni tahlillash soddalashtirilgan sxema bo‘yicha o‘tkaziladi: xavfsizlikka taxdidlarning ko‘p tarqalgan to‘plami ularning ehtimolligini baholamasdan quriladi. Viruslar, asbob-uskunalarning buzilishi, ruxsatsiz foydalanish kabi ehtimolligi yuqori taxdidlarning minimal to‘plami quriladigan qator standartlar va spetsifikatsiyalar mavjud. Bunday taxdidlarni betaraflashtirish uchun ularning amalga oshirilishi ehtimolligi va resurslarning zaifligidan qat'iy nazar, qarshi choralar ko‘rilishi lozim, ya'ni bazaviy darajada taxdidlar xarakteristikalarini qurish shart emas.
Axborot xavfsizligi rejimiga oshirilgan talablar, axborot xavfsizligi rejimining buzilishi og‘ir oqibatlarga sabab bo‘lganida va axborot xavfsizligi rejimiga minimal talablar yetarli bo‘lmaganida ishlatiladi.
Axborot xavfsizligi rejimiga oshirilgan talablarni ta'riflash uchun resurslar ahamiyatini aniqlash, tadqiqlanuvchi axborot tizimi uchun dolzarb bo‘lgan taxdidlar ro‘yxati bilan standart to‘plamni to‘ldirish, taxdidlar ehtimolligini baholash va resurslar zaifligini aniqlash zarur.
Xavf-xatarni tahlillash jarayonini quyidagi bosqichlarga ajratish mumkin:

• 
  korporativ axborot tizimining tayanch resurslarini identifikatsiyalash;
  
• 
  u yoki bu resursning muximligini aniqlash;
  
• 
  taxdidlarning amalga oshirilishiga imkon beruvchi mavjud xavfsizlik taxdidlarni va zaifliklarni identifikatsiyalash;
  
• 
  xavfsizlikka taxdidlarni amalga oshirilishi bilan bog‘lik, xavf-xatarlarni xisoblash.
  
• 
  Ximoyaning bo‘shligi korporativ axborot tizimidagi zaifliklarga sabab bo‘ladi. Zaifliklarni baholash xavfsizlik taxdidlarining muvaffaqiyatli amalga oshirilish ehtimolligini aniqlashni nazarda tutadi. Shunday qilib, zarar yetkazish ehtimolligi taxdidlarning amalga oshirilishi ehtimolligi va zaiflik miqdori orqali aniqlanadi.
  
• 
  Xavf-xatar darajasi resurs narxi, taxdid darajasi va zaiflik miqdori asosida aniqlanadi. Resurs narxi, taxdid darajasi va zaiflik miqdori oshishi bilan xavf-xatar darajasi xam oshadi. Xavf-xatarlar darajasini baxrlash asosida xavfsizlik talablari belgilanadi.
  
• 
  Xavf-xatarlarni boshqarish masalasi, xavf-xatar darajasini maqbul miqdorgacha kamaytirishga imkon beruvchi qarshi choralarni asosli tanlashni va amalga oshirish narxini baholashni o‘z ichiga oladi. Tabiiyki, qarshi choralarni amalga oshirish narxi bo‘lishi mumkin bo‘lgan zarar miqdoridan kam bo‘lishi kerak.
  
• 
  13.7-rasmda xavf-xatarlarni boshkarish texnologiyasining boskichlari keltirilgan.
  
• 
  Axborot xavfsizligi siyosatini aniqlash. Bu bosqichda axborot xavfsizligi sohasidagi qo‘llanma-xujjatlar, standartlar, axborot xavfsizligining asosiy qoidalari, xavf-xatarlarni boshqarishga yondashishlar aniqlanadi hamda qarshi choralar strukturizatsiyalanadi va korporativ axborot tizimini sertifikatsiyalash tartibi belgilanadi.
  
• 
  Korporativ axborot tizimini (KAT) tavsiflash. Ushbu bosqichda axborot xavfsizligi sohasidagi xalqaro, davlat va korporativ standartlarga binoan korporativ axborot tizimning funksional vazifalari tavsiflanadi. Kompaniyaning kritik axborot resurslari, jarayonlari va servislari tavsiflanadi; korporativ axborot tizimining chegaralari hamda boshqarish va ma'lumotlar bo‘yicha eng muxim komponentlarining tarkibi va bog‘lanishlari aniqlanadi.
  
• 
  Taxdidlarni identifikatsiyalash. Ushbu boskichda taxdidlar ro‘yxati tuziladi va ularning darajasi baholanadi. Bunda turli tashkilotlarning taxdidlar sinflari ro‘yxatidan ham berilgan taxdidni amalga oshirish ehtimolligining reytingi yoki o‘rtacha qiymatidan foydalanish mumkin.
  
• 
  Zaifliklarni identifikatsiyalash. Ushbu bosqichda berilgan korporativ axborot tizimining zaifliklari ro‘yxati, ularning amalga oshirilishidagi joiz natijalar ko‘rsatilgan xolda tuziladi. Mavjud korporativ axborot tizimi uchun ro‘yxatlar qator manbalardan foydalanilib tuziladi. Bu manbalarga zaifliklarni tarmoq, skanerlari, turli tashkilotlarning zaifliklar katalogi, xavf-xatarlarni tahlillovchi ixtisoslashtirilgan usullar kiradi.
  
• 
  Korporativ axborot tizimining boshqarish tizimini tahlillash. Ushbu bosqichda boshqarish, tizimi, aniqlangan tahdidlarga va zaifliklarga joiz bo‘lgan ta'sir nuktai nazaridan tahlillanadi.
  
• 
  Taxdidlar parametrlarini baholash. Ushbu bosqichda xodisaga olib keluvchi zaiflikning amalga oshirilishi imkoniyati baholanadi. Baholashning namunaviy shkalasi - bir necha rutbali (masalan, past, urta, va yuqori satx,) sifatiy (balli) shkaladir. Bunday baho ekspert tomonidan mavjud ob'ektiv faktorlarni hisobga olgan holda beriladi.
  
• 
  Axborot xavfsizligi rejimining buzilishi oqibatlarini tahlillash. Ushbu bosqichda axborot xavfsizligi rejimining buzilishi bahosi aniqlanadi. Buzilish oqibatlari moliyaviy yo‘qotishlarga, obro‘sizlanishga, rasmiy tuzilmalar tomonidan ko‘ngilsizliklarga sabab bo‘lishi mumkin. Buzilish oqibatlarini baholash uchun mezonlar tizimi tanlanadi va oqibatlar og‘irligini baholash uchun integratsiyalangan shkala belgilanadi.
  
• 
  Xavf-xatarlarni baholash. Ushbu bosqichda axborot resurslari xavfsizligining buzilishi xavf-xatar darajasi baholanadi. Xavf-xatar darajasi qiymati tahdidlar, zaifliklar darajasiga va bo‘lishi mumkin bo‘lgan oqibatlar og‘irligiga bog‘liq. Xavf-xatarlarni baholashda sifatiy va miqdoriy usullardan foydalaniladi. Sifatiy usul ishlatilganda axborot xavfsizligi buzilishining bo‘lishi mumkin bo‘lgan xavf-xatarlar xavfliligi darajasi bo‘yicha rutbalanishi lozim. Miqdoriy usul ishlatilganda xavf-xatarlar miqdoriy shkalalarda baholanishi mumkin. Bu tavsiya etilayotgan qarshi choralarning narxi samaradorligini tahlillashni osonlashtiradi. Ammo bu holda dastlabki ma'lumotlarni o‘lchash shkalalariga va ishlatilayotgan modelning adekvatligiga juda yuqori talablar qo‘yiladi. Oddiy holda xavf-xatarni baholashda ikkita omil-xodisa ehtimolligi va bo‘lishi mumkin bo‘lgan oqibatlar og‘irligi ishlatilishi mumkin.
  
• 
  Xavf-xatarlarni boshqarish bo‘yicha tavsiyalarni ishlab chiqish. Ushbu bosqichda turli sathlar (tashkiliy, dasturiy-texnik) va xavfsizlikning alohida jixatlari bo‘yicha strukturizatsiyalangan qarshi choralarning kompleksi tavsiya etilishi lozim. Taklif etiluvchi karshi choralar kompleksi xavf-xatarlarni boshqarishning tanlangan strategiyasiga binoan quriladi.
  
• 
  Xisobot xujjatlarni ishlab chiqish. Ushbu bosqichda xavf-xatarlarni tahlillash va boshqarishning barcha bosqichlari bo‘yicha ish natijalari akslantirilgan xisobot xujjatlari tayyorlanadi.
  
• 
  Ta'kidlash lozimki, xrzirda axborot xavf-xatarlarini baholashni avtomatlashtirish maqsadida dasturiy maxsulotlar ishlab chiqilgan.
  
• 
  . Korxonadagi axborot xavfsizligi bo‘yicha tadbirlar qonun chiqarish, tashkiliy va dasturiy-texnik xarakterga ega bo‘lgan kator jixatlarni qamrab oladi.
  

Ularning xar biri-da korxona axborot xavfsizligini ta'minlash uchun bajarilishi zarur bo‘lgan qator masalalar ta'riflanadi. Masalalarni hal etishda axborot xavfsizligi sohasidagi xalqaro standartlarga asoslangan korxona axborot xavfsizligining kontseptual modelidan foydalanish mumkin.
Axborot xavfsizligi tizimini qurish bosqichlarning quyidagi standartlashtirilgan ketma-ketligida amalga oshiriladi: xavfsizlik auditi; xavf-xatarlarni tahlillash, tizimni loyihalash, joriy etish, attestatsiyalash va kuzatish (13.9-rasm).
13.9-rasm. Axborot xavfsizligi tizimini tsurish bostsichlari Xavfsizlik auditi. Hozirda "xavfsizlik auditi" tushunchasi etarlicha keng talqin etiladi. Auditning quyidagi ko‘rinishlari farqlanadi. - axborot xavfsizligini testli buzish;

• 
  ekspress-tekshirish;
  
• 
  tizimni attestatsiyalash;
  
• 
  loyihagacha tekshirish.
  

Axborot xavfsizligi testli buzish korporativ axborot tizimining ximoyalanish darajasini aniqlash nuqtai nazaridan samarali hisoblanmaydi. "Buzuvchi"ning asosiy maqsadi bir ikki zaifliklarni topib, ularni tizimdan foydalanishda ishlatish. Agar "testli buzish" muvaffaqiyatli chiqsa, ushbu muayyan " buzish "ning mumkin bo‘lgan ssenariysi rivojini oldini olib, zaifliklarni qidirishda davom etish kerak. "Testli buzish"ning muvaffaqiyatsizligini babbaravar testlanuvchi tizimning ximoyalanganligi va testlarning yetishmasligi kabi talqin qilish mumkin.
Eksperss-tekshirish doirasida, odatda, ko‘p vaqt sarfini talab etmaydigan, standartizatsiyalangan tekshirishlar asosida korporativ axborot tizimi xavfsizlik vositalarining umumiy xrlati baholanadi. Ekspress-tekshirish odatda axborot resurslarining minimal ximoyalanish darajasini ta'minlovchi ustivor yo‘nalishlarni aniqlash zaruriyati tug‘ilganda o‘tkaziladi.
Tizimni attestatsiyalash tizimning axborot resurslarining ximoyalanish talablariga mosligini tekshirish maqsadida amalga oshiriladi. Bunda xam tashkiliy, xam texnik jixatdan talablar to‘plami rasmiy tekshiriladi, xavfsizlik vositalarining amalga oshirilishining to‘liqligi va yetarliligi ko‘riladi.
Loyihagacha tekshirish auditning eng kup mehnat talab qiladigan varianti hisoblanadi. Bunday audit axborot resurslari ilovalarida korxona tashkiliy tuzilmasini va xodimlarning u yoki bu ilovalardan foydalanish qoidalarini tahlil etishni ko‘zda tutadi. So‘ngra ilovalarning o‘zi tahlillanadi. Undan keyin bir sathdan ikkinchi sathning foydalanishdagi muayyan xizmatlar xamda axborot almashishga zarur bo‘lgan xizmatlar tahlillanishi l ozim. So‘ngra xavfsizlikning o‘rnatilgan vositalarini tahlillash bilan tasavvur to‘ldiriladi.
Xavf-xatarlarni tahlillash 13.4-bulimda batafsil ko‘rilgan. Axborot xavfsizligi buzilganda loyihagacha tekshirish, xavf-xatarlarni tahlillash bilan birgalikda axborot tizimidagi mavjud xavf-xatarlarni rutbalashga va adekvat choralarni ishlab chiqishga imkon beradi.
Tizimni loyihalash. Ximoyani tashkil etish strategiyasi nuktai nazaridan resursli va servisli yondashish farqlanadi. Resursli yondashishda tizim resurslar to‘plami sifatida ko‘riladi va axborot xavfsizligi tizimining komponentlari bu resurslarga bog‘lanadi. Resursli yondashish amalga oshirilganida axborotni ximoyalash masalasi xizmatlar tuzilmasiga qo‘shimcha cheklashlarsiz yechiladi. Bu esa bir jinsli bo‘lmagan tizim sha-roitida mumkin emas. Servisli yondashishda tizim foydalanuvchilarga taqdim etiluvchi xizmatlar to‘plami kabi talkin qilinadi. Xrzirgi vaqtda servisli yondashish afzalroq xisoblanadi, chunki u tizimda amalga oshirilgan xizmatlarga bog‘lanadi va "ortiqcha" xizmatlarni rad etish xisobiga qator taxdidlarni istisno qilinishiga imkon beradi. Bu esa tizimni yanada mantiqan asoslangan tizimga aylantiradi. Aynan servis yondashish xavfsizlikning zamonaviy standartlari, xususan ISO/IEC 15408 asosida yotadi.
Axborot xavfsizligi tizimni qurishning ikkita asosiy stsenariysi mavjud: maxsulotli va loyihali. Mahsulotli ssenariy (yondashish) doirasida avval ximoya vositalari to‘plami tanlanadi, ularning funksiyalari taxlillanadi, so‘ngra funksiyalar tahili asosida axborot resurslaridan foydalanish siyosati belgilanadi.
Loyixaga xarajatlar nuqtai nazaridan maxsulotli ssenariy eng arzon hisoblanadi. Undan tashqari, echimlarning tanqisligi sharoitida kupincha mahsulotli yondashish yagona xisoblanadi (masalan, kriptografik x,imoyada fak,at shu yondashish kullaniladi).
Loyihali ssenariyda avval xavfsizlik siyosati ishlab chiqiladi, uning asosida xavfsizlik siyosatini amalga oshirishda zarur bulgan funksiyalar aniqlanadi, so‘ngra bu funksiyalar bajarilishini ta'minlovchi ximoya vositalari tanlanadi.
Loyihali stsenariy asosida kurilgan tizimlar yaxshirok, optimiza-tsiyalangan va attestatsiyaning yukrri natijalarini beradi. Ushbu yondashish maxsulotli yondashishdan farqli ravishda boshidan u yoki bu platforma bilan bog‘lanmaganligi tufayli, katta geterogen tizimlarni qurishda afzal xisoblanadi. Undan tashqari, uzoq, muddatga mo‘ljallangan yechimlarni ta'minlaydi, chunki xavfsizlik siyosatini o‘zgartirmasdan echimlarni va ximoya vositalarini almashtirishga imkon beradi.
Axborot xavfsizligi tizimi arxitekturasini tanlash nuqtai nazari-dan ob'ektli, tadbiqiy yoki aralash yondashishdan foydalaniladi. Ob'ektli yondashish axborot xavfsizligini u yoki bu ob'ekt (bo‘linma, filial, tashkilot) tuzilmasi asosida yaratadi.
Ob'ektli yondashishning qo‘llanishi tashkiliy choralarning bir jinsli to‘plamini madadlovchi xavfsizlik mexanizmlari uchun universal echimlar to‘plamidan foydalanishni ko‘zda tutadi. Bunday yondashishga misol tariqasida tashqi axborot almashish, lokal tarmoq,, telekommunikatsiya tizimlarining va ximoyalangan infratuzil-malarini k,urishni kursatish mumkin. Ob'ektli yondashishning kamchiligi uning universal mexanizmlarining, ayniqsa, o‘zaro murakkab bog‘lanishli katta sonli ilovalarga ega bulgan tashkilotlar uchun tugal emasligi.
Tatbiqiy yondashish xavfsizlik mexanizmini muayyan ilovaga bog‘lab yaratadi. Tatbik,iy yondashishga misol tarikasida avtomatlashtirishning alohida masalasi (buxgalteriya, kadrlar va x,.) uchun qism tizimlarning himoyasini kursatish mumkin. Ushbu yondashishning kamchiligi - ma'murlash va ishlatish xarajatlarini minimallashtirish maksadida xavfsizlikning turli vositalarini uyg‘unlashtirish zaruriyati.
Aralash yondashish yuqorida tavsiflangan ikkita yondashishni kombi- natsiyalashni ko‘zda tutadi. Bunday yondashish loyihalash bosqichida kuproq mehnat talab qilsada, axborot xavfsizligi tizimini joriy etish va ishlatish narxi bo‘yicha afzalliklarni berishi mumkin.
Joriy etish. Joriy etish bosqichi quyidagi ketma-ket o‘tkaziluvchi tadbirlarni o‘z ichiga oladi:

• 
  ximoya vositalarini o‘rnatish va konfiguratsiyalash;
  
• 
  xodimlarni ximoya vositalari bilan ishlashga o‘rgatish;
  
• 
  dastlabki sinovini o‘tkazish;
  
• 
  tajribaviy ishlatishga topshirish.
  

Tajribaviy ishlatish, axborot xavfsizligi tizimini ishchi rejimiga tushirishdan avval, uning ishlashidagi mumkin bo‘lgan kamchiliklarni aniqlashga va yo‘q qilishga imkon beradi. Agar tajribaviy ishlatish jarayonida komponentlarning to‘g‘ri ishlamasligi faktlari aniqlansa, ximoya vositalari sozlanishiga va ularning ishlash rejimlariga tuzatishlar kiritiladi.
Tizimni apipestatsiyalash. Axborot xavfsizligi tizimini vakolatli idora tomonidan attestatsiyalash uning funksional to‘liqligini va korporativ axborot tizimi ximoyasining talab qilingan darajasi ta'minlan-ganligini tasdiqlashga imkon beradi. Tizimning attestatsiyasi xavfsizlik auditining bir kurinishi xisoblanadi va ishlatiluvchi choralar kompleksi va ximoya vositalarining xavfsizlik darajasi talablariga mosligini baxrlash maksadida ximoyalanuvchi korxonani ishlatishning real sharoitlarida kompleks tekshirishni ko‘zda tutadi.
Attestatsiya natijasida xisobot xujjati tayyorlanadi va moslik attestati beriladi. Bu attestat konfidentsial axborot bilan attestatda ko‘rsatilgan vaqt mobaynida ishlash xuquqini beradi.
Kuzatish. Axborot xavfsizligi tizimining ishga layokatligini va uz vazifalarini tekis bajarilishini madadlash uchun xavfsizlik tizimining dasturiy va apparat ta'minotini texnik madadlash va kuzatish bo‘yicha tadbirlar kompleksi ko‘zda tutilishi lozim. Axborot xavfsizligi tizimini texnik madadlash va kuzatish xizmatchi xodimlarning bilimi va kunikmalarini talab etadi va ximoyalanuvchi tizim egasi - tashkilot shtatidagi axborot xavfsizligiga javob beruvchi xodimlar tomonidan yoki ixtisoslashtirilgan tashkilot xodimlari tomonidan amalga oshirilishi mumkin.
Ko‘rilgan metodologiya qoidalaridan foydalanish korporativ axborot tizimining umumiy rivoji bilan birga rivojlantirilishi va modifikatsiyalanishi mumkin bulgan axborot xavfsizligining samarali va ishonchli tizimini qurishga imkon beradi.