Стандарты информационной безопасности ОАЭ (NESA)

Always applicable контроли — все управленческие, они перечислены в Приложении A Регламента информационной безопасности ОАЭ. Они охватывают стратегию и планирование (M1), полный цикл управления рисками (M2), осведомлённость и обучение (M3), безопасность персонала на всём цикле работы (M4) и оценку результативности с улучшением (M6). Их нужно внедрить независимо от результата оценки рисков, а пропуск любого означает несоответствие регламенту.

Одна деталь, о которой стоит знать: Приложение A указывает 34 управленческих контроля, тогда как таблица под этой фразой перечисляет 35 идентификаторов. Полный список воспроизведён на этой странице, чтобы вы работали с идентификаторами, а не с числом. Учтите также, что always applicable — не то же самое, что уровень P1, в котором 39 контролей и который задаёт очерёдность внедрения, а не применимость.

188 контролей безопасности: 60 управленческих в семействах M1–M6 и 128 технических в семействах T1–T9. Приложение B распределяет их по четырём уровням приоритета: 39 в P1, 69 в P2, 35 в P3 и 45 в P4.

Нет. Организации могут повышать и понижать контроли уровней P2, P3 и P4 по итогам оценки рисков, но регламент указывает, что контроли P1 там, где они применимы, могут быть усилены и никогда не сокращены. Сама применимость по-прежнему определяется стандартом, поэтому контроль, который вообще неприменим к вашей среде, отрабатывается через заявление о применимости, а не понижением уровня.

Стандарты изначально выпустило Национальное управление электронной безопасности, поэтому рамочный документ до сих пор широко называют NESA. Сейчас регламент публикуется и поддерживается федеральным органом ОАЭ по телекоммуникациям и цифровому правительству, TDRA, под названием UAE Information Assurance Regulation. Идентификаторы контролей не изменились, поэтому ранее проведённые оценки разрывов остаются пригодными.

Нет. Соответствие Регламенту информационной безопасности ОАЭ подтверждается оценкой и доказательствами, а не сертификатом аккредитованного органа, как это устроено в ISO 27001. Организации, которым нужно что-то показать заказчику, обычно сочетают отчёт о внутренней или внешней оценке разрывов по стандартам с сертификацией ISO 27001, где сертификат действительно выдаётся.

Существенно, и это реально экономит работу. Управленческие семейства M1–M6 близко соответствуют разделам ISO 27001 о контексте, лидерстве, планировании, поддержке, эксплуатации, оценке результативности и улучшении, а технические семейства T1–T9 сильно пересекаются с Приложением A. Практически напрямую переносятся два артефакта: план обработки рисков и заявление о применимости, которых M2.3.3 и M2.3.4 требуют поимённо. Не переносится приоритетная градация: у неё нет аналога в ISO, и именно она задаёт очерёдность внедрения.

Решение с обоснованием по каждому контролю стандарта. Для включённых контролей фиксируйте статус внедрения и место хранения доказательств. Для исключённых — обоснование, причём конкретное для вашей среды, а не формулировку «контроль неактуален». Контроль M2.3.4 делает заявление о применимости always applicable требованием, поэтому его отсутствие или шаблонность — самостоятельное несоответствие, а не просто пробел в документации.

На практике с управления активами и контроля доступа, потому что почти каждое другое техническое семейство зависит от знания того, что у вас работает и кто до этого дотягивается. Регламент не предписывает такой порядок, он предписывает выбор на основе рисков поэтапно по приоритетам, но организация, которая берётся за мониторинг, криптографию или реагирование до появления надёжной инвентаризации активов, потом пересобирает эти контроли заново.