1.4 Стандарт гост р исо/мэк 27001-2006

1.4.1 Общие сведения

Данный международный стандарт предназначен для разработки модели системы менеджмента информационной безопасности (СМИБ). Он регламентирует все этапы жизненного цикла СМИБ: разработку, внедрение, анализ и улучшение. Решение о разработке СМИБ является стратегическим решением для организации. Это решение влияет на облик всей организации. При этом ожидается, что и СМИБ и сама организация будут меняться со временем. Для этого СМИБ должна быть адекватной организации. Международный стандарт ГОСТ Р ИСО/МЭК 27001-2006 предназначен для всех типов организаций. Он определяет требования к СМИБ в контексте полного риска бизнеспроцессов. СМИБ разрабатываются, чтобы гарантировать выбор адекватного и пропорционального контроля безопасности, который защищает информационные активы и обеспечивает заданный уровень уверенности заинтересованным сторонам. Этот международный стандарт использует процессный подход к построению СМИБ. Процессом называется любая деятельность, преобразующая входы в выходы. Выход одного процесса может быть входом другого. Процессный подход в СМИБ позволяет: − обосновать структуру СМИБ;

− управлять ИБ в контексте полных деловых рисков. − осуществлять полный мониторинг и анализировать работу СМИБ (по процессам). − осуществлять непрерывное улучшение, основанное на объективных измерениях. Концептуальной моделью стандарта является модель развития процесса управления (PDCA модель - Plan-Do-Check-Act ), представленная на рисунке 8.

Модель включает 4 этапа жизненного цикла:

− разработка СМИБ (establish the ISMS);

− внедрение и использование СМИБ (implement and operate the ISMS;

− мониторинг и анализ СМИБ (monitor and review the ISMS);

− поддержка и развитие СМИБ (maintain and improve the ISMS).

1.4.2 Разработка смиб

Разработка СМИБ предполагает: 1. Определение возможностей и границ СМИБ в терминах характеристик бизнеса, организации, ее местоположения, активов и технологии. 2. Определение политики, которая: − включает параметры для описания целей, устанавливает позицию руководства и принципов ИБ; − принимает во внимание бизнес-тебования, требования законодательства и руководящих документов, а также договорные обязательства в отношении ЗИ; − учитывает стратегический риск организации; − устанавливает критерии оценки риска; − одобряется Руководством организации. Политику СМИБ следует рассматривать как дополнение политики ИБ организации. Важнейшей частью политики СМИБ является определение подхода к оценке рисков организации. Для этого необходимо: − идентифицировать методологию оценки риска, которая подходит для организации; − работать критерии, позволяющие принять риск и определить приемлемые уровни риска. Выбранная методология оценки риска должна гарантировать, что оценки риска дает сопоставимые и повторяемые результаты. Оценка рисков предполагает:

− идентификацию активов и владельцев этих активов; − идентификацию угроз активам;

− идентификацию уязвимостей, через которые могут воздействовать выделенные угрозы;

− идентификацию ущербов от потери конфиденциальности, целостности и доступности, которые связаны с активами. Для оценки рисков необходимо:

− оценить общее воздействие на организацию сбоев в защите, принимая во внимание последствия потери конфиденциальности, целостности и доступности активов;

− оценить реалистическую вероятность сбоев защиты в свете преобладающих угроз, выявленных уязвимостей и принятых мер защиты;

− вычислить уровни рисков;

− определить, приемлем ли риск или требует принятия мер, используя критерий принятия риска. Определение способов управления рисками включает:

− применение соответствующих мер (элементов контроля) понижающих риск;

− принятие рисков, если они удовлетворяют политике ИБ и критериям для принятия риска;

− уход от рисков (отказ от действий);

− передача рисков другим сторонам, например страховщикам или поставщикам.

Меры по уменьшения риска представлены в систематизированном виде в приложении к данному стандарту.

27000 термины и структура посмотреть