ГОСТ Р ИСО/МЭК 17799—2005
Некоторые мероприятия по управпению информационной безопасностью, приведенные в настоя
щем стандарте, могут рассматриваться как руководящие принципы для управления информационной
безопасностью иприменятьсядля большинства организаций. Более подробно такие мероприятия рас
сматриваются ниже.
Отправная точка для внедрения информационной безопасности
Отдельные мероприятия поуправлению информационнойбезопасностью могутрассматриваться
как руководящие принципы для управления информационной безопасностью ислужитьотправной точ
кой для ее внедрения. Такие мероприятия либо основываются на ключевых требованиях законо
дательства. либо рассматриваются как общепринятая практика в области
информационной безопасности.
Ключевыми мерами контроля с точки зрения законодательства являются:
- обеспечение конфиденциальности персональных данных (12.1.4);
- защита учетных данных организации (12.1.3);
- права на интеллектуальную собственность (12.1.2).
Мероприятияпоуправлению информационнойбезопасностью, рассматриваемые какобщеприня
тая практика в области информационной безопасности, включают:
- наличие документа, описывающего политику информационной безопасности (3.1);
- распределение обязанностей по обеспечению информационной безопасности (4.1.3);
- обучение вопросам информационной безопасности (6.2.1):
- информирование об инцидентах, связанных с информационной безопасностью (6.3.1);
- управление непрерывностью бизнеса (11.1).
Перечисленные мероприятия применимыдля большинства организацийиинформационныхсред.
Следуетотметить, что. хотя все приведенные в настоящем стандарте мероприятияявляются важными,
уместностькакой-либомерыдолжнаопределяться всеете конкретных рисков, скоторымисталкивается
организация. Следовательно, несмотря на то. что вышеописанныйподход рассматривается какотправ
наяточкадля внедрения мероприятий пообеспечению информационной безопасности, он не заменяет
выбор мероприятий по управлению информационной безопасностью, основанный на оценке рисков.
Важнейшие факторы успеха
Практика показывает, чтодляуспешного внедренияинформационнойбезопасностив организации
решающими являются следующие факторы:
- соответствие целей, политик и процедур информационной безопасности целям бизнеса;
- согласованность подхода к внедрению системы безопасности с корпоративной культурой;
- видимая поддержка и заинтересованность со стороны руководства:
- четкое понимание требований безопасности, оценка рисков и управление рисками;
- обеспечение понимания необходимости применения мер информационной безопасности руко
водством и сотрудниками организации;
- передача инструкций в отношении политики информационной безопасности и соответствующих
стандартов всем сотрудникам и контрагентам;
- обеспечение необходимого обучения и подготовки;
- всесторонняя и сбалансированная система измеряемых показателей, используемыхдля оценки
эффективности управления информационной безопасностью и предложений по ее улучшению, посту
пивших от исполнителей.
Разработка собственных руководств организации
Настоящий стандартдолжен расцениваться как отправная точкадля разработки руководства под
конкретные нужды организации. Не все инструкции имероприятия, приведенные в настоящем стандар
те. могут быть применимыми.
Более того, могут потребоваться дополнительные меры, не включенные в настоящий стандарт. В
этом случае может быть полезным сохранение перекрестных ссылок, которые облегчат проверку соот
ветствия. проводимую аудиторами и партнерами по бизнесу.
VI