ГОСТ Р ИСО/МЭК 17799—2005
4.1.1 Управляющий совет по вопросам информационной безопасности
Обеспечение информационной безопасности — это ответственность высшего руководства орга
низации. разделяемая всеми ее членами. Поэтому при формировании совета повопросам информаци
онной безопасности должны обеспечиваться четкое управление и реальная поддержка со стороны
руководства инициатив в области безопасности. Такой советдолжен способствовать укреплению безо
пасности в организации путем непосредственного участия руководства и выделения необходимых
ресурсов. Он может быть частью существующего органа управления. Как правило, такой совет
выполняет следующие функции:
- утверждение и пересмотр политики информационной безопасности и соответствующих обязан
ностей по ее выполнению;
- отслеживание существенных изменений в воздействияхосновных угроз информационным акти
вам;
- анализ и мониторинг инцидентов нарушения информационной безопасности.
- утверждение основных проектов в области информационной безопасности.
Кроме этого, должен быть назначен руководитель, отвечающий за все вопросы, связанные с
информационной безопасностью.
4.1.2 Координация вопросов информационной безопасности
Для координации внедрения мероприятий по управлению информационной безопасностью в
большой организации можетпотребоваться создание комитета, включающего представителей руково
дства заинтересованных подразделений организации.
Как правило, такой комитет:
- согласовывает конкретные функции и обязанности в области информационной безопасности в
рамках всей организации;
- согласовывает конкретные методики и процедуры информационной безопасности, например,
такие как оценка рисков, классификация информации с точки зрения требований безопасности;
- согласовывает и обеспечивает поддержку инициатив и проектов в области информационной
безопасности в рамках всей организации, например, таких как разработка программы повышения осве
домленности сотрудников в области безопасности;
- обеспечиваетучет включения требований безопасности вовсе проекты, связанныесобработкой
и использованием информации;
- оценивает адекватность и координирует внедрение конкретных мероприятий по управлению
информационной безопасностью для новых систем или услуг;
- проводит анализ инцидентов нарушения информационной безопасности;
- способствует демонстрации поддержки информационной безопасности со стороны высшего
руководства организации.
4.1.3 Распределение обязанностей по обеспечению информационной безопасности
Следуетопределитьобязанности по защитеотдельных активов иповыполнению конкретных про
цедур. связанных с информационной безопасностью.
Политика информационной безопасности (раздел 3) должна устанавливать общие принципы и
правила распределения функций и обязанностей, связанных с обеспечением информационной безо
пасности в организации. Политикуследуетдополнить, где необходимо, болеедетальнымируководства
мидля конкретных областей, систем или услуг. Кромеэтого, должна бытьчетко определена конкретная
ответственность в отношении отдельных материальных и информационных активов и процессов, свя
занныхсинформационнойбезопасностью, например, такихкакпланирование непрерывностибизнеса.
Во многих организациях на руководителя службы информационной безопасности возлагается
общая ответственностьза разработку ивнедрение системы информационной безопасности, а также за
оказание содействия в определении мероприятий по управлению информационной безопасностью.
В то же время ответственность за определение подлежащих защите ресурсов и реализацию
мероприятий по управлению информационной безопасностью в большинстве случаев возлагается на
руководителей среднего звена. Общепринятой практикой является назначение ответственного лица
(администратора)для каждогоинформационногоактива, вчьи повседневныеобязанностивходитобес
печение безопасности данного актива.
Администратор информационных активов может передавать свои полномочия по обеспечению
безопасности какому-либо руководителю среднего звена или поставщикам услуг. Тем не менее, адми
нистратор остается ответственным за обеспечение безопасности актива и должен быть в состоянии
определить, что любые переданные полномочия реализуются должным образом.
Следует устанавливать границы ответственности каждого руководителя и выполнять следующие
правила:
3