ГОСТ Р ИСО/МЭК 20000-2—2010
Планследуетразрабатывать не реже одного раза в год. Необходимодокументироватьсведения о
средствах, затраченных навыполнение требованийделовой сферы, и предлагать решения, гарантиру
ющиедостижение целевыхзначений параметров уровнейуслуг, определенных в соглашенияхоб уров
не услуг.
Следует хорошо понимать техническую инфраструктуру, ее текущие и проектируемые возмож
ности.
6.6 Менеджмент защиты информации
Цель: Эффективно осуществлять менеджмент защиты информации в рамках всей деятельности
поуслугам.
6.6.1 Общие положения
Защищенность информации является результатом реализации комплекса политик и процедур,
разработанныхдля идентификации, управления и защиты информации совместнослюбым оборудова
нием. используемымдля ее хранения, передачи иобработки.
Персоналу провайдера услуг и в первую очередь специалистам по защите информации следует
знатьосновные положения ГОСТ Р ИСО/МЭК 17799 «Информационная технология. Практические пра
вила управления информационной безопасностью».
6.6.2 Идентификация и классификация информационных активов
Провайдеру услугследует:
a) поддерживатьвактуальном состоянииинвентаризационныеданныеоб информационныхакти
вах (например, о компьютерах, средствах связи, окружающем оборудовании, документации и другой
информации), необходимыхдля предоставления услуг;
b
) классифицировать каждый актив в соответствии с его критичностью по отношению к услуге и
требуемому уровню его защиты, а также назначать владельца, ответственного за обеспечение этой
защиты;
c) ответственность за защиту информационных активов оставить за владельцами активов, хотя
при необходимости они могут делегировать свои повседневные полномочия менеджменту защиты
информации.
6.6.3 Практическаядеятельность по оценке рисков, связанных с защитой
Необходимо, чтобы оценка рисков, связанных с возможными нарушениями защиты:
a) проводилась на согласованныхинтервалах времени:
b
) регистрировалась;
c) сопровождалась в процессе изменений (изменений в потребностях деловой сферы, в процес
сах иконфигурациях);
d) способствовала пониманию того, что конкретноможетповлиять на управляемую услугу:
e) предоставляла информацию для принятия решений об использовании необходимых средств
управления.
6.6.4 Риски, связанные с информационными активами
Риски, связанные с информационными активами, следуетоцениватьсучетом:
a) их природы (например, сбой программных средств, ошибки функционирования, отказ средств
связи):
b
) правдоподобия:
c) потенциального влияния наделовую сферу заказчика:
d) накопленного опыта.
6.6.5 Защищенность идоступность информации
При оценке рисков необходимо особое внимание уделить следующим вопросам:
a) предотвращению возможности раскрытия конфиденциальнойинформациисторонами, не име
ющими к нейдопуска;
b
) неточности, неполноте или недостоверности (например, фальсификации) информации;
c) недоступности информации для использования (например, из-за нарушения энергоснаб
жения);
d) физическому повреждению или уничтожению оборудования, необходимого для предоставле
ния услуг.
Следуеттак жеучестьцелиполитикиобеспечения защиты информации, необходимостьвыполне
ния заданных требованийзаказчика позащите(например, по уровням доступности информации)иуста
новленные законом или применяемые регулирующие требования.
6.6.6 Средства управления
Дополнительно кдругим средствам управления, применение которых может быть оправдано, и к
советам, содержащимсявдругих разделах настоящегостандарта (например, в разделео непрерывнос-
12