ГОСТРИСО/МЭК 20000-1—2010
Руководство провайдера услуг, наделенное соответствующими полномочиями, должно утвердить
политику по защите информации, которая должна быть доведена до сведения персонала и при необхо
димости — до заказчиков.
Средства управления защитой должны функционировать таким образом, чтобы:
a) выполнять требования политики по защите информации:
b
) осуществлять менеджмент рисков, связанных с доступом к услугам или системам.
Средства управления защитойдолжны бытьзарегистрированы. Документация должна описывать
риски, с которыми имеютдело средства управления, а также режимы работы и поддержания в рабочем
состоянии этих средств.
Влияние изменений на средства управления защитойдолжно оцениватьсядо выполнения этих из
менений.
Договоренности, в соответствии с которыми в работах участвуют внешние организации, имеющие
доступ к информационным системам и услугам, должны основываться на официальных соглашениях, в
которых определяются все необходимые требования к защите.
Обо всех инцидентах по защите необходимодавать оповещения и регистрировать инциденты как
можноскорее согласно процедурам менеджмента инцидентов. Эти процедурыдолжны осуществляться
на месте для гарантии того, что все инциденты по защите исследованы, а руководство предпринялосо
ответствующие действия.
На местедолжны существовать также механизмы, позволяющие осуществлять мониторинг иоце
нивать количественно типы, объемы, воздействия инцидентов и нарушений функционирования. Дей
ствия по улучшениям, выявленные в течение этого процесса, должны быть зарегистрированы и учтены в
плане совершенствования услуг.
7 Процессы отношений
7.1 Общие положения
Процессы отношений описывают два взаимосвязанных аспекта: менеджмента отношений в дело
вой сфере и менеджмента поставщиков.
7.2 Менеджмент отношений в деловой сфере
Цель: Устанавливать и поддерживать взаимовыгодные отношения между провайдером услуг и
заказчиком, основанные на понимании потребностей заказчика и мотивов деловой деятельности каж
дой из сторон.
Провайдер услуг должен идентифицировать и документировать сведения о правообладателях и
заказчиках услуг.
Провайдер услуг и заказчикдолжны не реже одного раза в год участвовать в проведении ревизий
предоставляемых услуг для обсуждения любых изменений в области распространения услуг, в согла
шениях об уровнях предоставляемых услуг, контрактах (при их наличии) или потребностях в сфере де
ловых отношений. Они должны также проводить в согласованные сроки промежуточные совещания,
посвященные обсуждению эксплуатационных показателей, достижений, проблемных вопросов и пла
нов действий. Все совещания должны документироваться.
Другие правообладатели услуг могут также приглашаться на эти совещания.
Следствиями таких совещаний будут являться изменения в контрактах (при их наличии)и изменения в
уровнях предоставляемых услуг. Эти изменения должны вводиться в процесс менеджмента изменений.
Провайдер услуг должен накапливать знания о потребностях в сфере деловых отношений и
основных изменениях для того, чтобы готовить адекватную реакцию на эти потребности.
Должен существовать отдельный процесс обработки претензий. Определение официальной пре
тензии по услуге должно быть согласовано с заказчиком. Провайдер услуг должен регистрировать, ис
следовать. отрабатывать, составлять отчеты и закрывать в установленном порядке все официальные
претензии поуслугам. Втехслучаях, когда претензия неудовлетворена по обычным каналам, заказчику
должна быть доступна возможность обращения в вышестоящие инстанции.
Провайдер услугдолжен иметь по крайней мере одного сотрудника, персонально ответственного
за менеджмент удовлетворенности заказчика и в целом за процесс отношений вделовой сфере. Кроме
того, должна существовать обратная связь от регулярной оценки степени удовлетворенности заказчи
ка. Возможные действия по улучшению услуг, определенные в течение этого процесса, должны регис
трироваться и в последующем включаться в план совершенствования услуг.
9