ГОСТ Р ИСО/МЭК 27005—2010
Руководство по реализации для элементов установления контекста, необходимых для поддержки
СМИБ. обсуждается в 7.2. 7.3, и 7.4.
П р и м е ч а н и е — В ИСО/МЭК 27001 не используется термин «контекст». Однако весь раздел 7данного
стандарта связан с требованиями «определение сферы действия и границ СМИБ» [см. 4.2.1. перечисление а)],
«определение политики СМИБ» [см. 4.2.1. перечисление Ь)] и «определение подхода к оценке риска» [см. 4.2.1,
перечисление с)], установленными в ИСО/МЭК 27001.
Выходные данные. Спецификация основных критериев, сфера действия и границы, организационная
структурадля процесса менеджмента риска ИБ.
7.2 Основные критерии
В зависимости от области применения, объекта и целей менеджмента риска могут применяться раз
ные подходы. Подходы, используемые на каждой из итераций, могут также различаться. Должен быть
выбран или разработан соответствующий подход к оценке риска, учитывающий основные критерии, како
выми являются: критерии оценки риска, критерии влияния, критерии принятия риска.
Кроме того, организация должна оценивать, имеются ли необходимые ресурсы для:
- выполнения оценки рисков и создания плана по обработке рисков;
- определения и реализации политик и процедур, включая реализацию выбранных мер и средств
контроля и управления;
- мониторинга мер и средств контроля и управления;
- мониторинга процесса менеджмента риска ИБ.
П р и м е ч а н и
в
— См. также ИСО/МЭК 27001 (пункт 5.2.1) относительно обеспечения ресурсов для
реализации и функционирования СМИБ.
Критерии оценки рисков
Должны бытьразработаны критерии для оценки рисков информационной безопасности организации с
учетом:
- стратегической ценности обработки бизнес-информации;
- критичности затронутых информационных активов.
- законодательно-нормативных требований и договорных обязательств:
- оперативного значения и значения для бизнесадоступности, конфиденциальности и целостности:
- ожидания и реакции причастныхсторон, а также негативных последствийдля нематериальных акти
вов и репутации.
Кроме того, критерии оценки рисков могут использоваться для определения приоритетов при обра
ботке рисков.
Критерии влияния
Критерии влияния должны разрабатываться и определяться исходя из степени ущерба или величи
ны расходов, понесенных организацией вследствие события, связанного с ИБ. с учетом:
- уровня классификации информационного актива, на который оказывается влияние; -
нарушения ИБ (например утрата конфиденциальности, целостности и доступности); -
нарушения оперативной деятельности (каксобственной, таки третьихсторон);
- потери ценности бизнеса и финансовой ценности;
- нарушения планов и конечных сроков;
- ущерба для репутации;
- нарушения законодательных, нормативных или договорных требований.
П р и м е ч а н и е — См. также ИСО/МЭК 27001 [пункт 4.2.1. перечисление d) 4)] относительно определения
критериев влияния возможной утраты конфиденциальности, целостности и доступности активов.
Критерии принятия риска
Критерии принятия риска должны быть разработаны и определены. Критерии принятия риска зачас
тую зависят от политик, намерений, целей организации и интересов причастных сторон.
Организация должна определять собственные шкалы для уровней принятия риска. При разработке
следует учитывать следующее:
- критерии принятия риска могут включать ряд пороговых значений, когда указывается желаемый
целевой уровень риска, но при условии, что при определенных обстоятельствах высшее руководство бу
дет принимать риски, находящиеся выше этого уровня:
6