ГОСТ Р ИСО/МЭК 27005—2010
- критерии принятия риска могут выражаться как соотношение количественно оцененной прибыли
(или иной выгоды бизнеса) к количественно оцененному риску;
- различные критерии принятия риска могут применяться к различным классам риска, например, мо
гут не приниматься риски, связанные с неисполнением законодательно-нормативных требований, вто вре
мя как принятие рисков высокого уровня может быть допустимо, если это определено договорным обяза
тельством;
- критерии принятия риска могут включать требования о проведении вбудущемдополнительной об
работки риска, например риск может быть принят, если принято решение и взяты обязательства предпри
нять меры по его снижению до приемлемого уровня в течение определенного периода времени.
Критерии принятия риска могут различаться в зависимости от того, насколько долго, предположи
тельно. риск будет существовать, например риск может быть связан с временной или кратковременной
деятельностью. Критерии принятия рискадолжны устанавливаться с учетом следующего;
- критериев бизнеса;
- особенностей законодательно-нормативной среды;
- операций.
- технологий;
- финансов;
- социальных и гуманитарных факторов.
П р и м е ч а н и е — Критерии принятия риска соответствуют «критериям принятия рисков и определению
приемлемого уровня риска», определенным в ИСО/МЭК 27001 [см. пункт 4.2.1. перечисление с) 2)].
Болео подробную информацию можно найти в приложении А.
7.3 Область применения и границы
Организация должна определять область применения и границы менеджмента риска ИБ.
Область применения процесса менеджмента ИБ необходимо определятьдля того, чтобы все значи
мые активы принимались в расчет при оценке риска. Кроме того, необходимо определять границы [см.
также ИСО/МЭК 27001, пункт 4.2.1, перечисление а)] для рассмотрения тех рисков, источники которых
могут находиться заданными границами.
Должна быть собрана информация об организации для определения параметров среды, в которой
функционирует организация, и их влияния на процесс менеджмента риска ИБ.
При определении области применения и границдолжна учитываться следующая информация, каса
ющаяся организации;
- стратегические цели бизнеса организации, стратегии и политики;
- бизнес-процессы;
- функции и структура организации;
- правовые, нормативные и договорные требования, применимые к организации:
- политика ИБ организации;
- общий подходорганизации к менеджменту риска;
- информационныеактивы:
- местоположение организации, ее подразделений и филиалов, а также их географические характе
ристики;
- ограничения, влияющие на организацию;
- ожидания причастных сторон;
- социокультурная среда;
- интерфейсы (т. е. обмен информацией с внешней средой).
Кроме того, организация должна обосновывать каждое исключение из области применения.
Примерами области применения менеджмента риска могут быть ИТ-приложение. ИТ-инфраструктура,
бизнес-процесс или определенная часть организации.
П р и м е ч а н и е — Область применения и границы менеджмента риска ИБ связаны с выполнением
требования ИСО/МЭК 27001 [см. 4.2.1. перечисление а)] относительно определения области применения и гра
ниц СМИБ.
Более подробную информацию можно найти в приложении А.
7.4 Организационная структура менеджмента риска информационной безопасности
Для процесса менеджмента риска ИБ необходимо устанавливать и поддерживать организационную
структуру и распределение обязанностей. Ниже перечисляются основные роли и области ответственности,
присущие этой организационной структуре:
7