ГОСТ Р ИСО/МЭК 27005—2010
Приложение А
(справочное)
Определение области применения и границ
процесса менеджмента риска информационной безопасности
А.1 Анализ организации
Анализ организации. Изучение организации дает возможность воспроизвести характерные элементы, оп
ределяющие особенности организации. Оно касается цели, бизнеса, назначения, ценностей и стратегий этой
организации, которые должны быть определены наряду с элементами, способствующими их разработке (напри
мер. заключение контрагентских договоров).
Трудность такой деятельности заключается в полном понимании структуры организации. Определение ее
реальной структуры дает понимание роли и значимости каждого подразделения в достижении целей организа
ции.
П р и м е р — Тот факт, что ответственный за ИБ отчитывается перед высшим руководством, а не перед
руководством ИТ. может указывать на участие высшего руководства в проблемах ИБ.
Основная цель организации. Основная цель организации может определяться сферой ее деятельности,
сегментом рынка и др.
Бизнес организации. Бизнес организации, определяемый техническими приемами, применяемыми ее
сотрудниками и накопленным ими опытом (ноу-хау), дает ей возможность реализовывать свое назначение. Он
является специфичной областью деятельности организации и зачастую определяет культуру ее труда.
Назначение организации. Организация достигает своей цели посредством реализации своего назначения.
Для определения ее назначения должны быть определены предоставляемые сервисы и/или производимая
продукция.
Ценность организации. Ценностями являются основные нормы или четко определенный кодекс поведе
ния. выполняемые для осуществления бизнеса. Это может касаться персонала, отношений с внешними сторона
ми (например, клиентами), качества поставляемой продукции или предоставляемых сервисов.
П р и м е р — Рассмотрим организацию, целью которой является предоставление услуг населению, бизне
сом — транспортные услуги, а назначение заключается в перевозкедетей в школу иобратно. Ее ценностями могут
быть пунктуальность предоставления услуг и безопасность перевозок.
Структура организации. Существуют разные типыструктур:
- филиальная структура, в которой каждое подразделение работает под началом руководителя подразде
ления, ответственного за принятие стратегических, административных и операционных решений, касающихся его
подразделения;
- функциональная структура, в которой функциональные полномочия осуществляются относительно проце
дур. характера работы и. иногда, принятия решений или составления планов (например производство. ИТ. кадры,
маркетинг и т. д.).
Замечания:
- подразделение, существующее в пределах организации с филиальной структурой, может быть организо
вано как функциональная структура и наоборот;
- структура организации, имеющей элементы обоих типов структуры, называется матричной.
При любой организационной структуре могут различаться следующие уровни:
- уровень принятия решений (определение стратегической ориентации);
- уровень руководства (координация и менеджмент);
- операционный уровень (виды деятельности, связанные с производством и поддержкой).
Диаграмма организации. Структура организации представляется схематически в виде диаграммы органи
зации. При таком представлении следует выделять линии отчетности и делегирования полномочий, кроме того,
следует также включать в диаграмму и другие связи, которые, даже если они не основываются на каких-либо
формальных полномочиях, являются тем не менее линиями информационного потока.
Стратегия организации. Для нее требуется формальное выражение руководящих принципов организации.
Стратегия определяет направление и развитие организации, необходимые для извлечения выгоды из задач,
стоящих перед ее бизнесом и планируемых ею основных изменений.
А.2 Перечень ограничений, влияющих на организацию
Следует учитывать все офаничения. влияющие на организацию и определяющие направленность ее ИБ.
Источник ограничений может находиться в пределах организации, и в этом случае она имеет некоторый конфоль
над ними, или за пределами организации и. следовательно, не может контролироваться. Наиболее важными
являются ограничения ресурсов (бюджетных, кадровых) и ограничения, связанные с чрезвычайными обстоятель
ствами.
21