ГОСТ Р ИСО/МЭК 27005—2010
Процедура принятия рискадолжна обеспечивать однозначное принятие остаточных рисков руковод
ством организации. Это особенно важно в ситуации, когда корректирующие меры не предпринимаются, или
их принятоеоткладывается, например из-за стоимости.
В процессе менеджмента риска ИБ важно, чтобы о рисках и их обработке информировалисьсоответ
ствующие руководители и операционные сотрудники. Даже до обработки рисков информация об идентифи
цированных рисках может быть очень ценной для менеджмента инцидентов и может способствовать сниже
нию потенциального ущерба. Осведомленность руководства и персонала о рисках, о характере мер и
средств, применяемых для снижения рисков, и о проблемных областях в организации помогает макси
мально эффективно отреагировать на инциденты и непредвиденные события. Детализированные резуль
таты каждого вида деятельности, входящего в процесс менеджмента риска ИБ. а также результаты, полу
ченные издвух точек принятия решений о рисках, должны быть документированы.
В ИСО/МЭК 27001 определяется, какие меры и средства, реализуемые в рамках области примене
ния. границ и контекста СМИБ. должны выбираться и применяться с учетом риска. Применение процесса
менеджмента риска ИБ дает возможность выполнить это требование. Существует много подходов, по
средством которых этот процесс может быть успешно внедрен в организации. В каждом случае примене
ния этого процесса организациядолжна использовать тот подход, который наилучшим образом соответ
ствует конкретным обстоятельствам.
В СМИБ установление контекста, оценка риска, разработка плана обработки риска и принятие риска
являются частью фазы «планирование». В фазе «осуществление» СМИБ процедуры и меры, требуемые
для снижения риска до приемлемого уровня, реализуются в соответствии с планом обработки риска.
В фазе «проверка» СМИБ руководство определяет потребность в повторной оценке и обработке риска в
свете инцидентов и изменившихся обстоятельств. В фазе «действие» осуществляются любые необходи
мые работы, включая дополнительное выполнение процесса менеджмента риска ИБ.
В таблице 1показана взаимосвязь процедур менеджмента риска с четырьмя фазами процесса СМИБ.
Т а б л и ц а 1— Соотношение системы менеджмента информационной безопасности
и процесса менеджмента риска информационной безопасности
Процесс СМИБ
Процесс менеджмента риска ИБ
Планирование
Установление контекста
Оценка риска
Планирование обработки риска
Принятие риска
Осуществление
Реализация плана обработки риска
Проверка
Проведение непрерывного мониторинга и переоценки рисков
Действие
Поддержка и усовершенствование процесса менеджмента
риска ИБ
7 Установление контекста
7.1 Общие положения
Входные данные. Вся информация об организации, имеющая отношение к установлению контекста
менеджмента риска ИБ.
Действие. Должен быть установлен контекст менеджмента риска ИБ. что включает определение ос
новных критериев, необходимых для менеджмента риска ИБ (в соответствии с 7.2). определение области
применения и границ (в соответствии с 7.3). а также создание соответствующей организационной структу
ры, занимающейся менеджментом риска ИБ (в соответствии с 7.4).
Руководство по реализации. Необходимо определить цель менеджмента риска ИБ. таккак она влия
ет на общий процесс и на установление контекста в частности. Этой целью может быть:
- поддержка СМИБ;
- исполнение законодательно-нормативных требований и подтверждение проявленной организацией
разумной предосторожности;
- подготовка плана обеспечения непрерывности бизнеса;
- подготовка плана реагирования на инциденты;
- описание требований ИБдля продукта, услуги или механизма.
5