ГОСТ Р ИСО/МЭК 27004—2011
В дальнейших подпунктах описываются отдельные элементы модели. Также в них приводятся
примеры использования этих отдельных элементов.
Информационные потребности или цель измерений, используемые в примерах, содержащихся в
таблицах 1—4, заключаются в оценке состояния осведомленности соответствующего персонала о
соответствии политике безопасности организации (см. А.8.2 «Цель применения мер и средств контро ля
и управления» приложения А. а также А.8.2.1 и А.8.2.2 «Меры и сродства контроля и управления»
приложения А ИСО/МЭК 27001:2005).
5.4.2 Основная мера измерения и метод измерений
Основная мера измерения является самой простой мерой, которая может быть получена. Основ
ная мера измерения является результатом применения метода измерений к выбранным атрибутам
объекта измерений. У объекта измерения может быть множество атрибутов, но лишь некоторые из
них могут предоставлять полезные значения, которые могут быть присвоены основной мере
измерения. Один и тот же атрибут может использоваться для нескольких различных основных мер
измерений.
Метод измерений — это логическая последовательность операций, используемых для количес
твенной оценки атрибута по отношению к заданной шкале. Операция может включать в себя такие
действия, как подсчет событий или наблюдение за ходом времени.
Метод измерений должен основываться на атрибутах объекта измерений. Примерами объектов
измерений наряду с прочим могут служить:
- результативность мор и средств контроля и управления, реализованных в СМИБ;
- состояние информационных активов, защищенных мерами и средствами контроля иуправления;
- результативность процессов, реализованных в СМИБ;
- поведение персонала, ответственного за реализацию СМИБ:
- деятельность подразделений организации, ответственных за информационную безопасность;
- степень удовлетворенности заинтересованных сторон.
Метод измерений может использовать объекты измерений и атрибуты из разнообразных источ
ников. таких как:
- результаты анализа риска и оценки риска;
- анкеты и личные беседы;
- отчеты о внутренних и (или) внешних аудитах;
- документированную информацию о событиях, например, протоколы, статистические данные
отчетов и журналы регистрации:
- сообщения об инцидентах, особенно о тех, вследствие которых был причинен ущерб:
- результаты тестирования, например, полученные в результате тестирования на проникнове
ние. использования социальной инженерии, инструментальных средств обеспечения соответствия, а
также инструментальных средств аудита безопасности;
- документированную информацию, полученную из процедур и программ организации, связан
ных с обеспечением информационной безопасности, например, результаты программ обучения,
направленных на повышение осведомленности об информационной безопасности.
В таблицах 1—4 показано применение модели информационной безопасности для следующих
мер и средств контроля и управления:
- «мера и средство контроля и управления 2» — ссылается на меру исредство контроля и управ
ления поА.8.2.1 «Обязанности руководства», приложениеА ИСО/МЭК 27001:2005 («Руководство орга
низации должно требовать, чтобы сотрудники, подрядчики и пользователи сторонней организации
были ознакомлены с правилами и процедурами обеспечения мер безопасности в соответствии с уста
новленными требованиями»). «Мера и средство контроля и управления 2» реализуется следующим
образом: «Весь персонал, имеющий отношение к СМИБ. должен быть ознакомлен с соответствующи
ми обязательствами пользователей до получения доступа к информационной системе»;
- «мера и средство контроля и управления 1»— ссылается на меру исредство контроля и управ
ления по А.8.2.2 «Осведомленность, обучение и переподготовка в области информационной безопас
ности». приложение А ИСО/МЭК 27001:2005 («Все сотрудники организации и. при необходимости,
подрядчики и пользователи сторонних организаций должны проходить соответствующее обучение и
переподготовку в целях регулярного получения информации о новых требованиях правил и процедур
организации безопасности, необходимыхдля выполнения ими должностных функций»), «Мера и сред
ство контроля и управления 1» реализуется следующим образом: «Весь персонал, имеющий отноше
ние к СМИБ. до получения доступа к информационной системе должен пройти обучение,
направленное на повышение осведомленности в сфере информационной безопасности».
Соответствующие конструктивные элементы измерений содержатся в В.1 (приложение В).
7