ГОСТ Р ИСО/МЭК 27004—2011
1) представляет результаты измерений эффективным образом.
2) выполняется, как было запланировано.
3) рассматривает изменения в реализованной СМИБ и (или) мерах и средствах контроля и
управления,
4) рассматривает изменения в среде (например, требований, законов или технологии):
Ь) полезность изложенных результатов измерений для обеспечения уверенности в том. что они
удовлетворяют соответствующие потребности в информации.
Руководство должно точно определить частоту повторений таких оцениваний, периодических
проверок плана и устанавливать механизмы для возможности выполнения таких проверок (см. 7.2
ИСО/МЭК 27001:2005).
Соответствующими видами деятельности, являются:
1) определение критериев оценивания для программы измерений (см. 10.2);
2) мониторинг, проверка и оценивание измерений (см. 10.3);
3) реализация совершенствований (см. 10.4).
10.2 Определение критериев оценивания программы измерений
Организации следует определять критерии оценивания эффективности программы измерений, а
также пригодности результатов измерений. Критерии следует определять в начале реализации про
граммы измерений, принимая в расчет контекст технических целей и целей основной деятельности
организации.
Если организации следует оценивать и совершенствовать программу измерений, то наиболее
применимыми критериями являются:
- изменение целей основной деятельности организации;
- изменения законодательных или нормативных требований идоговорных обязательств, связан
ных с информационной безопасностью;
- изменения требований организации, связанных с информационной безопасностью:
- изменения, связанные с рисками информационной безопасности организации;
- повышение доступности более детализированных или подходящих данных и/или методов сбо
ра данных для целей проведения измерений;
- изменение объекта измерений и (или) его атрибутов.
Для оценивания изложенных результатов измерений могут применяться следующие критерии:
a) результаты измерений являются:
1) легкими для понимания.
2) распространенными своевременно.
3) объективными, сравнимыми и повторяемыми;
b
) установленные процессы для изложения результатов измерений являются.
1) правильно определенными.
2) легко выполняемыми,
3) надлежащим образом соблюдаемыми;
c) результаты измерений являются полезными для повышения информационной безопасности;
d) результаты измерений адресованы соответствующим информационным потребностям.
10.3 Мониторинг, проверка и оценивание программы измерений
Организации следует осуществлять мониторинг, проверку и оценивание своей программы изме
рений по отношению к установленным критериям (см. 10.2).
Организации следует выявлять возможную потребность в совершенствовании программы изме
рений. включая:
a) обновление или отмену применяемых конструктивных элементов измерений, ставших неакту
альными:
b
) перераспределение ресурсов для поддержки программы измерений.
Организации следует также выявлять возможную потребность в совершенствовании реализо
ванной СМИБ. включая область ее применения, политики, цели, меры и средства контроля и управле
ния. а также процессы и процедуры, и документировать решения руководства, чтобы сделать
возможным сравнение и анализ тенденций во время последующих проверок.
О результатах такого оценивания и выявленной возможной потребности в совершенствовании
следует информировать соответствующие заинтересованные стороны для принятия решений, касаю
щихся необходимых усовершенствований.
20