ГОСТ Р ИСО/МЭК 27004—2011
Окончание
Аналитическая
дель
мо a) Разделить общее число паролей, соответствующих политике качества паролей
организации, на число зарегистрированных паролей;
b
) сравнить показатель с предыдущим показателем
Спецификация критериев принятия решений
Критерии
решений
принятия
Цель применения мер и средств контроля и управления достигнута, и никакое
действие не требуется, если результирующий показатель превышает 0.9. Если ре
зультирующий показатель находится в диапазоне между 0.8 и 0.9. то цель применения
мер и средств контроля и управления не достигнута, однако позитивный тренд указы
вает на улучшение. Если результирующий показатель меньше 0.8. то следует принять
немедленные меры
Результаты измерений
Интерпретация пока
зателя
Интерпретация показателя по перечислению а) должна быть следующей.
- критерии организации на соответствие политике паролей организации реализова
ны удовлетворительно при показателе > 0.9;
- критерии организации на соответствие политике паролей организации реализова
ны неудовлетворительно при [0,8 £ показатель s 0.9);
- критерии организации на соответствие политике паролей организации не реали
зованы при показателе <
0
.
8
.
Интерпретация показателя по перечислению Ь) должна быть следующей:
- восходящий тренд показывает улучшенное соответствие: нисходящий тренд по
казывает ухудшенное соответствие.
- порядок изменения тренда может способствовать пониманию эффективности ре
ализованных мер и средств контроля и управления;
- негативный тренд может потребовать дополнительных мер и средств контроля и
управления, таких как осведомленность, или технических средств для того, чтобы за
ставлять выбирать надежные пароли или периодически менять пароли;
- позитивные тренды следует изучать для того, чтобы оценивать необходимые сро
ки реализации политики паролей, начиная с текущего результирующего показателя.
Влияние/воздействие нереализованных критериев приводит к повышающемуся
риску конфиденциальности.
К возможным причинам отклонения относятся: недостаточная осведомленность о
безопасности, технические недостатки реализации и нехватка времени для реализа
ции на всех системах ИТ
Форматы отчетности
Линия тренда, которая отображает число паролей, соответствующих политике ка
чества паролей организации, наложенная на линии тренда, полученные в течение
предыдущих периодов отчетности
Заинтересованные стороны
Заказчик измерения
Руководители, отвечающие за СМИБ. Руководитель, отвечающий за безопасность
Контролер измерения
Менеджмент безопасности
ВладелецинформаСистемный администратор
ции
Сборщик информацииПерсонал, отвечающий за безопасность
Субъект, ответственПерсонал, отвечающий за безопасность
ный за передачу ин
формации
Частота/период
Частота сбора данных
Ежегодно
Частота проведения
Ежегодно
исследования данных
ЧастотасообщенияЕжегодно
результатов измере
ний
Пересмотр измерений
Проверка и обновление каждый год
Период измерений
Один раз в год
32