ГОСТ Р ИСО/МЭК 27000—2012
- оценка риска, определяющаясоответствующие мерыисредстваконтроляиуправлениядлядос
тижениядопустимых уровней риска;
- безопасность какнеотъемлемый существенный элементинформационныхсетей исистем;
- активное предупреждение и выявление инцидентов информационной безопасности;
- обеспечение комплексного подхода к менеджментуинс^юрмационной безопасности;
- непрерывная переоценка и соответствующая модификация системы информационной
безопасности.
3.2.2 Информация
Информация — это актив, который нарядус другими важнымиделовыми активами важендля биз
неса организации и. следовательно, должен быть соответственно защищен. Информация может хра
ниться в различных формах, включая такие как цифровая форма (например, файлы с данными,
сохраненные наэлектронныхили оптическихносителях), материальнаяформа (например, на бумаге), а
такжев нематериальном видев формезнанийслужащих. Информация может бытьпередана различны
ми способами: с помощью курьера, систем электронной или голосовой коммуникации. Независимо от
того, в какой форме представлена информация и каким способом передается, она должна быть дол
жным образом защищена.
Информация организации зависит от информационно-коммуникационных технологий. Эти техно
логии — существенный элемент в любой организации. Они облегчают создание, обработку, хранение,
передачу, защиту и расширение информации. Расширение связанной глобальной деловой среды
выдвигает требование защиты информации, поскольку эта информация теперь подвергается
воздействию более широкого разнообразия угроз иуязвимостей.
3.2.3 Информационная безопасность
Информационная безопасность включает в себя три основных измерения: конфиденциальность,
доступность ицелостность. Сцельюобеспечениядлительного непрерывногоуспеха вбизнесе иумень
шения нежелательных воздействий информационная безопасность предусматривает применение
соответствующихмербезопасности, которыевключаютв себя рассмотрениеширокогодиапазонаугроз,
а также управление этими мерами.
Информационная безопасностьдостигается посредством применения соответствующего набора
средств управления, определенногос помощью процессауправлениярискамии управляемогосисполь
зованием СМИБ. включая политику, процессы, процедуры, организационные структуры, программное и
аппаратное обеспечение, чтобы защитить идентифицированные информационные активы. Эти меры и
средства контроляи управлениядолжны бытьопределены, реализованы, проверены, проанализирова
ны и при необходимости улучшены, чтобы гарантировать, что уровень безопасности соответствует
деловым целям организации. Меры и средства контроля и управления безопасностью важной
информации неразрывносвязываются сбизнес-процессами организации.
3.2.4 Менеджмент
Менеджмент включает в себя действия по управления, контролю и непрерывному совершенство
ванию организации в рамках соответствующих струхтур. Управленческие действия включают в себя
действия, методы или практику формирования, обработки, направления, наблюдения и управления
ресурсами. Величина управленческой структуры может варьироваться от одногочеловека в небольших
организацияхдо управленческой иерархии в крупных организациях, состоящих из многих людей.
Относительно СМИБ менеджмент включает в себя наблюдение и выработку решений, необходи
мых для достижения деловых целей посредством защиты информационных активов организации.
Менеджмент информационной безопасности выражается через формулирование и использование
политики информационной безопасности, стандартов, процедур и рекомендаций, которые применяют
ся повсеместно в организации всемилицами, связаннымис ней.
П р и м е ч а н и е — Термин «менеджмент» может иногда относиться к людям (то есть к человеку или группе
людей с властью и ответственностью за управление и контроль организации). Термин «менеджмент». употребляе
мый в этом пункте, имеет другой смысл.
3.2.5 Система менеджмента
Система менеджмента использует совокупность ресурсов для достижения целей организации.
Система менеджмента включает всебя организационную структуру, политику, планированиедействий,
обязательства, методы, процедуры, процессы и ресурсы.
В части информационной безопасности система управления позволяеторганизации:
- удовлетворятьтребования безопасности клиентов идругих заинтересованныхлиц;
- улучшатьпланы идействия организации;
- соответствовать целям информационной безопасности организации;
5