ГОСТ Р ИСО/МЭК 27000—2012
- выполнять регулирующие требования, требования законодательства и отраслевые норматив
ныедокументы;
- организованноуправлять информационными активамидля облегчения непрерывного соверше
нствования ирегулированиятекущих организационных целей и внешних условий.
3.3 Процессный подход для СМИБ
Организациинужновестиразличныевидыдеятельностииуправлятьимидлятого,чтобы функцио
нироватьрезультативно.
Л
юбой виддеятельности, использующий ресурсы иуправляемыйдлятого, что
быобеспечитьвозможностьпреобразования входовв выходы, можносчитатьпроцессом. Выхододного
процесса может непосредственно формировать вход следующего процесса. Обычно такая трансфор
мация происходит в условиях планирования и управления. Применение системы процессов в рамках
организации вместе с идентификацией и взаимодействием этих процессов, а также их управлением
может бытьопределено как «процессный подход».
Процессный подходдляСМИБ. представленныйвсемействестандартовСМИБ. основан наопера
ционном принципе, принятом в стандартах системы управления ISO и общеизвестном как процесс
«План (Plan) — Осуществление (Do) — Проверка (Check) — Действие (Act)» (PDCA):
- план — постановка целей и разработка планов (провести анализситуации в организации, наме
тить общие цели, поставитьзадачи иразработатьпланы для их достижения);
- осуществление — реализация планов (выполнитьто. что было запланировано);
- проверка — проверка результатов (измерение/контроль степени соответствия достигнутых
результатов плану):
- действие — коррекция иулучшение работы (учиться на ошибках, чтобы улучшить работу идос
тичь лучших результатов).
3.4 Цели внедрения СМИБ
В качестве части СМИБ организации должны бытьопределены риски, связанныес информацион
ными активами организации. Достижение информационной безопасности требуетуправления риском и
охватывает риски физические, человеческие и технологические, относящиеся к угрозам, касающимся
всехформ информации внутри организации или используемойорганизацией.
Принятие СМИБ является стратегическим решением для организации, и необходимо, чтобы это
решение неразрывно интегрировалось, оценивалось и обновлялось в соответствии с потребностями
организации.
На разработку и реализацию СМИБ организации влияют потребности и цели организации, требо
вания безопасности, используемые бизнес-процессы, а также размер и структура организации. Разра
ботка и функционирование СМИБ должны отражать интересы и требования информационной
безопасности всех заинтересованныхлиц организации, включая клиентов, поставщиков, деловых пар
тнеров. акционеров идругих третьихлиц.
Во взаимосвязанном мире информация иотносящиесяк ней процессы, системы исетисоставляют
критические деловые активы. Организации и их информационные системы исети сталкиваются с угро
зами безопасности из широкого диапазона источников, включая компьютерное мошенничество, шпио
наж. саботаж, вандализм, атакже пожар и наводнение. Повреждения информационных систем и сетей,
вызванные вредоносным кодом, действиямихакеров и DoS-атаками, стали более распространенными,
более масштабными и все более иболее серьезными.
СМИБ важнадля предприятий какгосударственного, такчастногосектора. Влюбой отраслиСМИБ
является необходимым инструментом для поддержания электронного бизнеса и важна для действий
менеджмента риска. Взаимосвязь общедоступных ичастных сетей и распределенность информацион
ных активов увеличивают трудность управления доступом к информации и ее обработки. Кроме того,
распространение мобильных устройств хранения данных, содержащих информационные активы,
можетослабить эффективностьтрадиционныхсредствконтроля. Когдаорганизации принимаютсемей
ство стандартов СМИБ. способность применить последовательные и взаимно известные принципы
информационной безопасности может быть продемонстрирована деловым партнерам и другим
заинтересованным сторонам.
Информационнаябезопасность невсегда учитывается при проектировании ирасширении инфор
мационных систем. Кроме того, часто считают, что информационная безопасность — это техническая
проблема. Однако уровень безопасности, который может быть достигнут с помощью технических
средств, ограничен. Такая защита может быть неэффективной, не будучи поддержаннойсоответствую
щим управлением ипроцедурами в контекстеСМИБ. Последующее встраиваниесистемы безопасности в
информационную системуможетбытьтрудным и дорогостоящим. СМИБвключаетвсебя идентифика
цию имеющихся средств управления и требует тщательного планирования и внимания к деталям.
6