ГОСТ Р ИСО/МЭК 27000—2012
соответствующие меры и средства контроля и управления. Выбор средств управления безопасностью
зависит от требований безопасности, принимающих во внимание критерии для принятия риска инфор
мационной безопасности, вариантов обработки риска и общего подхода управления рисками,
применяемого организацией. Выбор и реализация средств управления могут бытьдокументированы в
заявлении о применимости.
Меры и средства контроля иуправления, изложенные в ISO/IEC 27002. общепризнаны каклучшие
методы, применимые к большинству организаций. Они были разработаны для того, чтобы удовлетво
рять требованиям организаций разной величины и структуры. Другие стандарты семейства стандартов
СМИБ руководят выбором и применением средств управления информационной безопасностью, изло
женных встандарте ISO/IEC 27002, для системы менеджмента (ISO/IEC 27001).
3.5.5 Контроль, поддержка и повышение эффективности СМИБ
Организациядолжна поддерживатьработоспособностьиулучшатьСМИБпосредством контроляи
оценки деятельности, направленной против политики и целей организации, исообщения о результатах
менеджментудля анализа. Этот анализСМИБпозволитнагляднопоказать правильностьиотслеживае
мость корректирующих, профилактических действий и действий по усовершенствованию, основанных
на этих результатах, включая контроль средствуправления информационной безопасностью.
3.6 Критические факторы успеха СМИБ
ДляуспешнойреализацииСМИБ, позволяющейорганизациидостичь своихделовых целей, имеет
значение большое количество факторов. Примеры критических факторов успеха включают в себя сле
дующие:
- политика информационной безопасности, цели и действия, ориентированные на достижение
целей:
- методика иструктура для разработки, реализации, контроля, поддержания и улучшения инфор
мационной безопасности, которыесоответствуют корпоративной культуре:
- видимая поддержка и обязательства со стороны всех уровней управления, особенно высшего
руководства:
- понимание требований информационной защиты активов, достигаемое через применение
менеджмента рисков информационной безопасности (см. стандарт ISO/IEC 27005);
- эффективное информирование об информационной безопасности, обучение и образователь
наяпрограмма, доводящаядо сведения всехслужащихидругих причастных сторон ихобязательствапо
информационной безопасности, сформулированные в политике информационной безопасности, стан
дартах и т.д., а также их мотивирование к соответствующимдействиям;
- эффективный процессменеджмента инцидентов информационной безопасности;
- эффективный управленческий подход непрерывности бизнеса;
- система измерения, которая используется для оценки управления информационной безопас
ностью. ипредложения по улучшению, поступающие по цепочке обратной связи.
СМИБ увеличивает вероятность того, что организация будет последовательнодостигать решаю
щихфакторов успеха, необходимыхдля защиты ее информационных активов.
3.7 Преимущества внедрения стандартов семейства СМИБ
Преимущества реализации СМИБ вытекают, прежде всего, из сокращения рисков информацион
ной безопасности (то есть уменьшения вероятности воздействия и (или) уменьшения воздействия,
вызванного инцидентами информационной безопасности). В частности, преимущества, полученные от
принятия семейства стандартов СМИБ, включают в себя следующее:
- поддержка процесса определения, реализации, функционирования и поддержания работоспо
собности полной иэкономически эффективной комплексной СМИБ, которая удовлетворяет потребнос
ти организации;
- помощьдля руководствав структурированииего подхода кменеджментуинформационнойбезо
пасностив контексте корпоративногоменеджментарискови управления, включаяобучениеитренингпо
единому управлению информационной безопасностью;
- продвижениеобщепринятыхлучшихметодов информационнойбезопасностив необязывающей
форме, что предоставляеторганизациям свободудля принятия иулучшения средств управления, кото
рые соответствуют их особенностям и оказывают им поддержку перед лицом внутренних и внешних
изменений;
- предоставление общего языка и концептуального основания для информационной безопаснос
ти. чтооблегчаетвзаимопониманиес деловымипартнерами, особенноеслиони требуютсвидетельства
соответствия ISO/IEC 27001 отаккредитованного органа сертификации.
8