ГОСТ Р ИСО/МЭК 27000—2012
2.43 обработка риска (risktreatment): Процесс (2.31) выбора и осуществления мер по модифика
ции риска (2.34).
[ISO/IEC Guide 73:2002]
2.44 ведомость применимости (statement of applicability): Документ, определяющий цели при
менения мер и средств контроля и управления (2.11) и меры и средства контроля и управления
(2.10). являющиеся адекватными иприменимымидля СМИБ (2.23) организации.
2.45 угроза (threat): Возможная причина нежелательного инцидента, который может нанести
ущерб системе или организации.
2.46 уязвимость (vulnerability): Слабое место актива (2.3) или меры и средства контроля и
управления (2.10). которое может быть использовано угрозой (2.45).
3 Системы менеджмента информационной безопасности
3.1 Основные понятия
Организации любого типа и величины:
- собирают, обрабатывают, хранят ипередают большое количество информации;
- понимают, что информация и относящиеся к ней процессы, системы, сети и персонал являются
важными ресурсамидля решения задач, стоящих передорганизацией;
- сталкиваются с рядом рисков, которыемогут оказыватьвоздействие на функционированиеакти
вов организации;
- ослабляют риски, осуществляя управление информационной безопасностью.
Вся информация, хранящаяся иобрабатывающаяся в организации, является объектом угроз ата
ки. ошибки, воздействия стихии (например, наводнения или пожара) и т. д. Термин «информационная
безопасность» относится к информации, которую рассматривают как актив, у которого есть ценность,
требующаясоответствующей защиты, например, от потери доступности, конфиденциальности и целос
тности. Обеспечение возможности санкционированного своевременного получения точной и полной
информации значительно повышает эффективность работы.
Защита информационных активов посредством определения, достижения, поддержания и улуч
шения информационной безопасности очень важна для того, чтобы позволить организации достигать
свои цели, а также поддерживать иповышатьуровеньсоответствия законодательствуирепутацию. Эти
скоординированныедействия, направляющиереализацию подходящихсредств управления ирассмат
ривающие недопустимые риски информационной безопасности, являются общеизвестными как эле
менты менеджмента информационной безопасности.
Так как риски информационной безопасности и эффективность средств управления меняются в
зависимости от изменяющихсяобстоятельств, организациям необходимо:
- контролировать иоценивать эффективность имеющихся средствуправления и процедур;
- идентифицировать появляющиеся риски для их рассмотрения;
- выбирать, реализовыватьиулучшатьдолжным образом соответствующие меры исредства кон
троля и управления.
Чтобы установить взаимосвязь и скоординировать такие действия системы информационной
безопасности, каждая организациядолжна установить свою политику и цели для системы информаци
онной безопасности иэффективнодостигать эти цели при использовании системы менеджмента.
3.2 Общие положения
3.2.1 Обзор и принципы
Система менеджмента информационной безопасности (СМИБ) представляет модель для созда
ния. внедрения, функционирования, мониторинга, анализа, поддержки и улучшения защиты информа
ционных активов для достижения деловых целей, основанную на оценке риска и на принятии уровней
риска организации, разработаннуюдляэффективного рассмотренияи управления рисками. Анализтре
бований для защиты информационных активов и применение соответствующих средств управления,
чтобы обеспечить необходимую защиту этих информационных активов, способствует успешной
реализации СМИБ. Следующие основные принципы способствуют успешной реализации СМИБ:
- понимание необходимости системы информационной безопасности;
- назначениеответственности за информационную безопасность;
- соединение административных обязанностей и интересов заинтересованныхлиц;
- возрастание социальных ценностей:
4