ГОСТ Р ИСО/МЭК 27003—2012
7.3 Определение активов в рамках области действия СМИБ
Действия
Необходимо определить активы, которыедолжны поддерживаться системой СМИБ.
Исходные данные:
a) выходные данные действия 6.5. объединение всех областей действия и границ для получения
области действия и границ СМИБ — область действия и границы СМИБ;
b
) выходные данные действия 6.6, разработка политики СМИБ и получение одобрения руковод
ства — политика СМИБ;
c) выходные данные действия 7.2, определение требований к информационной безопасности для
процесса СМИБ.
Рекомендации
Для определения активов в рамках области действия СМИБ необходимо определить и указать следу
ющую информацию:
a) уникальное наименование процесса;
b
) описание процесса и связанные с ним действия (создание, хранение, передача, удаление);
c) важность процесса для организации (критический, важный, вспомогательный).
d) владелец процесса (подразделение организации);
e) процессы, обеспечивающие исходные и выходные данные этого процесса;
0 приложения ИТ. поддерживающие процесс;
д) классификация информации (конфиденциальность, сохранность, достул-ность. контрольдоступа,
неотказуемость и (или) другие важные для организации свойства, например, как долго может храниться
информация).
Выходные данные
Выходные данные этогодействия следующие:
a) определенные информационные активы основных процессов ворганизации в рамках областидей
ствия СМИБ:
b
) классификация важнейших процессов и информационных активов с точки зрения информационной
безопасности.
Дополнительная информация
Дополнительная специальная информация нетребуется.
7.4 Проведение оценки информационной безопасности
Действия
Необходимо провести оценку информационной безопасности путем сравнения текущего состояния
информационной безопасности в организации с целями организации.
Исходные данные:
a) выходные данные действия 6.5. объединение всех областей действия и границ для получения
области действия и границ СМИБ - область действия и границы СМИБ;
b
) выходные данные действия 6.6. разработка политики СМИБ и получение одобрения руковод
ства — политика СМИБ;
c) выходные данные действия 7.2. определение требований к информационной безопасности для
процесса СМИБ;
d) выходные данные действия 7.3, определение активов врамках области действия СМИБ.
Рекомендации
Оценка информационной безопасности — этодействия по определению существующего уровня ин
формационной безопасности (т. о. процедур по защите информации, применяемых в организации в настоя
щее время). Фундаментальной целью оценки информационной безопасности является предоставление
информации, подкрепляющей описание, требуемоедля системы управления, в форме политики и рекомен
даций. Необходимо обеспечить, чтобы выявленные недостатки устранялись параллельно, с помощью пла на
приоритетных действий. Все вовлеченные стороны должны быть ознакомлены с результатами анализа
организации, стандартными документами и иметьдоступ к соответствующим руководящим работникам.
При оценке информационной безопасности анализируется текущая ситуация в организации путем
использования следующей информации и определяется текущее состояние информационной безопаснос
ти и недостатки вдокументации:
а) изучение предпосылок на основе важнейших процессов:
19