ГОСТ Р ИСО/МЭК 27003—2012
Приложение D
(справочное)
Структура политики
В данном приложении содержатся дополнительные рекомендации по структуре политики, включая поли
тику информационной безопасности.
Политика — это общие намерения и указания, официально выраженные руководством (см. FCD 27000 и
ISO/IEC 27002). Содержание политики управляет действиями и решениями, касающимися предмета политики.
Организация может иметь несколько политик, по одной для каждой сферы деятельности, важной для организа
ции. Некоторые политики независимы одна от другой, в то время как другие политики находятся в иерархическом
соотношении. В области безопасности политики, как правило, иерархически организованы. Обычно политика
безопасности организации является политикой высшего уровня. Она подкрепляется более конкретными полити
ками. включая политику информационной безопасности и политику системы менеджмента информационной
безопасности. В свою очередь, политика информационной безопасности может подкрепляться более детальны
ми политиками по конкретным предметам, относящимся к аспектам информационной безопасности. Многие из
этих политик описываются в стандарте ISO/IEC 27002, например, политика информационной безопасности под
крепляется политиками, касающимися контроля доступа, политики «чистого стола» и «чистого экрана», исполь
зования сетевых служб и криптографического контроля. В некоторых случаях возможно включение дополнитель
ных уровней политики. Эта классификация показана на рисунке D1.
Рисунок D.1 — Иерархия политики
Согласно стандарту ISO/IEC 27001 требуется, чтобы организации имели политику СМИБ и политику инфор
мационной безопасности. Однако это не подразумевает каких-либо конкретных соотношений между этими поли
тиками. Требования к политике СМИБ приведены в пункте 4.2.1 стандарта ISO/1EC 27001. Рекомендации по
политике информационной безопасности приведены в пункте 5.1.1 стандарта ISO/IEC 27002. Эти политики могут
разрабатываться как равноправные политики: политика СМИБ может подчиняться политике информационной
безопасности, или, наоборот, политика информационной безопасности может подчиняться политике СМИБ.
Содержание политики основано на контексте, в котором работает организация. В частности, при разработ
ке любой политики в рамках основ политики нужно учитывать следующее:
1) цели и задачи организации;
2) стратегии, адаптированные для достижения этих целей;
3) структуру и процессы, адаптированные организацией;
4) цели и задачи, связанные с предметом политики;
5) требования связанных политик более высокого уровня.
Этот процесс показан на рисунке D.2.
45