ГОСТ Р ИСО/МЭК 27003—2012
проверки соответствия технических средств управления (например, в отношении конфигурации) и организацион
ных средств управления (например, процессов, процедур и операций). Проверки, прежде всего, должны быть
направлены на устранение недостатков. Если проверки подлежат принятию, важно, чтобы эта мотивация осозна
валась всеми вовлеченными сотрудниками как цель проверки. Необходимо обсуждать возможные решения
проблем с участниками во время проверок и заранее готовить соответствующие средства для устранения недо
статков.
Проверки должны тщательно подготавливаться для обеспечения как можно более эффективного достиже
ния их целей, вызывая как можно меньше нарушений в обычной работе организации. Общее осуществление
проверок должно заранее координироваться с руководством. Действия по разработке можно заключить в три
различные основные формы:
- отчеты об инцидентах;
- подтверждение соответствия или несоответствия функциональности средств управления;
- другие регулярные проверки.
Кроме того, необходимо разработать представление результатов действия в отношении того, как выполня
ется запись и как информация передается руководству. Необходимо составлять официальную документацию для
описания разработки, принципа действий и их цели, а также различных сфер ответственности.
Требования к результатам мониторинга
Результаты должны быть следующими;
a) записи действий по мониторингу с требуемой степенью детализации.
По результатам действий по мониторингу руководству должен быть представлен отчет. Вся информация,
которая требуется руководству для выполнения надзорных и управленческих функций, должна быть записана в
отчете с требуемой степенью детализации:
b
) информация, необходимая руководству для принятия решений, когда это требуется для принятия сроч
ных мер.
Отчет для руководства всегда заканчивается перечнем рекомендуемых действий с четко определенными
приоритетами вместе с реальной оценкой предполагаемых затрат на выполнение каждого из этих действий. Это
обеспечивает возможность принятия руководством решений без лишних задержек.
Планирование программы измерений, связанных с информационной безопасностью. Обзор разработки
программы измерений, связанных с информационной безопасностью.
Процесс измерения должен быть плавно введен в цикл СМИБ проекта или организации и использовать
ся для непрерывного усовершенствования процессов, связанных с безопасностью, и результатов в рамках
этого процесса или организации. Эго называется программой измерения информационной безопасности
(ISOVIEC 27004:2009). Разработку программы необходимо рассматривать в отношении цикла СМИБ. На рисунке
Е.2 показано, как процесс измерения вписывается в цикл СМИБ.
Следующие функции систем управления требуются для обеспечения выполнения требований и ожиданий,
таких как структурирование необходимых РОСА, измерение и подтверждение выходных данных и их эффективно
сти. и обеспечение передачи результатов измерений руководителю процесса.
Чтобы провести правильные измерения, необходима ранее полученная информация, особенно:
a) политика СМИБ. включая область действия и границы;
b
) результаты оценки риска;
c) выбор средств управления:
d) цели управления.
e) конкретные цели информационной безопасности;
f) заданные процессы и ресурсы и их классификация.
Руководство должно назначить и сохранять обязательства по всему процессу измерения. При осуществле
нии процесса измерения руководство должно:
a) принять требования к измерениях»; подробности
с
а
». в стандарте ISO/1EC 27004:2009:
b
) уделить внимание потребностям в информации, подробности см. в стандарте ISO/IEC 27004:2009;
c) установить обязательства персонала по следующим критериям:
- организация должна продемонстрировать свои обязательства, например, посредством политики изме
рений для организации, распределения ответственности и обязанностей, обучения и распределения
бюджета идругих ресурсов;
- должно быть назначено лицо или подразделение организации, отвечающее за программу измерения;
- должно быть назначено лицо или подразделение организации, отвечающее за обмен информацией по
значимости и результатам измерений СМИБ во всей организации для обеспечения их принятия и исполь
зования. и это лицо или подразделение должно получать поддержку руководства;
- необходимо обеспечить сбор и анализ данных по измерениям СМИБ и их передачу директору по инфор
мационным технологиям и другим заинтересованным сторонам:
- необходимо обучить линейных руководителей программы использованию результатов измерений СМИБ
для учреждения политики, распределения ресурсов и принятия решений, касающихся бюджета.
49