ГОСТ Р ИСО/МЭК 27003—2012
c) область действия измерений;
d) как должна выполняться программа (основной используемый метод, внешнее и внутреннее
выполнение и т. д.);
e) когда должна выполняться программа;
f) как должна осуществляться отчетность.
Если организация разрабатывает собственные цели измерения, они должны быть документированы как
часть фазы разработки: дополнительную справочную информацию см. в стандарте ISO/IEC 27004:2009. Этот
документ может быть достаточно обширным и не обязательно должен подписываться руководством, поскольку
детали могут изменяться при выполнении программы.
Измерение эффективности СМИБ
При установлении области действия программы измерения информационной безопасности, подлежащей
выполнению, необходимо обеспечить, чтобы объектов не было слишком много. Если объектов много, имеет
смысл разделить программу на разные части. Область действия этих частей может быть представлена как
отдельные измерения для сравнения, но преобладает их основная цель: сочетание измерений обеспечивает
показания для оценки эффективности СМИБ. Эти вспомогательные области действия обычно представляют со
бой подразделения организации, которые могут быть определены с четкими границами. Сочетание объектов,
которые служат многим процессам в организации и измерениям объектов в рамках этих вспомогательных
областей действия, вместе могут образовывать необходимую область действия для программы измерения ин
формационной безопасности. Это сочетание также можно представить в виде серии действий по СМИБ,
которые могут рассматриваться как состоящие из двух или более процессов (объектов). Следовательно, эффек
тивность всей системы СМИБ можно измерить на основе измерения результатов этих двух или более процессов
(объектов).
Поскольку целью является измерение эффективности СМИБ, важно измерить цели, определить меры и
средства контроля и управления. Один аспект — это количество средств управления, а другой аспект — это
достаточность этих средств управления для оценки эффективности СМИБ. Эти аспекты измерения эффективнос ти
СМИБ с помощью процесса РОСАи примеры процессов внутри организации приведены на рис. Е.2. (Могут быть и
другие причины для ограничения области действия программы измерения информационной безопасности,
которые упоминаются в ISO.’lEC 27004:2009).
Л ипярп И— 1■
страны
Исходны*
д аты *
Л
\
иприт |
анм ^кпвтя
Hi
M O W *
данные
Упратлвмоа
состояние
Г м щ в п п н н Л
W lM I
Требования
иожидания
т ?^
Измерение эффективности каждого процесса
Рисунок Е.2 — Два аспекта измерения эффективности СМИБ с помощью процесса PDCA и
примеры процессов внутри организации
51