ГОСТ Р ИСО/МЭК 27003—2012
При использовании результатов измерения для оценки эффективности СМИБ, цепей управления и средств
управления необходимо, чтобы руководство было проинформировано об области действия программы измере
ния информационной безопасности.
Л
ицо, ответственное за программу измерений, должно получить от руковод
ства утверждение области действия программы измерения информационной безопасности перед запуском про
граммы.
П р и м е ч а н и я
1 Требование, относящееся к измерению эффективности, в стандарте ISO/IEC 27001:2005 — это «измере
ние мер и средств контроля и управления или серии средств управления» (см. 4.2.2. d) в ISO/IEC 27001:2005).
2 Требование, относящееся к эффективности всей системы СМИБ. в стандарте ISO/IEC 27001:2005 — это
только «проверка эффективности всей системы СМИБ». и «измерение всей системы СМИБ» не требуется (см.
0.2.2 в ISO/IEC 27001:2005).
Фактически проведение измерений может осуществляться работниками организации, специалистами со
стороны или теми и другими вместе. Размеры, структура и культура организации — это факторы, которые необхо
димо принимать во внимание при оценке внутренних или внешних ресурсов. Малые и средние компании имеют
больше выгоды от использования поддержки со стороны, чем большие организации. Результаты использования
внешних ресурсов могут также обеспечить более надежные результаты в зависимости от культуры организации.
Если в организации постоянно проводится внутренний аудит, внутренняя проверка может принести более надеж ные
результаты.
52