ГОСТ Р ИСО/МЭК 27002-2012
a) цель управления, в которой формулируется, что должно быть достигнуто;
b
) одну или более мер и средств контроля и управления, с помощью которых могут
быть достигнуты цели управления.
Описания меры и средства контроля и управления структурируются следующим
образом:
Мера и средство контроля и управления
Определяется формулировка специфической меры и средства контроля и
управления для достижения цели управления.
Рекомендация по реализации
Предоставляется более детализированная информация для поддержки реализации
меры и средства контроля и управления и достижения цели управления. Некоторые из
этих рекомендаций могут быть неприемлемы для всех случаев, поэтому другие способы
реализации меры и средства контроля и управления могут быть более уместными.
Дополнительная информация
Предоставляется дополнительная информация, которая может быть рассмотрена,
например правовые вопросы и ссылки на другие стандарты.
4 Оценка и обработка рисков
4.1 Оценка рисков безопасности
Оценка рисков должна идентифицировать риски, определить количество и
приоритеты рисков на основе критериев для принятия риска и целей, значимых для
организации. Результаты должны служить ориентиром и определять соответствующие
действия руководства и приоритеты менеджмента рисков информационной безопасности,
а также реализацию мер и средств контроля и управления, выбранных для защиты от
этих рисков. Может возникнуть необходимость в неоднократном выполнении процесса
оценки рисков и выбора мер и средств контроля и управления для того, чтобы охватить
различные подразделения организации или отдельные информационные системы.
Оценка рисков должна включать систематический подход, заключающийся в
количественной оценке рисков (анализ риска), и процесс сравнения количественно
оцененных рисков с данными критериями рисков для определения значимости рисков
(оценивание рисков).
5