ГОСТ Р ИСО/МЭК 27011-2012
Рекомендация по реализации, характерная для телекоммуникаций
Телекоммуникационныеорганизациидолжнырассмотретьследующие
условия на предмет их включения в договор с целью удовлетворения установленных
требований безопасности:
a) четкая формулировка, касающаяся защиты от повреждения или ухудшения
телекоммуникационного канала обслуживания или других телекоммуникационных
соединенийпользователейсиспользованиемоборудованиядругих
телекоммуникационных организаций;
b
) четкоеразграничениеобязанностеймеждутелекоммуникационными
организациями в отношении собственных средств телекоммуникационных услуг и
средств других организаций.
Дополнительная информация
Договоры могут варьироваться в значительной мере в отношении различных
организаций и среди различных типов третьих сторон. Поэтому, следует заботиться
о включении в договоры всех определенных рисков и требований безопасности
(см. также 6.2.1). В случае необходимости требуемые меры и средства контроля и
управления, а также процедуры могут быть расширены в плане менеджмента
безопасности.
Если менеджмент информационной безопасности осуществляется в рамках
договоров аутсорсинга, то в договорах должно быть оговорено, каким образом
третья сторона будет гарантировать поддержание адекватной безопасности,
определенной оценкой риска, а также адаптацию к выявленным рискам и
изменениям рисков.
Некоторые из различий между аутсорсингом и другими формами обеспечения
услуг третьими сторонами включают в себя вопросы ответственности, планирование
переходного периода и возможного срыва операций в течение данного периода,
планирование мероприятий на случай непредвиденных ситуаций и тщательность
проверок, а также сбор и управления информацией по инцидентам безопасности.
Поэтому важно, чтобы организация осуществляла, планировала и управляла
переходом к договорам аутсорсинга, и применяла соответствующий процесс
менеджмента изменений и перезаключения/окончания действия договоров.
В договоре необходимо учитывать процедуры непрерывной обработки на
случай, если третья сторона окажется неспособной поставлять свои услуги, для
предотвращения какой-либо задержки по организации замены услуг.
21