ГОСТ Р ИСО/МЭК 27001—2006
h) регистрироватьдействия и события,способные повлиять на результативность илифункциони
рованиеСМИБ. в соответствии с4.3.3.
4.2.4 Поддержка и улучшение системы менеджмента информационной безопасности
Организациядолжна регулярноосуществлятьследующее:
a) выявлять возможности улучшения СМИБ;
b
) предпринимать необходимые корректирующие и предупреждающие действия в соответствии
с 8.2 и 8.3, использовать на практике опытпо обеспечению ИБ. полученный как в собственной организа
ции. так ивдругихорганизациях;
c) передаватьподробную информациюодействияхпоулучшениюСМИБвсемзаинтересованным
сторонам, при этомстепеньеедетализациидолжна соответствоватьобстоятельствам и. при необходи
мости. согласовыватьдальнейшие действия;
d) обеспечивать внедрение улучшений СМИБдлядостижения запланированныхцелей.
4.3 Требования к документации
4.3.1 Общие положения
Документациядолжна включать в себя записи решений руководства, позволяющие обеспечивать
контроль выполнения решений руководства и политик организации, а также обеспечивать воспроизво
димость документированных результатов.
Важноиметьобратнуюсвязьвыбранныхмер управлениясрезультатами процессовоценки иобра
ботки риска, а также последнихс политикой СМИБ и целями СМИБ.
Документация СМИБдолжна включать в себя следующее;
a) документированные положения политики СМИБ [см. 4.2.1. перечисление Ь)]и целей СМИБ;
b
) областьфункционирования СМИБ [см. 4.2.1. перечисление а));
c) процедуры и меры управления, поддерживающие СМИБ;
d) описание методологии оценки риска [см. 4.2.1, перечисление с)];
e) отчет пооценке рисков [см. 4.2.1, перечисления с)—д)];
f) план обработки рисков;
д) документированные процедуры, необходимые организации для обеспечения эффективного
планирования, внедрения процессов в области ИБ и управления этими процессами, а также описания
путей оценки результативности мер управления [см. 4.2.3, перечисление с)];
h)учетные записи (см. 4.3.3);
i) положениео применимости.
П р и м е ч а н и я
1 Согласно настоящему стандарту термин «документированная процедура» означает, что процедура уста
новлена. документально оформлена, реализована и поддерживается на должном уровне.
2 Для разных организаций обьем документации СМИБ может быть различным е зависимости:
- от размера организации и вида ее деятельности;
- от области применения и сложности требований безопасности и от управляемой системы.
3 Документы и учетные записи могут существовать в любой форме и на носителях любого типа.
4.3.2 Управление документами
Для разработки, актуализации, использования, хранения и уничтожения документов СМИБ. атак
же их защиты в организации должна существовать документированная процедура, определяющая
действия руководства по;
a) утверждению документов СМИБ перед их изданием;
b
) пересмотру и обновлению, при необходимости, документов, а также повторному их утверж
дению;
c) обеспечению идентификации внесенных изменений итекущего статусадокументов;
d) обеспечению наличия версий соответствующихдокументов в местах ихиспользования;
е) определению порядка просмотрадокументов иих идентификации;
f)обеспечениюдоступа кдокументам авторизованным лицам, а также передачи, хранения иунич
тожения в соответствии с процедурами, применимыми к степени их конфиденциальности;
д) идентификациидокументов, созданных вне организации;
h) обеспечению контроля за распространением документов;
i) предотвращению непреднамеренного использования устаревшихдокументов;
j) использованию соответствующей идентификацииустаревшихдокументов в случае ихдальней
шего хранения.
6