ГОСТ Р ИСО/МЭК 27001—2006
4.3.3 Управление записями
Для предоставления свидетельств соответствия требованиям и результативности функциониро
вания СМИБ необходимо вести и поддерживать в рабочем состоянии учетные записи. Учетные записи
необходимо контролироватьизащищать. СМИБдолжна приниматьвовнимание всенормативно-право
вые требования идоговорные обязательства, имеющие отношение к ИБ. Записидолжны бытьчеткими,
легкоидентифицируемыми и восстанавливаемыми. Меры управления, требуемые для идентификации,
хранения, защиты, поиска, определения сроков хранения и уничтожения записей должны быть
документированы и реализованы.
Кромеэтого, следует вести ихранитьзаписио выполнении процессов, описанныхв 4.2. и обо всех
значительных инцидентах информационной безопасности, связанных со СМИБ.
Пример — Примерами записей являю т ся: журнал регист рации посетителей, отчеты о результ а
тах аудитов, заполненные ф ормы авторизации доступа.
5 Ответственность руководства
5.1 Обязательства руководства
Руководствоорганизациидолжно предоставлятьдоказательства выполнения своихобязательств
в отношении разработки, внедрения, обеспечения функционирования, мониторинга, анализа, поддерж
ки иулучшения СМИБ путем осуществления следующихмер:
a) разработки политики СМИБ;
b
)обеспечения разработки целей ипланов СМИБ;
c) определения функций и ответственности в области ИБ;
d) доведения до всех сотрудников организации информации о важности достижения целей
информационной безопасности и соответствия ее требованиям политики организации, об их ответ
ственности перед законом, а также о необходимости непрерывного совершенствования в реализации
мер ИБ;
e) выделения необходимых и достаточных ресурсов для разработки, внедрения, обеспечения
функционирования, мониторинга, анализа, поддержки и улучшения СМИБ (см. 5.2.1);
0 установления критериев принятия рисков иуровней их приемлемости;
д) обеспечения проведения внутреннихаудитов СМИБ (см. раздел 6);
h) проведения анализа СМИБ со стороны руководства (см. раздел 7).
5.2 Управление ресурсами
5.2.1 Обеспечение ресурсами
Организациядолжна определить ипредоставитьресурсы, необходимыедля;
a) разработки, внедрения, обеспечения функционирования, мониторинга, анализа, улучшения и
поддержки СМИБ;
b
) поддержки требований бизнеса процедурами информационной безопасности;
c) выявления и обеспечения выполнения требований соответствующих законов, нормативных
актов, а такжедоговорных обязательств в области информационной безопасности;
d) поддержания адекватной безопасности путем правильного применения всех реализованных
мер управления;
е) проведения, при необходимости, анализаи принятиясоответствующихмерпоего результатам;
0 повышения, при необходимости, результативности СМИБ.
5.2.2 Подготовка, осведомленность и квалификация персонала
Организациядолжна обеспечить необходимую квалификацию персонала, на который возложены
обязанности выполнения задач в рамкахСМИБ путем;
a) определения требуемого уровня знаний и навыковдля персонала, который выполняет работу,
влияющую на СМИБ;
b
) организацииобучения персонала илипринятиядругих мер(например, наем компетентногопер
сонала)для удовлетворения указанных потребностей;
c) оценки результативности предпринятыхдействий;
d) ведения записей об образовании, подготовке, навыках, опыте и квалификации сотрудников
(см. 4.3.3).
Организациядолжнатакже обеспечить понимание всемисоответствующими сотрудникамизначи
мости иважности деятельности вобластиинформационнойбезопасности, иихроливдостижениицелей
СМИБ.
7