ГОСТ Р ИСО/МЭК 27001—2006
0 Введение
0.1 Общие положения
Настоящийстандарт подготовлен в качествемоделидля разработки, внедрения, функционирова
ния. мониторинга, анализа, поддержки и улучшения системы менеджмента информационной безопас
ности(СМИБ). ВнедрениеСМИБявляотсястратегическим решениеморганизации. На проектированиеи
внедрение СМИБ организации влияют потребности и цели организации, требования безопасности,
используемые процессы, а также масштабы деятельности и структура организации. Предполагается,
что вышеуказанные факторы и поддерживающие их системы будут изменяться во времени. Предпола
гается также, что СМИБ будет изменяться пропорционально потребностям организации, т. е. для про
стой ситуации потребуется простое решение пореализации СМИБ.
Положениянастоящегостандарта могут быть использованы каквнутри организации, такивнешни
ми организациямидля оценки соответствия.
0.2 Процессный подход
Настоящий стандарт предполагает использовать процессный подходдля разработки, внедрения,
обеспечения функционирования, мониторинга, анализа, поддержки иулучшения СМИБ организации.
Для успешного функционирования организация должна определить и осуществить менеджмент
многочисленных видов деятельности. Деятельность, использующая ресурсы и управляемая в целях
преобразования входов в выходы, может быть рассмотрена как процесс. Часто выход одного процесса
непосредственно формирует входдля следующего процесса.
Использование внутри организации системы процессов наряду с идентификацией и взаимо
действием этих процессов, а также менеджмент процессов могут быть определены как «процессный
подход».
Согласнопредлагаемому настоящимстандартом процессному подходуприменительно кменедж
менту информационной безопасности (ИБ) особую значимость для пользователей имеют следующие
факторы:
a) понимание требований информационнойбезопасностиорганизациии необходимостиустанов
ления политики и целей информационной безопасности;
b
) внедрение и использование мер управления для менеджмента рисков ИБ среди общих биз
нес-рисков организации;
c) мониторинги проверка производительности и эффективности СМИБ:
d) непрерывное улучшение СМИБ. основанное на результатахобъективных измерений.
В настоящем стандарте представлена модель «Планирование (Plan) — Осуществление (Do) —
Проверка (Check) — Действие(Act)» (РОСА), котораяможетбыть примененапри структурированиивсех
процессов СМИБ. На рисунке 1 показано, как СМИБ, используя в качестве входных данных требования
ИБи ожидаемыерезультаты заинтересованныхсторон, спомощью необходимыхдействий ипроцессов
выдает выходные данные по результатам обеспечения информационной безопасности, которые соот
ветствуют этим требованиям и ожидаемым результатам. Рисунок 1 иллюстрирует также связи между
процессами, описанными в разделах 4,5.6, 7и8.
Принятиемодели РОСА такжеотражает принципы, установленныевДирективах Организацииэко
номического сотрудничества и развития (ОЭСР) и определяющие безопасность информационных сис
тем и сетей [1]. Настоящий стандарт представляет наглядную модель для реализации на практике
указанных принципов, которые позволяют осуществить оценку рисков, проектирование и реализацию
системы информационной безопасности, ее менеджмент ипереоценку.
Примеры
1 Требование может заключаться в том, чтобы нарушения информационной безопасности не
приводили к значит ельному ф инансовому ущ ербу для организации и/или к сущ ест венным зат руднени ям
в ее деятельности.
2 Ожидаемым результатом может быть наличие в организации достаточно хорош о обученных
сот рудников для проведения процедур, позволяю щ их минимизировать возможные неблагоприятные
последст вия в случае серьезного инцидента, например несанкционированного проникновения (атаки
хакеров) на веб-сайт организации, через кот орый она осущ ествляет злект ронную т орговлю.
IV