ГОСТ Р ИСО/МЭК 27001—2006
3.12 оценка риска (riskassessment): Общий процессанализа риска и его оценивания.
(Руководство ИСО/МЭК 73:2002] [6]
3.13 оцениванио риска (risk evaluation): Процесс сравнения количественно оцененного риска с
заданными критериями рискадля определения егозначимости.
(Руководство ИСО/МЭК 73:2002] (6]
3.14 менеджмент риска (risk management): Скоординированные действия по руководству и
управлению организацией в отношении риска.
П р и м е ч а н и е — Обычно менеджмент риска включает в себя оценку риска, обработку риска, принятие
риска и коммуникацию риска.
(Руководство ИСО/МЭК 73:20021 [6]
3.15 обработка риска (risk treatment): Процесс выбора и осуществления мер по модификации
риска.
(Руководство ИСО/МЭК 73:2002] (6]
П р и м е ч а н и я
1 Меры пообработке риска могут включать а себя избежание, оптимизацию, перенос или сохранение риска.
2 В настоящем стандарте термин «мера управления» (control) использован как синоним термина «мера»
(measure).
3.16 положение о применимости (statement of applicability): Документированное предписание,
определяющее цели и меры управления, соответствующие и применимые к системе менеджмента
информационнойбезопасностиорганизации.
П р и м е ч а н и е — Цели и меры управления основываются на результатах и выводах процессов оценки и
обработки рисков, на требованиях законодательных или нормативных актов, на обязательствах по контракту и биз
нес-требованиях организации по отношению к информационной безопасности.
4 Система менеджмента информационной безопасности
4.1 Общие требования
Организация должна разработать, внедрить, обеспечить функционирование, вести мониторинг,
анализировать, поддерживать и непрерывно улучшать документированную СМИБ применительно ко
всейделовойдеятельностиорганизациии рискам, скоторымиона сталкивается. Сучетом целейнастоя
щего стандарта используемый процесс основан на применении модели PDCA. приведенной на
рисунке 1.
4.2 Разработка системы менеджмента информационной безопасности. Управление систе
мой менеджмента информационной безопасности
4.2.1 Разработка системы менеджмента информационной безопасности
Организациядолжна осуществить следующее:
a) определитьобласть и границы действия СМИБ с учетом характеристик бизнеса, организации,
ее размещения, активов и технологий, втом числедетали иобоснованиелюбых исключений изобласти
ее действия (см. 1.2);
b
) определить политику СМИБ на основе характеристик бизнеса, организации, ее размещения,
активов итехнологий, которая:
1) содержит концепцию, включающую в себя цели, основные направления ипринципы действий в
сфере ИБ;
2) принимает во внимание требования бизнеса, нормативно-правовые требования, а такжедого
ворныеобязательства по обеспечению безопасности;
3) согласуется со стратегическим содержанием менеджмента рисков организации, в рамках кото
рого будет разрабатываться и поддерживаться СМИБ;
4) устанавливает критерии оценки рисков (см. 4.2.1. перечисление с)];
5) утверждается руководством организации.
П р и м е ч а н и е — Для целей настоящего стандарта политика СМИБ имеет приоритет перед политикой И6.
Эти политики могут быть изложены в одном документе:
c) определить подходк оценке риска в организации, для чего необходимо;
1)определить методологию оценки риска, подходящую для СМИБ. котораядолжна соответство
вать требованиям обеспечения деятельности организации и нормативно-правовым требованиям
информационной безопасности;
з