ГОСТ Р 56045—2014/ISO/IEC TR 27008:2011
5 Предпосылки
Меры и средства контроля и управления информационной безопасностью организации должны
выбираться организацией на основе результата оценки риска в рамках процесса менеджмента риска
информационной безопасности, чтобы снижать свои риски до допустимого уровня. Однако организа
ции, решившие не реализовывать СМИБ, могут отдать предпочтение другим способам выбора, реа
лизации и поддержки мер и средств контроля и управления информационной безопасностью.
Часть мер и средств контроля и управления информационной безопасностью организации
обычно осуществляется путем реализации технических мер и средств контроля и управления инфор
мационной безопасностью, например, когда информационные активы включают информационные
системы.
Технические меры и средства контроля и управления информационной безопасностью необхо
димо определять, документально оформлять, реализовать и поддерживать в соответствии со стан
дартами, относящимися к информационной безопасности. С течением времени на эффективность
мер и средств контроля и управления информационной безопасностью и в конечном счете на приме нение
в организации стандартов информационной безопасности могут оказывать негативное влияние
внутренние факторы, такие как корректировки информационных систем, конфигурации функций безо
пасности и изменения окружающей среды информационных систем, а также внешние факторы, такие как
совершенствование навыков атаки. У организаций должна быть строгая программа контроля из
менений, касающихся информационной безопасности. Организации должны регулярно проверять,
осуществляется ли соответствующее применение стандартов, касающихся реализации безопасности, и
их действие. Проверка технического соответствия включена в ИСО/МЭК 27002:2005 в качестве од ной из
мер и средств контроля и управления, осуществляемой вручную и/или посредством специаль ных
проверок с помощью автоматизированных инструментальных средств. Она может осуществлять ся
лицами, выполняющими роль, не задействованную в осуществлении меры и средства контроля и
управления (например, владельцем системы или персоналом, отвечающим за конкретные меры и
средства контроля и управления), или внутренними или внешними специалистами по обеспечению
информационной безопасности, включая аудиторов информационной технологии (ИТ).
Результат проверки технического соответствия объясняет фактический уровень технического
соответствия реализации информационной безопасности в организации требованиям стандартов.
Это обеспечивает уверенность в том, что состояние технических мер и средств контроля и управле ния
соответствует стандартам информационной безопасности или. в противном случае, служит осно вой
для совершенствования. В начале проверки должна быть четко установлена последовательность
отчетности по аудиту и должна обеспечиваться целостность процесса отчетности. Должны предпри
ниматься шаги, чтобы обеспечить:
получение соответствующими ответственными сторонами неизмененной копии отчета не
посредственно от аудиторов, проводящих проверку мер и средств контроля и управления информа
ционной безопасностью;
невозможность получения несоответствующими или неуполномоченными сторонами копии
отчета от аудиторов, проводящих проверку мер и средств контроля и управления информационной
безопасностью;
возможность беспрепятственного выполнения работы аудиторами, проводящими проверку
мер и средств контроля и управления информационной безопасностью.
Проверки мер и средств контроля и управления информационной безопасностью, в особенности
проверки технического соответствия могут помочь организации:
установить и понять степень серьезности потенциальных проблем или недостатков реали
зации и действия мер и средств контроля и управления информационной безопасностью, стандартов
информационной безопасности и. в результате, технических мер и средств контроля и управления
информационной безопасностью организации;
установить и понять потенциальное влияние на организацию воздействия недостаточно
ослабленных угроз и уязвимостей информационной безопасности;
установить приоритеты в действиях по уменьшению риска информационной безопасности;
подтвердить, что вопрос, касающийся ранее установленных или возникающих слабых
мест или недостатков информационной безопасности, был адекватным образом решен:
поддерживать бюджетные решения в рамках инвестиционного процесса и другие решения
руководства, связанные с совершенствованием менеджмента информационной безопасности органи
зации.
Настоящий стандарт предназначен для проверки мер и средств контроля и управления инфор
мационной безопасностью, включая проверку технического соответствия относительно реализации
организацией установленного стандарта по информационной безопасности. Настоящий стандарт не
2