ГОСТ Р ИСО/МЭК 27013—2014
образом, в рамках стандарта ИСО/МЭК 20000-1 некоторые CI не могут рассматриваться как активы,
например, люди. Обычно активы в ИСО/МЭК 20000-1 обладают денежной ценностью.
В ИСО/МЭК 27001 информационные активы определены как знания или данные, имеющие цен
ность для организации независимо от их формы, например, бумажная, электронная и т. д. В резуль
тате информационные активы могут быть CI. но CI необязательно являются информационными акти
вами. Например, кабель для передачи данных может быть CI, хотя обычно он не является информа
ционным активом. На рисунке 2 представлены взаимосвязи CI и информационных активов. Для ин
тегрированной системы менеджмента информационный актив по ИСО/МЭК 27001 может быть ис
пользован в услуге или может являться частью услуги по ИСО/МЭК 20000-1.
Рисунок 2 — Взаимосвязь информационных активов в ИСО/МЭК 27001 и CI в ИСО/МЭК 20000-1
Ни один из указанных стандартов не требует перечисления каждого CI или информационного
актива в отдельности. Они могут быть сгруппированы по типам, таким как аппаратные средства или
документы. В рамках этого процесса их описание должно быть как можно более согласованным, уп
рощая соответствие обоим стандартам. Например, в начале любой деятельности по интеграции
должно быть принято решение о способе идентификации и классификации активов. Это необходимо
для обеспечения уверенности в том. что на активы могут быть сделаны однозначные ссылки. Если
термин ««информационные активы» используется в изложении ИСО/МЭК 27001, то особые активы
должны быть дополнительно помечены, чтобы обеспечить уверенность в признании их статуса в ка
честве О или финансовых активов по ИСО/МЭК 20000-1. см. приложение В настоящего стандарта.
6.2.2 Планирование и развитие услуг
Раздел 5 ИСО/МЭК 20000-1 включает требования к планированию и развитию новых или изме
ненных услуг. В ИСО/МЭК 27001 полностью эквивалентного раздела нет, хотя некоторые аспекты,
связанные с планированием, развитием и предоставлением услуг, охвачены приложением А
ИСО/МЭК 27001:2005. Однако интегрированная система менеджмента должна обеспечивать уверен
ность в том. что информационная безопасность детально рассматривается на запланированных эта
пах проектирования и развития новых или измененных услуг. Требующие рассмотрения вопросы
включают оценку влияния новой или измененной услуги, как на услугу, так и меры и средства контро ля
и управления информационной безопасности, см. пункт 6.6.2 ИСО/МЭК 20000-1:2011. Также это
должно быть выполнено для прекращения предоставления услуги.
Планирование всех новых или измененных услуг должно включать рассмотрение последствий
для информационной безопасности. Это должно быть выполнено независимо от того попадает ли
услуга в область действия СМИБ.
6.2.3 Оценка риска и менеджмент
Пункты 4.5.2 и 4.5.3 ИСО/МЭК 20000-1:2011 содержат требования к оценке риска и к обработке
рисков, связанных со СМУ.
Пункт 4.2.1 ИСО/МЭК 27001:2005 содержит требования для менеджмента всех аспектов рисков,
связанных с информационной безопасностью. Требования не ограничиваются рисками, связанными с
самой СМИБ, и включают оценку рисков, их обработку и иные аспекты, связанные с менеджментом
риска информационной безопасности.
8