ГОСТ Р ИСО/МЭК 27013—2014
6.2.6 Менеджмент изменений
В пунктах А.10.1.2 и А.12.5.1 ИСО/МЭК 27001:2005 рассматривается менеджмент изменений.
Пункты А.10.1.2 и А.12.5.1 позволяют организации разрабатывать процедуры для удовлетворения
своих конкретных потребностей.
Пункт 9.2 «Менеджмент изменений» ИСО/МЭК 20000-1:2011 содержит требования, относящиеся
к риску. Требования дополнены пунктом 6.6.3 «Инциденты и изменения информационной безопасно
сти». Пункт 6.6.3 содержит требования к оценке влияния запрашиваемых изменений для учета их
влияния на существующие меры и средства контроля и управления информационной безопасности.
Чтобы обеспечить уверенность в том. что требования менеджмента изменений выполняются,
должен быть разработан контрольный перечень оценок влияния или проверок после реализации про
екта, как часть интегрированной системы менеджмента на основе ИСО/МЭК 20000-1. Это должно
обеспечить уверенность в том. что все типы рисков информационной безопасности анализируются, как
часть процесса менеджмента изменений.
6.3 Потенциальные выгоды
6.3.1 Использование цикла Планирование-Осуществлоние-Проворка-Действие
ИСО/МЭК 27001 и ИСО/МЭК 20000-1 явно ссылаются на цикл Планирование-Осуществление-
Проверка-Действие (Plan-Do-Check-Act - РОСА). Это может быть удобно, так как организация сможет
следовать одним и тем же принципам независимо от того, какой стандарт будет реализован в первую
очередь.
PDCA является основой постоянного совершенствования в обоих стандартах, таким образом,
постоянное совершенствование должно быть основой деятельности по применению любого из двух
или обоих стандартов. Следует отметить, что циклы PDCA могут действовать в разных временных
отрезках, но если такое возможно, то организация должна использовать единый интегрированный
цикл для обеспечения общего периода проверки или внутреннего аудита.
6.3.2 Отчетность и менеджмент уровня услуг
Отчетность по услугам охватывает больше основных деятельностей, чем требуется для ме
неджмента уровня услуг. Однако отчетность по услугам может поддерживать менеджмент информа
ционной безопасности исходя из целей услуг для инцидентов информационной безопасности, кото
рые оцениваются, прогнозируются и используются в отчетности по услугам.
В перечислении Ь) подраздела 6.2 ИСО/МЭК 20000-1:2011 изложено, что в процессе составле
ния отчетов по услугам следует учитывать соответствующую информацию о значимых событиях, та
ких как серьезные инциденты и несоответствия. Данные, полученные в процессе составления отчетов
по услугам в соответствии с ИСО/МЭК 20000-1. могут дать большое преимущество для поддержки и
совершенствования информационной безопасности.
При реализации ИСО/МЭК 27001 определяются детали мер и средств контроля и управления
информационной безопасности, и должна быть измерена их эффективность, см. пункт 4.2.3 «Монито
ринг и анализ СМИБ» ИСО/МЭК 27001:2005. Это делает возможной интеграцию с процессом состав
ления отчетов по услугам согласно требованиям подраздела 6.2 ИСО/МЭК 20000-1:2011, чтобы над
лежащая и своевременная информация могла использоваться для поддержки или совершенствова
ния информационной безопасности. Клиенты будут лучше понимать истинное функционирование ус
луг и СМУ. включая процессы менеджмента услуг, если важная информация об уровнях соответствия
применимых мер и средств контроля и управления безопасности и статистические данные по инци
дентам будут включены в отчеты.
Отчеты, составленные в соответствии с ИСО/МЭК 27001 и ИСО/МЭК 20000-1, как для внутрен
него использования, так и предназначенные для клиентов, должны разрабатываться с учетом этих
соображений.
6.3.3 Обязательства руководства
ИСО/МЭК 27001 описывает обеспечение информационной безопасности по отношению к прича
стным сторонам. Упоминаемыми причастными сторонами являются стороны, обладающие опреде
ленными правами в организации, реализующей СМИБ. Эти стороны могут включать персонал, акцио
неров. клиентов и. возможно, даже регулирующие органы или общественность. В ИСО/МЭК 20000-1
дается ссылка на клиентов и заинтересованные стороны. Заинтересованными сторонами являются
человек или группа людей, особо заинтересованных в эффективности или успехе деятельности или
деятельностей поставщика услуг. Вследствие этого термин «заинтересованные стороны» сходен
с термином «причастные стороны», используемым в ИСО/МЭК 27001.
12