ГОСТ Р ИСО/МЭК 27013—2014
Обязательства высшего руководства необходимы, чтобы сделать СМУ эффективной. Это до
бавляет уверенности в том, что взаимоотношения с клиентом и другими заинтересованными сторо
таковые, обязательства руководства, сформулированные в
ориентированный на клиента подход, изложенный в
нами являются успешными. Как
ИСО/МЭК 27001,поддерживают
ИСО/МЭК 20000-1.
ИСО/МЭК 20000-1:2011 включает конкретные требования к обязательствам руководства и от
ветственности руководства, например, требования пунктов 4.1.1 и 4.1.4. В отличие от этого
ИСО/МЭК 27001:2005 является менее конкретным в определении ответственности и подотчетности
ролей в отношении СМИБ. например, требования подраздела 5.1 и пункта 5.2.2. Интегрированная
система менеджмента должна выиграть от специфики стандарта ИСО/МЭК 20000-1 и использования
его требований для обеспечения уверенности в том. что более широкая ответственность за обеспе
чение информационной безопасности воспринимается так же серьезно, как и ответственность, свя
занная с менеджментом услуг.
В ИСО/МЭК 20000-1 установлено, что при существовании менеджмента улучшений, организа
ции следует возложить ответственность по управлению процессом совершенствования на опреде
ленную роль. В сравнении с этим ИСО/МЭК 27001:2005 ссылается в пункте 4.2.4 и подразделе 8.1
на организацию выполнения этой задачи, хотя в подраздел 5.1 включены требования, в
соответствии с которыми организация устанавливает роли и ответственности по обеспечению
информационной безопасности. Требование ИСО/МЭК 20000-1 по четкому распределению
ответственности в отноше нии обеспечения менеджмента улучшений должно быть использовано для
обеспечения уверенности в том. что для менеджмента улучшений информационной безопасности
также установлена опреде ленная роль.
6.3.4 Менеджмент возможностей
Менеджмент возможностей в подразделе 6.5 ИСО/МЭК 20000-1:2011 включает более широкий
круг возможностей, чем ИСО/МЭК 27001. так что некоторые требования ИСО/МЭК 20000-1 могут ис
пользоваться для поддержки реализации ИСО/МЭК 27001. Например, описанный в ИСО/МЭК 20000-1
менеджмент возможностей использует технические возможности и возможности персонала. Кроме
того, подраздел 5.2 «Управление ресурсами» в ИСО/МЭК 27001:2005 можно считать связанным с
ме неджментом возможностей, так как возможность является выражением доступа к достаточному
коли честву ресурсов, чтобы принимать разумные меры в предсказуемых обстоятельствах.
В подразделе 3.2 ИСО/МЭК 27001:2005 доступность определяется для обозначения, как дося
гаемости.так и используемости.Процесс менеджментавозможностей в подразделе 6.5
ИСО/МЭК 20000-1:2011поддерживает аспект доступности. Например, если недостаточно возможно
стей, то услуга или компонент услуги могут быть недоступны, т. е., когда невозможно сохранить файл,
поскольку слишком мало памяти. Кроме того, услуга или компоненты услуги могут быть слишком
медленными, что непригодно для использования, например, время отклика, из-за недостаточной про
пускной способности сети.
Организация должна осознавать различия, когда требуются перекрестные ссылки между двумя
стандартами. Организация должна учитывать необходимость перекрестных ссылок между подразде
лом 4.3иподразделом 6.5ИСО/МЭК 20000-1:2011исоответствующимиразделами
ИСО/МЭК 27001:2005. см. приложение А настоящего стандарта. Например, требование по включению
возможных влияний законодательных, нормативных, договорных или организационных изменений в
план возможностей, изложенное в подразделе 6.5 ИСО/МЭК 20000-1:2011. следует сопровождать пе
рекрестной ссылкой с подразделом А.10.1 ИСО/МЭК 27001:2005.
6.3.5 Менеджмент риска третьей стороны
Согласно ИСО/МЭК 27001 третья сторона, такая как клиент, поставщик или независимая внут
ренняя группа, находится вне области действия СМИБ и рассматривается как потенциальный источ
ник риска. В приложении В настоящего стандарта содержится сравнение этих терминов, а в пунк тах
А.6.2.1 и А.6.2.3 ИСО/МЭК 27001 описываются меры и средства контроля и управления, которые могли
бы быть использованы для менеджмента безопасности в отношении этих третьих сторон.
В отличие от ИСО/МЭК 20000-1. другие стороны являются сущностями, не находящимися под
непосредственным контролем поставщика услуг, но способствующими предоставлению услуги в об
ласти действия СМУ. Другими сторонами являются поставщики, внутренние группы или клиенты (ис
полняющие обязанности поставщиков). Другие стороны могут вносить свой вклад в основную часть
услуги,см.подраздел 4.2«Менеджментуслуг,осуществляемыхдругимисторонами»
ИСО/МЭК 20000*1:2011. В подразделе 6.6 ИСО/МЭК 20000-1 изложены требования менеджмента
13