ГОСТ Р ИСО/МЭК 27013—2014
информационной безопасности. К нему относится менеджмент риска, связанный с поставщиком, ко
торый может непосредственно воздействовать на информационную безопасность клиентской органи
зации. Подраздел 8.1 ИСО/МЭК 20000-1:2011 также касается инцидентов и процесса запроса услуг
для менеджмента инцидентов информационной безопасности, а также оценки всех изменений с це
лью проверки влияния на меры и средства контроля и управления информационной безопасности.
При проектировании интегрированной системы менеджмента существуют два основных факто
ра. влияющих на отношения бизнеса и процессы управления поставщиками в отношении осуществ
ления менеджмента рисков третьей стороны. Эти два фактора изложены ниже:
a) договорные обязательства по обеспечению информационной безопасности должны служить
исходными данными для процесса оценки риска. Этот процесс должен способствовать выполнению
требований ИСО/МЭК 20000-1 к поставщику услуг в отношении реагирования на потребности бизне са:
b
) информационная безопасность должна быть учтена в процессе деловых отношений с други
ми сторонами, включая клиентов, исполняющих обязанности поставщиков. Ее следует учитывать при
проектировании новых или изменении существующих услуг и при обсуждении SLA-
Другие охваченные подразделом 7.1 ИСО/МЭК 20000-1:2011 концепции, такие как проверки ка
чества деятельности, изменения услуг, менеджмент удовлетворения потребностей клиента и рас
смотрение претензий, могут быть применены к интегрированной системе менеджмента для усиления ее
в целом.
Таким образом, интегрированная система менеджмента должна следовать подходу к управле
нию взаимоотношениями с поставщиками, согласно ИСО/МЭК 27001, а также соблюдать требования
пункта 6.6.2 «Меры и средства контроля и управления информационной безопасности»
ИСО/МЭК 20000-1:2011 в отношении риска поставщика. В тех случаях, когда активы организации на
ходятся в рамках области действия СМИБ. но некоторые или все эти активы контролируются
другой стороной, организация должна согласовывать это адекватными договорами, SLA или другими
доку ментированными соглашениями. Этот подход должен обеспечить уверенность в том. что другая
сто рона применяет соответствующие меры и средства контроля и управления.
6.3.6 Менеджмент непрерывности и доступности
В подразделе 6.3 «Менеджмент непрерывности и доступности услуг» ИСО/МЭК 20000-1:2011
подробно рассматривается только одна из проблем по обеспечению информационной безопасности.
Деятельности по обеспечению непрерывности и доступности в рамках существующей системы
ме неджмента следует проанализировать, чтобы понять, могут ли они быть соответствующим
образом расширены для охвата менеджмента целостности и конфиденциальности и. следовательно,
осуще ствления менеджмента информационной безопасности любой услуги. Подробности можно
почерп нуть из ИСО/МЭК 20000-1, а общие принципы - из А.14 ИСО/МЭК 27001:2005.
6.3.7 Менеджмент отношений с поставщиками
ИСО/МЭК 27001:2005 рассматривает менеджмент отношений с поставщиками в различных
пунктах, например, в А.6.2.1, А.6.2.3, А.10.2. А.8 для кадровых ресурсов, включая подрядчиков. Под
раздел 4.2 ИСО/МЭК 20000-1:2011 содержит требования к управлению процессами, выполняемыми
другими сторонами, а подраздел 7.2 содержит требования для менеджмента отношений с поставщи
ками. Менеджмент отношений с поставщиками, отвечающий требованиям обоих стандартов, может
быть очень эффективным.
В 6.3.5 настоящего стандарта содержится дополнительная информация по менеджменту рис
ков. связанных с поставщиками. Например, оценка риска в ИСО/МЭК 20000-1 может быть расширена
с использованием концепции ИСО/МЭК 27001 для рассмотрения того, не будет ли безопасность ор
ганизации скомпрометирована при добавлении или отказе от услуги поставщика или при конкретном
изменении услуги, предоставляемой поставщиком.
Это следует рассматривать даже в том случае, если организация решает реализовать только
один из стандартов.
6.3.8 Управление конфигурацией
Реестр активов в ИСО/МЭК 27001 представляет собой репозиторий всего, что имеет ценность
(денежную или иную) для организации и находится в области действия СМИБ. например, информа
ция, базы данных или процессы.
Понятие базы данных управления конфигурацией (configuration management database - CMBD)
стандарта ИСО/МЭК 20000-1 очень сходно с реестром активов стандарта ИСО/МЭК 27001, однако
14