ГОСТ Р ИСО/МЭК 27013—2014
области применения и. как следствие, перспективы различны. Установление области применения об
суждается в пункте 4.5.1 ИСО/МЭК 20000-1:2011.
Требования подраздела 9.1 ИСО/МЭК 20000-1:2011 могут быть испопьзованы при создании и
управлении СМИБ. С точки зрения ИСО/МЭК 27001, организация должна осуществлять менеджмент
безопасности CMBD. так как ее следует рассматривать в качестве информационного актива.
Подраздел 9.1 ИСО/МЭК 20000-1 также требует безопасности для CMBD. чтобы защитить точ
ность содержащихся в ней данных. Сюда входит требование поддержки целостности услуг и компо
нентов услуг. Однако ИСО/МЭК 20000-1 не проводит различия между разными уровнями целостно сти.
Здесь может быть полезен стандарт ИСО/МЭК 27001, требующий, чтобы оценивались риски для
систем, услуг и компонентов услуг и определялись допустимые уровни риска. Основной вопрос за
ключается в том. могут ли изменения менять уровень риска и, если да. то какие изменения повысят
риск до недопустимого уровня.
Требования ИСО/МЭК 20000-1 в отношении базовых уровней конфигурации и эталонных копий
конфигурации, фактически являются мерами и средствами контроля и управления с точки зрения
ИСО/МЭК 27001. Эти требования следует учитывать при интегрированном подходе к менеджменту
риска. Некоторые из них будут влиять на решения о том. реализовывать или нет некоторые меры и
средства контроля и управления.
6.3.9 Менеджмент выпуска изменений и их использования
Соответствие требованиям ИСО/МЭК 20000-1:2011 к менеджменту выпуска изменений и их ис
пользованию не обеспечивает уверенности в соответствии требованиям ИСО/МЭК 27001 к выпуску
изменений. Если не следовать требованиям ИСО/МЭК 27001, на этом этапе могут быть случайно
внесены проблемы с обеспечением безопасности. Например:
a) в работе действующей системы (систем) могут быть произведены изменения, вносящие не
достатки в обеспечение информационной безопасности, если менеджмент выпуска изменений и их
использования не учитывает возможности вредоносных действий;
b
) управление тестовой и производственной средой часто может осуществляться различными
группами, вследствие этого процесс выпуска изменений должен обеспечивать уверенность в том. что
данные от группы тестирования получает соответствующая производственная роль, чтобы избежать
рисков нарушения конфиденциальности данных.
Это особенно важно во время выпуска экстренных изменений. В таких ситуациях из-за времен
ных ограничений и (или) ограничений ресурсов часто используется иной и. возможно, упрощенный
процесс выпуска и использования изменений. Соответственно, возрастают риски компрометации ин
формационной безопасности. Всегда необходимо осуществлять надлежащий менеджмент рисков
информационной безопасности, следуя утвержденным процессам обеспечения информационной
безопасности, независимо от используемого процесса выпуска и использования изменений.
Менеджмент выпуска и использования изменений может быть усовершенствован в результате
выбора мер и средств контроля и управления из пункта А.10.1.4 «Разделение средств разработки,
тестирования и функционирования» и пункта А. 10.3.2 «Приемка систем» ИСО/МЭК 27001:2005.
6.3.10 Составление бюджета и учет
Требования по составлению бюджета и учету в подразделе 6.4 ИСО/МЭК 20000-1:2011 не могут
быть непосредственно сопоставлены с каким-либо требованием ИСО/МЭК 27001. В ИСО/МЭК 27001
требование «предоставления ресурсов» и выходные данные от проводимой руководством проверки
(которые требуют принятия решения о «потребностях в ресурсах»), могут быть полезны в процессе
рассмотрения финансовых ресурсов и определенного бюджета.
15