ГОСТ Р ИСО/МЭК 27013—2014
ИСО/МЭК 27001:2005" Информационная технология. Методы и средства обеспечения безопас
ности. Системы менеджмента информационной безопасности. Требования (ISO/IEC 27001:2005, In
formation technology - Security techniques - Information security management systems - Requirements)
3 Термины, определения и сокращения
В настоящем стандарте применены термины по ИСО/МЭК 27000:2009 и ИСО/МЭК 20000-1:2011.
В настоящем стандарте применены следующие сокращения:
СМИБсистема менеджмента информационной безопасности (information security management sys
tem - ISMS) (из ИСО/МЭК 27001);
СМУсистема менеджмента услуг (service management system - SMS) (из ИСО/МЭК 20000-1).
В приложении А настоящего стандарта приведено сравнение содержания ИСО/МЭК 27001:2005
и ИСО/МЭК 20000-1:2011 на уровне структурных элементов.
В приложении В настоящего стандарта приведено сравнение терминов:
- определенных в ИСО/МЭК 27000:2009, являющемся глоссарием для ИСО/МЭК 27001:2005;
- использованных в ИСО/МЭК 27001;
- определенных или использованных в ИСО/МЭК 20000-1:2011.
4 Обзор ИСО/МЭК 27001 и ИСО/МЭК 20000-1
4.1 Понимание стандартов
Прежде чем планировать интегрированную систему менеджмента, организации следует достичь
полногопониманияхарактерныхособенностей,сходствиразличийИСО/МЭК 27001и
ИСО/МЭК 20000-1. Это позволяет оптимизировать время и ресурсы, доступные для реализации. В
4.2 - 4.4 настоящего стандарта представлены основные концепции, лежащие в основе обоих стандар
тов. но их не следует использовать взамен детального рассмотрения указанных стандартов.
4.2 Концепции ИСО/МЭК 27001
ИСО/МЭК 27001 представляет модель для установления, реализации, эксплуатации, монито
ринга, проверки, поддержки и совершенствования СМИБ. используемой для защиты информацион
ных активов. Информационные активы охватывают информацию любого вида, хранимую в любой
форме и используемую для любых целей организации или в ее рамках.
Для достижения согласованности с ИСО/МЭК 27001 организация должна реализовать СМИБ на
основе процесса оценки риска, чтобы определить риски информационных активов. Как часть этой ра
боты. организация должна сделать выбор, реализовать, провести мониторинг и проверить разнооб
разные меры для осуществления менеджмента этих рисков. Эти меры известны как меры и средства
контроля и управления. Организации необходимо определять допустимые уровни риска, учитывая
требования бизнеса и налагаемые внешние требования. Примерами налагаемых внешних требова
ний являются законодательные и нормативные требования или договорные обязательства.
ИСО/МЭК 27001 предназначен для использования организацией любого вида и величины.
4.3 Концепции ИСО/МЭК 20000-1
ИСО/МЭК 20000-1 предназначен для применения организациями или частями организаций, ис
пользующих или предоставляющих услуги. Это добавляет значимости, как клиенту, так и поставщику
услуг. Тем не менее, все процессы, охватываемые стандартом, контролируются поставщиком услуг, и
только поставщик услуг может добиться соответствия ИСО/МЭК 20000-1. Стандарт в первую очередь
ИСО/МЭК27001:2005 заменен на ИСО/МЭК 27001:2013. Однако для однозначного соблюдения требова
ний настоящего стандарта, выраженного в датированной ссылке, рекомендуется использовать только указанное
в этой ссылке издание.
2