ГОСТ Р ИСО/МЭК 27013—2014
же у них разные цели. ИСО/МЭК 20000-1 предназначен для обеспечения уверенности в том. что ор
ганизация предоставляет эффективные услуги, тогда как ИСО/МЭК 27001 предназначен для того,
чтобы дать возможность организации осуществлять менеджмент риска информационной безопасно
сти и предотвращать инциденты безопасности.
5 Подходы к совместному использованию
5.1 Общая информация
Организация, планирующая реализацию ИСО/МЭК 27001 и ИСО/МЭК 20000-1, может находить
ся в одном из трех состояний:
- существуют совместные соглашения по менеджменту, которые охватывают и менеджмент инфор
мационной безопасности и менеджмент услуг (формально системы менеджмента могут также суще
ствовать для других областей, например, менеджмент качества):
- существует система менеджмента, основанная на одном из стандартов:
- существуют отдельные системы менеджмента, основанные на обоих стандартах, но они не интегри
рованы.
Организация, планирующая реализацию интегрированной системы менеджмента, должна учи
тывать. по крайней мере, следующее:
a) другую, уже используемую систему(ы) менеджмента (например, систему менеджмента каче
ства);
b
) все услуги, процессы и их взаимозависимости в контексте интегрированной системы менедж
мента;
c) элементы каждого стандарта, которые могут быть объединены, и то, каким образом они могут
быть объединены;
d) элементы, которые должны остаться разъединенными;
e) влияние интегрированной системы менеджмента на клиентов, поставщиков и другие стороны:
f) влияние на используемую технологию;
д) влияние на услуги и менеджмент услуг или риски в отношении услуг и менеджмента услуг:
h) влияние на информационную безопасность и менеджмент информационной безопасности
или риски в отношении информационной безопасности и менеджмента информационной безопасно
сти:
i) образование и профессиональную подготовку кадров, связанные с интегрированной системой
менеджмента;
j) переходные этапы и последовательность действий по реализации.
5.2 Рассмотрение области применения
Одной из областей, где отмечается существенное различие двух стандартов, является объект
их области применения, а именно, активы, процессы и роли, которые должна включать система ме
неджмента организации.
ИСО/МЭК 20000-1 рассматривает требования к проектированию, развитию, предоставлению и
совершенствованию услуг, направленных на удовлетворение требований. Это осуществляется через
совокупность процессов. Поэтому область применения ИСО/МЭК 20000-1 охватывает процессы ме
неджмента в организации и предоставляемые услуги. Для ИСО/МЭК 27001 важно осуществление ме
неджмента риска информационной безопасности. Область применения ИСО/МЭК 27001 охватывает те
элементы ее деятельности, которые организация хочет защитить. В этом отношении области при
менениядвухстандартовописываютсяпо-разному.Врезультатеможнореализовать
ИСО/МЭК 27001 для той же области, что и ИСО/МЭК 20000-1, но ИСО/МЭК 20000-1 не может быть
применен ко всей организации, если только эта организация полностью не является поставщиком
услуг.
Таким образом, некоторые процессы, активы и роли в организации могут быть исключены из об
ласти действия СМИБ, разработанной в соответствии с ИСО/МЭК 27001. Что касается
ИСО/МЭК 20000-1, то они не могут быть исключены из области действия, если являются частью услу ги
или способствуют услуге в области действия СМУ. Область действия СМИБ также может быть оп
ределена исключительно четкими физическими границами, такими как периметр безопасности.
4