ГОСТР ИСО 27799—2015
1 Вцщровмн
ССфНййШШ
2.Пипп и н :
Rttymini
п«стпуттткя CW&
Д— ПЦМ M U M M fl
ОСЬгуяжШ—
im
<воади#!мж
г.премрог
КСНфШЪ
H W IHHl CWbпроирмвсыю
М-0-7)
*»М »
УГфЯВ
Л
ЯОМЯ
защит*
инфОгМции
Рисунок 2 — Обзор системы менеджмента информационной безопасности
6.4 Планирование. Создание СМИБ
6.4.1 Выбор и определенно области применения соответствия
6.4.1.1 Общие сведения
Теоретически. ИСО/МЭК 27002 может быть применен к целой организации. Однако опыт внедре
ния в Великобритании и других странах показал, что очень большим компаниям сложно с первого раза
добиться того, чтобы завершить необходимую работу и предоставить необходимый уровень соответ
ствия.
Было выявлено, что области применения соответствия, которые охватывают не более 2 или 3
участков, или около 50 сотрудников, или около десяти процессов, работают очень хорошо. По этой при
чине. все организации по оказанию первичной медицинской помощи, клиники, группы для предостав
ления медицинских услуг на дому, специалисты и отделения в больницах и т. д. сами устанавливают
действующие области применения. Таким образом, для достижения полного распространения и макси
мальной выгоды обычно следуют пошаговому и итеративному процессу. Перспективы достижения та
ких результатов не должны быть подорваны выбором чрезмерно обширной области применения соот
ветствия. Однако там. где привлечены сторонние поставщики IT-услуг, в качестве области применения
для соответствия широко и с большим успехом применяется «Управление предоставлением IT-услуг».
В медицинских организациях, как и везде, в последние годы защита информации перестала быть
технической или «конторской» функцией, и стала важной обязанностью корпораций.
В здравоохранении обширная взаимозависимость функций усложняет определение области при
менения. По этой причине очень важно правильно ее определить.
6.4.1.2 Критерии определения области применения соответствия
Чтобы надлежащим образом уравновесить «продуктивность» соответствия с корпоративной выго
дой. многие организации государственного сектора, в том числе медицинские организации, определили
начальную область применения «Безопасного предоставления IT-услуг». Хотя эта область примене
ния больше связана с инфраструктурой, чем производственной деятельностью, она дает реальную
корпоративную выгоду, поскольку выполняет задачи первостепенной важности, в том числе защиту
инфраструктуры в целом, поощряя внедрение любых необходимых обновлений для процессов корпо
ративной безопасности и улучшения управления идентификационной информацией, осведомленности о
защите информации и управления непрерывностью бизнеса. Как правило, во многих из этих областей
корпоративная выгода выходит за рамки выбранной области применения.
9