10
Организации следует провести анализ рисков информационной безопасности и задокументировать полученные результаты.
Особое значение имеют меры безопасности, осуществляемые для контроля над носителями информации, используемыми как в действующей системе, так и для резервного копирования. Анализ рисков должен учитывать факторы риска наличия уязвимостей, соответствующие типу используемого носителя информации (например, это может быть WORM-носитель однократной записи либо перезаписываемый носитель).
Если применяются различные типы носителей информации, следует проанализировать их влияние на результаты анализа риска.
По завершении анализа риска по его итогамдолжны приниматься меры в рамкахпроводимой оценки эффективности уже реализованных мер безопасности. Входе процесса анализа необходимо принимать во внимание такие факторы, как баланс между стоимостью реализации мер, достигнутым уровнем безопасности и оценкой риска.
На основе результатов анализа риска должна быть проведена оценка эффективности существующих мер безопасности.
Если результаты анализа указывают на то, что имеет смысл изменить процедуры обеспечения безопасности, то следует осуществить такие изменения.
- Концепция информационной безопасности (information security framework)
Для запуска и дальнейшего контроля над внедрением в организации системы информационной безопасности следует разработать концепцию менеджмента. Целями этой концепции должны быть:
- утверждение и пересмотр политики информационной безопасности;
- мониторинг угроз информационной безопасности;
- мониторинг и анализ нарушений безопасности;
- одобрение главных инициатив по повышению информационной безопасности.
- Планирование мер по обеспечению непрерывности деловой деятельности (business
continuity planning)
Время от времени у доверенных систем управления документами и информацией могут возникать проблемы, для устранения последствий которых потребуется выполнение нештатных процедур (emergencyprocedures). Такие процедуры могут предусматривать временное использование дополнительных ресурсов или ресурсов сторонних организаций. В целях обеспечения того, чтобы в ходе подобных операций не компрометировалась целостность информации, может быть реализован согласованный и утвержденный план обеспечения непрерывности деловой деятельности (иногда его называют «планом восстановления после катастроф»).
Процедуры, которые предполагается использовать в случаях серьезных отказов оборудования, экологических и кадровых проблем, следует разрабатывать, проверять и поддерживать. Процедуры должны обеспечивать, чтобы в ходе их выполнения не компрометировалась целостность хранимой информации.
- Консультации с заинтересованными сторонами (consultations)
Применение доверенных системы управления документами и информацией может иметь существенные последствия для других организаций и лиц, таких как:
- контролирующие органы;
- государственные органы;
- органы внешнего аудита;
- юридические консультанты (например, юристы организации).
До начала осуществления политики управления документами и информацией организации следует провести консультации с соответствующими организациями и лицами, заинтересованными в аутентичности, надежности и целостности хранимой информации.
В ходе консультаций могут быть затронуты:
- вопросы национального и международного права;
- вопросы регулирования конкретной отрасли;
- нормативные акты муниципальных властей;
- политика организации;
- процедуры в подразделениях;
- права отдельных лиц.
Организация должна провести консультации с соответствующими организациями до начала осуществления политики управления документами и информацией.
Эти консультации могут охватывать следующие темы:
государственные законодательно-нормативные требования;