38
применимы к ИСО/МЭК 27002.
B.4.8 Поддержка инструментальными средствами
Поддержка инструментальными средствами не кажется целесообразной. Решения по управлению, которые должны приниматься с учетом формы управления безопасностью ИТ на предприятии, не зависят от системы показателей.
B.4.9 Сфера действия криптографии
Криптография рассматривается на уровне мер (единиц измерения). Требования не обозначены, а вместо них дается ссылка на ИСО/МЭК 11770-1, особенно в отношении управления ключами.
B.4.10 Оценка и сертификация
Сертификация не предусматривается и не считается необходимой.
B.4.11 Убедительность и признание
Признан в качестве международного метастандарта.
B.5 ИСО/МЭК 27001 и ИСО/МЭК 27002
B.5.1 Цель обеспечения безопасности
Назначением ИСО/МЭК 27001 и ИСО/МЭК 27002 является представление требований к подходу «передовой опыт» в управлении информационной безопасностью. В ИСО/МЭК 27002 даются рекомендации по методам обеспечения информационной безопасности, тогда как в ИСО/МЭК 27001 определены требования к системам менеджмента информационной безопасности.
Основные рассматриваемые темы включают в себя планирование, внедрение (реализацию), эксплуатацию и улучшение системы менеджмента информационной безопасности. Связанные с основными темы касаются идентификации и оценки риска, а также выбора соответствующих целей средств управления.
B.5.2 Целевая аудитория
ИСО/МЭК 27001 и ИСО/МЭК 27002 предназначены для предприятий и учреждений всех размеров, но не для частных пользователей. Кроме того, стандарты могут применяться сервисными фирмами в областях аудита и сертификации.
Целевой аудиторией стандартов являются:
- руководители, ответственные за обеспечение адекватной защиты информации, соответствующей их обязанностям;
- лица, ответственные за выбор и внедрение мер безопасности ИТ, такие, например, как работники службы безопасности ИТ, лица, ответственные за ИТ;
- персонал с обязанностями по мониторингу, например, внутренние и внешние аудиторы;
- внешние заинтересованные стороны, такие, например, как заказчики и поставщики, полагающиеся на меры безопасности ИТ;
- органы по сертификации систем менеджмента информационной безопасности.
Применимость стандартов в целом не зависит от организационной структуры. Ориентированный на руководство подход не ограничивает применимость стандартов к определенным технологическим системам и типам систем.
B.5.3 Характеристики
Данный метод обеспечения доверия использует подход к доверию к процессу и охватывает следующие этапы:
- формирование системы менеджмента информационной безопасности;
- внедрение и эксплуатация системы менеджмента информационной безопасности;
- мониторинг и проверка системы менеджмента информационной безопасности;
- поддержание и улучшение системы менеджмента информационной безопасности.
Будучи связан с этими этапами, ИСО/МЭК 27001 содержит требования к документации, обязанностям руководства, внутренним аудитам системы менеджмента информационной безопасности, ее проверкам со стороны руководства и улучшению системы менеджмента информационной безопасности.
ИСО/МЭК 27001 содержит требования к выбору мер управления обработкой риска информационной безопасности, основанным на ИСО/МЭК 27002.
Данные стандарты можно применять различными путями. Во-первых, ИСО/МЭК 27002 можно использовать как ссылку для конкретного руководства в отношении спецификации и применения отдельных мер управления. Во-вторых, ИСО/МЭК 27001 может использоваться для внедрения современной системы менеджмента информационной безопасности. В-третьих, для внедрения системы менеджмента информационной безопасности, которая может сертифицироваться независимым органом по сертификации, может применяться комбинация требований ИСО/МЭК 27001 и ИСО/МЭК 27002.
B.5.4 Разносторонность
ИСО/МЭК 27001 и ИСО/МЭК 27002 предназначены для организаций любого размера, а также для отдельно идентифицируемых подразделений организаций. При наличии у организации нескольких систем менеджмента информационной безопасности, включающих в себя различные сферы применения (например, различных подразделений организации), отсутствует какой-либо автоматизированный способ, помогающий сделать вывод о безопасности информации вообще. Однако на основе документации, имеющейся по каждой системе менеджмента информационной безопасности, можно провести экспертную оценку и определить согласованность подходов к информационной безопасности с общими целями.
B.5.5 Своевременность