1 Область применения

Настоящий стандарт устанавливает рекомендации по управлению информационной безопасностью лицам, ответственным за планирование, реализацию или поддержку решений безопасности в организации. Он предназначен для обеспечения общих основ для разработки стандартов безопасности и выбора практических мероприятий по управлению безопасностью в организации, а также в интересах обеспечения доверия в деловых отношениях между организациями. Рекомендации настоящего стандарта следует выбирать и использовать в соответствии с действующим законодательством.

Согласно замыслу, основной задачей стандарта является разработка инструмента для создания эффективных систем информационной безопасности государственных и коммерческих организаций на основе современных методов менеджмента. В этом нормативном документе содержится исчерпывающий набор подходов к управлению безопасностью, которые включают в себя самые совершенные процедуры обеспечения информационной безопасности, используемые в разных странах.

Первая часть стандарта

ISO/IEC 17799 содержит свод правил по управлению информационной безопасностью и используется в качестве критерия для оценки механизмов безопасности организационного уровня, включая административные, процедурные и физические меры защиты. Этот стандарт не является техническим, поскольку не предписывает использование каких-то определенных способов шифрования данных или устройств защиты от сбоев питания. ISO/IEC 17799 определяет общую организацию, классификацию данных, системы доступа, направления планирования, ответственность сотрудников, использование оценки риска и т. д. в контексте информационной безопасности. Данный стандарт представлен в форме руководящих принципов и практических рекомендаций.

В его тексте подчеркивается: «Особое внимание следует уделять тому, чтобы заявления о соответствии данному стандарту не вводили в заблуждение относительно уровня защиты информационной системы». Акцентируется также мысль о том, что управление информационной безопасностью — это не набор мер или продуктов по защите информации, а процесс.

Стандарт по своей идее является добровольным, то есть государства, где он адаптирован, не требуют его обязательного выполнения субъектами внутри страны.

Несмотря на это, в большинстве случаев выполнение требований ISO/IEC 17799 выгодно самим компаниям, так как достаточно часто инвесторам и клиентам компании отнюдь небезразлично то, каким образом предприятие обеспечивает информационную безопасность.

В таких случаях соответствие стандарту можно рассматривать как одно из условий договора, контракта или участия в конкурсе или тендере на поставку продуктов или проведения работ.

Такая практика уже существует на рынке, она касается не только соответствующих лицензий, но и сертификатов на саму компанию, ее продукцию, а также документов, полученных ее специалистами. В данном случае на первое место ставятся условия производства продукции или оказания услуг, в частности, их соответствие стандартам серии ISO 9000 (управление качеством продукции и услуг), ISO 27001 (управление информационной безопасностью), ISO 14000 (управление экологической безопасностью), ISO 22000 (управление пищевой безопасностью) и другим (OHSAS 18001, TL 9000, TS 16949).

В функции системы управления информационной безопасностью входит развертывание, осуществление, управление, контроль, мониторинг, поддержка и совершенствование информационной безопасности бизнеса. Важно иметь в виду, что система управления информационной безопасностью может и должна рассматриваться как часть общей интегрированной системы управления, основанной на анализе бизнес-рисков. В связи с этим полезно помнить общие принципы, характерные для всех систем управления (в том числе безопасности):

• управляемость;

• конкурентоспособность;

• развитие;

• прозрачность.

Вторая часть стандарта

ISO/IEC 27001 рассматривает аспекты информационной безопасности (ИБ) с точки зрения сертификации или аудита системы на соответствие требованиям этого стандарта. В этом документе указаны условия создания системы управления для проведения ее аудита или сертификации, а также перечислены требования, применительно к которым проводится проверка соответствия.

Процесс сертификации на соответствие требованиям стандарта предполагает несколько этапов:

• предварительная оценка системы управления ИБ и диагностика;

• сертификационный аудит;

• поддержка действия сертификата.

Организация, решившая провести аудит ИБ, должна привести в соответствие с требованиями стандарта документацию и систему управления ИБ. После того приглашается аккредитованный аудитор.

Многие организации, желающие пройти сертификацию на соответствие требованиям ISO 27001, уже внедрили у себя системы управления качеством, сертифицированные по стандартам ISO 9001 или 9002. В таких компаниях аудит системы ИБ можно совместить с сертификацией на соответствие этим стандартам и на первоначальном этапе, и при контрольных проверках. Если организация уже имеет сертификаты CMMI, ITIL (ISO/IEC 20000) или ISO 9000, то создание информационной безопасности, отвечающей требованиям ISO 27001, и ее последующий периодический аудит (или сертификация) окажутся задачами, которые решаются достаточно быстро и требуют относительно небольшого объема ресурсов.

Несмотря на то, что стандарт ISO/IEC 27001 не предписывает прохождение сертификации (достаточно проведения регулярных внутренних аудитов), большинство организаций все же выбирают сертификацию в качестве способа независимой оценки правильности реализованных мер и их актуальности.

Стоит отметить, что сегодня стандарт используется в трех десятках стран мира: Великобритании, Франции, Германии, Италии, Нидерландах, Канаде, Австралии, Новой Зеландии, скандинавских странах, Корее, Сингапуре, Индии и т. д. Наибольшую популярность этот стандарт приобрел в Японии — на ее долю приходится больше половины (1338 из 2312) всех выданных сертификатов (для сравнения: в Великобритании выдано 230 сертификатов, в Индии — 163). Среди стран бывшего СССР стандарт принят на территории Молдовы и Белоруссии.

9. ГОСТ Р ИСO/МЭК 27001-2006 «Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности» : назначение, область применение, концепция стандарта и методология практического применения.

Применение

     Требования, устанавливаемые настоящим стандартом, предназначены для применения во всех организациях независимо от типа, масштабов и сферы их деятельности. Исключение любого из требований, указанных в разделах 4, 5, 6, 7 и 8, не допускается, если организация заявляет о соответствии ее СМИБ настоящему стандарту.

     Любой отказ от применения той или иной меры управления, обусловленный необходимостью удовлетворения критериев принятия рисков, должен быть обоснован. Необходимо также наличие адекватных доказательств того, что подобные риски были уже приняты ответственными лицами. При исключении каких-либо мер управления заявления о соответствии организации настоящему стандарту неправомочны, кроме случаев, когда эти исключения не влияют на способность и/или обязанность организации обеспечивать информационную безопасность, которая соответствует требованиям безопасности, установленным соответствующими законодательными актами или определенными на основе оценок рисков.

Разработка системы менеджмента информационной безопасности

     Организация должна осуществить следующее:

     a) определить область и границы действия СМИБ с учетом характеристик бизнеса, организации, ее размещения, активов и технологий, в том числе детали и обоснование любых исключений из области ее действия;      b) определить политику СМИБ на основе характеристик бизнеса, организации, ее размещения, активов и технологий, которая:

     1) содержит концепцию, включающую в себя цели, основные направления и принципы действий в сфере ИБ;      2) принимает во внимание требования бизнеса, нормативно-правовые требования, а также договорные обязательства по обеспечению безопасности;

     3) согласуется со стратегическим содержанием менеджмента рисков организации, в рамках которого будет разрабатываться и поддерживаться СМИБ;

     4) устанавливает критерии оценки рисков;

     5) утверждается руководством организации.    

     Примечание - Для целей настоящего стандарта политика СМИБ имеет приоритет перед политикой ИБ. Эти политики могут быть изложены в одном документе;

     c) определить подход к оценке риска в организации, для чего необходимо:      1) определить методологию оценки риска, подходящую для СМИБ, которая должна соответствовать требованиям обеспечения деятельности организации и нормативно-правовым требованиям информационной безопасности;      2) разработать критерии принятия риска и определить приемлемые уровни риск.      Выбранная методология оценки риска должна обеспечивать сравнимые и воспроизводимые результаты.      Примечание - Имеются различные методологии оценки риска. Примеры таких методологий даны в ИСО/МЭК ТО 13335-3:1998 "Руководство по управлению безопасностью информационных технологий. Часть 3. Методы управления безопасностью информационных технологий";

     d) идентифицировать риски, для чего необходимо:

1. идентифицировать активы в пределах области функционирования СМИБ и определить владельцев* этих активов;