Файл: 4. Правовое регулирование Информационного общества в России 8.docx

31. Семейство ГОСТ 270ХХ «Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности».

1. 
   Стандарты, содержащие общий обзор и терминологию
   

ГОСТ Р ИСО/МЭК 27000 «ИТ. МиСОБ. СМИБ. Общий обзор и терминология». Описывает основы СМИБ, которая составляет предмет семейства стандартов СМИБ, и определяет относящиеся к ней термины.

2. 
   Стандарты, задающие требования
   

ГОСТ Р ИСО/МЭК 27001-2006 «ИТ. МиСОБ. СМИБ. Требования» Содержит нормативные требования для развертывания и функционирования СМИБ, включая набор средств управления для уменьшения рисков, относящихся к информационным активам, которые организация стремится защитить.

ГОСТ Р ИСО/МЭК 27006-2008 «ИТ. МиСОБ. Требования к органам, осуществляющим аудит и сертификацию СМИБ». Задает требования и является руководством для органов, проводящих аудит и сертификацию СМИБ.

3. 
   Стандарты, содержащие общие рекомендации
   

ГОСТ Р ИСО/МЭК 27002-2012 «ИТ. МиСОБ. Свод норм и правил менеджмента информационной безопасности». Стандарт содержит перечень общепринятых целей управления и лучшие методы реализации средств управления для использования в качестве руководства при выборе и внедрении средств управления для достижения ИБ.

ГОСТ Р ИСО/МЭК 27003-2012 «ИТ. МиСОБ. СМИБ. Руководство по реализации СМИБ». Стандарт содержит практическое руководство по внедрению и включает в себя расширенную информацию по созданию, эксплуатации, контролю, анализу, поддержке и улучшению СМИБ в соответствии со стандартом ISO/IEC 27001.

ГОСТ Р ИСО/МЭК 27004-2011 «ИТ. МиСОБ. МИБ. Измерения». Руководство и рекомендации по совершенствованию и использованию измерений для оценки эффективности СМИБ в соответствии со стандартом ISO/IEC 27001.

---

ГОСТ Р ИСО/МЭК 27005-2010 «ИТ. МиСОБ. Менеджмент риска ИБ». Стандарт включает в себя рекомендации для менеджмента рисков ИБ.

ГОСТ Р ИСО/МЭК 27007-2014 «ИТ. МиСОБ. Руководства по аудиту СМИБ». Руководство по проведению аудита СМИБ, а также руководство по оценке компетентности аудиторов СМИБ.

4. 
   Стандарты, описывающие рекомендации для специальной области
   

ГОСТ Р ИСО/МЭК 27011-2012 «ИТ. МиСОБ. Руководства по менеджменту ИБ для телекоммуникационных организаций на основе ИСО/МЭК 27002». Стандарт содержит руководящие указания по реализации управления защитой информации в телекоммуникационных организациях.

ISO 27799 «Информатика в здравоохранении. МИБ по стандарту ISO/IEC 27002». Стандарт содержит руководящие указания по реализации управления защитой информации в организациях здравоохранения.

ГОСТ Р ИСО/МЭК 27033-2011 «ИТ. МиСОБ. Безопасность сетей». Стандарт определяет и описывает концепции, связанные с сетевой безопасностью, и предоставляет рекомендации по менеджменту ИБ.

32. Системы менеджмента информационной безопасности. Общий обзор и терминология (ГОСТ ИСО/МЭК 27000).

Семейство Международных Стандартов на Системы Управления Информационной Безопасностью 27000 разрабатывается ISO/IEC JTC 1/SC 27. Это семейство включает в себя Международные стандарты, определяющие требования к системам управления информационной безопасностью, управление рисками, метрики и измерения, а также руководство по внедрению.

Настоящий стандарт содержит:

• 
  обзор семейства стандартов СМИБ;
  
• 
  введение в систему менеджмента ИБ (СМИБ);
  
• 
  краткое описание процесса "План (Plan) - Осуществление (Do) - Проверка (Check) - Действие (Act)" (PDCA);
  
• 
  термины и определения для использования в семействе стандартов СМИБ.
  

Настоящий стандарт применим ко всем типам организаций.

Семейство стандартов СМИБ содержит стандарты, которые:

• 
  определяют требования к СМИБ и к сертификации таких систем;
  
• 
  содержат прямую поддержку, детальное руководство и интерпретацию полных процессов "План - Осуществление - Проверка - Действие" и требования;
  
• 
  включают в себя специальные руководящие принципы для СМИБ;
  
• 
  руководят проведением оценки соответствия СМИБ.
  

---

Термины, относящиеся к ИБ

1. 
   подотчетность (accountability): Ответственность субъекта за его действия и решения.
   
2. 
   аутентификация (authentication): Обеспечение гарантии того, что заявленные характеристики объекта правильны.
   
3. 
   подлинность (authenticity): Свойство, гарантирующее, что субъект или ресурс идентичен заявленному.
   
4. 
   доступность (availability): Свойство быть доступным и готовым к использованию по запросу авторизованного субъекта.
   
5. 
   конфиденциальность (confidentiality): Свойство информации быть недоступной или закрытой для неавторизованных лиц, сущностей или процессов.
   
6. 
   информационная безопасность (information security): сохранение конфиденциальности, целостности и доступности информации.
   
7. 
   целостность (integrity): Свойство сохранения правильности и полноты активов.
   
8. 
   неотказуемость (non-repudiation): Способность удостоверять имевшее место событие или действие и их субъекты так, чтобы это событие или действие и субъекты, имеющие к нему отношение, не могли быть поставлены под сомнение.
   
9. 
   достоверность (reliability): Свойство соответствия предусмотренному поведению и результатам.
   

---

33. Системы менеджмента информационной безопасности (ГОСТ Р ИСО/МЭК 27001).

Стандарт подготовлен в качестве модели для разработки, внедрения, функционирования, мониторинга, анализа, поддержки и улучшения системы менеджмента информационной безопасности (СМИБ). Целью построения СМИБ является выбор соответствующих мер управления безопасностью, предназначенных для защиты информационных активов и гарантирующих доверие сторон.

В стандарте представлена модель "Планирование - Осуществление - Проверка - Действие", которая может быть применена при структурировании процессов СМИБ.

Требования, устанавливаемые настоящим стандартом, предназначены для применения во всех организациях. Исключение любого из требований, не допускается, если организация заявляет о соответствии ее СМИБ настоящему стандарту.

Планирование (разработка СМИБ)	Разработка политики, установление целей, процессов и процедур СМИБ, относящихся к менеджменту риска и улучшению ИБ, для достижения результатов, соответствующих общей политике и целям организации
Осуществление (внедрение и обеспечение функционирования СМИБ)	Внедрение и применение политики информационной безопасности, мер управления, процессов и процедур СМИБ
Проверка (проведение мониторинга и анализа СМИБ)	Оценка, в том числе, по возможности, количественная, результативности процессов относительно требований политики, целей безопасности и практического опыта функционирования СМИБ и информирование высшего руководства о результатах для последующего анализа
Действие (поддержка и улучшение СМИБ)	Проведение корректирующих и превентивных действий, основанных на результатах внутреннего аудита или другой соответствующей информации, и анализа со стороны руководства в целях достижения непрерывного улучшения СМИБ

---

Система менеджмента информационной безопасности – часть общей системы менеджмента, основанная на использовании методов оценки бизнес-рисков для разработки, внедрения, функционирования, мониторинга, анализа, поддержки и улучшения информационной безопасности.

В стандарте приводятся требования к документации, которая в частности должна включать положения политики СМИБ, отчет об оценке рисков, план обработки рисков, документирование связанных процедур. Также должен быть определен процесс управления документами СМИБ.

Для предоставления свидетельств соответствия требованиям и результативности функционирования СМИБ необходимо вести учетные записи. В качестве примеров называются журналы регистрации посетителей, отчеты о результатах аудита и т.п.

34. Свод норм и правил менеджмента информационной безопасности (ГОСТ ИСО/МЭК 27002).

Стандарт предлагает рекомендации и основные принципы введения, реализации, поддержки и улучшения менеджмента ИБ в организации.

Стандарт содержит перечень общепринятых целей управления и лучшие методы реализации средств управления для использования в качестве руководства при выборе и внедрении средств управления для достижения информационной безопасности.

Стандарт состоит из 11 разделов, которые посвящены мерам и средствам контроля и управления безопасностью: политика безопасности; организационные аспекты ИБ; менеджмент активов; безопасность, связанная с персоналом; физическая защита и защита от воздействия окружающей среды; менеджмент коммуникаций и работ; управление доступом; приобретение, разработка и эксплуатация информационных систем; менеджмент инцидентов ИБ; менеджмент непрерывности бизнеса; соответствие.

В каждом разделе содержится несколько основных категорий безопасности. Каждая основная категория безопасности включает в себя цель управления и одну или более мер и средств контроля и управления для достижения этой цели.

Согласно стандарту, мера и средство контроля и управления – это средство менеджмента риска, которое включает в себя политики

---