Skip to content

Гост 27005 2011

Скачать гост 27005 2011 PDF

Информационная технология. Менеджмент риска информационной безопасности. Information technology. Security techniques. Information security risk management. Цели и принципы стандартизации в Российской Федерации установлены Федеральным законом от 27 декабря г. Основные положения" Сведения о стандарте. N ст. Методы и средства обеспечения безопасности. Наименование настоящего госта изменено относительно наименования указанного международного стандарта для приведения в соответствие с ГОСТ Р 1.

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты Российской Федерации, сведения о которых приведены в дополнительном приложении ДА.

В случае пересмотра замены или отмены настоящего госта соответствующее уведомление будет опубликовано в ежемесячно издаваемом информационном госте "Национальные стандарты".

Соответствующая информация, уведомления и госты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет. Однако настоящий гост 27005 предоставляет какой-либо конкретной методологии по менеджменту риска информационной безопасности.

Выбор подхода к менеджменту риска осуществляется организацией и зависит, например, от области применения СМИБ, контекста менеджмента риска или сферы деятельности. Ряд существующих методологий может использоваться в рамках структуры, описанной гост 6058 73 настоящем стандарте для реализации требований СМИБ.

Настоящий стандарт предназначен для руководителей и персонала, занимающегося в организации вопросами менеджмента риска информационной безопасности, а также, при необходимости, для внешних сторон, имеющих отношение к этому виду деятельности. 2011 стандарт представляет руководство по менеджменту риска информационной безопасности. Настоящий стандарт применим для организаций всех типов например, коммерческих предприятий, государственных учреждений, некоммерческих организацийпланирующих осуществлять менеджмент рисков, которые могут скомпрометировать информационную безопасность организации.

Системы менеджмента информационной безопасности. Если ссылочный стандарт заменен изменен 2011, то при пользовании настоящим стандартом следует руководствоваться заменяющим измененным стандартом. Если ссылочный стандарт отменен без замены, то положение, в котором дана ссылка на него, 2011 в части, не затрагивающей эту ссылку.

Примечание - Он измеряется исходя из комбинации вероятности события и его последствия. Примечание - В контексте данного национального стандарта применительно к идентификации риска вместо термина "процесс" process используется термин "деятельность" activity.

Примечание - В госте данного национального стандарта применительно к количественной оценке риска вместо термина "возможность, вероятность" probability используется термин "вероятность" likelihood.

Примечание - В контексте рисков ИБ применительно к сохранению риска рассматриваются только негативные последствия потери. Примечание - В контексте рисков ИБ применительно к переносу риска рассматриваются только негативные последствия потери. Настоящий стандарт содержит описание процесса менеджмента риска ИБ и связанных с ним видов деятельности.

Предпосылки создания стандарта описаны в разделе 5. Обзор процесса менеджмента риска ИБ дается в разделе 6. Все виды деятельности, связанные с менеджментом риска ИБ, представленные в разделе 6, описываются далее в следующих разделах: - Установление контекста - в разделе 7.

Дополнительная 27005 о видах деятельности, связанных с менеджментом риска ИБ, приведена в приложениях. Установлению контекста способствуют сведения из приложения Справка об отсутствии дочерних компаний филиалов представительств определение области применения и границ процесса менеджмента риска ИБ.

Определение и установление ценности активов и оценка влияния обсуждаются в приложении В госты, касающиеся активовв приложении С приведены примеры типичных угроз и в приложении D - примеры типичных уязвимостей. Примеры подходов к оценке рисков ИБ представлены в приложении Е. Ограничения, касающиеся снижения риска, представлены в приложении F. Все 27005 деятельности, связанные с менеджментом риска, представленные в разделахструктурированы следующим образом: Входные данные.

Определяется информация, необходимая для выполнения деятельности. Описывается деятельность. Руководство по реализации. Представляется руководство по выполнению действия. Некоторые рекомендации данных руководств могут не подходить ко всем случаям, поэтому могут быть более уместными иные варианты действий. Выходные данные. Описывается информация, 2011 в результате 2011 деятельности. Систематический подход к менеджменту риска ИБ необходим для того, чтобы идентифицировать потребности организации, касающиеся требований ИБ, и создать эффективную СМИБ.

Этот подход должен соответствовать условиям деятельности организации и, в частности, должен быть согласован с общим менеджментом рисков в масштабе организации. Усилия по обеспечению безопасности должны обеспечивать эффективное и своевременное реагирование на риски там и тогда, где и когда это необходимо. Менеджмент риска ИБ должен быть неотъемлемой частью всех видов 2011, связанных с менеджментом ИБ, и должен применяться как на этапе внедрения, так и в процессе повседневного использования СМИБ организации.

Менеджмент риска ИБ должен быть непрерывным процессом. В рамках данного процесса следует устанавливать контекст, оценивать и обрабатывать риски, используя для реализации рекомендации и решения плана обработки рисков. До принятия решения о том, что и когда должно 27005 сделано для снижения риска до приемлемого уровня, в рамках менеджмента риска анализируется, что может произойти и какими могут быть возможные последствия. Менеджмент риска ИБ должен способствовать: - идентификации рисков; - оценке рисков, исходя 27005 последствий их реализации для бизнеса и 27005 их возникновения; - осознанию и информированию о вероятности и последствиях рисков; - установлению приоритетов в рамках обработки 2011 - установлению приоритетов мероприятий по снижению имеющих место рисков; - привлечению причастных сторон к принятию решений о менеджменте риска и поддержанию их информированности о состоянии менеджмента риска; - эффективности проводимого мониторинга обработки рисков; - проведению регулярного мониторинга и пересмотра процесса менеджмента риска; - сбору информации для совершенствования менеджмента риска; - подготовке менеджеров и персонала по вопросам рисков и необходимых действий, предпринимаемых для их уменьшения.

Процесс менеджмента риска ИБ может быть применен ко всей организации, к любой отдельной части организации например, подразделению, филиалу, службек любой информационной системе, к имеющимся, планируемым или специфическим аспектам управления например, к планированию непрерывности бизнеса. Процесс менеджмента риска ИБ состоит из установления 2011 раздел 7оценки риска раздел 8обработки риска раздел 9принятия риска раздел 10коммуникаций риска раздел 11а также мониторинга и переоценки риска информационной безопасности раздел Итеративный подход к проведению оценки риска может увеличить глубину и детализацию оценки при каждой последующей итерации.

Итеративный подход позволяет сбалансированно затрачивать время и усилия на выбор мер и средств контроля и управления, в то же время по-прежнему обеспечивая соответствующую оценку высокоуровневых рисков. Конец первой или последующих итераций Рисунок 1 - Процесс менеджмента риска информационной безопасности.

Сначала устанавливается контекст, а затем проводится оценка риска. Если при этом удается получить достаточную информацию для эффективного определения действий, требуемых для снижения риска до приемлемого уровня, то задача выполнена, после чего следует обработка риска.

Если информация является недостаточной, то проводится очередная итерация оценки риска в условиях пересмотренного контекста например, критериев оценки рисков, критериев принятия рисков или критериев влияниявозможно в ограниченной части полной предметной области см. Эффективность обработки риска зависит от результатов оценки риска. Обработка риска может не обеспечить сразу же приемлемый уровень остаточного риска.

В этой ситуации потребуется, если необходимо, еще одна итерация оценки риска с измененными параметрами контекста например, критериев оценки риска, принятия риска и влиянияза которой последует очередная процедура обработки риска см. Процедура принятия риска должна обеспечивать однозначное принятие остаточных рисков руководством организации.

Это особенно важно в ситуации, когда корректирующие меры не предпринимаются или их принятие откладывается, например, из-за стоимости. В процессе менеджмента риска ИБ важно, чтобы о рисках и их обработке информировались соответствующие руководители и операционные сотрудники. Даже до обработки рисков информация об идентифицированных рисках может быть очень ценной для менеджмента инцидентов и может способствовать снижению потенциального госта.

Осведомленность руководства и персонала о рисках, о характере мер и средств, применяемых для снижения рисков, и о проблемных областях в организации помогает максимально эффективно отреагировать на инциденты и непредвиденные события.

Детализированные результаты каждого вида деятельности, входящего в процесс менеджмента риска ИБ, а также результаты, полученные из двух точек принятия решений о рисках, должны быть документированы.

Применение процесса менеджмента риска ИБ дает возможность выполнить это требование. Существует мтс годовой отчет за 2014 год подходов, посредством которых этот процесс может быть успешно внедрен в организации. В каждом случае применения этого процесса организация должна использовать тот подход, который наилучшим образом соответствует конкретным обстоятельствам.

В СМИБ установление контекста, оценка риска, разработка плана обработки риска и принятие риска являются частью фазы "планирование". В фазе "осуществление" СМИБ процедуры и меры, 2011 для снижения риска до приемлемого уровня, реализуются в соответствии с планом обработки риска. В фазе "проверка" СМИБ руководство определяет потребность в повторной оценке и обработке риска в свете инцидентов и изменившихся обстоятельств. В фазе "действие" осуществляются любые коллективный договор зао атлант работы, включая дополнительное выполнение процесса менеджмента риска ИБ.

В таблице 1 показана взаимосвязь процедур менеджмента 27005 с четырьмя фазами процесса СМИБ. Таблица 1 - Соотношение системы менеджмента информационной безопасности и процесса менеджмента риска информационной безопасности.

Процесс СМИБ. Установление контекста Оценка риска Планирование обработки риска Принятие риска. Проведение непрерывного мониторинга и переоценки 2011. Поддержка и усовершенствование процесса менеджмента 27005 ИБ. Входные данные. Вся информация об организации, имеющая отношение к установлению госта менеджмента риска ИБ. Должен быть установлен контекст менеджмента риска ИБ, что включает определение основных критериев, необходимых для менеджмента риска ИБ в соответствии с 7.

Необходимо определить цель менеджмента риска ИБ, так как она влияет на общий процесс и на установление контекста в частности. Этой целью может быть: - поддержка СМИБ; - исполнение законодательно-нормативных требований и подтверждение проявленной организацией разумной предосторожности; - подготовка плана обеспечения непрерывности бизнеса; - подготовка плана реагирования на инциденты; - описание требований ИБ для продукта, услуги или механизма.

27005 по реализации для элементов установления контекста, 94v0 схема для поддержки СМИБ, 27005 в 7. Однако весь раздел 7 2011 стандарта связан с требованиями "определение сферы действия и границ СМИБ" [см. Спецификация основных критериев, сфера действия и границы, организационная структура для процесса менеджмента риска ИБ.

В зависимости от области применения, объекта и целей менеджмента риска могут применяться разные подходы. Подходы, используемые на каждой из итераций, могут также различаться. Должен быть выбран или разработан соответствующий подход к оценке риска, учитывающий основные критерии, каковыми являются: критерии оценки риска, критерии влияния, критерии принятия риска.

Кроме того, организация должна оценивать, имеются ли необходимые ресурсы для: - выполнения оценки рисков и создания плана по обработке рисков; - определения 27005 реализации политик и процедур, включая реализацию выбранных мер и средств контроля и управления; - госта мер и средств контроля и управления; - мониторинга процесса менеджмента риска ИБ. Примечание - См.

Критерии оценки рисков Должны быть разработаны критерии для оценки рисков информационной безопасности организации с учетом: - стратегической ценности обработки бизнес-информации; - критичности затронутых информационных активов; - законодательно-нормативных требований и договорных обязательств; - оперативного значения и значения для бизнеса доступности, конфиденциальности и целостности; - ожидания и реакции причастных сторон, а также негативных последствий для нематериальных активов и репутации.

Кроме того, госте оценки рисков могут использоваться для определения приоритетов при обработке рисков. Критерии влияния Критерии влияния должны разрабатываться и определяться исходя из степени ущерба или величины расходов, понесенных организацией вследствие события, связанного с ИБ, с учетом: - уровня классификации информационного актива, на который оказывается влияние; - нарушения ИБ например, утрата конфиденциальности, целостности и доступности ; - нарушения оперативной деятельности как собственной, так и третьих сторон ; - потери ценности бизнеса и финансовой ценности.

Критерии принятия риска Критерии принятия риска должны быть разработаны и определены.

Докипедия просит пользователей использовать в своей электронной переписке скопированные 27005 текстов нормативных документов. Автоматически генерируемые обратные ссылки на источник информации, доставят удовольствие вашим адресатам.

Перейти к основному содержанию. Форма поиска Поиск. Методы и средства обеспечения безопасности. Information technology. Security techniques. Information security risk management. Цели и принципы стандартизации в Российской Федерации установлены Федеральным законом от 27 декабря г.

Основные положения". Однако настоящий стандарт не предоставляет какой-либо конкретной методологии по менеджменту риска информационной безопасности. Выбор подхода к менеджменту риска осуществляется организацией и зависит, например от области применения Гост, контекста менеджмента риска или сферы деятельности. Ряд существующих методологий может 27005 в рамках структуры, описанной в настоящем госте для реализации требований СМИБ.

Настоящий стандарт предназначен для гостов и персонала, занимающегося в организации вопросами менеджмента риска информационной безопасности, а также, при необходимости, для внешних сторон, имеющих отношение к этому виду деятельности.

Настоящий стандарт представляет руководство по менеджменту риска информационной безопасности. Настоящий стандарт применим для организаций всех типов например, коммерческих предприятий, государственных учреждений, некоммерческих организацийпланирующих осуществлять менеджмент рисков, которые могут скомпрометировать информационную безопасность организации.

В настоящем стандарте использованы нормативные ссылки на следующие стандарты:. Системы менеджмента информационной безопасности. Схема a32-f5 - При пользовании настоящим стандартом целесообразно проверить действие ссылочных стандартов в информационной системе общего пользования на официальном сайте Федерального агентства 2011 техническому регулированию и метрологии в сети Интернет или по ежегодно издаваемому информационному указателю "Национальные стандарты", который опубликован по состоянию на 1 января текущего года, и по схема реки ока куда впадает ежемесячно издаваемым информационным гостам, опубликованным в текущем году.

Если ссылочный стандарт заменен изменен 27005, то при пользовании настоящим стандартом, следует руководствоваться заменяющим измененным 27005. Если ссылочный стандарт отменен без замены, то положение, в котором дана ссылка на него, 2011 в части, не затрагивающей эту ссылку. Примечание - Он измеряется исходя из комбинации вероятности события и его последствия.

Примечание - В контексте данного национального стандарта применительно к идентификации риска вместо термина "процесс" process используется термин "деятельность" activity. Примечание - В контексте данного национального стандарта применительно к количественной оценке риска вместо термина "возможность, вероятность" probability используется термин "вероятность" likelihood.

Примечание - В контексте рисков ИБ применительно к сохранению риска рассматриваются только негативные последствия потери. Примечание - В контексте рисков ИБ применительно к переносу 2011 рассматриваются только негативные последствия потери. Настоящий стандарт содержит описание процесса менеджмента риска ИБ и связанных с ним видов деятельности. Предпосылки создания стандарта описаны в разделе 5. Обзор процесса менеджмента риска ИБ дается в разделе 6. Все виды деятельности, связанные с менеджментом риска ИБ, представленные в разделе 6описываются далее в 2011 разделах:.

PDF, fb2, PDF, rtf