ГОСТ Р ИСО/МЭК 27010-2020. Национальный стандарт Российской Федерации. Информационные технологии. Методы и средства обеспечения безопасности. Менеджмент информационной безопасности при обмене информацией между отраслями и организациями

Введение

 

Настоящий стандарт является специальным дополнением к стандартам ИСО/МЭК 27001 и ИСО/МЭК 27002, предназначенным для использования субъектами информационного обмена. Руководящие принципы, содержащиеся в настоящем стандарте, дополняют общие указания, приведенные в других стандартах серии ИСО/МЭК 27000.

Необходимо отметить, что ИСО/МЭК 27001 и ИСО/МЭК 27002 касаются обмена информацией между организациями в общем виде. При передаче организации информации ограниченного доступа нескольким организациям, отправитель должен быть уверен, что ее использование в этих организациях будет находиться под надлежащим контролем безопасности, осуществляемом принимающими организациями. Это может быть достигнуто путем создания сообщества по обмену информацией, где каждый участник доверяет другим членам защиту совместно используемой информации, даже если организации конкурируют друг с другом.

Сообщество по обмену информацией не может работать без доверия. Отправители информации должны иметь возможность доверять получателям в том, что они не разглашают или не используют данные ненадлежащим образом. Получатели информации должны иметь возможность доверять, что информация является достоверной с учетом всех оговорок, заявленных отправителем. Оба аспекта важны и должны явно обеспечиваться эффективными политиками безопасности и использованием передового опыта. Для достижения этого все члены сообщества должны внедрить общую систему менеджмента, обеспечивающую безопасность совместно используемой информации. Такая система называется системой менеджмента информационной безопасности (СМИБ) для сообщества по обмену информацией.

Кроме того, обмен информацией может происходить между сообществами по обмену информацией, в которых не все получатели будут известны отправителю. Такое возможно только при наличии достаточного уровня доверия между сообществами и наличии соглашений об обмене информацией. Это особенно важно для обмена информацией ограниченного доступа между различными сообществами, такими как отрасли промышленности или секторы рынка.