ГОСТ Р ИСО/МЭК 27000-2021. Национальный стандарт Российской Федерации. Информационные технологии. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Общий обзор и терминология

4 Системы менеджмента информационной безопасности (СМИБ)

 

4.1 Общая информация

 

Организации всех типов и размеров:

a) собирают, обрабатывают, хранят и передают информацию;

b) осознают, что информация и связанные с ней процессы, системы, сети и персонал являются важными активами для достижения целей, стоящих перед организацией;

c) сталкиваются с рядом рисков, которые могут оказывать воздействие на функционирование активов организации;

d) принимают меры в отношении предполагаемого воздействия рисков, осуществляя внедрение мер обеспечения ИБ.

Вся информация, хранящаяся и обрабатывающаяся организацией, подвержена угрозам компьютерных атак, ошибкам, стихийным бедствиям (например, наводнению или пожару) и т.д., а также является объектом влияния уязвимостей, присущих ее использованию. Термин "информационная безопасность" относится к информации, которую рассматривают как актив, представляющий собой ценность, требующую соответствующей защиты, например, от потери доступности, конфиденциальности и целостности. Обеспечение возможности санкционированного своевременного получения точной и полной информации способствует эффективности бизнеса.

Защита информационных активов посредством определения, достижения, поддержания и улучшения ИБ имеет важное значение для того, чтобы обеспечить достижение намеченных организацией целей, а также поддерживать и повышать уровень соответствия законодательным нормам и репутацию организации. Эти скоординированные действия, направленные на внедрение соответствующих мер обеспечения информационной безопасности и обработку недопустимых рисков в области ИБ, широко известны как элементы менеджмента ИБ.

Так как риски ИБ и эффективность мер обеспечения ИБ меняются в зависимости от обстоятельств, организациям необходимо:

a) контролировать и оценивать эффективность внедренных мер обеспечения ИБ и процедур;

b) идентифицировать появляющиеся риски для их обработки;

c) выбирать, внедрять и совершенствовать должным образом соответствующие меры обеспечения ИБ.

Чтобы установить взаимосвязь и скоординировать действия системы менеджмента информационной безопасности, каждая организация должна установить свою политику и цели для системы менеджмента ИБ и эффективно достигать этих целей при использовании системы менеджмента.