Принципы OECD и данного Международного Стандарта

Выдвинутые в Руководстве OECD принципы по обеспечению защиты информационных систем и сетей применимы ко всем политикам и действующим уровням управления защитой информационных систем и сетей. Данный Международный Стандарт обеспечивает структуру системы менеджмента информационной безопасности для внедрения некоторых принципов OECD с использованием модели PDCA и методик, описанных в разделах 4, 5, 6 и 8, как описано в таблице В.1.

Таблица B.1 — принципы OECD и модель PDCA

Принципы OECD	Соответствие функций СМИБ этапам PDCA
Информированность   Участники должны быть ознакомлены с нуждами безопасности информационных систем и сетей и знать, что они могут сделать для повышения безопасности.	Эта функция выполняется на этапе “Делай” (см. 4.2.2 и 5.2.2).
Обязанности   Все участники ответственны за безопасность информационных систем и сетей.	Эта функция выполняется на этапе “Делай” (см. 4.2.2 и 5.1).
Реакция   Участники должны действовать своевременно и сообща, чтобы предотвращать, выявлять и реагировать на инциденты в безопасности.	Частично функция мониторинга выполняется на этапе “Проверяй” (см. 4.2.3 и с 6 по 7.3), а функция реагирования – на этапе “Действуй” (см. 4.2.4 и с 8.1 по 8.3). Также они могут соответствовать некоторым положениям этапов “Проверяй” и “Планируй”.
Оценка риска   Участники должны проводить оценку рисков.	Данная функция выполняется на этапе “Планируй” (см. 4.2.1), функция переоценки риска – на этапе “Проверяй” (см 4.2.3 и с 6 по 7.3).
Моделирование и внедрение безопасности   Участники должны рассматривать безопасность как весьма важный элемент информационных систем и сетей.	После завершения этапа оценки риска в целях сокращения риска выбираются средства управления, что соответствует этапу “Планируй” (см. 4.2.1). Последующий этап “Делай” (см. 4.22. и 5.2) характеризуется внедрением и практическим использованием этих средств управления.
Менеджмент безопасности   Участники должны использовать всеобъемлющую концепцию менеджмента безопасности.	Управление риском – процесс, включающий предотвращение, выявление и реагирование на инциденты, постоянную поддержку, проверку и аудит. Все эти аспекты затронуты на этапах “Планируй”, “Делай”, “Проверяй” и “Действуй”. phases.
Переоценка   Участники должны пересматривать и проводить переоценку безопасности информационных систем и сетей, и в соответствии с этим модифицировать политики безопасности, технологии, методы оценок и процедуры.	Функция переоценки информационной безопасности выполняется на этапе “Проверяй” (см. 4.2.3 и с 6 по 7.3), на котором необходимо проводить регулярные проверки эффективности системы менеджмента информационной безопасности, а процесс совершенствования соответствует этапу “Действуй” (см. 4.2.4 и с 8.1 по 8.3).

Приложение С

(информативное)

Связь между стандартами МОС 9001:2000, МОС 14001:2004 и данным

Дата добавления: 2015-04-29