Подготавливаемые стандарты

Принятые стандарты

• ISO/IEC 27001 — "Информационные технологии. Методы обеспечения безопасности. Системы управления информационной безопасностью. Требования." Стандарт по которому организация может быть сертифицирована (опубликован в 2005);
• ISO/IEC 27002 — "Информационные технологии. Методы обеспечения безопасности. Практические правила управления информационной безопасностью." Переименованный стандарт ISO/IEC 17799 (последний пересмотр был в 2005 и переименован в ISO/IEC 27002:2005 в июле 2007);
• ISO/IEC 27003 — "Информационные технологии. Методы обеспечения безопасности. Руководство по внедрению Системы Менеджмента Информационной Безопасности"; (Опубликован в январе 2010)
• ISO/IEC 27004 — "Информационные технологии. Методы обеспечения безопасности. Измерение эффективности системы управления информационной безопасностью." (Опубликован в январе 2010)
• ISO/IEC 27005 — "Информационные технологии. Методы обеспечения безопасности. Управление рисками информационной безопасности." На основе BS7799-3; (опубликовано в 2008)
• ISO/IEC 27006 — "Информационные технологии. Методы обеспечения безопасности. Требования к органам аудита и сертификации систем управления информационной безопасностью" (опубликовано в 2007);

• ISO/IEC 27000 — глоссарий для стандартов СМИБ;
• ISO/IEC 27007 — стандарт для аудита СМИБ;
• SO/IEC 27011 — руководство по телекоммуникациям в СМИБ;
• ISO/IEC 27799 — руководство по реализации ISO/IEC 27002 в медицинской отрасли.

A BRIEF OVERVIEW (КРАТКИЙ ОБЗОР)

BS 7799 Part 1 // Code of Practice for Information Security Management (Практические правила управления информационной безопасностью)

Этот документ описывает 127 механизмов контроля, необходимых для построения системы управления информационной безопасностью (СУИБ) организации, определённых на основе лучших примеров мирового опыта (best practices) в данной области. Этот документ служит практическим руководством по созданию СУИБ. Этот стандарт в большинстве своём предназначался для определения норм безопасности при ведении коммерческой деятельности. Эксперты посчитали, что этот стандарт появился несколько раньше времени, когда вопросы безопасности ещё никого особенно не интересовали. В 1999 первая часть BS 7799 была переработана и передана в Международную организацию по стандартизации (ISO).

В 2000 году BS 7799 Part 1 был утверждён в качестве международного стандарта ISO/IEC 17799:2000 (BS 7799-1:2000). В мае 1999 года Британский институт стандартов выпускает вторую версию BS 7799 (BS 7799-2:1999), представляющую собой кардинально пересмотренное первое издание. Эта версия содержала множество поправок и улучшений по сравнению со своей предшественницей.

ISO/IEC 17799 — стандарт информационной безопасности, опубликованный в 2005 году организациями ISO и IEC. Он озаглавлен Информационные технологии — Технологии безопасности — Практические правила менеджмента информационной безопасности (англ. Information technology - Security techniques - Code of practice for information security management). Текущая версия стандарта является переработкой версии, опубликованной в 2000 году, которая являлась полной копией Британского стандарта BS 7799-1:1999.

Стандарт предоставляет лучшие практические советы по менеджменту информационной безопасности для тех, кто отвечает за создание, реализацию или обслуживание систем менеджмента информационной безопасности. Информационная безопасность определяется стандартом как «сохранение конфиденциальности (уверенности в том, что информация доступна только тем, кто уполномочен иметь такой доступ), целостности (гарантии точности и полноты информации и методов её обработки) и доступности (гарантии в том, что уполномоченные пользователи имеют доступ к информации и связанным ресурсам)».

Текущая версия стандарта состоит из следующих основных разделов:

• Политика безопасности (Security policy)
• Организация информационной безопасности (Organization of information security)
• Управление ресурсами (Asset management)
• Безопасность человеческих ресурсов (Human resources security)
• Физическая безопасность и безопасность окружения (Physical and environmental security)
• (Communications and operations management)
• Контроль доступа (Access control)
• Information systems acquisition, development and maintenance
• Information security incident management
• Business continuity management
• Compliance

ISO/IEC 27001 — международный стандарт по информационной безопасности разработанный совместно Международной Организацией по Стандартизации (ISO) и Международной электротехнической комиссией (IEC). Подготовлен к выпуску подкомитетом SC27 Объединенного технического комитета JTC 1.

Стандарт содержит требования в области информационной безопасности для создания, развития и поддержания Системы менеджмента информационной безопасности.

Лучшие мировые практики в области управления информационной безопасностью описаны в международном стандарте на системы менеджмента информационной безопасности ISO/IEC 27001 (ISO 27001). ISO 27001 устанавливает требования к системе менеджмента информационной безопасности (СМИБ) для демонстрации способности организации защищать свои информационные ресурсы.

Понятие «защиты информации» трактуется международным стандартом как обеспечение конфиденциальности, целостности и доступности информации.

Основа стандарта ИСО 27001 – система управление рисками, связанными с информацией.

Система управления рисками позволяет получать ответы на следующие вопросы: «На каком направлении информационной безопасности требуется сосредоточить внимание?», «Сколько времени и средств можно потратить на данное техническое решение для защиты информации?».

ISO/IEC 27002 — стандарт информационной безопасности, опубликованный организациями ISO и IEC. Он озаглавлен Информационные технологии — Технологии безопасности — Практические правила менеджмента информационной безопасности (англ. Information technology — Security techniques — Code of practice for information security management). До 2007 года данный стандарт назывался ISO/IEC 17799. Стандарт разработан в 2005 году на основе версии ISO 17799, опубликованной в 2000, которая являлась полной копией Британского стандарта BS 7799-1:1999.

Стандарт предоставляет лучшие практические советы по менеджменту информационной безопасности для тех, кто отвечает за создание, реализацию или обслуживание систем менеджмента информационной безопасности. Информационная безопасность определяется стандартом как «сохранение конфиденциальности (уверенности в том, что информация доступна только тем, кто уполномочен иметь такой доступ), целостности (гарантии точности и полноты информации, а также методов её обработки) и доступности (гарантии того, что уполномоченные пользователи имеют доступ к информации и связанным с ней ресурсам)».

Текущая версия стандарта состоит из следующих основных разделов:

· Политика безопасности (Security policy)

· Организация информационной безопасности (Organization of information security)

· Управление ресурсами (Asset management)

· Безопасность персонала (Human resources security)

· Физическая безопасность и безопасность окружения (Physical and environmental security)

· Управление коммуникациями и операциями (Communications and operations management)

· Управление доступом (Access control)

· Приобретение, разработка и поддержка систем (Information systems acquisition, development and maintenance)

· Управление инцидентами информационной безопасности (Information security incident management)

· Управление бесперебойной работой организации (Business continuity management)

· Соответствие нормативным требованиям (Compliance)

CERTIFICATION AND IMPLEMENTATION OF STANDARD PROCEDURES (СЕРТИФИКАЦИЯ И ПОРЯДОК ВНЕДРЕНИЯ СТАНДАРТА)

Дата добавления: 2015-04-30