Мониторинг и проверка СМИБ

Внедрение и использование СМИБ

Организация должна сделать следующее.

a) Сформулировать план сокращения риска, который определяет соответствующие управляющие действия, ресурсы, обязательства и приоритеты для управления рисками информационной безопасности (см. 5).

b) Осуществить план сокращения рисков для того, чтобы достигнуть установленных целей, которые включают анализ финансирования и распределения ролей и обязанностей.

c) Внедрить средства управления, выбранные в 4.2.1g), для достижения поставленных целей.

d) Определить, как измерить эффективность выбранных средств управления или групп средств управления, и установить как эта система мер должна использоваться, чтобы оценить эффективность управления и получить соизмеримые и воспроизводимые результаты (см. 4.2.3с)).

ПРИМЕЧАНИЕ: Оценка эффективности средств управления позволяет менеджерам и штату служащих определить, насколько хорошо средства управления достигают поставленных целей.

e) Внедрить обучающие и информирующие программы (см. 5.2.2).

f) Управлять функционированием СМИБ.

g) Обеспечить СМИБ трудовыми ресурсами (см. 5.2)

h) Внедрить методику и другие средства управления, способные своевременно выявить события безопасности и ответную реакцию на инциденты безопасности (см. 4.2.3а)).

Организация должна сделать следующее.

a) Внедрить правила мониторинга и проверки и другие средства управления для того, чтобы:

1) своевременно обнаруживать ошибки в результатах процесса;

2) своевременно распознавать неудавшиеся и удавшиеся нарушения безопасности и инциденты;

3) задействовать менеджмент, чтобы определить, надлежащим ли образом выполняется работа по безопасности, порученная людям либо осуществляемая информационными технологиями;

4) содействовать обнаружению событий безопасности и таким образом, используя определённые показатели, предупреждать инциденты безопасности; и

5) определить эффективность действий, предпринятых для предотвращения нарушения безопасности.

b) Проводить регулярные проверки эффективности СМИБ (включая обсуждение политики СМИБ и её задач, проверку средств управления безопасностью), принимая во внимание результаты аудитов, инцидентов, результаты измерений эффективности, предложения и рекомендации всех заинтересованных сторон.

c) Оценить эффективность средств управления, чтобы выявить, удовлетворены ли требования безопасности.

d) Проверить оценку рисков по запланированным периодам и проверить остаточные риски и допустимые уровни рисков, принимая во внимания изменения в:

1) организации;

2) технологии;

3) бизнес-целях и процессах;

4) идентифицированных угрозах;

5) эффективности внедрённых средств управления; и

6) внешних событиях, таких как изменения в юридической и управленческой среде, изменённые договорные обязательства, смены социального климата.

e) Проводить внутренние аудиты СМИБ в запланированные периоды (см. 6)

ПРИМЕЧАНИЕ: Внутренние аудиты, иногда называемые первичными аудитами, проводятся от имени самой организации в её собственных целях.

f) На регулярной основе проводить проверку управления СМИБ, чтобы убедиться, что положение остается пригодным, а СМИБ совершенствуется.

g) Обновлять планы безопасности с учётом данных, полученных в результате мониторинга и проверки.

h) Записывать действия и события, которые могут оказать влияние на эффективность или производительность СМИБ (см. 4.3.3).

Дата добавления: 2015-04-29