Седьмой этап. Внедрение системы управления рисками

Шестой этап. Планирование внедрения СМИБ

Пятый этап. Сравнение текущей ситуации со стандартом

Четвертый этап. Определение политики и целей СМИБ

Третий этап. Первоначальный анализ СМИБ

Второй этап. Организационный

Первый этап. Управленческий

Алгоритм внедрения системы менеджмента информационной безопасности в соответствии с требованиями международного стандарта ISO/IEC 27001

Внедрение стандарта

Сертификация

Организация может быть сертифицирована аккредитованными агентствами в соответствии с этим стандартом. Процесс сертификации состоит из трех стадий:

• Стадия 1 изучение аудитором ключевых документов Системы Менеджмента Информационной Безопасности — Положение о применимости (SoA), План Обработки Рисков (RTP), и др. Может выполняться как на территории организации так и путём высылки этих документов внешнему аудитору.

• Стадия 2 детальный, глубокий аудит включая тестирование внедренных мер и оценка их эффективности. Включает полное изучение документов, которые требует стандарт.

• Стадия 3 выполнение инспекционного аудита для подтверждения, что сертифицированная организация соответствует заявленным требованиям. Выполняется на периодической основе.

1. Осознать цели и выгоды внедрения СМИБ
2. Получить поддержку руководства на внедрение и ввод в эксплуатацию системы менеджмента информационной безопасности (СМИБ)
3. Распределить ответственность по СМИБ

1. Создать группу по внедрению и поддержке СМИБ
2. Обучить группу по внедрению и поддержке СМИБ
3. Определить область действия СМИБ

1. Провести анализ существующей СМИБ
2. Определить перечень работ по доработке существующей СМИБ

1. Определить политику СМИБ
2. Определить цели СМИБ по каждому процессу СМИБ

1. Провести обучение ответственных за СМИБ требованиям стандарта
2. Проработать требования стандарта
3. Сравнить требования стандарта с существующим положением дел

1. Определить перечень мероприятий для достижения требований стандарта
2. Разработать руководство по информационной безопасности

1. Разработать процедуру по идентификации рисков
2. Идентифицировать и ранжировать активы

Каталог «Модули»

1. Определить ответственных за активы
2. Оценить активы
3. Идентифицировать угрозы и уязвимости активов

Каталог «Угрозы»

1. Рассчитать и ранжировать риски
2. Разработать план по снижению рисков

Каталог «Меры защиты»

1. Определить неприменимые контроли (направления) безопасности из приложения А
2. Разработать положение о применимости контролей

Дата добавления: 2015-04-30