Система менеджмента информационной безопасности ГОСТ Р ИСО/МЭК 27001-2013 (ISO/IEC 27001:2013)

Наличие системы менеджмента информационной безопасности в соответствии с требованиями международного стандарта ISO/IEC 27001 поможет организации сберечь её активы и обеспечить целостность, надежность и конфиденциальность информации.

По данным IRCA с 2005 г. сертификационный аудит на соответствие требованиям стандарта ISO/IEC 27001 прошло более 20 тыс. компаний по всему миру.

Стандарт 27001 – источник лучших практик при проектировании систем управления, применим практически к любой организации, независимо от формы собственности, вида деятельности, размера и внешних условий. Он нейтрален в технологическом плане и всегда оставляет возможность выбора технологий.

Система менеджмента информационной безопасности (СМИБ) – часть общей системы управления, основанной на подходе деловых рисков, с целью создать, внедрить, эксплуатировать, постоянно контролировать, анализировать, поддерживать в рабочем состоянии и улучшать защиту информации.

Основные элементы системы ИБ:

защита от несанкционированного доступа (НСД) к системам,
в том числе и внутренняя защита от НСД сотрудников организации;
авторизация и аутентификация;
защита каналов передачи данных, обеспечение целостности;
обеспечение актуальности данных при обмене информацией с клиентами;
управление электронным документооборотом;
управление инцидентами ИБ;
управление непрерывностью ведения бизнеса;
внутренний и внешний аудит системы ИБ.

Задачи Стандарта:

установление единых требований по обеспечению информационной безопасности организаций;
обеспечение взаимодействие руководства и сотрудников;
повышение эффективности мероприятий по обеспечению и поддержанию информационной безопасности организаций.

Стандарт ISO 27001 обеспечивает:

определение целей и представление о направлении и принципах деятельности относительно информационной безопасности;
определение подходов к оценке и управлению рисками в организации;
управление информационной безопасностью в соответствии с применимым законодательством и нормативными требованиями;
использование единого подхода при создании, внедрении, эксплуатации, мониторинге, анализе, поддержке и совершенствовании системы менеджмента с тем, чтобы цели в области информационной безопасности были достигнуты;
определение процессов системы менеджмента информационной безопасности;
определение статуса мероприятий по обеспечению информационной безопасности;
использование внутренних и внешних аудитов для определения степени соответствия системы менеджмента информационной безопасности требованиям стандарта;
предоставление адекватной информации партнерам и другим заинтересованным сторонам о политике информационной безопасности.

Выгоды внедрения стандарта.

Главным преимуществом создания и внедрения СМИБ в соответствии с требованиями ISO/IEC 27001 является независимое доказательство стабильности и надежности бизнес-процессов организации.

Преимущества и выгоды, которое получает предприятие от внедрения стандарта:

повышение доверия клиентов, партнеров и других заинтересованных сторон;
получение международного признания и укрепление имиджа компании на внутреннем и внешнем рынке;
достижение адекватности мер по защите от реальных угроз информационной безопасности;
предотвращение и(или) снижение ущерба от инцидентов информационной безопасности;
демонстрация определенного уровня информационной безопасности для обеспечения конфиденциальности информации заинтересованных сторон;
увеличение стоимости нематериальных активов, уменьшение страховых взносов, что делает ценность компании более высокой;
снижение операционных издержек и исключения «перекрестного» финансирования в рамках единой СМИБ;
расширение возможностей участия компании в крупных государственных контрактах;
повышение стабильности функционирования организации в целом;
достижение адекватности мер по защите от реальных угроз информационной безопасности;
предотвращение и(или) снижение ущерба от инцидентов информационной безопасности.

Экономическими преимуществами являются:

независимое подтверждение факта, что в организации должным образом реализован менеджмент рисков, соответствующие процедуры систем менеджмента разработаны и внедрены, постоянно анализируются и улучшаются компетентным и ответственным персоналом;
доказательство соблюдения действующих законов и нормативных актов (выполнение системы обязательных требований);
доказательство стремления и ответственности высшего руководства к обеспечению системы менеджмента в требуемом объеме для всей организации в соответствии с установленными требованиями;
демонстрация определенного уровня «зрелости» систем менеджмента для обеспечения высокого уровня обслуживания клиентов и партнеров организации;
демонстрация проведения регулярных аудитов систем менеджмента, оценки результативности и постоянных улучшений.

Полезным преимуществом является эффективное управление аутсорсингом за счет четких критериев оценки поставщиков услуг и ответственности обеих сторон.

Конкурентным преимуществом является доказательство того, что процессы обеспечения ИБ организации способны удовлетворять потребности внешних пользователей в долгосрочной перспективе, риски оценены и управляются.

Сертификация СМИБ на соответствие требованиям ISO/IEC 27001 соответственно – единственное общепринятое в мировой практике подтверждение соответствия международным требованиям.

Статистика гласит, что организации, обладающие международными сертификатами соответствия стандартам СМИБ, получают скидки, сопоставимые с затратами на проведение сертификации.

Справка:

Международный стандарт ISO/IEC 27001:2013 соответствует Российскому стандарту ГОСТ Р ИСО/МЭК 27001-2013. Необходимость принятия организациями мер для обеспечения информационной безопасности обозначилась еще в 1995 году. Тогда увидел свет первый из стандартов, британский BS 7799-1:95. В 2000 году был опубликован ISO/IEC 17799:2000 (BS 7799-1:2000), первый документ, содержащий практические рекомендации по обеспечению на предприятии информационной безопасности. В 2005 году вышел обновленный документ — ISO/IEC 17799:2005. В 2002 году британский стандарт BS также получил более новую версию, BS 7799 Part 2 (BS 7799-2:2002) Information Security management — specification for information security management systems (Спецификация системы управления информационной безопасностью). В 2005 году международному сообществу был представлен третий по счету в системе ISO стандарт ISO/IEC 27001:2005 «Информационные технологии — Методы обеспечения безопасности — Системы управления информационной безопасностью — Требования». 25 сентября 2013 года был опубликован обновленный стандарт ISO/IEC 27001:2013 «Системы Менеджмента Информационной Безопасности. Требования» (Information security management systems — Requirements). Изменения коснулись как структуры стандарта, так и требований.