ПРИМЕЧАНИЕ: МОС 19011:2002, Рекомендации по ревизованию качества и/или систем менеджмента экологии, могут быть полезными в проведении внутренних аудитов СМИБ. 
 

7 Проверка управления  СМИБ 

7.1 Общие положения 

Руководство должно проверять СМИБ в запланированные  периоды (как минимум раз в  год), чтобы убедиться в том, что она по-прежнему пригодна, адекватна и эффективна. Такая проверка должна включать оценку возможностей совершенствования и необходимости изменений в СМИБ, в т.ч. и в политике информационной безопасности и целях информационной безопасности. Результаты проверки необходимо оформить документально, и сделать записи (см. 4.3.3). 

7.2 Входные данные  для проверки 

Входные данные для проверки управления должны включать:

a) результаты аудитов и проверок СМИБ;

b) рекомендации заинтересованных сторон;

c) технику, продукты или методики, которые могли бы использоваться в организации, чтобы совершенствовать функционирование и эффективность СМИБ;

d) состояние превентивных и корректирующих мер;

e) уязвимости или угрозы, недостаточно исследованные при предыдущей оценке риска;

f) результаты оценки эффективности;

g) контроль принятия соответствующих мер после предыдущих проверок управления;

h) любые изменения, которые могут повлиять на СМИБ; и

i) рекомендации по совершенствованию. 
 

7.3 Выходные данные  проверки 

Итоги проверки управления должны включать любые решения и меры, связанные со следующим. 

a) Совершенствование эффективности СМИБ; 

b) Обновление планов оценки и сокращения риска; 

c) Модификация методов и средств управления, влияющих на информационную безопасность, как необходимость реагирования на внутренние и внешние события, которые могут принести ущерб СМИБ, а также изменения в:

1) требованиях  бизнеса;

2) требованиях  безопасности;

3) бизнес-процессах,  влияющих на существующие требования  бизнеса;

4) юридических  или регулятивных требованиях;

5) договорных  обязательствах; и

6) уровнях  риска и/или критериях допустимости  риска. 

d) Приобретение необходимых ресурсов. 

e) Совершенствование системы оценивания эффективности. 
 

8 Совершенствование  СМИБ 

8.1 Постоянное совершенствование 

Организация должна постоянно совершенствовать эффективность СМИБ, привлекая к  этому процессу политику информационной безопасности, цели информационной безопасности, результаты аудита, анализ отслеженных  событий, корректирующие и превентивные мероприятия и проверки управления (см. 7). 

8.2 Корректирующие меры 

Организация должна предпринимать меры по устранению причин несоответствия требованиям  СМИБ, чтобы избежать повторения. Документированная  процедура проведения корректирующих мероприятий должна содержать требования по:

a) выявлению несоответствий;

b) определению причин несоответствий;

c) оценке необходимости мер, устраняющих несоответствия;

d) определению и проведению необходимых корректирующих мероприятий;

e) записи результатов предпринятых мер (см. 4.3.3); и

f) проверке предпринятых корректирующих мер. 

8.3 Превентивные мероприятия 

Организация должна определить меры, направленные на устранение причин возможного несоответствия требованиям СМИБ, чтобы предотвратить  их повторение. Превентивные действия должны соответствовать ущербу от возможных ударов. Документированная процедура проведения превентивных мероприятий должна содержать требования по:

a) выявлению возможных несоответствий и их причин;

b) оценке необходимости действий, предотвращающих повторение несоответствий;

c) определению и проведению необходимых превентивных мероприятий;

d) записи результатов предпринятых мер (4.3.3); и

e) проверке предпринятых превентивных мер. 

Организация должна выявить изменения в рисках и определить требования по превентивным действиям, акцентируя внимание на значительно измененных рисках. 

Приоритеты  превентивных мероприятий должны быть расставлены согласно результатам  оценки риска. 

ПРИМЕЧАНИЕ: Меры по предупреждению несоответствий часто более эффективны и дешевле обходятся, чем уже корректирующие мероприятия.

 

Приложение A

(нормативное) 

Задачи (цели) и средства управления 

Цели и  средства управления, перечисленные  в таблице А.1, непосредственно выводятся  и подгоняются под цели и средства, перечисленные в разделах с 5 по 15 стандарта МОС/МЭК 17799:2005. Список из таблицы А.1 не является исчерпывающим, потому организация может предусмотреть дополнительные цели и средства управления. А перечисленные в данных таблицах необходимо выбрать как составляющий компонент СМИБ, определённой в 4.2.1. 

Разделы МОС/МЭК 17799:2005 с 5 по 15 предусматривают руководство по внедрению и наилучшему использованию средств управления, определённых с пункта А.5 по пункт А.15. 

Таблица A.1 – Цели и средства управления