Please enable JavaScript.

Coggle requires JavaScript to display documents.

МІЖНАРОДНИЙ СТАНДАРТ BS ISO/IEC 27005: 2011 - Coggle Diagram

- - - - • підтримка системи менеджменту інформаційної безпеки;
      - • правова відповідність і свідоцтво належної уваги;
      - • підготовка плану забезпечення безперервності бізнесу;
      - • підготовка плану реагування на інциденти;
      - • опис вимог інформаційної безпеки для продукту, послуги або механізму
  - - - • критерії оцінки ризику,
      - • вплив на критерії,
      - • критерії допустимості ризику.
    - - • виконання оцінки ризику і встановлення плану обробки ризику;
      - • визначення і здійснення політики і процедури, включаючи
      - • реалізацію обраного менеджменту;
      - • контроль моніторингу;
      - • моніторинг процесу менеджменту ризиком інформаційний безпеки.
    - - Повинні розроблятися критерії для оцінювання ризиків інформаційної безпеки організації, з огляду на наступне:
        
        • стратегічна цінність обробки бізнес-інформації;
        
        • критичність порушених інформаційних активів;
        
        • правові та регулюючі вимоги і договірні зобов'язання;
        
        • операційна важливість і важливість для бізнесу доступності,
        
        • конфіденційності і цілісності;
        
        • очікування сприйняття причетних сторін, а також негативні наслідки для "невловимого (того, який неможливо відчути) капіталу" і репутації.
    - - Критерії впливу повинні розроблятися і визначатися, виходячи зі ступеня збитку або витрат для організації, що викликаються подією, пов'язаною з інформаційною безпекою, з огляду на наступне:
        
        • рівень класифікації інформаційного активу, на який виявляється вплив;
        
        • порушення інформаційної безпеки (наприклад, втрата
        
        • конфіденційності, цілісності і доступності);
        
        • погіршені операції (внутрішні або третіх сторін);
        
        • втрата цінності бізнесу та фінансової цінності;
        
        • порушення планів і кінцевих термінів;
        
        • збиток для репутації;
        
        • порушення законодавчих, регулюючих або договірних вимог
    - - Критерії прийняття ризику найчастіше залежать від
        
        • політик,
        
        • намірів,
        
        • цілей організації
        
        • інтересів причетних сторін.
      - При розробці слід враховувати наступне:
        
        • критерії прийняття ризику можуть включати багато порогових значень, з бажаним цільовим рівнем ризику, але за умови, що вище керівництво буде приймати ризики, що знаходяться вище зазначеного рівня;
        
        • критерії прийняття ризику можуть виражатися як співвідношення кількісно оціненої вигоди (або іншої вигоди бізнесу) до кількісно оціненого ризику;
        
        • різні критерії прийняття ризику можуть застосовуватися до різних класів ризику
        
        • критерії прийняття ризику можуть включати вимоги, що стосуються майбутньої додаткової обробки
      - Критерії прийняття ризику повинні встановлюватися з урахуванням наступного:
        
        • критеріїв бізнесу;
        
        • правових та регулюючих аспектів;
        
        • операцій;
        
        • технологій;
        
        • фінансів;
        
        • соціальних і гуманітарних чинників.
  - - - При визначенні сфери застосування і меж повинна враховуватися наступна інформація, що стосується організації:
        
        • стратегічні цілі бізнесу організації, стратегії і політики;
        
        • процеси бізнесу;
        
        • функції і структура організації;
        
        • правові, регулюючі та договірні вимоги, що застосовуються до організації;
        
        • політика інформаційної безпеки організації;
        
        • загальний підхід до менеджменту ризику організації;
        
        • інформаційні активи;
        
        • місце розташування організації і географічні характеристики;
        
        • обмеження, що впливають на організацію;
        
        • очікування причетних сторін;
        
        • соціокультурне середовище;
        
        • інтерфейси (тобто обмін інформацією з середовищем).
  - - - • розробка процесу ризик-менеджменту інформаційної безпеки, придатного для цієї організації;
      - • ідентифікація і аналіз причетних сторін;
      - • визначення ролей і обов'язків всіх сторін, як внутрішніх, так і зовнішніх по відношенню до організації;
      - • встановлення необхідних взаємозв'язків між організацією і причетними сторонами, а також інтерфейсів для організаційних функцій менеджменту ризиків високого рівня, а також інтерфейсів з іншими значущими проектами і видами діяльності;
      - • визначення шляхів ескалації прийняття рішень;
      - • визначення, які підлягають ведення документи потребують ведення.