СТ РК 34.028-2008
Информационная технология
Порядок экспертизы, оценки и сертификации систем управления информационной безопасностью организации
Содержание
Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Определения
4. Сущность информационной безопасности
5. Система управления информационной безопасностью (СУИБ)
6. Сертификационные аудиты
Приложение А. Пример политики информационной безопасности
Приложение. Библиография
Введение
Информация является одним из самых ценных ресурсов организации. Отсутствие надлежащей защиты информации влечет за собой:
- обнаружение, выдачу или раскрытие информации несанкционированным способом;
- изменение информации без ведома организации с целью снижения ее стоимости;
- бесследная утрата информации без надежды на восстановление;
- недоступность информации для пользователей.
Ответственность за надлежащее обеспечение защиты своей информации от множества угроз, с которыми сталкивается каждая организация, должны нести все ее менеджеры, владельцы или хранители информационных систем и пользователи. Информации необходимо обеспечить защиту и надлежащее управление защитой, как и любому другому важному бизнес-ресурсу организации. Защита и надлежащее управление ею должны осуществляться на непрерывной, превентивной основе.
Указанные выше цели могут быть кратко представлены как необходимость защиты конфиденциальности, целостности и доступности информации - в этом заключается сущность информационной безопасности.
Настоящий стандарт описывает установившуюся практику, на основе которой любые организации - крупные, средние и мелкие - могут разработать, реализовать и сопровождать их системы управления информационной безопасностью (СУИБ) таким образом, что он позволит им получить сертификацию на соответствие стандарту СТ РК ИСО/МЭК 27001.
1. Область применения
Настоящий стандарт содержит руководство для пользователей стандартов СТ РК ИСО/МЭК 27001 и СТ РК ИСО/МЭК 17799:2005. Он предоставляет руководство по разработке, реализации, контролю и усовершенствованию СУИБ, т.е. для всего «жизненного» цикла деятельности, необходимого для обеспечения эффективной информационной безопасности.
Настоящий стандарт предназначен тем, кто принимает участие:
- в планировании, разработке и реализации СУИБ,
- в подготовке к аудитам СУИБ,
- в проведении аудитов СУИБ.
Аудиты СУИБ бывают следующих типов: аудиты первой стороны (такие, как внутренние аудиты), аудиты второй стороны (например, аудиты, выполняемые аудиторами заказчиков) и аудиты третьей стороны (например, аудиты, выполняемые независимыми органами сертификации).
