Законодательная база Российской Федерации

"ИНФОРМАЦИОННАЯ ТЕХНОЛОГИЯ. МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ. СИСТЕМЫ МЕНЕДЖМЕНТА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ. ТРЕБОВАНИЯ. ГОСТ Р ИСО/МЭК 27001-2006" (утв. Приказом Ростехрегулирования от 27.12.2006 N 375-ст)

7.1. Общие положения

Руководство должно в соответствии с утвержденным графиком периодически (не менее одного раза в год) проводить анализ СМИБ организации в целях обеспечения ее постоянной пригодности, адекватности и результативности. Результаты анализа должны содержать предложения по изменению СМИБ и оценку их реализации в интересах обеспечения выполнения требований политики и целей информационной безопасности. Результаты таких проверок должны быть зафиксированы документально, а учетные записи должны быть сохранены (см. 4.3.3).

7.2. Входные данные для анализа системы менеджмента информационной безопасности

Входные данные для анализа СМИБ со стороны руководства должны включать в себя следующую информацию:

a) результаты предыдущих аудитов и анализа СМИБ;

b) результаты взаимодействия с заинтересованными сторонами;

c) методы, средства или процедуры, которые могут быть использованы в организации для совершенствования функционирования и повышения результативности СМИБ;

d) правовое обоснование предупреждающих и корректирующих действий;

e) уязвимости или угрозы, которые не были адекватно учтены в процессе предыдущей оценки рисков;

f) результаты количественной оценки результативности СМИБ;

g) последующие действия, вытекающие из предыдущего анализа со стороны руководства;

h) любые изменения, которые могли бы повлиять на СМИБ;

i) рекомендации по улучшению.

7.3. Выходные данные анализа системы менеджмента информационной безопасности

Выходные данные анализа СМИБ со стороны руководства должны включать в себя все решения и действия, направленные:

a) на повышение результативности СМИБ;

b) на обновление планов оценки и обработки рисков;

c) на модификацию процедур и мер управления и контроля, влияющих на ИБ, с целью обеспечить реагирование на внутренние или внешние события, которые могут оказать воздействие на СМИБ, включая изменения:

1) в бизнес-требованиях;

2) в требованиях безопасности;

3) в бизнес-процессах, влияющих на существующие бизнес-требования;

4) в законах и нормативных документах;

5) в договорных обязательствах;

6) в уровнях риска и/или критериев принятия риска;

d) на потребности в ресурсах;

e) на совершенствование способов оценки результативности мер управления.