Структура стандарта

Требования к данной системе предъявляет международный стандарт ISO 27001:2005, в соответствии с которым СМИБ должна базироваться на следующих ключевых компонентах:

Требования, установленные в стандарте ISO 27001, являются общими и предназначены для применения ко всем организациям, независимо от их типа, размера или особенностей. Стандарт ISO 27001 обеспечивает:

· определение целей и представление о направлении и принципах деятельности относительно информационной безопасности;

· определение подходов к оценке и управлению рисками в организации;

· управление информационной безопасностью в соответствии с применимым законодательством и нормативными требованиями;

· использование процессного подхода при создании, внедрении, эксплуатации, мониторинге, анализе, поддержке и совершенствовании системы менеджмента с тем, чтобы цели в области информационной безопасности были достигнуты;

· определение процессов системы менеджмента информационной безопасности;

· определение статуса мероприятий по обеспечению информационной безопасности;

· использование внутренних и внешних аудитов для определения степени соответствия системы менеджмента информационной безопасности требованиям стандарта;

· предоставление адекватной информации партнерам и другим заинтересованным сторонам о политике информационной безопасности.

В Республике Беларусь с 1 января 2012 года введен государственный стандарт СТБ ISO/IEC 27001-2011 «Информационные технологии. Методы обеспечения безопасности. Системы менеджмента информационной безопасности. Требования», который является идентичным указанному выше международному стандарту. Он устанавливает требования к разработке, внедрению, обеспечению функционирования, мониторингу, анализу, поддержке и улучшению системы менеджмента информационной безопасности в контексте общих бизнес-рисков организации, связанных с информационной безопасностью. Стандарт содержит требования к внедрению средств управления безопасностью с учетом потребностей конкретных организаций, целей, которые они перед собой ставят в области информационной безопасности, а также имеющихся ресурсов.