Управление Информационной Безопасностью

Оценка

Существенное значение имеет независимая оценка реализации запланированных мероприятий. Та­кая оценка необходима для определения эффективности, ее выполнение также требуют заказчики и третьи стороны. Результаты подпроцесса оценки могут использоваться для корректировки согласо­ванных с заказчиком мер, а также для их реализации. По результатам оценки могут быть предложе­ны изменения, в случае чего формулируется Запрос на изменения (RFC), направляемый в Процесс Управления Изменениями.

Существует три вида оценки:

• самостоятельная оценка: проводится в первую очередь линейными подразделениями организации;

• внутренний аудит: проводится внутренними ИТ-аудиторами;

• внешний аудит: проводится внешними ИТ-аудиторами.

В отличие от самостоятельной оценки аудит не проводится тем же персоналом, который участвует в других подпроцессах. Это необходимо для обеспечения разделения ответственностей. Аудит может проводиться отделом внутреннего аудита.

Оценка также проводится как ответное действие в случае возникновения инцидентов.

Основными видами деятельности являются:

• проверка соответствия политике безопасности и реализация Планов по безопасности;

• проведение аудита безопасности ИТ-систем;

• определение и принятие мер несоответствующего использования ИТ-ресурсов;

• проверка аспектов безопасности в других видах ИТ-аудита.