---
title: "\"ГОСТ Р ИСО/МЭК 27001-2021. Национальный стандарт Российской Федерации. Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования\""
number: "ГОСТ Р ИСО/МЭК 27001-2021"
issuer: "Федеральное агентство по техническому регулированию и метрологии"
status: действует
canonical: "https://bukva.ai/docs/standart-gost-r-isomek-27001-2021"
---

## "ГОСТ Р ИСО/МЭК 27001-2021. Национальный стандарт Российской Федерации. Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования"

# "ГОСТ Р ИСО/МЭК 27001-2021. Национальный стандарт Российской Федерации. Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования"

(утв. и введен в действие Приказом Росстандарта от 30.11.2021 N 1653-ст)

> [!IMPORTANT]
> Документ [введен](#p100010) в действие с 01.01.2022.
> Взамен [ГОСТ Р ИСО/МЭК 27001-2006](https://bukva.ai/docs/standart-gost-r-isomek-27001-2006).

> [!NOTE]
> ИСТОРИЯ ИЗМЕНЕНИЙ НОРМАТИВНО-ТЕХНИЧЕСКИХ АКТОВ

```mermaid
flowchart LR
  n0["ГОСТ Р ИСО/МЭК 27001-2006"]:::rst
  click n0 "https://bukva.ai/docs/standart-gost-r-isomek-27001-2006" "ГОСТ Р ИСО/МЭК 27001-2006. Национальный стандарт Российской Федерации. Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента... (утв. и введен "
  n1["ГОСТ Р ИСО/МЭК 27001-2021"]:::doc
  click n1 "https://bukva.ai/docs/standart-gost-r-isomek-27001-2021" "ГОСТ Р ИСО/МЭК 27001-2021. Национальный стандарт Российской Федерации. Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной... "
  n0 --> n1
classDef rst fill:#FFEBEB,stroke:#8B0000,color:#000;
classDef doc fill:#EBFFEB,stroke:#006400,color:#000;
classDef notEnt fill:#FFFFEB,stroke:#FF8C00,color:#000;
```


<a id="p100001"></a>Утвержден и введен в действие

<div align="right">

Приказом Федерального агентства<br>
по техническому регулированию<br>
и метрологии<br>
от 30 ноября 2021 г. N 1653-ст

<a id="p100002"></a>НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

</div>


<a id="p100003"></a>ИНФОРМАЦИОННАЯ ТЕХНОЛОГИЯ

<div align="center">

<a id="p100004"></a>**МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ**

<a id="p100005"></a>**СИСТЕМЫ МЕНЕДЖМЕНТА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ.**<br>
**ТРЕБОВАНИЯ**

<a id="p100006"></a>**Information technology. Security techniques. Information**<br>
**security management systems. Requirements**

<a id="p100007"></a>**(ISO/IEC 27001:2013, IDT)**

<a id="p100008"></a>**ГОСТ Р ИСО/МЭК 27001-2021**

<a id="p100009"></a>**ОКС 35.040**

<a id="p100010"></a>**Дата введения**<br>
**1 января 2022 года**

</div>



### <a id="p100011"></a>Предисловие


<a id="p100012"></a>1 ПОДГОТОВЛЕН Федеральной службой по техническому и экспортному контролю (ФСТЭК России), Открытым акционерным обществом "Информационные технологии и коммуникационные системы" (ОАО "ИнфоТеКС") и Федеральным автономным учреждением "Государственный научно-исследовательский испытательный институт проблем технической защиты информации Федеральной службы по техническому и экспортному контролю" (ФАУ "ГНИИИ ПТЗИ ФСТЭК России") на основе официального перевода на русский язык англоязычной версии указанного в [пункте 4](#p100015) стандарта, который выполнен ФГБУ "РСТ"

<div align="right">

<a id="p100013"></a>2 ВНЕСЕН Техническим комитетом по стандартизации ТК 362 "Защита информации"

</div>

<a id="p100014"></a>3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 30 ноября 2021 г. N 1653-ст
<a id="p100015"></a>4 Настоящий стандарт идентичен международному стандарту ИСО/МЭК 27001:2013 "Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования" (ISO/IEC 27001:2013 "Information technology - Security techniques - Information security management systems - Requirements", IDT), включая технические поправки: Cor. 1:2014; Cor. 2:2015.
<a id="p100016"></a>При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты, сведения о которых приведены в дополнительном [приложении ДА](#p100817).

<div align="right">

<a id="p100017"></a>Дополнительные сноски в тексте стандарта, выделенные курсивом, приведены для пояснения текста оригинала<br>
<a id="p100018"></a>5 ВЗАМЕН [ГОСТ Р ИСО/МЭК 27001-2006](https://bukva.ai/docs/standart-gost-r-isomek-27001-2006)

</div>


<a id="p100019"></a>Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. N 162-ФЗ "О стандартизации в Российской Федерации". Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе "Национальные стандарты", а официальный текст изменений и поправок - в ежемесячном информационном указателе "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.rst.gov.ru)


### <a id="p100020"></a>Введение


<a id="p100021"></a>Настоящий стандарт подготовлен с целью установления требований по созданию, внедрению, поддержке и постоянному улучшению системы менеджмента информационной безопасности. Решение о внедрении системы менеджмента информационной безопасности является стратегическим решением организации. На то, в каком виде в организации будет создана и внедрена система менеджмента информационной безопасности, влияют потребности и цели деятельности организации, требования безопасности, реализуемые организацией процессы деятельности, а также размеры и структура организации. Предполагается, что все указанные факторы влияния изменяются со временем.
<a id="p100022"></a>Система менеджмента информационной безопасности сохраняет конфиденциальность, целостность и доступность информации за счет применения процесса управления рисками и дает заинтересованным сторонам <1> уверенность в том, что риски надлежащим образом управляются.

<a id="p100023"></a>

---

<a id="p100024"></a><1> Заинтересованная сторона (interested party) - лицо или организация, которые могут воздействовать на осуществление деятельности или принятие решения, быть подверженными их воздействию или воспринимать себя в качестве последних (см. ГОСТ Р ИСО 9000-2015, пункт 3.2.3).

<a id="p100025"></a>Важно, чтобы система менеджмента информационной безопасности организации составляла часть процессов и структуры управления организации и была интегрирована с ними. Также важно, чтобы информационная безопасность учитывалась при проектировании процессов, информационных систем и средств управления. Предполагается, что система менеджмента информационной безопасности будет адаптироваться к потребностям организации.
<a id="p100026"></a>Настоящий стандарт может быть использован заинтересованными сторонами для оценки способности организации соответствовать собственным требованиям к информационной безопасности.
<a id="p100027"></a>Порядок представления требований в настоящем стандарте не отражает их значимость и последовательность, в соответствии с которыми они должны быть реализованы. Нумерация требований приведена только для ссылочных целей.
<a id="p100028"></a>Обзор и терминология систем менеджмента информационной безопасности со ссылками на семейство стандартов системы менеджмента информационной безопасности (включая ИСО/МЭК 27003 [[2]](#p100831), ИСО/МЭК 27004 [[3]](#p100834) и ИСО/МЭК 27005 [[4]](#p100837)), содержащих соответствующие термины и определения, представлены в ИСО/МЭК 27000.
<a id="p100029"></a>Настоящий стандарт использует высокоуровневую структуру, идентичные названия подразделов, идентичный текст, общие термины и основные определения, приведенные в приложении SL документа "Директивы ИСО/МЭК, часть 1" [[6]](#p100843), и соответственно поддерживает совместимость с другими стандартами по системам менеджмента, соответствующим приложению SL.
<a id="p100030"></a>Общий подход, определенный в приложении SL, будет полезен для тех организаций, которые решили использовать единую систему менеджмента, отвечающую требованиям двух и более стандартов по системам менеджмента.


### <a id="p100031"></a>1 Область применения


<a id="p100032"></a>Настоящий стандарт устанавливает общие требования по созданию, внедрению, поддержке и постоянному улучшению системы менеджмента информационной безопасности в контексте деятельности организации. Настоящий стандарт также содержит требования по оценке и обработке рисков информационной безопасности с учетом потребностей организации. Изложенные в настоящем стандарте требования являются обобщенными и предназначены для применения во всех организациях независимо от их типа, размера, структуры и сферы деятельности. Исключение любого из требований, указанных в [разделах 4](#p100038) - [10](#p100250), не допускается, если организация заявляет о соответствии данному стандарту.


### <a id="p100033"></a>2 Нормативные ссылки


<a id="p100034"></a>В настоящем стандарте использованы нормативные ссылки на следующие стандарты [для датированных ссылок применяют только указанное издание ссылочного стандарта, для недатированных - последнее издание (включая все изменения)]:
<a id="p100035"></a>ISO/IEC 27000, Information technology - Security techniques - Information security management systems - Overview and vocabulary (Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Обзор и терминология)


### <a id="p100036"></a>3 Термины и определения


<a id="p100037"></a>В настоящем стандарте применяются термины и определения, приведенные в ИСО/МЭК 27000.


### <a id="p100038"></a>4 Контекст деятельности организации



#### <a id="p100039"></a>4.1 Понимание внутренних и внешних факторов деятельности организации

<a id="p100040"></a>**В организации должны быть определены внешние и внутренние факторы, имеющие отношение к деятельности организации и оказывающие влияние на ее способность достигать ожидаемого(ых) результата(ов) от системы менеджмента информационной безопасности.**
<a id="p100041"></a>**Примечание - Определение этих факторов относится к установлению внутреннего и внешнего контекста организации, рассматриваемого в ИСО 31000:2009 [[5]](#p100840) (подраздел 5.3).**


#### <a id="p100042"></a>4.2 Понимание потребностей и ожиданий заинтересованных сторон

<a id="p100043"></a>Организация должна определить:
<a id="p100044"></a>a) заинтересованные стороны, имеющие отношение к системе менеджмента информационной безопасности;
<a id="p100045"></a>b) требования этих заинтересованных сторон к информационной безопасности.
<a id="p100046"></a>**Примечание - Требования заинтересованных сторон могут включать правовые и нормативные требования и договорные обязательства.**


#### <a id="p100047"></a>4.3 Определение области действия системы менеджмента информационной безопасности

<a id="p100048"></a>Для установления области действия системы менеджмента информационной безопасности организация должна определить применимость системы менеджмента информационной безопасности и ее границы.
<a id="p100049"></a>При определении области действия системы менеджмента информационной безопасности необходимо учитывать:
<a id="p100050"></a>a) внутренние и внешние факторы, указанные в [4.1](#p100039);
<a id="p100051"></a>b) требования, приведенные в [4.2](#p100042);
<a id="p100052"></a>**c) порядок взаимодействия и зависимости между деятельностью данной организации и деятельностью других организаций.**
<a id="p100053"></a>Область действия системы менеджмента информационной безопасности должна быть доступна в виде документированной информации.

#### <a id="p100054"></a>4.4 Система менеджмента информационной безопасности

<a id="p100055"></a>Создание, внедрение, поддержку и постоянное улучшение системы менеджмента информационной безопасности организация должна проводить в соответствии с требованиями настоящего стандарта.


### <a id="p100056"></a>5 Руководство



#### <a id="p100057"></a>5.1 Лидерство и приверженность

<a id="p100058"></a>**Высшее руководство организации должно демонстрировать свое лидерство и приверженность в отношении системы менеджмента информационной безопасности:**
<a id="p100059"></a>a) установлением политики и целей информационной безопасности, совместимых со стратегическим направлением развития организации;
<a id="p100060"></a>b) интеграцией требований системы менеджмента информационной безопасности в процессы организации;
<a id="p100061"></a>c) доступностью ресурсов, необходимых для системы менеджмента информационной безопасности;
<a id="p100062"></a>**d) декларированием важности обеспечения эффективного менеджмента информационной безопасностью и соответствия требованиям системы менеджмента информационной безопасности;**
<a id="p100063"></a>**e) достижением системой менеджмента информационной безопасности ожидаемых результатов;**
<a id="p100064"></a>**f) направляя и поддерживая лиц, способствующих повышению результативности системы менеджмента информационной безопасности;**
<a id="p100065"></a>g) постоянным улучшением системы менеджмента информационной безопасности;
<a id="p100066"></a>h) поддержкой других руководителей в реализации их ведущих ролей в рамках зон их ответственности.

#### <a id="p100067"></a>5.2 Политика

<a id="p100068"></a>Высшее руководство организации должно установить политику информационной безопасности, которая:
<a id="p100069"></a>a) соответствует целям деятельности организации;
<a id="p100070"></a>b) содержит цели информационной безопасности (см. [6.2](#p100135)) или обеспечивает основу для их установления;
<a id="p100071"></a>c) содержит обязательство соответствовать применимым требованиям, относящимся к информационной безопасности;
<a id="p100072"></a>**d) содержит обязательство постоянно улучшать систему менеджмента информационной безопасности.**
<a id="p100073"></a>**Политика информационной безопасности должна быть:**
<a id="p100074"></a>**e) доступна в виде документированной информации;**
<a id="p100075"></a>f) доведена до сведения работников организации;
<a id="p100076"></a>g) доступна заинтересованным сторонам.

#### <a id="p100077"></a>5.3 Роли, обязанности и полномочия в организации

<a id="p100078"></a>Высшее руководство организации должно обеспечить назначение обязанностей и полномочий для ролей, имеющих отношение к обеспечению информационной безопасности, и доведение этих обязанностей и полномочий до всех заинтересованных сторон.
<a id="p100079"></a>Высшее руководство должно назначать обязанности и полномочия:
<a id="p100080"></a>a) для обеспечения уверенности в соответствии системы менеджмента информационной безопасности организации требованиям настоящего стандарта;
<a id="p100081"></a>b) представления отчетности о функционировании системы менеджмента информационной безопасности высшему руководству.
<a id="p100082"></a>*Примечание* - Высшее руководство также может устанавливать обязанности и полномочия для представления отчетности о функционировании системы менеджмента информационной безопасности в рамках организации.


### <a id="p100083"></a>6 Планирование



#### <a id="p100084"></a>6.1 Действия по рассмотрению рисков и возможностей


##### <a id="p100085"></a>6.1.1 Общие положения

<a id="p100086"></a>При планировании системы менеджмента информационной безопасности организация должна учитывать факторы, указанные в [4.1](#p100039), и требования, приведенные в [4.2](#p100042), а также определять подлежащие рассмотрению риски информационной безопасности и возможности организации для:
<a id="p100087"></a>a) обеспечения уверенности в том, что система менеджмента информационной безопасности способна достичь намеченных результатов;
<a id="p100088"></a>**b) предотвращения или уменьшения нежелательных последствий <1>;**

<a id="p100089"></a>

---

<a id="p100090"></a>**<1> Например, реализации рисков информационной безопасности.**

<a id="p100091"></a>c) обеспечения постоянного улучшения <2>.

<a id="p100092"></a>

---

<a id="p100093"></a><2> Например, уровня информационной безопасности.

<a id="p100094"></a>**Организация должна планировать:**
<a id="p100095"></a>**d) действия по рассмотрению данных рисков и возможностей;**
<a id="p100096"></a>**e) каким образом:**
1) <a id="p100097"></a>интегрировать и внедрять эти действия в процессы системы менеджмента информационной безопасности;
2) <a id="p100098"></a>оценивать результативность этих действий.

##### <a id="p100099"></a>6.1.2 Оценка рисков информационной безопасности

<a id="p100100"></a>Организация должна определить и внедрить процесс оценки рисков информационной безопасности, который позволяет:
<a id="p100101"></a>a) устанавливать и поддерживать критерии рисков информационной безопасности, включая:
1) <a id="p100102"></a>критерии принятия рисков информационной безопасности;
2) <a id="p100103"></a>критерии для проведения оценки рисков информационной безопасности;
<a id="p100104"></a>b) обеспечивать уверенность в том, что повторные оценки рисков информационной безопасности дают непротиворечивые, достоверные и сопоставимые результаты;
<a id="p100105"></a>c) идентифицировать риски информационной безопасности, т.е.:
1) <a id="p100106"></a>применять процесс оценки рисков информационной безопасности для идентификации рисков, связанных с нарушением конфиденциальности, целостности и доступности информации в рамках области действия системы менеджмента информационной безопасности;
<a id="p100107"></a>**2) идентифицировать владельцев рисков информационной безопасности;**
<a id="p100108"></a>**d) проводить анализ рисков информационной безопасности, т.е.:**
<a id="p100109"></a>**1) оценивать потенциальные последствия, которые могут произойти в результате реализации рисков информационной безопасности, идентифицированных в соответствии с [6.1.2 c) 1)](#p100106);**
2) <a id="p100110"></a>оценивать реальную вероятность реализации рисков информационной безопасности, идентифицированных в соответствии с [6.1.2 c) 1)](#p100106);
3) <a id="p100111"></a>определять уровни рисков информационной безопасности;
<a id="p100112"></a>e) оценивать риски информационной безопасности, т.е.:
1) <a id="p100113"></a>сравнивать результаты анализа рисков информационной безопасности с критериями рисков, установленными в соответствии с [6.1.2 a)](#p100101);
2) <a id="p100114"></a>определять приоритетность обработки проанализированных рисков информационной безопасности.
<a id="p100115"></a>Организация должна хранить документированную информацию о процессе оценки рисков информационной безопасности.

##### <a id="p100116"></a>6.1.3 Обработка рисков информационной безопасности

<a id="p100117"></a>Организация должна определить и применять процесс обработки рисков информационной безопасности:
<a id="p100118"></a>a) для выбора подходящих вариантов обработки рисков информационной безопасности, учитывая результаты оценки рисков информационной безопасности;
<a id="p100119"></a>b) определения всех мер и средств информационной безопасности, необходимых для реализации выбранного(ых) варианта(ов) обработки рисков информационной безопасности.
<a id="p100120"></a>*Примечание* - При необходимости организация может разрабатывать меры обеспечения информационной безопасности или взять их из любого источника;

<a id="p100121"></a>**c) сравнения мер и средств информационной безопасности, определенных в соответствии с [6.1.3 b)](#p100119), с указанными в [приложении A](#p100270) для проверки того, что никакие необходимые меры обеспечения информационной безопасности не были упущены.**
<a id="p100122"></a>**Примечание 1 - [Приложение A](#p100270) содержит базовый перечень мер и средств информационной безопасности и целей их применения. Пользователям настоящего стандарта следует обращаться к [приложению A](#p100270) для обеспечения уверенности в том, что никакие необходимые меры обеспечения информационной безопасности не были упущены.**
<a id="p100123"></a>**Примечание 2 - Цели применения мер и средств информационной безопасности неявным образом включены в выбранные меры обеспечения информационной безопасности. Приведенные в [приложении A](#p100270) меры обеспечения информационной безопасности и цели их применения не являются исчерпывающими, и организация может рассматривать необходимость дополнительных мер и средств информационной безопасности и целей их применения;**

<a id="p100124"></a>d) подготовки ведомости применимости мер и средств информационной безопасности, которая содержит <1>:

<a id="p100125"></a>

---

<a id="p100126"></a><1> [Пункт 6.1.3 d)](#p100124) приведен с учетом технической правки к ISO/IEC 27001:2013.

- <a id="p100127"></a>необходимые меры обеспечения информационной безопасности [см. [6.1.3 b)](#p100119) и [c)](#p100121)];
- <a id="p100128"></a>обоснования их применения;
<a id="p100129"></a>**- информацию о том, реализованы или нет необходимые меры обеспечения информационной безопасности;**
- <a id="p100130"></a>обоснования неприменения мер и средств информационной безопасности, представленных в [приложении A](#p100270);
<a id="p100131"></a>e) разработки плана обработки рисков информационной безопасности;
<a id="p100132"></a>**f) согласования и (или) утверждения плана обработки рисков информационной безопасности и принятия остаточных рисков информационной безопасности владельцами рисков.**
<a id="p100133"></a>**Организация должна хранить документированную информацию о процессе обработки рисков информационной безопасности.**
<a id="p100134"></a>**Примечание - Процесс оценки и обработки рисков информационной безопасности в настоящем стандарте согласуется с принципами и общими рекомендациями, представленными в ИСО 31000 [[5]](#p100840).**


#### <a id="p100135"></a>6.2 Цели информационной безопасности и планы по их достижению

<a id="p100136"></a>В организации должны быть установлены цели обеспечения информационной безопасности применительно к соответствующим функциям и уровням управления организацией.
<a id="p100137"></a>Цели информационной безопасности должны:
<a id="p100138"></a>a) быть согласованы с политикой информационной безопасности;
<a id="p100139"></a>b) быть измеримыми (если это практически возможно);
<a id="p100140"></a>c) учитывать применимые требования информационной безопасности и результаты оценки и обработки рисков информационной безопасности;
<a id="p100141"></a>d) быть доведены до сведения всех заинтересованных сторон;
<a id="p100142"></a>e) обновляться по мере необходимости.
<a id="p100143"></a>Организация должна хранить документированную информацию о целях информационной безопасности.
<a id="p100144"></a>При планировании способов достижения своих целей информационной безопасности организация должна определить:
<a id="p100145"></a>f) что должно быть сделано;
<a id="p100146"></a>g) какие ресурсы потребуются;
<a id="p100147"></a>h) кто будет нести ответственность;
<a id="p100148"></a>i) когда планируемое мероприятие будет завершено;
<a id="p100149"></a>j) как будут оцениваться результаты.


### <a id="p100150"></a>7 Обеспечение и поддержка



#### <a id="p100151"></a>7.1 Ресурсы

<a id="p100152"></a>Организация должна определить и обеспечить наличие ресурсов, необходимых для создания, внедрения, поддержки и постоянного улучшения системы менеджмента информационной безопасности.

#### <a id="p100153"></a>7.2 Квалификация

<a id="p100154"></a>Организация должна:
<a id="p100155"></a>a) определить необходимую квалификацию для лиц(а), выполняющих(его) работу под ее контролем, которая влияет на обеспечение ее информационной безопасности;
<a id="p100156"></a>b) убедиться, что квалификация этих лиц базируется на их приемлемом образовании, профессиональной подготовке (стажировке) или опыте работы;
<a id="p100157"></a>c) при необходимости принимать меры по получению необходимой квалификации и проводить оценивание результативности принятых мер;
<a id="p100158"></a>d) сохранять соответствующую документированную информацию в качестве свидетельств наличия необходимой квалификации.
<a id="p100159"></a>*Примечание* - Применяемые меры могут включать, например, проведение тренинга, наставничество или перераспределение обязанностей среди имеющихся работников, а также наем или привлечение к работам по контракту лиц, имеющих необходимую квалификацию.


#### <a id="p100160"></a>7.3 Осведомленность

<a id="p100161"></a>Лица, выполняющие работу под контролем организации, должны быть осведомлены:
<a id="p100162"></a>a) о политике информационной безопасности организации;
<a id="p100163"></a>b) их вкладе в обеспечение результативности системы менеджмента информационной безопасности, включая пользу от улучшения деятельности по обеспечению информационной безопасности;
<a id="p100164"></a>c) последствиях несоблюдения требований системы менеджмента информационной безопасности.

#### <a id="p100165"></a>7.4 Взаимодействие

<a id="p100166"></a>В организации должна быть определена необходимость во взаимодействии внутри организации и с внешними сторонами по вопросам, имеющим отношение к системе менеджмента информационной безопасности, включая следующие:
<a id="p100167"></a>a) предмет взаимодействия;
<a id="p100168"></a>b) когда взаимодействовать;
<a id="p100169"></a>c) с кем взаимодействовать;
<a id="p100170"></a>d) кто должен взаимодействовать;
<a id="p100171"></a>e) процедуры осуществления взаимодействия.

#### <a id="p100172"></a>7.5 Документированная информация


##### <a id="p100173"></a>7.5.1 Общие положения

<a id="p100174"></a>Система менеджмента информационной безопасности организации должна включать:
<a id="p100175"></a>a) документированную информацию, требуемую в соответствии с настоящим стандартом;
<a id="p100176"></a>b) документированную информацию, определяемую организацией как необходимую для обеспечения результативности системы менеджмента информационной безопасности.
<a id="p100177"></a>*Примечание* - Объем документированной информации, относящейся к системе менеджмента информационной безопасности, в разных организациях может быть различным, в зависимости:
<a id="p100178"></a>a) от размеров организации и вида ее деятельности, процессов, продуктов и услуг;
<a id="p100179"></a>b) сложности процессов и их взаимодействия;
<a id="p100180"></a>c) квалификации персонала.


##### <a id="p100181"></a>7.5.2 Создание и обновление документированной информации

<a id="p100182"></a>При создании и обновлении документированной информации организация должна обеспечить надлежащие:
<a id="p100183"></a>a) идентификацию и описание (например, наименование, дата, автор или номер для ссылок);
<a id="p100184"></a>b) формат (например, язык, версия программного обеспечения, графика) и носитель информации (например, бумажный, электронный);
<a id="p100185"></a>c) проверку и подтверждение ее пригодности и адекватности.

##### <a id="p100186"></a>7.5.3 Управление документированной информацией

<a id="p100187"></a>Требуется осуществлять управление документированной информацией, необходимой для системы менеджмента информационной безопасности и указанной в настоящем стандарте, с целью обеспечения ее:
<a id="p100188"></a>a) доступности и пригодности для использования, когда и где это необходимо;
<a id="p100189"></a>**b) надлежащей защиты (например, от нарушения конфиденциальности, ненадлежащего использования или нарушения целостности).**
<a id="p100190"></a>Для управления документированной информацией организация должна осуществлять следующие (если это применимо) действия по отношению к ней:
<a id="p100191"></a>c) распространение, обеспечение доступа, поиска и использования;
<a id="p100192"></a>d) хранение и обеспечение сохранности, включая сохранение разборчивости;
<a id="p100193"></a>e) управление изменениями (например, управление версиями);
<a id="p100194"></a>f) архивное хранение и уничтожение.
<a id="p100195"></a>Организация должна идентифицировать и управлять необходимой для осуществления планирования и функционирования системы менеджмента информационной безопасности документированной информацией из внешних источников.
<a id="p100196"></a>*Примечание* - Доступ к документированной информации предполагает либо наличие полномочий только на ее просмотр, либо на просмотр и внесение изменений в документированную информацию, а также другие действия.


### <a id="p100197"></a>8 Функционирование



#### <a id="p100198"></a>8.1 Оперативное планирование и контроль

<a id="p100199"></a>Организация должна планировать, реализовывать и контролировать процессы, необходимые для соответствия требованиям информационной безопасности и для осуществления действий, определенных в [6.1](#p100084). Организация должна также реализовывать планы по достижению целей информационной безопасности, определенных в соответствии с [6.2](#p100135).
<a id="p100200"></a>Организация должна хранить документированную информацию в объеме, необходимом для обеспечения уверенности в том, что процессы были выполнены в соответствии с планами.
<a id="p100201"></a>В организации необходимо управлять запланированными изменениями системы менеджмента информационной безопасности и анализировать последствия незапланированных изменений, принимая при необходимости меры по снижению любых неблагоприятных последствий.
<a id="p100202"></a>Процессы организации, осуществляемые с использованием аутсорсинга <1>, должны быть определены и проконтролированы.

<a id="p100203"></a>

---

<a id="p100204"></a><1> Аутсорсинг - передача одним юридическим лицом (контрактором) другому юридическому лицу (субконтрактору) работ или услуг и принятие их к выполнению этим другим юридическим лицом (субконтрактором) на основании договора (см. Решение Совета Евразийской экономической комиссии от 21 декабря 2016 г. N 143 "О Концепции создания евразийской сети промышленной кооперации и субконтрактации").


#### <a id="p100205"></a>8.2 Оценка рисков информационной безопасности

<a id="p100206"></a>**Организация должна проводить оценку рисков информационной безопасности через запланированные интервалы времени или в случае предполагаемых или произошедших существенных изменений, учитывая критерии рисков информационной безопасности, установленные в соответствии с [6.1.2 a)](#p100101).**
<a id="p100207"></a>**Организация должна хранить документированную информацию о результатах проведенных оценок рисков информационной безопасности.**

#### <a id="p100208"></a>8.3 Обработка рисков информационной безопасности

<a id="p100209"></a>Организация должна реализовать план обработки рисков информационной безопасности.
<a id="p100210"></a>Организация должна хранить документированную информацию о результатах обработки рисков информационной безопасности.


### <a id="p100211"></a>9 Оценивание исполнения



#### <a id="p100212"></a>9.1 Мониторинг, оценка защищенности, анализ и оценивание

<a id="p100213"></a>Организация должна оценивать деятельность по обеспечению информационной безопасности, а также результативность системы менеджмента информационной безопасности.
<a id="p100214"></a>Организация должна определить:
<a id="p100215"></a>**a) объекты мониторинга и оценки защищенности, включая процессы, меры обеспечения информационной безопасности;**
<a id="p100216"></a>**b) методы проведения мониторинга, оценки защищенности, анализа и оценивания, обеспечивающие уверенность в достоверности результатов.**
<a id="p100217"></a>**Примечание - Допустимыми признаются методы, дающие сопоставимые и воспроизводимые результаты;**

<a id="p100218"></a>c) когда проводить мониторинг и оценку защищенности;
<a id="p100219"></a>d) кто должен осуществлять мониторинг и оценку защищенности;
<a id="p100220"></a>e) когда анализировать результаты мониторинга и оценки защищенности;
<a id="p100221"></a>f) кто должен осуществлять анализ и оценивание этих результатов.
<a id="p100222"></a>Организация должна хранить соответствующую документированную информацию в качестве свидетельства результатов мониторинга и оценки защищенности.

#### <a id="p100223"></a>9.2 Внутренний аудит

<a id="p100224"></a>Организация должна через запланированные интервалы времени проводить внутренние аудиты с целью определения, насколько система менеджмента информационной безопасности:
<a id="p100225"></a>**a) соответствует:**
<a id="p100226"></a>**1) собственным требованиям организации к системе менеджмента информационной безопасности;**
<a id="p100227"></a>**2) требованиям настоящего стандарта;**
<a id="p100228"></a>b) эффективно реализована и поддерживается.
<a id="p100229"></a>Организация должна:
<a id="p100230"></a>c) планировать, разрабатывать, реализовывать и поддерживать программу(ы) аудита, включая определение периодичности и методов проведения аудита, ответственность, требования к планированию и предоставление отчетности аудита. Программа(ы) аудита должна(ы) учитывать значимость проверяемых процессов и результаты предыдущих аудитов;
<a id="p100231"></a>d) определять критерии и область проведения каждого аудита;
<a id="p100232"></a>**e) выбирать аудиторов и сопровождать проведение аудитов для обеспечения уверенности в объективности и беспристрастности процесса аудита;**
<a id="p100233"></a>**f) обеспечивать предоставление результатов аудитов соответствующим руководителям организации;**
<a id="p100234"></a>g) хранить документированную информацию в качестве свидетельств реализации программ(ы) аудита и результатов аудита.

#### <a id="p100235"></a>9.3 Проверка со стороны руководства

<a id="p100236"></a>Высшее руководство должно проводить проверку системы менеджмента информационной безопасности через запланированные интервалы времени в целях обеспечения уверенности в сохраняющейся ее приемлемости, адекватности и результативности.
<a id="p100237"></a>Проверка со стороны руководства должна включать рассмотрение:
<a id="p100238"></a>a) состояния выполнения решений по результатам предыдущих проверок со стороны руководства;
<a id="p100239"></a>b) изменений внешних и внутренних факторов, касающихся системы менеджмента информационной безопасности;
<a id="p100240"></a>c) отзывов о результатах деятельности по обеспечению информационной безопасности, включая тенденции:
1) <a id="p100241"></a>в выявлении несоответствий и применении корректирующих действий;
<a id="p100242"></a>**2) результатах мониторинга и оценки защищенности;**
<a id="p100243"></a>**3) результатах аудита;**
<a id="p100244"></a>**4) достижении целей информационной безопасности;**
<a id="p100245"></a>d) отзывов от заинтересованных сторон;
<a id="p100246"></a>e) результатов оценки рисков информационной безопасности и статуса выполнения плана обработки рисков информационной безопасности;
<a id="p100247"></a>f) возможностей для постоянного улучшения системы менеджмента информационной безопасности.
<a id="p100248"></a>Результаты проверки со стороны руководства должны включать решения, относящиеся к возможностям постоянного улучшения и к необходимости внесения любых изменений в систему менеджмента информационной безопасности организации.
<a id="p100249"></a>Организация должна хранить документированную информацию в качестве свидетельства результатов проверок со стороны руководства.


### <a id="p100250"></a>10 Улучшение



#### <a id="p100251"></a>10.1 Несоответствие и корректирующие действия

<a id="p100252"></a>При появлении несоответствия организация должна:
<a id="p100253"></a>a) реагировать на несоответствие и, если применимо:
1) <a id="p100254"></a>предпринять необходимые действия, чтобы контролировать и устранить его;
2) <a id="p100255"></a>устранять последствия несоответствия;
<a id="p100256"></a>b) оценивать необходимость корректирующих действий по устранению причин несоответствия, чтобы избежать его повторения или появления в другом месте посредством:
1) <a id="p100257"></a>анализа несоответствия;
2) <a id="p100258"></a>определения причин появления несоответствия;
3) <a id="p100259"></a>определения наличия подобных несоответствий или потенциальных(ой) возможностей(и) их возникновения;
<a id="p100260"></a>c) выполнять необходимые корректирующие действия;
<a id="p100261"></a>d) анализировать результативность предпринятых корректирующих действий;
<a id="p100262"></a>e) вносить при необходимости изменения в систему менеджмента информационной безопасности.
<a id="p100263"></a>Корректирующие действия должны быть адекватны последствиям выявленных несоответствий.
<a id="p100264"></a>Организация должна хранить документированную информацию в качестве свидетельства:
<a id="p100265"></a>f) о характере несоответствий и любых последующих предпринимаемых действиях;
<a id="p100266"></a>g) результатах любых корректирующих действий.

#### <a id="p100267"></a>10.2 Постоянное улучшение

<a id="p100268"></a>Организация должна постоянно улучшать приемлемость, адекватность и результативность системы менеджмента информационной безопасности.





<a id="p100269"></a>**Приложение A**
**(обязательное)**

<a id="p100270"></a>МЕРЫ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
И ЦЕЛИ ИХ ПРИМЕНЕНИЯ

<a id="p100271"></a>**Перечисленные в [таблице A.1](#p100273) цели, а также меры обеспечения информационной безопасности непосредственно заимствованы и полностью соответствуют целям, мерам и средствам информационной безопасности, приведенным в ИСО/МЭК 27002:2013 [[1]](#p100828) (разделы 5 - 18), и должны быть использованы, как определено в [6.1.3](#p100116).**

<a id="p100272"></a>**Таблица A.1**

<a id="p100273"></a>Меры обеспечения информационной безопасности
и цели их применения


<table>
<colgroup><col width="11%"><col width="26%"><col width="63%"></colgroup>
<tr><td colspan="3"><a id="p100274"></a>A.5 Политики информационной безопасности</td></tr>
<tr><td colspan="3"><a id="p100275"></a><a id="p100276"></a>A.5.1 Руководящие указания в части информационной безопасности<br>Цель: обеспечить управление и поддержку высшим руководством информационной безопасности в соответствии с требованиями бизнеса, соответствующих законов и нормативных актов</td></tr>
<tr><td><a id="p100277"></a>A.5.1.1</td><td><a id="p100278"></a>Политики информационной безопасности</td><td><a id="p100279"></a><a id="p100280"></a>Мера обеспечения информационной безопасности<br>Совокупность политик информационной безопасности должна быть определена, утверждена руководством, опубликована и доведена до сведения всех работников организации и соответствующих внешних сторон</td></tr>
<tr><td><a id="p100281"></a>A.5.1.2</td><td><a id="p100282"></a>Пересмотр политик информационной безопасности</td><td><a id="p100283"></a><a id="p100284"></a>Мера обеспечения информационной безопасности<br>Политики информационной безопасности должны пересматриваться через запланированные интервалы времени или в случае происходящих существенных изменений для обеспечения уверенности в сохранении их приемлемости, адекватности и результативности</td></tr>
<tr><td colspan="3"><a id="p100285"></a>A.6 Организация деятельности по информационной безопасности</td></tr>
<tr><td colspan="3"><a id="p100286"></a><a id="p100287"></a>A.6.1 Внутренняя организация деятельности по обеспечению информационной безопасности<br>Цель: создать структуру органов управления для инициирования и контроля внедрения и функционирования информационной безопасности в организации</td></tr>
<tr><td><a id="p100288"></a>A.6.1.1</td><td><a id="p100289"></a>Роли и обязанности по обеспечению информационной безопасности</td><td><a id="p100290"></a><a id="p100291"></a>Мера обеспечения информационной безопасности<br>Все обязанности по обеспечению информационной безопасности должны быть определены и распределены</td></tr>
<tr><td><a id="p100292"></a>A.6.1.2</td><td><a id="p100293"></a>Разделение обязанностей</td><td><a id="p100294"></a><a id="p100295"></a>Мера обеспечения информационной безопасности<br>Пересекающиеся обязанности и зоны ответственности должны быть разделены для уменьшения возможности несанкционированного или непреднамеренного изменения или нецелевого использования активов организации</td></tr>
<tr><td><a id="p100296"></a>A.6.1.3</td><td><a id="p100297"></a>Контакт с органами власти</td><td><a id="p100298"></a><a id="p100299"></a>Мера обеспечения информационной безопасности<br>Следует поддерживать соответствующие контакты с уполномоченными органами</td></tr>
<tr><td><a id="p100300"></a>A.6.1.4</td><td><a id="p100301"></a>Взаимодействие с заинтересованными профессиональными группами</td><td><a id="p100302"></a><a id="p100303"></a>Мера обеспечения информационной безопасности<br>Следует поддерживать соответствующее взаимодействие с заинтересованными профессиональными группами и ассоциациями или форумами, проводимыми специалистами по безопасности</td></tr>
<tr><td><a id="p100304"></a>A.6.1.5</td><td><a id="p100305"></a>Информационная безопасность при управлении проектом</td><td><a id="p100306"></a><a id="p100307"></a>Мера обеспечения информационной безопасности<br>Информационную безопасность следует рассматривать при управлении проектом независимо от типа проекта</td></tr>
<tr><td colspan="3"><a id="p100308"></a><a id="p100309"></a>A.6.2 Мобильные устройства и дистанционная работа<br>Цель: обеспечить безопасность при дистанционной работе и использовании мобильных устройств</td></tr>
<tr><td><a id="p100310"></a>A.6.2.1</td><td><a id="p100311"></a>Политика использования мобильных устройств</td><td><a id="p100312"></a><a id="p100313"></a>Мера обеспечения информационной безопасности<br>Следует определить политику и реализовать поддерживающие меры безопасности для управления рисками информационной безопасности, связанными с использованием мобильных устройств</td></tr>
<tr><td><a id="p100314"></a>A.6.2.2</td><td><a id="p100315"></a>Дистанционная работа</td><td><a id="p100316"></a><a id="p100317"></a>Мера обеспечения информационной безопасности<br>Следует определить политику и реализовать поддерживающие меры безопасности для защиты информации, доступ к которой, обработка или хранение осуществляются в местах дистанционной работы</td></tr>
<tr><td colspan="3"><a id="p100318"></a>A.7 Безопасность, связанная с персоналом</td></tr>
<tr><td colspan="3"><a id="p100319"></a><a id="p100320"></a>A.7.1 При приеме на работу<br>Цель: обеспечить уверенность в том, что работники и подрядчики понимают свои обязанности и подходят для роли, на которую они рассматриваются</td></tr>
<tr><td><a id="p100321"></a>A.7.1.1</td><td><a id="p100322"></a>Проверка</td><td><a id="p100323"></a><a id="p100324"></a>Мера обеспечения информационной безопасности<br>Проверку всех кандидатов при приеме на работу следует осуществлять согласно соответствующим законам, правилам и этическим нормам. Проверка должна быть соразмерна требованиям бизнеса, категории информации, которая будет доступна, и предполагаемым рискам информационной безопасности</td></tr>
<tr><td><a id="p100325"></a>A.7.1.2</td><td><a id="p100326"></a>Правила и условия работы</td><td><a id="p100327"></a><a id="p100328"></a>Мера обеспечения информационной безопасности<br>В договорных соглашениях с работниками и подрядчиками должны быть установлены их обязанности и обязанности организации по обеспечению информационной безопасности</td></tr>
<tr><td colspan="3"><a id="p100329"></a><a id="p100330"></a>A.7.2 Во время работы<br>Цель: обеспечить уверенность в том, что работники и подрядчики осведомлены о своих обязанностях в отношении информационной безопасности и выполняют их</td></tr>
<tr><td><a id="p100331"></a>A.7.2.1</td><td><a id="p100332"></a>Обязанности руководства организации</td><td><a id="p100333"></a><a id="p100334"></a>Мера обеспечения информационной безопасности<br>Руководство организации должно требовать от всех работников и подрядчиков соблюдения информационной безопасности в соответствии с установленными в организации политиками и процедурами</td></tr>
<tr><td><a id="p100335"></a>A.7.2.2</td><td><a id="p100336"></a>Осведомленность, обучение и практическая подготовка (тренинги) в области информационной безопасности</td><td><a id="p100337"></a><a id="p100338"></a>Мера обеспечения информационной безопасности<br>Все работники организации и при необходимости подрядчики должны быть надлежащим образом обучены, практически подготовлены и на регулярной основе осведомлены об обновлениях политик и процедур информационной безопасности организации, необходимых для выполнения их функциональных обязанностей</td></tr>
<tr><td><a id="p100339"></a>A.7.2.3</td><td><a id="p100340"></a>Дисциплинарный процесс</td><td><a id="p100341"></a><a id="p100342"></a>Мера обеспечения информационной безопасности<br>Должен существовать формализованный и доведенный до персонала дисциплинарный процесс по принятию мер в отношении работников, совершивших нарушение информационной безопасности</td></tr>
<tr><td colspan="3"><a id="p100343"></a><a id="p100344"></a>A.7.3 Увольнение и смена места работы<br>Цель: защита интересов организации при смене места работы или увольнении работника</td></tr>
<tr><td><a id="p100345"></a>A.7.3.1</td><td><a id="p100346"></a>Прекращение или изменение трудовых обязанностей</td><td><a id="p100347"></a><a id="p100348"></a>Мера обеспечения информационной безопасности<br>Ответственность и обязанности, относящиеся к информационной безопасности, которые сохраняются после увольнения или смены места работы, должны быть определены, доведены до сведения работника или подрядчика и оформлены юридически</td></tr>
<tr><td colspan="3"><a id="p100349"></a>A.8 Менеджмент активов</td></tr>
<tr><td colspan="3"><a id="p100350"></a><a id="p100351"></a>A.8.1 Ответственность за активы<br>Цель: идентификация активов организации и определение соответствующих обязанностей по их защите</td></tr>
<tr><td><a id="p100352"></a>A.8.1.1</td><td><a id="p100353"></a>Инвентаризация активов</td><td><a id="p100354"></a><a id="p100355"></a>Мера обеспечения информационной безопасности<br>Информация, средства обработки информации и другие активы, связанные с информацией, должны быть идентифицированы, а также должен быть составлен и поддерживаться в актуальном состоянии перечень этих активов <a href="#p100815">&lt;1&gt;</a></td></tr>
<tr><td><a id="p100356"></a>A.8.1.2</td><td><a id="p100357"></a>Владение активами</td><td><a id="p100358"></a><a id="p100359"></a>Мера обеспечения информационной безопасности<br>Для каждого актива, включенного в перечень инвентаризации, должен быть определен его владелец</td></tr>
<tr><td><a id="p100360"></a>A.8.1.3</td><td><a id="p100361"></a>Допустимое использование активов</td><td><a id="p100362"></a><a id="p100363"></a>Мера обеспечения информационной безопасности<br>Должны быть идентифицированы, документально оформлены и реализованы правила допустимого использования активов, включая информацию и средства ее обработки</td></tr>
<tr><td><a id="p100364"></a>A.8.1.4</td><td><a id="p100365"></a>Возврат активов</td><td><a id="p100366"></a><a id="p100367"></a>Мера обеспечения информационной безопасности<br>Все работники и внешние пользователи должны возвратить все активы организации, находящиеся в их пользовании, после увольнения, истечения срока действия договора или соглашения</td></tr>
<tr><td colspan="3"><a id="p100368"></a><a id="p100369"></a>A.8.2 Категорирование информации<br>Цель: обеспечить уверенность в том, что в отношении информации обеспечивается надлежащий уровень защиты в соответствии с ее значимостью для организации</td></tr>
<tr><td><a id="p100370"></a>A.8.2.1</td><td><a id="p100371"></a>Категорирование информации</td><td><a id="p100372"></a><a id="p100373"></a>Мера обеспечения информационной безопасности<br>Информация должна быть категорирована с точки зрения нормативных правовых требований, ценности, критичности и чувствительности к неавторизованному раскрытию или модификации</td></tr>
<tr><td><a id="p100374"></a>A.8.2.2</td><td><a id="p100375"></a>Маркировка информации</td><td><a id="p100376"></a><a id="p100377"></a>Мера обеспечения информационной безопасности<br>Должен быть разработан и реализован соответствующий набор процедур маркировки информации в соответствии с принятой в организации системой категорирования информации</td></tr>
<tr><td><a id="p100378"></a>A.8.2.3</td><td><a id="p100379"></a>Обращение с активами</td><td><a id="p100380"></a><a id="p100381"></a>Мера обеспечения информационной безопасности<br>Должны быть разработаны и реализованы процедуры обращения с активами в соответствии с принятой в организации системой категорирования информации</td></tr>
<tr><td colspan="3"><a id="p100382"></a><a id="p100383"></a>A.8.3 Обращение с носителями информации<br>Цель: предотвратить несанкционированное раскрытие, модификацию, удаление или уничтожение информации, хранящейся на носителях информации</td></tr>
<tr><td><a id="p100384"></a>A.8.3.1</td><td><a id="p100385"></a>Управление сменными носителями информации</td><td><a id="p100386"></a><a id="p100387"></a>Мера обеспечения информационной безопасности<br>Должны быть реализованы процедуры по управлению сменными носителями информации в соответствии с принятой в организации системой категорирования информации</td></tr>
<tr><td><a id="p100388"></a>A.8.3.2</td><td><a id="p100389"></a>Утилизация носителей информации</td><td><a id="p100390"></a><a id="p100391"></a>Мера обеспечения информационной безопасности<br>При выводе из эксплуатации носителей информации требуется их надежно и безопасно утилизировать, используя формализованные процедуры</td></tr>
<tr><td><a id="p100392"></a>A.8.3.3</td><td><a id="p100393"></a>Перемещение физических носителей</td><td><a id="p100394"></a><a id="p100395"></a>Мера обеспечения информационной безопасности<br>Во время транспортирования носители информации, содержащие информацию, должны быть защищены от несанкционированного доступа, ненадлежащего использования или повреждения</td></tr>
<tr><td colspan="3"><a id="p100396"></a>A.9 Управление доступом</td></tr>
<tr><td colspan="3"><a id="p100397"></a><a id="p100398"></a>A.9.1 Требования бизнеса по управлению доступом<br>Цель: ограничить доступ к информации и средствам ее обработки</td></tr>
<tr><td><a id="p100399"></a>A.9.1.1</td><td><a id="p100400"></a>Политика управления доступом</td><td><a id="p100401"></a><a id="p100402"></a>Мера обеспечения информационной безопасности<br>Политика управления доступом должна быть разработана, документирована и должна пересматриваться с учетом требований бизнеса и информационной безопасности</td></tr>
<tr><td><a id="p100403"></a>A.9.1.2</td><td><a id="p100404"></a>Доступ к сетям и сетевым сервисам</td><td><a id="p100405"></a><a id="p100406"></a>Мера обеспечения информационной безопасности<br>Пользователям следует предоставлять доступ только к тем сетям и сетевым сервисам, на использование которых они получили конкретное разрешение</td></tr>
<tr><td colspan="3"><a id="p100407"></a><a id="p100408"></a>A.9.2 Процесс управления доступом пользователей<br>Цель: обеспечить предоставление доступа уполномоченным пользователям и предотвратить несанкционированный доступ к системам и сервисам</td></tr>
<tr><td><a id="p100409"></a>A.9.2.1</td><td><a id="p100410"></a>Регистрация и отмена регистрации пользователей</td><td><a id="p100411"></a><a id="p100412"></a>Мера обеспечения информационной безопасности<br>Для назначения прав доступа должна быть реализована формализованная процедура регистрации и отмены регистрации пользователей</td></tr>
<tr><td><a id="p100413"></a>A.9.2.2</td><td><a id="p100414"></a>Предоставление пользователю права доступа</td><td><a id="p100415"></a><a id="p100416"></a>Мера обеспечения информационной безопасности<br>Должен быть реализован формализованный процесс назначения или отмены прав доступа пользователей к системам и сервисам</td></tr>
<tr><td><a id="p100417"></a>A.9.2.3</td><td><a id="p100418"></a>Управление привилегированными правами доступа</td><td><a id="p100419"></a><a id="p100420"></a>Мера обеспечения информационной безопасности<br>Распределение и использование привилегированных прав доступа следует ограничивать и контролировать</td></tr>
<tr><td><a id="p100421"></a>A.9.2.4</td><td><a id="p100422"></a>Процесс управления секретной аутентификационной информацией пользователей</td><td><a id="p100423"></a><a id="p100424"></a>Мера обеспечения информационной безопасности<br>Предоставление секретной аутентификационной информации должно контролироваться посредством формального процесса управления.</td></tr>
<tr><td><a id="p100425"></a>A.9.2.5</td><td><a id="p100426"></a>Пересмотр прав доступа пользователей</td><td><a id="p100427"></a><a id="p100428"></a>Мера обеспечения информационной безопасности<br>Владельцы активов должны регулярно пересматривать права доступа пользователей</td></tr>
<tr><td><a id="p100429"></a>A.9.2.6</td><td><a id="p100430"></a>Аннулирование или корректировка прав доступа</td><td><a id="p100431"></a><a id="p100432"></a>Мера обеспечения информационной безопасности<br>Права доступа всех работников и внешних пользователей к информации и средствам ее обработки должны быть аннулированы (после их увольнения, истечения срока действия договора или соглашения) либо скорректированы в случае необходимости</td></tr>
<tr><td colspan="3"><a id="p100433"></a><a id="p100434"></a>A.9.3 Ответственность пользователей<br>Цель: установить ответственность пользователей за защиту их аутентификационной информации</td></tr>
<tr><td><a id="p100435"></a>A.9.3.1</td><td><a id="p100436"></a>Использование секретной аутентификационной информации</td><td><a id="p100437"></a><a id="p100438"></a>Мера обеспечения информационной безопасности<br>При использовании секретной аутентификационной информации пользователи должны выполнять установленные в организации правила</td></tr>
<tr><td colspan="3"><a id="p100439"></a><a id="p100440"></a>A.9.4 Управление доступом к системам и приложениям<br>Цель: предотвратить несанкционированный доступ к системам и приложениям.</td></tr>
<tr><td><a id="p100441"></a>A.9.4.1</td><td><a id="p100442"></a>Ограничение доступа к информации</td><td><a id="p100443"></a><a id="p100444"></a>Мера обеспечения информационной безопасности<br>Доступ к информации и функциям прикладных систем должен быть ограничен в соответствии с политикой управления доступом</td></tr>
<tr><td><a id="p100445"></a>A.9.4.2</td><td><a id="p100446"></a>Безопасные процедуры входа в систему</td><td><a id="p100447"></a><a id="p100448"></a>Мера обеспечения информационной безопасности<br>Когда этого требует политика управления доступом, доступ к системам и приложениям должен управляться посредством безопасной процедуры входа в систему</td></tr>
<tr><td><a id="p100449"></a>A.9.4.3</td><td><a id="p100450"></a>Система управления паролями</td><td><a id="p100451"></a><a id="p100452"></a>Мера обеспечения информационной безопасности<br>Системы управления паролями должны быть интерактивными и должны обеспечивать уверенность в качестве паролей</td></tr>
<tr><td><a id="p100453"></a>A.9.4.4</td><td><a id="p100454"></a>Использование привилегированных служебных программ</td><td><a id="p100455"></a><a id="p100456"></a>Мера обеспечения информационной безопасности<br>Использование служебных программ, которые могли бы обойти меры обеспечения информационной безопасности систем и приложений, следует ограничивать и строго контролировать</td></tr>
<tr><td><a id="p100457"></a>A.9.4.5</td><td><a id="p100458"></a>Управление доступом к исходному тексту программы</td><td><a id="p100459"></a><a id="p100460"></a>Мера обеспечения информационной безопасности<br>Доступ к исходному тексту программы должен быть ограничен</td></tr>
<tr><td colspan="3"><a id="p100461"></a>A.10 Криптография</td></tr>
<tr><td colspan="3"><a id="p100462"></a><a id="p100463"></a>A.10.1 Криптографическая защита информации<br>Цель: обеспечить уверенность в надлежащем и эффективном использовании криптографии для защиты конфиденциальности, подлинности (аутентичности) и/или целостности информации</td></tr>
<tr><td><a id="p100464"></a>A.10.1.1</td><td><a id="p100465"></a>Политика использования криптографических мер и средств защиты информации</td><td><a id="p100466"></a><a id="p100467"></a>Мера обеспечения информационной безопасности<br>Должна быть разработана и внедрена политика использования криптографических мер и средств для обеспечения защиты информации</td></tr>
<tr><td><a id="p100468"></a>A.10.1.2</td><td><a id="p100469"></a>Управление ключами</td><td><a id="p100470"></a><a id="p100471"></a>Мера обеспечения информационной безопасности<br>Политика, определяющая использование, защиту и срок службы криптографических ключей, должна быть разработана и применяться на протяжении всего их жизненного цикла</td></tr>
<tr><td colspan="3"><a id="p100472"></a>A.11 Физическая безопасность и защита от воздействия окружающей среды</td></tr>
<tr><td colspan="3"><a id="p100473"></a><a id="p100474"></a>A.11.1 Зоны безопасности<br>Цель: предотвратить несанкционированный физический доступ, повреждение и воздействие на информацию организации и средства ее обработки</td></tr>
<tr><td><a id="p100475"></a>A.11.1.1</td><td><a id="p100476"></a>Физический периметр безопасности</td><td><a id="p100477"></a><a id="p100478"></a>Мера обеспечения информационной безопасности<br>Должны быть определены и использованы периметры безопасности для защиты зон, содержащих чувствительную или критическую информацию и средства ее обработки</td></tr>
<tr><td><a id="p100479"></a>A.11.1.2</td><td><a id="p100480"></a>Меры и средства контроля и управления физическим доступом</td><td><a id="p100481"></a><a id="p100482"></a>Мера обеспечения информационной безопасности<br>Зоны безопасности должны быть защищены соответствующими мерами и средствами контроля доступа, чтобы обеспечить уверенность в том, что доступ разрешен только уполномоченному персоналу</td></tr>
<tr><td><a id="p100483"></a>A.11.1.3</td><td><a id="p100484"></a>Безопасность зданий, помещений и оборудования</td><td><a id="p100485"></a><a id="p100486"></a>Мера обеспечения информационной безопасности<br>Должна быть разработана и реализована физическая защита зданий, помещений и оборудования</td></tr>
<tr><td><a id="p100487"></a>A.11.1.4</td><td><a id="p100488"></a>Защита от внешних угроз и угроз со стороны окружающей среды</td><td><a id="p100489"></a><a id="p100490"></a>Мера обеспечения информационной безопасности<br>Должны быть разработаны и реализованы меры физической защиты от стихийных бедствий, злоумышленных атак или аварий</td></tr>
<tr><td><a id="p100491"></a>A.11.1.5</td><td><a id="p100492"></a>Работа в зонах безопасности</td><td><a id="p100493"></a><a id="p100494"></a>Мера обеспечения информационной безопасности<br>Должны быть разработаны и применены процедуры для работы в зонах безопасности</td></tr>
<tr><td><a id="p100495"></a>A.11.1.6</td><td><a id="p100496"></a>Зоны погрузки и разгрузки</td><td><a id="p100497"></a><a id="p100498"></a>Мера обеспечения информационной безопасности<br>Места доступа, например зоны погрузки и разгрузки, и другие места, где неуполномоченные лица могут проникать в помещения, должны находиться под контролем и, по возможности, должны быть изолированы от средств обработки информации во избежание несанкционированного доступа к ним</td></tr>
<tr><td colspan="3"><a id="p100499"></a><a id="p100500"></a>A.11.2 Оборудование<br>Цель: предотвратить потерю, повреждение, хищение или компрометацию активов и прерывание деятельности организации</td></tr>
<tr><td><a id="p100501"></a>A.11.2.1</td><td><a id="p100502"></a>Размещение и защита оборудования</td><td><a id="p100503"></a><a id="p100504"></a>Мера обеспечения информационной безопасности<br>Оборудование должно быть размещено и защищено таким образом, чтобы снизить риски информационной безопасности от угроз и опасностей со стороны окружающей среды и возможности несанкционированного доступа</td></tr>
<tr><td><a id="p100505"></a>A.11.2.2</td><td><a id="p100506"></a>Вспомогательные услуги</td><td><a id="p100507"></a><a id="p100508"></a>Мера обеспечения информационной безопасности<br>Оборудование должно быть защищено от сбоев электропитания и других сбоев, вызванных отказами в предоставлении вспомогательных услуг</td></tr>
<tr><td><a id="p100509"></a>A.11.2.3</td><td><a id="p100510"></a>Безопасность кабельной сети</td><td><a id="p100511"></a><a id="p100512"></a>Мера обеспечения информационной безопасности<br>Кабели питания и телекоммуникационные кабели, используемые для передачи данных или для поддержки информационных сервисов, должны быть защищены от перехвата информации, помех или повреждения</td></tr>
<tr><td><a id="p100513"></a>A.11.2.4</td><td><a id="p100514"></a>Техническое обслуживание оборудования</td><td><a id="p100515"></a><a id="p100516"></a>Мера обеспечения информационной безопасности<br>Должно проводиться надлежащее техническое обслуживание оборудования для обеспечения его непрерывной доступности и целостности</td></tr>
<tr><td><a id="p100517"></a>A.11.2.5</td><td><a id="p100518"></a>Перемещение активов</td><td><a id="p100519"></a><a id="p100520"></a>Мера обеспечения информационной безопасности<br>Вынос оборудования, информации или программного обеспечения за пределы площадки эксплуатации без предварительного разрешения необходимо исключить</td></tr>
<tr><td><a id="p100521"></a>A.11.2.6</td><td><a id="p100522"></a>Безопасность оборудования и активов вне помещений организации</td><td><a id="p100523"></a><a id="p100524"></a>Мера обеспечения информационной безопасности<br>Следует обеспечивать безопасность активов вне помещений организации, учитывая различные риски информационной безопасности, связанные с работой вне помещений организации</td></tr>
<tr><td><a id="p100525"></a>A.11.2.7</td><td><a id="p100526"></a>Безопасная утилизация или повторное использование оборудования</td><td><a id="p100527"></a><a id="p100528"></a>Мера обеспечения информационной безопасности<br>Все компоненты оборудования, содержащие носители данных, необходимо проверять с целью обеспечения уверенности, что вся защищаемая информация и лицензионное программное обеспечение были удалены или перезаписаны безопасным образом до утилизации или повторного использования этих компонентов оборудования</td></tr>
<tr><td><a id="p100529"></a>A.11.2.8</td><td><a id="p100530"></a>Оборудование, оставленное пользователем без присмотра</td><td><a id="p100531"></a><a id="p100532"></a>Мера обеспечения информационной безопасности<br>Пользователи должны обеспечить соответствующую защиту оборудования, оставленного без присмотра</td></tr>
<tr><td><a id="p100533"></a>A.11.2.9</td><td><a id="p100534"></a>Политика "чистого стола" и "чистого экрана"</td><td><a id="p100535"></a><a id="p100536"></a>Мера обеспечения информационной безопасности<br>Должна быть принята политика "чистого стола" в отношении бумажных документов и сменных носителей информации, а также политика "чистого экрана" для средств обработки информации</td></tr>
<tr><td colspan="3"><a id="p100537"></a>A.12 Безопасность при эксплуатации</td></tr>
<tr><td colspan="3"><a id="p100538"></a><a id="p100539"></a>A.12.1 Эксплуатационные процедуры и обязанности<br>Цель: обеспечить надлежащую и безопасную эксплуатацию средств обработки информации</td></tr>
<tr><td><a id="p100540"></a>A.12.1.1</td><td><a id="p100541"></a>Документально оформленные эксплуатационные процедуры</td><td><a id="p100542"></a><a id="p100543"></a>Мера обеспечения информационной безопасности<br>Эксплуатационные процедуры должны быть документированы и доступны всем нуждающимся в них пользователям</td></tr>
<tr><td><a id="p100544"></a>A.12.1.2</td><td><a id="p100545"></a>Процесс управления изменениями</td><td><a id="p100546"></a><a id="p100547"></a>Мера обеспечения информационной безопасности<br>Необходимо обеспечить управление изменениями в организации, бизнес-процессах, средствах обработки информации и системах, влияющих на информационную безопасность</td></tr>
<tr><td><a id="p100548"></a>A.12.1.3</td><td><a id="p100549"></a>Управление производительностью</td><td><a id="p100550"></a><a id="p100551"></a>Мера обеспечения информационной безопасности<br>Необходимо осуществлять мониторинг, корректировку и прогнозирование использования ресурсов, исходя из будущих требований к производительности, для обеспечения требуемой производительности системы</td></tr>
<tr><td><a id="p100552"></a>A.12.1.4</td><td><a id="p100553"></a>Разделение сред разработки, тестирования и эксплуатации</td><td><a id="p100554"></a><a id="p100555"></a>Мера обеспечения информационной безопасности<br>Для снижения рисков несанкционированного доступа или изменений среды эксплуатации необходимо обеспечивать разделение сред разработки, тестирования и эксплуатации</td></tr>
<tr><td colspan="3"><a id="p100556"></a><a id="p100557"></a>A.12.2 Защита от вредоносных программ<br>Цель: обеспечивать уверенность в защите информации и средств обработки информации от вредоносных программ</td></tr>
<tr><td><a id="p100558"></a>A.12.2.1</td><td><a id="p100559"></a>Меры обеспечения информационной безопасности в отношении вредоносных программ</td><td><a id="p100560"></a><a id="p100561"></a>Мера обеспечения информационной безопасности<br>Для защиты от вредоносных программ должны быть реализованы меры обеспечения информационной безопасности, связанные с обнаружением, предотвращением и восстановлением, в сочетании с соответствующим информированием пользователей</td></tr>
<tr><td colspan="3"><a id="p100562"></a><a id="p100563"></a>A.12.3 Резервное копирование<br>Цель: обеспечить защиту от потери данных</td></tr>
<tr><td><a id="p100564"></a>A.12.3.1</td><td><a id="p100565"></a>Резервное копирование информации</td><td><a id="p100566"></a><a id="p100567"></a>Мера обеспечения информационной безопасности<br>В соответствии с политикой резервирования следует регулярно создавать и проверять резервные копии информации, программного обеспечения и образов системы</td></tr>
<tr><td colspan="3"><a id="p100568"></a><a id="p100569"></a>A.12.4 Регистрация и мониторинг<br>Цель: регистрация событий информационной безопасности и формирование свидетельств</td></tr>
<tr><td><a id="p100570"></a>A.12.4.1</td><td><a id="p100571"></a>Регистрация событий</td><td><a id="p100572"></a><a id="p100573"></a>Мера обеспечения информационной безопасности<br>Требуется обеспечивать формирование, ведение и регулярный анализ регистрационных журналов, фиксирующих действия пользователей, нештатные ситуации, ошибки и события информационной безопасности</td></tr>
<tr><td><a id="p100574"></a>A.12.4.2</td><td><a id="p100575"></a>Защита информации регистрационных журналов</td><td><a id="p100576"></a><a id="p100577"></a>Мера обеспечения информационной безопасности<br>Средства регистрации и информация регистрационных журналов должны быть защищены от фальсификации и несанкционированного доступа</td></tr>
<tr><td><a id="p100578"></a>A.12.4.3</td><td><a id="p100579"></a>Регистрационные журналы действий администратора и оператора</td><td><a id="p100580"></a><a id="p100581"></a>Мера обеспечения информационной безопасности<br>Действия системного администратора и оператора системы следует регистрировать, а регистрационные журналы защищать и регулярно анализировать</td></tr>
<tr><td><a id="p100582"></a>A.12.4.4</td><td><a id="p100583"></a>Синхронизация часов</td><td><a id="p100584"></a><a id="p100585"></a>Мера обеспечения информационной безопасности<br>Часы всех систем обработки информации в рамках организации или домена безопасности должны быть синхронизированы с единым эталонным источником времени</td></tr>
<tr><td colspan="3"><a id="p100586"></a><a id="p100587"></a>A.12.5 Контроль программного обеспечения, находящегося в эксплуатации<br>Цель: обеспечить уверенность в целостности систем, находящихся в эксплуатации</td></tr>
<tr><td><a id="p100588"></a>A.12.5.1</td><td><a id="p100589"></a>Установка программного обеспечения в эксплуатируемых системах</td><td><a id="p100590"></a><a id="p100591"></a>Мера обеспечения информационной безопасности<br>Должны быть реализованы процедуры контроля установки программного обеспечения в системах, находящихся в эксплуатации</td></tr>
<tr><td colspan="3"><a id="p100592"></a><a id="p100593"></a>A.12.6 Менеджмент технических уязвимостей<br>Цель: предотвратить использование технических уязвимостей</td></tr>
<tr><td><a id="p100594"></a>A.12.6.1</td><td><a id="p100595"></a>Процесс управления техническими уязвимостями</td><td><a id="p100596"></a><a id="p100597"></a>Мера обеспечения информационной безопасности<br>Должна быть своевременно получена информация о технических уязвимостях используемых информационных систем, оценена подверженность организации таким уязвимостям, и должны быть приняты соответствующие меры в отношении связанного с этим риска информационной безопасности</td></tr>
<tr><td><a id="p100598"></a>A.12.6.2</td><td><a id="p100599"></a>Ограничения на установку программного обеспечения</td><td><a id="p100600"></a><a id="p100601"></a>Мера обеспечения информационной безопасности<br>Должны быть установлены и реализованы правила, регулирующие установку программного обеспечения пользователями</td></tr>
<tr><td colspan="3"><a id="p100602"></a><a id="p100603"></a>A.12.7 Особенности аудита информационных систем<br>Цель: минимизировать влияние аудиторской деятельности на функционирование систем, находящихся в эксплуатации</td></tr>
<tr><td><a id="p100604"></a>A.12.7.1</td><td><a id="p100605"></a>Меры обеспечения информационной безопасности в отношении аудита информационных систем</td><td><a id="p100606"></a><a id="p100607"></a>Мера обеспечения информационной безопасности<br>Требования к процессу регистрации событий (аудиту) и деятельности, связанной с контролем находящихся в эксплуатации систем, должны быть тщательно спланированы и согласованы для минимизации сбоев в бизнес-процессах</td></tr>
<tr><td colspan="3"><a id="p100608"></a>A.13 Безопасность системы связи</td></tr>
<tr><td colspan="3"><a id="p100609"></a><a id="p100610"></a>A.13.1 Менеджмент безопасности сетей<br>Цель: обеспечить защиту информации в сетях и в образующих их средствах обработки информации</td></tr>
<tr><td><a id="p100611"></a>A.13.1.1</td><td><a id="p100612"></a>Меры обеспечения информационной безопасности для сетей</td><td><a id="p100613"></a><a id="p100614"></a>Мера обеспечения информационной безопасности<br>Сети должны управляться и контролироваться для обеспечения защиты информации систем и приложений</td></tr>
<tr><td><a id="p100615"></a>A.13.1.2</td><td><a id="p100616"></a>Безопасность сетевых сервисов</td><td><a id="p100617"></a><a id="p100618"></a>Мера обеспечения информационной безопасности<br>Механизмы обеспечения безопасности, уровни обслуживания и требования к управлению для всех сетевых сервисов должны быть идентифицированы и включены в соглашения по сетевым сервисам независимо от того, будут ли они обеспечиваться силами организации или осуществляться с использованием аутсорсинга</td></tr>
<tr><td><a id="p100619"></a>A.13.1.3</td><td><a id="p100620"></a>Разделение в сетях</td><td><a id="p100621"></a><a id="p100622"></a>Мера обеспечения информационной безопасности<br>Группы информационных сервисов, пользователей и информационных систем в сети должны быть разделены</td></tr>
<tr><td colspan="3"><a id="p100623"></a><a id="p100624"></a>A.13.2 Передача информации<br>Цель: поддерживать безопасность информации, передаваемой как внутри организации, так и при обмене с любым внешним объектом и субъектом</td></tr>
<tr><td><a id="p100625"></a>A.13.2.1</td><td><a id="p100626"></a>Политики и процедуры передачи информации</td><td><a id="p100627"></a><a id="p100628"></a>Мера обеспечения информационной безопасности<br>Должны существовать формализованные политики и процедуры передачи информации, а также соответствующие меры обеспечения информационной безопасности, обеспечивающие защиту информации, передаваемой с использованием всех видов средств связи</td></tr>
<tr><td><a id="p100629"></a>A.13.2.2</td><td><a id="p100630"></a>Соглашения о передаче информации</td><td><a id="p100631"></a><a id="p100632"></a>Мера обеспечения информационной безопасности<br>Безопасная передача деловой информации между организацией и внешними сторонами должна быть определена соглашениями</td></tr>
<tr><td><a id="p100633"></a>A.13.2.3</td><td><a id="p100634"></a>Электронный обмен сообщениями</td><td><a id="p100635"></a><a id="p100636"></a>Мера обеспечения информационной безопасности<br>Следует обеспечивать соответствующую защиту информации при электронном обмене сообщениями</td></tr>
<tr><td><a id="p100637"></a>A.13.2.4</td><td><a id="p100638"></a>Соглашения о конфиденциальности или неразглашении</td><td><a id="p100639"></a><a id="p100640"></a>Мера обеспечения информационной безопасности<br>Требования в отношении соглашений о конфиденциальности или неразглашении, отражающие потребности организации в обеспечении защиты информации, должны быть идентифицированы, документально оформлены и регулярно пересматриваться</td></tr>
<tr><td colspan="3"><a id="p100641"></a>A.14 Приобретение, разработка и поддержка систем</td></tr>
<tr><td colspan="3"><a id="p100642"></a><a id="p100643"></a>A.14.1 Требования к безопасности информационных систем<br>Цель: обеспечить уверенность в том, что информационная безопасность является неотъемлемой частью информационных систем на протяжении всего их жизненного цикла. Это также включает требования к информационным системам, предоставляющим услуги с использованием сетей общего пользования</td></tr>
<tr><td><a id="p100644"></a>A.14.1.1</td><td><a id="p100645"></a>Анализ и спецификация требований информационной безопасности</td><td><a id="p100646"></a><a id="p100647"></a>Мера обеспечения информационной безопасности<br>Требования, относящиеся к информационной безопасности, должны быть включены в перечень требований для новых информационных систем или для усовершенствования существующих информационных систем</td></tr>
<tr><td><a id="p100648"></a>A.14.1.2</td><td><a id="p100649"></a>Обеспечение безопасности прикладных сервисов, предоставляемых с использованием сетей общего пользования</td><td><a id="p100650"></a><a id="p100651"></a>Мера обеспечения информационной безопасности<br>Информация, используемая в прикладных сервисах и передаваемая по сетям общего пользования, должна быть защищена от мошеннической деятельности, оспаривания договоров, а также несанкционированного раскрытия и модификации</td></tr>
<tr><td><a id="p100652"></a>A.14.1.3</td><td><a id="p100653"></a>Защита транзакций прикладных сервисов</td><td><a id="p100654"></a><a id="p100655"></a>Мера обеспечения информационной безопасности<br>Информацию, используемую в транзакциях прикладных сервисов, следует защищать для предотвращения неполной передачи, ложной маршрутизации, несанкционированного изменения, раскрытия, дублирования или воспроизведения сообщений</td></tr>
<tr><td colspan="3"><a id="p100656"></a><a id="p100657"></a>A.14.2 Безопасность в процессах разработки и поддержки<br>Цель: обеспечить уверенность в том, что меры обеспечения информационной безопасности спроектированы и внедрены на всех стадиях жизненного цикла разработки информационных систем</td></tr>
<tr><td><a id="p100658"></a>A.14.2.1</td><td><a id="p100659"></a>Политика безопасной разработки</td><td><a id="p100660"></a><a id="p100661"></a>Мера обеспечения информационной безопасности<br>Правила разработки программного обеспечения и систем должны быть установлены и применены к разработкам в рамках организации</td></tr>
<tr><td><a id="p100662"></a>A.14.2.2</td><td><a id="p100663"></a>Процедуры управления изменениями системы</td><td><a id="p100664"></a><a id="p100665"></a>Мера обеспечения информационной безопасности<br>Необходимо управлять изменениями в системах в течение жизненного цикла разработки посредством применения формализованных процедур управления изменениями</td></tr>
<tr><td><a id="p100666"></a>A.14.2.3</td><td><a id="p100667"></a>Техническая экспертиза приложений (прикладных программ) после изменений операционной платформы</td><td><a id="p100668"></a><a id="p100669"></a>Мера обеспечения информационной безопасности<br>При внесении изменений в операционные платформы критически важные для бизнеса приложения должны быть проверены и протестированы, чтобы обеспечить уверенность в отсутствии неблагоприятного воздействия на деятельность или безопасность организации</td></tr>
<tr><td><a id="p100670"></a>A.14.2.4</td><td><a id="p100671"></a>Ограничения на изменения пакетов программ</td><td><a id="p100672"></a><a id="p100673"></a>Мера обеспечения информационной безопасности<br>Следует избегать модификаций пакетов программ, ограничиваясь необходимыми изменениями, и строго контролировать все изменения</td></tr>
<tr><td><a id="p100674"></a>A.14.2.5</td><td><a id="p100675"></a>Принципы безопасного проектирования систем</td><td><a id="p100676"></a><a id="p100677"></a>Мера обеспечения информационной безопасности<br>Принципы безопасного проектирования систем должны быть установлены, документированы, поддерживаться и применяться к любым работам по реализации информационной системы</td></tr>
<tr><td><a id="p100678"></a>A.14.2.6</td><td><a id="p100679"></a>Безопасная среда разработки</td><td><a id="p100680"></a><a id="p100681"></a>Мера обеспечения информационной безопасности<br>Организация должна установить и надлежащим образом защищать безопасные среды разработки, используемые для разработки и интеграции систем на всех стадиях жизненного цикла разработки системы</td></tr>
<tr><td><a id="p100682"></a>A.14.2.7</td><td><a id="p100683"></a>Разработка с использованием аутсорсинга</td><td><a id="p100684"></a><a id="p100685"></a>Мера обеспечения информационной безопасности<br>Организация должна осуществлять надзор и мониторинг разработки систем, выполняемой подрядчиками</td></tr>
<tr><td><a id="p100686"></a>A.14.2.8</td><td><a id="p100687"></a>Тестирование безопасности систем</td><td><a id="p100688"></a><a id="p100689"></a>Мера обеспечения информационной безопасности<br>Тестирование функциональных возможностей безопасности должно осуществляться в процессе разработки</td></tr>
<tr><td><a id="p100690"></a>A.14.2.9</td><td><a id="p100691"></a>Приемо-сдаточные испытания системы</td><td><a id="p100692"></a><a id="p100693"></a>Мера обеспечения информационной безопасности<br>Для новых информационных систем, обновлений и новых версий должны быть разработаны программы приемо-сдаточных испытаний и установлены связанные с ними критерии</td></tr>
<tr><td colspan="3"><a id="p100694"></a><a id="p100695"></a>A.14.3 Тестовые данные<br>Цель: обеспечить защиту данных, используемых для тестирования</td></tr>
<tr><td><a id="p100696"></a>A.14.3.1</td><td><a id="p100697"></a>Защита тестовых данных</td><td><a id="p100698"></a><a id="p100699"></a>Мера обеспечения информационной безопасности<br>Тестовые данные следует тщательно выбирать, защищать и контролировать</td></tr>
<tr><td colspan="3"><a id="p100700"></a>A.15 Взаимоотношения с поставщиками</td></tr>
<tr><td colspan="3"><a id="p100701"></a><a id="p100702"></a>A.15.1 Информационная безопасность во взаимоотношениях с поставщиками<br>Цель: обеспечить защиту активов организации, доступных поставщикам</td></tr>
<tr><td><a id="p100703"></a>A.15.1.1</td><td><a id="p100704"></a>Политика информационной безопасности во взаимоотношениях с поставщиками</td><td><a id="p100705"></a><a id="p100706"></a>Мера обеспечения информационной безопасности<br>Требования информационной безопасности, направленные на снижение рисков, связанных с доступом поставщиков к активам организации, должны быть согласованы с поставщиком и документированы</td></tr>
<tr><td><a id="p100707"></a>A.15.1.2</td><td><a id="p100708"></a>Рассмотрение вопросов безопасности в соглашениях с поставщиками</td><td><a id="p100709"></a><a id="p100710"></a>Мера обеспечения информационной безопасности<br>Все соответствующие требования информационной безопасности должны быть установлены и согласованы с каждым поставщиком, который может получить доступ к информации организации, обрабатывать, хранить, передавать информацию или предоставлять соответствующие компоненты ИТ-инфраструктуры</td></tr>
<tr><td><a id="p100711"></a>A.15.1.3</td><td><a id="p100712"></a>Цепочка поставок информационно-коммуникационной технологии</td><td><a id="p100713"></a><a id="p100714"></a>Мера обеспечения информационной безопасности<br>Соглашения с поставщиками должны содержать требования по рассмотрению рисков информационной безопасности, связанных с цепочкой поставок продуктов и услуг информационно-коммуникационных технологий</td></tr>
<tr><td colspan="3"><a id="p100715"></a><a id="p100716"></a>A.15.2 Управление услугами, предоставляемыми поставщиком<br>Цель: поддерживать согласованный уровень информационной безопасности и предоставления услуг в соответствующих соглашениях с поставщиками</td></tr>
<tr><td><a id="p100717"></a>A.15.2.1</td><td><a id="p100718"></a>Мониторинг и анализ услуг поставщика</td><td><a id="p100719"></a><a id="p100720"></a>Мера обеспечения информационной безопасности<br>Организация должна регулярно проводить мониторинг, проверку и аудит деятельности поставщика по предоставлению услуг</td></tr>
<tr><td><a id="p100721"></a>A.15.2.2</td><td><a id="p100722"></a>Управление изменениями услуг поставщика</td><td><a id="p100723"></a><a id="p100724"></a>Мера обеспечения информационной безопасности<br>Требуется управлять изменениями в предоставляемых поставщиками услугах, включая поддержку и улучшение существующих политик, процедур, а также мер и средств информационной безопасности, с учетом категории информации бизнеса, задействованных систем и процессов, а также результатов переоценки рисков информационной безопасности</td></tr>
<tr><td colspan="3"><a id="p100725"></a>A.16 Менеджмент инцидентов информационной безопасности</td></tr>
<tr><td colspan="3"><a id="p100726"></a><a id="p100727"></a>A.16.1 Менеджмент инцидентов информационной безопасности и улучшений<br>Цель: обеспечить последовательный и эффективный подход к менеджменту инцидентов информационной безопасности, включая обмен информацией о событиях безопасности и недостатках</td></tr>
<tr><td><a id="p100728"></a>A.16.1.1</td><td><a id="p100729"></a>Обязанности и процедуры</td><td><a id="p100730"></a><a id="p100731"></a>Мера обеспечения информационной безопасности<br>Должны быть установлены обязанности и процедуры менеджмента для обеспечения уверенности в быстром, эффективном и надлежащем реагировании на инциденты информационной безопасности</td></tr>
<tr><td><a id="p100732"></a>A.16.1.2</td><td><a id="p100733"></a>Сообщения о событиях информационной безопасности</td><td><a id="p100734"></a><a id="p100735"></a>Мера обеспечения информационной безопасности<br>Требуется как можно скорее сообщать о событиях информационной безопасности по соответствующим каналам управления</td></tr>
<tr><td><a id="p100736"></a>A.16.1.3</td><td><a id="p100737"></a>Сообщения о недостатках информационной безопасности</td><td><a id="p100738"></a><a id="p100739"></a>Мера обеспечения информационной безопасности<br>Работники и подрядчики, использующие информационные системы и услуги организации, должны обращать внимание на любые замеченные или предполагаемые недостатки информационной безопасности в системах или сервисах и сообщать о них</td></tr>
<tr><td><a id="p100740"></a>A.16.1.4</td><td><a id="p100741"></a>Оценка и принятие решений в отношении событий информационной безопасности</td><td><a id="p100742"></a><a id="p100743"></a>Мера обеспечения информационной безопасности<br>Должна быть проведена оценка событий информационной безопасности, и должно быть принято решение, следует ли их классифицировать как инциденты информационной безопасности</td></tr>
<tr><td><a id="p100744"></a>A.16.1.5</td><td><a id="p100745"></a>Реагирование на инциденты информационной безопасности</td><td><a id="p100746"></a><a id="p100747"></a>Мера обеспечения информационной безопасности<br>Реагирование на инциденты информационной безопасности должно осуществляться в соответствии с документально оформленными процедурами</td></tr>
<tr><td><a id="p100748"></a>A.16.1.6</td><td><a id="p100749"></a>Анализ инцидентов информационной безопасности</td><td><a id="p100750"></a><a id="p100751"></a>Мера обеспечения информационной безопасности<br>Знания, приобретенные в результате анализа и урегулирования инцидентов информационной безопасности, должны использоваться для уменьшения вероятности или влияния будущих инцидентов</td></tr>
<tr><td><a id="p100752"></a>A.16.1.7</td><td><a id="p100753"></a>Сбор свидетельств</td><td><a id="p100754"></a><a id="p100755"></a>Мера обеспечения информационной безопасности<br>В организациях должны быть определены и применяться процедуры для идентификации, сбора, получения и сохранения информации, которая может использоваться в качестве свидетельств</td></tr>
<tr><td colspan="3"><a id="p100756"></a>A.17 Аспекты информационной безопасности в рамках менеджмента непрерывности деятельности организации</td></tr>
<tr><td colspan="3"><a id="p100757"></a><a id="p100758"></a>A.17.1 Непрерывность информационной безопасности<br>Цель: непрерывность обеспечения информационной безопасности должна быть неотъемлемой частью систем менеджмента непрерывности деятельности организации</td></tr>
<tr><td><a id="p100759"></a>A.17.1.1</td><td><a id="p100760"></a>Планирование непрерывности информационной безопасности</td><td><a id="p100761"></a><a id="p100762"></a>Мера обеспечения информационной безопасности<br>Организация должна определить свои требования к информационной безопасности и менеджменту непрерывности информационной безопасности при неблагоприятных ситуациях, например во время кризиса или бедствия</td></tr>
<tr><td><a id="p100763"></a>A.17.1.2</td><td><a id="p100764"></a>Реализация непрерывности информационной безопасности</td><td><a id="p100765"></a><a id="p100766"></a>Мера обеспечения информационной безопасности<br>Организация должна устанавливать, документировать, реализовывать и поддерживать процессы, процедуры, а также меры обеспечения требуемого уровня непрерывности информационной безопасности при неблагоприятных ситуациях</td></tr>
<tr><td><a id="p100767"></a>A.17.1.3</td><td><a id="p100768"></a>Проверка, анализ и оценивание непрерывности информационной безопасности</td><td><a id="p100769"></a><a id="p100770"></a>Мера обеспечения информационной безопасности<br>Организация должна регулярно проверять установленные и реализованные меры обеспечения непрерывности информационной безопасности, чтобы обеспечить уверенность в их актуальности и эффективности при возникновении неблагоприятных ситуаций</td></tr>
<tr><td colspan="3"><a id="p100771"></a><a id="p100772"></a>A.17.2 Резервирование оборудования<br>Цель: обеспечить уверенность в доступности средств обработки информации</td></tr>
<tr><td><a id="p100773"></a>A.17.2.1</td><td><a id="p100774"></a>Доступность средств обработки информации</td><td><a id="p100775"></a><a id="p100776"></a>Мера обеспечения информационной безопасности<br>Средства обработки информации должны быть внедрены с учетом резервирования, достаточного для выполнения требований доступности</td></tr>
<tr><td colspan="3"><a id="p100777"></a>A.18 Соответствие</td></tr>
<tr><td colspan="3"><a id="p100778"></a><a id="p100779"></a>A.18.1 Соответствие правовым и договорным требованиям<br>Цель: избежать нарушений правовых и регулятивных требований или договорных обязательств, связанных с информационной безопасностью, и других требований безопасности</td></tr>
<tr><td><a id="p100780"></a>A.18.1.1</td><td><a id="p100781"></a>Идентификация применимых законодательных и договорных требований</td><td><a id="p100782"></a><a id="p100783"></a>Мера обеспечения информационной безопасности<br>Все значимые для организации и каждой информационной системы правовые, регулятивные и договорные требования, а также подходы организации к выполнению этих требований должны быть четко определены, документированы и поддерживаться в актуальном состоянии как в отношении каждой информационной системы, так и в отношении организации в целом</td></tr>
<tr><td><a id="p100784"></a>A.18.1.2</td><td><a id="p100785"></a>Права на интеллектуальную собственность</td><td><a id="p100786"></a><a id="p100787"></a>Мера обеспечения информационной безопасности<br>Должны быть реализованы соответствующие процедуры для обеспечения уверенности в соблюдении правовых, регулятивных и договорных требований, связанных с правами на интеллектуальную собственность и правами использования проприетарных программных продуктов</td></tr>
<tr><td><a id="p100788"></a>A.18.1.3</td><td><a id="p100789"></a>Защита записей</td><td><a id="p100790"></a><a id="p100791"></a>Мера обеспечения информационной безопасности<br>Записи должны быть защищены от потери, уничтожения, фальсификации, несанкционированного доступа и разглашения, в соответствии с правовыми, регулятивными, договорными и бизнес-требованиями</td></tr>
<tr><td><a id="p100792"></a>A.18.1.4</td><td><a id="p100793"></a>Конфиденциальность и защита персональных данных</td><td><a id="p100794"></a><a id="p100795"></a>Мера обеспечения информационной безопасности<br>Конфиденциальность и защита персональных данных должна обеспечиваться в соответствии с требованиями соответствующего законодательства и правилами там, где это применимо</td></tr>
<tr><td><a id="p100796"></a>A.18.1.5</td><td><a id="p100797"></a>Регулирование криптографических мер и средств защиты информации</td><td><a id="p100798"></a><a id="p100799"></a>Мера обеспечения информационной безопасности<br>Криптографические меры обеспечения информационной безопасности должны использоваться с соблюдением требований всех соответствующих соглашений, правовых и регулятивных актов</td></tr>
<tr><td colspan="3"><a id="p100800"></a><a id="p100801"></a>A.18.2 Проверки информационной безопасности<br>Цель: обеспечить уверенность в том, что информационная безопасность реализована и эксплуатируется в соответствии с политикой и процедурами организации</td></tr>
<tr><td><a id="p100802"></a>A.18.2.1</td><td><a id="p100803"></a>Независимая проверка информационной безопасности</td><td><a id="p100804"></a><a id="p100805"></a>Мера обеспечения информационной безопасности<br>Подход организации к менеджменту информационной безопасностью и ее реализация (т.е. цели, меры и средства, политики, процессы и процедуры информационной безопасности) следует проверять независимо друг от друга через запланированные интервалы времени или в случае значительных изменений</td></tr>
<tr><td><a id="p100806"></a>A.18.2.2</td><td><a id="p100807"></a>Соответствие политикам и стандартам безопасности</td><td><a id="p100808"></a><a id="p100809"></a>Мера обеспечения информационной безопасности<br>Руководители, в пределах своей зоны ответственности, должны регулярно проверять соответствие процессов и процедур обработки информации соответствующим политикам безопасности, стандартам и другим требованиям безопасности</td></tr>
<tr><td><a id="p100810"></a>A.18.2.3</td><td><a id="p100811"></a>Анализ технического соответствия</td><td><a id="p100812"></a><a id="p100813"></a>Мера обеспечения информационной безопасности<br>Информационные системы должны регулярно проверяться на предмет соответствия стандартам и политикам информационной безопасности организации</td></tr>
</table>



<a id="p100814"></a>

---

<a id="p100815"></a><1> [Пункт A.8.1.1](#p100352) приведен с учетом технической правки 1 к ISO/IEC 27001:2013.





<div align="center">

<a id="p100816"></a>Приложение ДА<br>
(справочное)

<a id="p100817"></a>СВЕДЕНИЯ О СООТВЕТСТВИИ ССЫЛОЧНЫХ МЕЖДУНАРОДНЫХ СТАНДАРТОВ<br>
НАЦИОНАЛЬНЫМ СТАНДАРТАМ

<a id="p100818"></a>Таблица ДА.1

</div>



<table>
<colgroup><col width="31%"><col width="12%"><col width="57%"></colgroup>
<tr><td><a id="p100819"></a>Обозначение ссылочного международного стандарта</td><td><a id="p100820"></a>Степень соответствия</td><td><a id="p100821"></a>Обозначение и наименование ссылочного национального стандарта</td></tr>
<tr><td><a id="p100822"></a>ISO/IEC 27000</td><td><a id="p100823"></a>IDT</td><td><a id="p100824"></a>ГОСТ Р ИСО/МЭК 27000-2021 "Информационные технологии. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Общий обзор и терминология"</td></tr>
<tr><td colspan="3"><a id="p100825"></a><a id="p100826"></a>Примечание - В настоящей таблице использовано следующее условное обозначение степени соответствия стандартов:<br>- IDT - идентичные стандарты.</td></tr>
</table>







## <a id="p100827"></a>БИБЛИОГРАФИЯ



<table>
<colgroup><col width="6%"><col width="24%"><col width="70%"></colgroup>
<tr><td><a id="p100828"></a>[1]</td><td><a id="p100829"></a>ISO/IEC 27002:2013</td><td><a id="p100830"></a>Information technology - Security techniques - Code of practice for information security controls</td></tr>
<tr><td><a id="p100831"></a>[2]</td><td><a id="p100832"></a>ISO/IEC 27003</td><td><a id="p100833"></a>Information technology - Security techniques - Information security management system implementation guidance</td></tr>
<tr><td><a id="p100834"></a>[3]</td><td><a id="p100835"></a>ISO/IEC 27004</td><td><a id="p100836"></a>Information technology - Security techniques - Information security management - Measurement</td></tr>
<tr><td><a id="p100837"></a>[4]</td><td><a id="p100838"></a>ISO/IEC 27005</td><td><a id="p100839"></a>Information technology - Security techniques - Information security risk management</td></tr>
<tr><td><a id="p100840"></a>[5]</td><td><a id="p100841"></a>ISO 31000:2009</td><td><a id="p100842"></a>Risk management - Principles and guidelines</td></tr>
<tr><td><a id="p100843"></a>[6]</td><td colspan="2"><a id="p100844"></a>ISO/IEC Directives, Part 1, Consolidated ISO Supplement - Procedures specific to ISO, 2012</td></tr>
</table>







<table>
<colgroup><col width="50%"><col width="50%"></colgroup>
<tr><td><a id="p100845"></a>УДК 006.035:004.056.5:004.057.2:006.354</td><td><a id="p100846"></a>ОКС 35.040</td></tr>
<tr><td colspan="2"><a id="p100847"></a>Ключевые слова: обеспечение информационной безопасности, система менеджмента информационной безопасности, политика информационной безопасности, требование по обеспечению информационной безопасности, мера обеспечения информационной безопасности</td></tr>
</table>




<a id="p100848"></a>

---