ГОСТ Р ИСО/МЭК 27004-2021 Информационные технологии (ИТ). Методы и средства обеспечения безопасности. Менеджмент информационной безопасности. Мониторинг, оценка защищенности, анализ и оценивание

ГОСТ Р ИСО/МЭК 27004-2021

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

Информационные технологии

МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ

Менеджмент информационной безопасности. Мониторинг, оценка защищенности, анализ и оценивание

Information technology. Security techniques. Information security management. Monitoring, measurement, analysis and evaluation

ОКС 35.040

Дата введения 2021-11-30

Предисловие

1 ПОДГОТОВЛЕН Федеральным государственным учреждением "Федеральный исследовательский центр "Информатика и управление" Российской академии наук" (ФИЦ ИУ РАН) и Обществом с ограниченной ответственностью "Информационно-аналитический вычислительный центр" (ООО ИАВЦ) на основе собственного перевода на русский язык англоязычной версии стандарта, указанного в пункте 4

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 022 "Информационные технологии"

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 19 мая 2021 г. N 388-ст

4 Настоящий стандарт идентичен международному стандарту ИСО/МЭК 27004:2016* "Информационные технологии. Методы и средства обеспечения безопасности. Менеджмент информационной безопасности. Мониторинг, оценка защищенности, анализ и оценивание" (ISO/IEC 27004:2016 "Information technology - Security techniques - Information security management - Monitoring, measurement, analysis and evaluation", IDT).

________________

* Доступ к международным и зарубежным документам, упомянутым в тексте, можно получить, обратившись в Службу поддержки пользователей. - Примечание изготовителя базы данных.

ИСО/МЭК 27004 разработан подкомитетом ПК 27 "Методы и средства обеспечения безопасности ИТ" Совместного технического комитета СТК 1 "Информационные технологии" Международной организации по стандартизации (ИСО) и Международной электротехнической комиссии (МЭК)

5 ВЗАМЕН ГОСТ Р ИСО/МЭК 27004-2011

6 Некоторые положения международного документа, указанного в пункте 4, могут являться объектом патентных прав. ИСО и МЭК не несут ответственности за идентификацию подобных патентных прав

Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. N 162-ФЗ "О стандартизации в Российской Федерации". Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе "Национальные стандарты", а официальный текст изменений и поправок - в ежемесячном информационном указателе "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)

Введение

Настоящий стандарт предназначен для оказания помощи организациям в оценке деятельности по обеспечению информационной безопасности (ИБ) и результативности системы менеджмента информационной безопасности (СМИБ) в целях выполнения требований, изложенных в подразделе 9.1 ИСО/МЭК 27001.

________________

Положения настоящего стандарта должны рассматриваться с учетом требований национальных нормативных правовых актов и стандартов Российской Федерации в области защиты информации.

Здесь и далее подразумевается стандарт ИСО/МЭК 27001:2013 (примечание переводчика).

Результаты мониторинга и оценки защищенности системы менеджмента информационной безопасности могут способствовать принятию решений, касающихся управления, менеджмента, операционной эффективности и постоянного совершенствования СМИБ.

Для условий каждой конкретной организации настоящий стандарт, как и другие стандарты серии 27000, необходимо проанализировать, интерпретировать и адаптировать. Изложенные концепции и подходы предназначены для широкого применения, но меры, необходимые для отдельной конкретной организации, зависят от присущих организации факторов, таких как размер организации, отраслевая принадлежность, зрелость, риски ИБ, обязательства соответствия и стиль управления, которые на практике могут сильно различаться.

Настоящий стандарт может быть рекомендован организациям, внедряющим СМИБ, которая отвечает требованиям ИСО/МЭК 27001. С другой стороны, он не устанавливает каких-либо новых требований и не налагает на организации какие-либо обязательства соблюдать представленные в нем руководящие принципы для СМИБ, которые соответствуют ИСО/МЭК 27001.

1 Область применения

Настоящий стандарт представляет руководящие принципы, предназначенные для оказания помощи организациям в оценке деятельности по обеспечению информационной безопасности (ИБ) и результативности системы менеджмента информационной безопасности (СМИБ) в целях выполнения требований, изложенных в подразделе 9.1 ИСО/МЭК 27001.

Настоящий стандарт охватывает:

- мониторинг и оценку деятельности по обеспечению ИБ;

- мониторинг и оценку результативности системы менеджмента информационной безопасности (СМИБ), включая ее процессы и средства контроля и управления;

- анализ и оценку результатов мониторинга и оценки защищенности.

Настоящий стандарт применим для всех организаций, независимо от типа или размера.

2 Нормативные ссылки

Настоящий стандарт не содержит нормативных ссылок.

Доступ к полной версии документа ограничен

Название документа

ГОСТ Р ИСО/МЭК 27004-2021 Информационные технологии (ИТ). Методы и средства обеспечения безопасности. Менеджмент информационной безопасности. Мониторинг, оценка защищенности, анализ и оценивание

Номер документа

ИСО/МЭК 27004-2021

Вид документа

Нормативно-технический документ

Принявший орган

Применяется с 30.11.2021 взамен ГОСТ Р ИСО/МЭК 27004-2011

Классификация ОКС

35 Информационные технологии 35.040 Кодирование информации

Статус

Скрыто

Дата принятия

Скрыто

Дата начала действия

Скрыто

Документ «ГОСТ Р ИСО МЭК 27004 2021» предназначен для установления методов и средств обеспечения безопасности в области информационных технологий. Он охватывает аспекты менеджмента информационной безопасности, включая мониторинг, оценку защищенности, а также анализ и оценивание систем безопасности. Стандарт применяется в различных сферах, включая государственные и коммерческие организации, где необходима защита конфиденциальных данных и информации.

Ключевыми регламентируемыми аспектами документа являются методы оценки рисков, параметры мониторинга и требования к процедурам анализа защищенности информационных систем. Стандарт описывает подходы к определению уязвимостей, а также к разработке эффективных мер по их устранению. Он также включает рекомендации по внедрению систем управления информационной безопасностью, что позволяет организациям систематически подходить к вопросам защиты информации.

Среди важных технических деталей стоит отметить, что стандарт устанавливает условия для проведения испытаний систем безопасности, классификацию угроз и уязвимостей, а также измеряемые величины, такие как уровень защищенности и степень воздействия потенциальных угроз. Это позволяет проводить объективную оценку состояния информационной безопасности и адаптировать меры защиты в соответствии с изменяющимися условиями.

Целевая аудитория документа включает производителей программного обеспечения, лаборатории, занимающиеся тестированием систем безопасности, а также контролирующие органы, ответственные за соблюдение норм и стандартов в области информационной безопасности. Стандарт служит основой для разработки внутренних регламентов и процедур, направленных на повышение уровня защиты информации в организациях.

Практическое значение стандарта заключается в его влиянии на безопасность информационных систем, качество предоставляемых услуг и защиту труда сотрудников. Внедрение рекомендаций ГОСТ Р ИСО МЭК 27004 2021 способствует улучшению совместимости различных систем безопасности и повышению доверия со стороны клиентов и партнеров. Документ также может быть использован для подготовки к внешним аудитам и сертификациям, что дополнительно усиливает репутацию организаций в области информационной безопасности.

В последней редакции стандарта были внесены изменения, касающиеся уточнения методов оценки рисков и расширения рекомендаций по мониторингу защищенности. Эти дополнения направлены на улучшение практических аспектов применения стандартов в условиях быстро меняющейся информационной среды и новых угроз безопасности.

Описание документа носит справочный характер, достоверность этого материала не гарантируется.