ГОСТ Р ИСО/МЭК 27001-2021 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования (Переиздание)

ГОСТ Р ИСО/МЭК 27001-2021

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

Информационная технология

МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ

Системы менеджмента информационной безопасности. Требования

Information technology. Security techniques. Information security management systems. Requirements

ОКС 35.040

Дата введения 2022-01-01

Предисловие

1 ПОДГОТОВЛЕН Федеральной службой по техническому и экспортному контролю (ФСТЭК России), Открытым акционерным обществом "Информационные технологии и коммуникационные системы" (ОАО "ИнфоТеКС") и Федеральным автономным учреждением "Государственный научно-исследовательский испытательный институт проблем технической защиты информации Федеральной службы по техническому и экспортному контролю" (ФАУ "ГНИИИ ПТЗИ ФСТЭК России") на основе официального перевода на русский язык англоязычной версии указанного в пункте 4 стандарта, который выполнен ФГБУ "РСТ"

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 362 "Защита информации"

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 30 ноября 2021 г. N 1653-ст

4 Настоящий стандарт идентичен международному стандарту ИСО/МЭК 27001:2013* "Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования" (ISO/IEC 27001:2013 "Information technology - Security techniques - Information security management systems - Requirements", IDT), включая технические поправки: Cor. 1:2014; Cor. 2:2015.

________________

* Доступ к международным и зарубежным документам, упомянутым в тексте, можно получить, обратившись в Службу поддержки пользователей. - Примечание изготовителя базы данных.

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты, сведения о которых приведены в дополнительном приложении ДА.

Дополнительные сноски в тексте стандарта, выделенные курсивом, приведены для пояснения текста оригинала

5 ВЗАМЕН ГОСТ Р ИСО/МЭК 27001-2006

6 ПЕРЕИЗДАНИЕ. Март 2022 г.

Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. N 162-ФЗ "О стандартизации в Российской Федерации". Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе "Национальные стандарты", а официальный текст изменений и поправок - в ежемесячном информационном указателе "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.rst.gov.ru)

Введение

Настоящий стандарт подготовлен с целью установления требований по созданию, внедрению, поддержке и постоянному улучшению системы менеджмента информационной безопасности. Решение о внедрении системы менеджмента информационной безопасности является стратегическим решением организации. На то, в каком виде в организации будет создана и внедрена система менеджмента информационной безопасности, влияют потребности и цели деятельности организации, требования безопасности, реализуемые организацией процессы деятельности, а также размеры и структура организации. Предполагается, что все указанные факторы влияния изменяются со временем.

Система менеджмента информационной безопасности сохраняет конфиденциальность, целостность и доступность информации за счет применения процесса управления рисками и дает заинтересованным сторонам уверенность в том, что риски надлежащим образом управляются.

________________

Заинтересованная сторона (interested party) - лицо или организация, которые могут воздействовать на осуществление деятельности или принятие решения, быть подверженными их воздействию или воспринимать себя в качестве последних (см. ГОСТ Р ИСО 9000—2015, пункт 3.2.3).

Важно, чтобы система менеджмента информационной безопасности организации составляла часть процессов и структуры управления организации и была интегрирована с ними. Также важно, чтобы информационная безопасность учитывалась при проектировании процессов, информационных систем и средств управления. Предполагается, что система менеджмента информационной безопасности будет адаптироваться к потребностям организации.

Настоящий стандарт может быть использован заинтересованными сторонами для оценки способности организации соответствовать собственным требованиям к информационной безопасности.

Доступ к полной версии документа ограничен

Название документа

ГОСТ Р ИСО/МЭК 27001-2021 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования (Переиздание)

Номер документа

ИСО/МЭК 27001-2021

Вид документа

Нормативно-технический документ

Принявший орган

Применяется с 01.01.2022 взамен ГОСТ Р ИСО/МЭК 27001-2006

Классификация ОКС

35 Информационные технологии 35.040 Кодирование информации

Статус

Скрыто

Дата принятия

Скрыто

Дата начала действия

Скрыто

Документ «ГОСТ Р ИСО МЭК 27001 2021» представляет собой национальный стандарт, который устанавливает требования к системам менеджмента информационной безопасности (СМИБ). Основное назначение данного стандарта заключается в обеспечении конфиденциальности, целостности и доступности информации в организациях различного профиля. Сфера его применения охватывает как государственные, так и частные структуры, стремящиеся к внедрению эффективных методов управления информационной безопасностью.

Стандарт регламентирует ключевые аспекты, такие как оценка рисков, разработка и внедрение политики безопасности, а также мониторинг и улучшение систем менеджмента информационной безопасности. В частности, он определяет процедуры управления инцидентами, требования к документированию процессов и необходимость регулярного аудита. Эти элементы способствуют созданию системного подхода к защите информации и минимизации рисков, связанных с её утечкой или несанкционированным доступом.

Важные технические детали стандарта включают в себя методы оценки угроз и уязвимостей, а также параметры, которые необходимо учитывать при разработке и внедрении мероприятий по обеспечению безопасности. Стандарт также описывает условия испытаний, классификации информации и измеряемые величины, что позволяет организациям адаптировать его требования к своим специфическим условиям и потребностям. Это обеспечивает гибкость в применении стандартов в различных отраслях и на разных уровнях управления.

Целевая аудитория данного стандарта включает производителей информационных систем, лаборатории, а также контролирующие органы, ответственные за соблюдение норм и стандартов в области информационной безопасности. Стандарт может быть использован как основа для сертификации систем менеджмента информационной безопасности, что подтверждает соответствие организаций современным требованиям и лучшим практикам в данной области.

Практическое значение стандарта заключается в его влиянии на безопасность информации, качество управления данными и охрану труда. Внедрение требований ГОСТ Р ИСО МЭК 27001 способствует повышению доверия со стороны клиентов и партнеров, улучшает репутацию организаций и обеспечивает соответствие международным стандартам. В обновлённой версии документа учтены изменения, касающиеся новых угроз в области кибербезопасности, что делает его актуальным в условиях быстро меняющегося технологического ландшафта.

Описание документа носит справочный характер, достоверность этого материала не гарантируется.