Методика определения активов при внедрении и сертификации СМИБ в соответствии с требованиями ГОСТ Р ИСО/МЭК 27001-2006 и СТО Газпром серии 4.2
Рассмотрены современные проблемы при внедрении и сертификации систем менеджмента информационной безопасности (СМИБ) в соответствии с требованиями стандартов ГОСТ Р ИСО/МЭК серии 27001 и отраслевых стандартов Системы обеспечения информационной безопасности СТО Газпром серии 4.2 (СОИБ). Предложен системный подход к формированию моделей и методов выявления, идентификации и классификации угроз нарушения информационной безопасности (ИБ) для защищаемых объектов различного вида. Основное внимание обращено на сложности при совмещении требований двух различных систем стандартизации (ГОСТ Р ИСО/МЭК и СОИБ), которые могут вызвать затруднения при корректной идентификации и оценке активов для области распространения (“scope”), менеджменте рисков в СМИБ, а также в процессах планирования и успешного проведения сертификационного аудита. Представляется важным сконцентрировать экспертные усилия на целях формирования достоверных моделей и методов обеспечения внутреннего аудита и эффективного "мониторинга" состояния объектов, находящихся под воздействием угроз ИБ. С учетом поставленной проблемы предложена методика определения активов, которая удовлетворяет требованиям двух указанных систем стандартизации в области ИБ и позволяет обеспечить успешную сертификацию СМИБ. Дополнительно рассмотрены требования в части, касающейся управления активами в новой версии стандарта ISO 27001:2013, который пока не имеет официального перевода на русский язык.