Соответствие требованиям

Куда я попал?

SECURITM это SGRC система, автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

Подробнее

Наш канал

ГОСТ Р № ИСО/МЭК 27001-2021 от 01.01.2022

Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования

9.3

Для проведения оценки соответствия по документу войдите в систему.

Список требований

Похожие требования

ГОСТ Р № 57580.3-2022 от 01.02.2023 "Безопасность финансовых (банковских) операций. Управление риском реализации информационных угроз и обеспечение операционной надежности. Общие положения.":

ОПР.19.5

ОПР.19.5 Обеспечение как минимум ежегодного контроля за деятельностью в части планирования, реализации, контроля и совершенствования системы управления риском реализации информационных угроз, а также систем управления, определенных в рамках семейств стандартов ОН и ЗИ Комплекса стандартов;

ОПР.8.5

ОПР.8.5 Участие совета директоров (наблюдательного совета) и коллегиального исполнительного органа финансовой организации в решении вопросов управления риском реализации информационных угроз, обеспечения операционной надежности и защиты информации.

ОПР.8.4

ОПР.8.4 Систематический и проактивный подход в части противодействия возможным информационным угрозам;

ГОСТ Р № 22301 от 01.01.2022 "Надежность в технике. Системы менеджмента непрерывности деятельности. Требования":

Р. 9 п. 3 пп. 3 ппп.1

9.3.3.1 Результаты анализа со стороны руководства должны включать решения, касающиеся возможностей постоянного улучшения и необходимости внесения изменений в СМНД для повышения ее результативности и эффективности, включая следующее:

а) изменения в области применения СМНД;
b) обновление анализа воздействий на деятельность, оценки риска, стратегий и решений и планов в области обеспечения непрерывности;
с) изменение процедур и средств управления для реагирования на внутренние или внешние проблемы, воздействующие на СМНД;
d) методы измерения результативности управления.

Р. 9 п. 3 пп. 1

9.3.1 Общие положения
Высшее руководство должно проверять СМНД организации через запланированные промежутки времени для обеспечения ее постоянной пригодности, адекватности и эффективности.

Р. 9 п. 3 пп. 3 ппп.2

9.3.3.2 Организация должна хранить документированную информацию в качестве объективных свидетельств результатов анализа со стороны руководства, включая:

а) обмен информацией о результатах анализа со стороны руководства с заинтересованными сторонами;
b) выполнение соответствующих действий в отношении полученных результатов.

Р. 9 п. 3 пп. 2

9.3.2 Входные данные для анализа со стороны руководства
Анализ со стороны руководства должен включать рассмотрение:

а) статуса действий по результатам предыдущего анализа со стороны руководства;
b) изменения во внешних и внутренних проблемах, которые имеют отношение к СМНД;
с) информации о показателях работы СМНД, включая тенденции:

1) несоответствий и корректирующих действий;
2) результатов мониторинга и оценки измерений;
3) результатов аудита;

d) отзывов заинтересованных сторон;
е) необходимости изменений СМНД. включая политику и цели;
f) процедур и ресурсов, которые можно использовать в организации для улучшения показателей результативности СМНД;
g) информации, полученной на основе воздействий анализа на деятельность и оценки риска;
h) результатов оценки документации и возможностей по обеспечению непрерывности деятельности (см. 8.6);
i) риска или проблем, которые не были адекватно рассмотрены при предыдущей оценке риска;
j) извлеченных уроков и действий, возникших в результате промахов и нарушения деятельности организации;
к) возможностей постоянного улучшения.

NIST Cybersecurity Framework (RU):

PR.IP-7

PR.IP-7: Процессы защиты постоянно улучшаются

ID.RM-1

ID.RM-1: Процессы управления рисками установлены, управляются и согласованы заинтересованными сторонами организации

Стандарт № ИСО/МЭК 27001:2022(E) от 25.10.2022 "Информационная безопасность, кибербезопасность и защита частной жизни — Системы управления информационной безопасностью — Требования. Тело стандарта":

9.3.1 Общие положения

9.3.1 Общие положения

Высшее руководство должно анализировать систему менеджмента информационной безопасности организации в запланированные интервалы времени с целью обеспечения ее (системы менеджмента информационной безопасности) непрерывной пригодности, адекватности и эффективности.

9.3.2 Входная информация анализа со стороны руководства

9.3.2 Входная информация анализа со стороны руководства
Анализ со стороны руководства должен включать в себя рассмотрение следующего:

a) статус действий после предыдущего анализа со стороны руководства;
b) изменения внешних и внутренних параметров, которые относятся к системе менеджмента информационной безопасности;
с) изменения потребностей и ожиданий заинтересованных сторон, имеющих отношение к системе менеджмента информационной безопасности;
f) обратную связь в отношении исполнения информационной безопасности, включая тенденции в:
- 1) несоответствиях и корректирующих действиях;
- 2) результатах мониторинга и оценки защищенности;
- 3) результатах аудита;
- 4) достижении целей информационной безопасности;
d) обратную связи от заинтересованных сторон;
e) результаты оценки рисков и статус плана обработки рисков;
f) возможности для непрерывного улучшения

9.3.3 Результаты анализа со стороны руководства

9.3.3 Результаты анализа со стороны руководства
В результаты анализа со стороны руководства должны входить решения в отношении возможностей для непрерывного улучшения и любые потребности в изменениях системы менеджмента информационной безопасности.
Документированная информация должна быть доступна в качестве свидетельств достижения результатов анализа со стороны руководства.

Guideline for a healthy information system v.2.0 (EN):

38 STANDARD

/STANDARD
Carrying out regular audits (at least once per year) of the information system is essential as this makes it possible to correctly assess the effectiveness of measures implemented and their maintenance over time. These controls and audits are also able to measure the gaps that may remain between the theory and the practice.

They can be carried out by possible internal audit teams or by specialised external companies. Depending on the scope to test, technical and/or organisational audits will be carried out by the professionals called upon. These audits are especially necessary as the organization must comply with the regulations and legal obligations directly linked to its activities.

Following these audits, corrective actions must be identified, their application planned and monitoring points organised at regular intervals. For higher efficiency, indicators on the state of progress of the action plan may be integrated into the overview for the management.

Although security audits participate in the security of the information system by being able to show possible vulnerabilities, they are never proof of their absence and therefore do not negate the need for other control measures.

Стандарт № ISO/IEC 27001:2022(E) от 25.10.2022 "Information security, cybersecurity and privacy protection — Information security management systems — Requirements. Body":

9.3.1 General

9.3.1 General
Top management shall review the organization’s information security management system at planned intervals to ensure its continuing suitability, adequacy and effectiveness.

9.3.2 Management review inputs

9.3.2 Management review inputs
The management review shall include consideration of:

a) the status of actions from previous management reviews;
b) changes in external and internal issues that are relevant to the information security management system;
c) changes in needs and expectations of interested parties that are relevant to the information security management system;
d) feedback on the information security performance, including trends in:
- 1) nonconformities and corrective actions;
- 2) monitoring and measurement results;
- 3) audit results;
- 4) fulfilment of information security objectives;
e) feedback from interested parties;
f) results of risk assessment and status of risk treatment plan;.
g) opportunities for continual improvement

9.3.3 Management review results

9.3.3 Management review results
The results of the management review shall include decisions related to continual improvement opportunities and any needs for changes to the information security management system.
Documented information shall be available as evidence of the results of management reviews.

Методика экспресс-оценки уровня кибербезопасности организации РезБез:

1.2.4.1.

Топ-менеджмент, операционные руководители, ответственные за ключевые функции организации, совместно с представителями ИТ и ИБ
участвуют в определении недопустимых событий / ключевых рисков КБ

NIST Cybersecurity Framework (EN):

PR.IP-7 PR.IP-7: Protection processes are improved

ID.RM-1 ID.RM-1: Risk management processes are established, managed, and agreed to by organizational stakeholders

Связанные защитные меры

Ничего не найдено

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.