Iso 27001

Сертифікація по ISO 27001 \ Глава 2. Система менеджменту інформаційної безпеки
      У попередньому розділі було розказано про стандарти безпеки ISO їх взаємозв'язках один з одним. ISO 27001 служить керівництвом по створенню системи менеджменту інформаційної безпеки (СМІБ) і посилається на засоби управління, описані в ISO 27002, що дозволяє створити і підтримувати СМІБ. Ця глава визначає СМІБ і знайомить з нею читача. Це необхідно для подальшого обговорення основних концепцій та інструментів, необхідних для ефективної побудови СМІБ.
      У цьому Розділі розглянуті наступні питання:
    • введення в СМІБ;
    • введення в структуру менеджменту безпеки;
    • процес створення СМІБ: «Як повинно бути» (To-Be) або PDCA;
    • «як повинно бути» (To-Be);
    • «як є» (As-Is);
    • план переходу;
    • експлуатація та супровід.
2.1. Введення в СМІБ
ISO визначає СМІБ як «частину загальної системи менеджменту, засновану на оцінці бізнес-ризиків і призначену для створення, впровадження, експлуатації, моніторингу, супроводу та вдосконалення інформаційної безпеки». Відповідно до підходу ISO, «загальна система менеджменту» компанії включає в себе набагато більше, ніж просто безпеку, ISO пропонує декілька стандартів по системах менеджменту. Сімейство ISO 9000 являє собою серію стандартів, що відносяться до систем менеджменту якості. Сімейство ISO 14000 є набором стандартів з систем екологічного менеджменту. ISO 27000 - це сімейство стандартів на системи менеджменту безпеки. Тому ISO вводить терміни, які можуть бути застосовні до всіх систем менеджменту, і використовує їх, щоб визначити дії, необхідні для створення, підтримки та поліпшення менеджменту інформаційної безпеки.
Є й інші назви для СМІБ, наприклад, програма менеджменту безпеки (SMP - Security Management Program), програма