ГОСТ Р 57640-2017

ФЕДЕРАЛЬНОЕ АГЕНТСТВО

                               ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ




                                          НАЦИОНАЛЬНЫЙ                      ГО С ТР
                                             СТАНДАРТ
                                           РОССИЙСКОЙ
                                                                            57640 —
                                            ФЕДЕРАЦИИ                       2017/
                                                                            ISO/IEC TS
                                                                            33052:2016




                                Информационные технологии

                           ЭТАЛОННАЯ МОДЕЛЬ ПРОЦЕССА (ЭМП)
                           ДЛЯ УПРАВЛЕНИЯ ИНФОРМАЦИОННОЙ
                                     БЕЗОПАСНОСТЬЮ

                                       (ISO/IEC TS 33052:2016, ЮТ)




                                           Издание официальное




                                                  С тандарт iфота*
                                                       2017




сертификаты на материалы

ГОСТ Р 57640—2017


                                         Предисловие
     1 ПОДГОТОВЛЕН Обществом с ограниченной ответственностью «Информационно-аналитиче­
ский вычислительный центр» (ООО ИАВЦ) на основе собственного перевода на русский язык англо­
язычной версии документа, указанного в пункте 4

     2 ВНЕСЕН Техническим комитетом по стандартизации ТК 22 «Информационные технологии»

     3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому ре­
гулированию и метрологии от 5 сентября 2017 г. № 1015-ст

     4 Настоящий стандарт идентичен международному документу ISO/IEC TS 33052:2016 «Информа­
ционные технологии. Эталонная модель процесса (ЭМП) для управления информационной безопасно­
стью» (ISO/IEC TS 33052:2016 «Information technology — Process reference model (PRM) for information
security management», IDT).
      ISO/IEC TS 33052 разработан подкомитетом ПК 7 «Системная и программная инженерия» Со­
вместного технического комитета СТК 1 «Информационные технологии» Международной организации
по стандартизации (ИСО) и Международной электротехнической комиссии (МЭК).
      При применении настоящего стандарта рекомендуется использовать вместо ссылочных междуна­
родных стандартов соответствующие им национальные стандарты Российской Федерации, сведения о
которых приведены в дополнительном приложении ДА

     5 ВВЕДЕН ВПЕРВЫЕ

     6 Некоторые положения международного документа, указанного в пункте 4. могут являться объ­
ектом патентных прав. ИСО и МЭК не несут ответственности за идентификацию подобных патентных
прав



     Правила применения настоящего стандарта установлены в статье 26 Федоралы 1ого закона
от 29 июня 2015 г. № 162-ФЗ «О стандартизации в Российской Федерации». Информация об из­
менениях к настоящему стандарту публикуется в ежегод>юм (по состоянию на 1 января текущего
года) информациоююм указателе «Национальные стандарты», а официальный текст изменений
и поправок — в ежемесячном информационном указателе «Национальные стандарты». В случав
пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет
опубликовано в ближайшем выпуске ежемесячного информационного указателя «Национальные
стандарты». Соответствующая информация, уведомление и тексты размещаются также в ин­
формационной системе общего пользования — на официальном сайте Федерального агентства по
техническому регулированию и метрологии в сети Интернет (vmw.gost.ru)




                                                                           © Стандартинформ. 2017

     Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и рас­
пространен в качестве официального издания без разрешения Федерального агентства по техническо­
му регулированию и метрологии
И

ГОСТ Р 57640—2017


                                                                     Содержание
1 Область применения........................................................................................................................................ 1
2 Нормативные ссылки........................................................................................................................................1
3 Термины и определения...............................................................................                                                      1
4 Краткий обзор Э М П .......................................................................................................................................... 1
5 Описания процесса..........................................................................................................................................2
   5.1 Введение........................................................................................                                                         2
   5.2 ORG.1 Управление активами...... ...............................................                                                                          3
   5.3ТЕС.01 Управление возможностями...................................................................................................... 3
   5.4 ТЕС.02 Управление изменениями..........................................................................................................4
   5.5 СОМ.01 Управление связью.................................................................................................................... 4
   5.6 ТЕС.ОЗ Управление конфигурацией........................................................................................................ 5
   5.7 СОМ.02 Управление документацией...................................................................................................... 5
   5.8 ORG.2 Управление оборудованием........................................................................................................6
   5.9 ORG.3 Управление персоналом в период занятости..........................................................................7
   5.10 СОМ.ОЗ Управление человеческими ресурсами.................................................................................8
   5.11 СОМ.04 Улучшения................................................................................................................................. 8
   5.12 ТЕС.04 Управление инцидентами........................................................................................................9
   5.13 ORG.4 Инфраструктура и рабочая с р е д а ...............................                                                                     9
   5.14 СОМ.05 Внутренний аудит ................................................................................................................... 10
   5.15ТОР.1 Лидерство..............................................                                                                              11
   5.16 СОМ.06 Анализ управления................................................................................................................. 11
   5.17 СОМ.07 Управление несоответствиями.................................                                                         12
   5.18 СОМ.09 Функциональная реализация и управление.......................................................................12
   5.19 СОМ.08 Эксплуатационное планирование....................................................................................... 14
   5.20 СОМ. 10 Оценка функционирования..................................................................................................16
   5.21 ТЕС.05 Производство продукции/оказание услуг............................................................................. 17
   5.22 ТЕС.08 Продукция/услуги/'системные требования...........................................................................17
   5.23 СОМ. 11 Управление рисками и возможностями............................................................................. 18
   5.24 ТЕС.06 Управление готовностью у с л у г..............................................................................................18
   5.25 ТЕС.07 Управление непрерывностью у с л у г..................................................................................... 19
   5.26 ORG.5 Управление поставщиками .................................................................................................... 19
   5.27 ТЕС.09 Сохранение и восстановление технических данных..........................................................20
Приложение А (справочное) Отношения между требованиями к системе управления
             и эталонной моделью процесса........................................................................................... 21
Приложение В (справочное) Положения по соответствию ИСОУМЭК 33004 .......................................... 61
Приложение ДА (справочное) Сведения о соответствии ссылочных международных стандартов
               национальным стандартам..................................................................................................63
Библиография...................................................................................................................................................63




                                                                                                                                                                    III

ГОСТ Р 57640—2017


                                           Введение
      Цель настоящего стандарта состоит в том. чтобы облегчить разработку модели оценки процесса
(МОП), приведенной в ИСО/МЭК 33072.
      ИСО/МЭК 33002 устанавливает требования для осуществления оценки процесса. ИСО/МЭК 33020
описывает шкалу измерений для оценки характеристик качества с точки зрения возможностей процес­
са. ИСО/МЭК 33001 определяет понятия и терминологию, используемые для оценки процесса.
      Эталонная модель процесса (ЭМП) является моделью, включающей в себя определения процес­
сов. описанных в терминах цели и результатов, совместно с архитектурой, определяющей отношения
между процессами. При использовании ЭМП на практике могут потребоваться дополнительные эле­
менты. отвечающие окружающей среде и обстоятельствам.
      ЭМП. определенная в настоящем стандарте, описывает ряд процессов, включая процессы систе­
мы управления информационной безопасностью (СУИБ), приведенные в ИСО/МЭК 27001. Каждый про­
цесс ЭМП описан в терминах цели и результатов и обеспечивает прослеживаемость требований. ЭМП
не пытается разместить процессы в заданной среде и не предопределяет уровень возможностей про­
цесса. необходимых для выполнения требований ИСО/МЭК 27001. ЭМП не предназначена для аудита
оценки соответствия или использования в качестве эталонного руководства по реализации процесса.
      Соотношение между стандартами ИСО/МЭК 24774. ИСО/МЭК 27001, ИСО/МЭК 33002. ИСО/МЭК
33004. ИСО/МЭК 33020. ИСО/МЭК TS 33052 и ИСО/МЭК TS 33072 приведено на рисунке 1.




                    Рисунок 1 — Соотношение между соответствующими стандартами




IV