Информационная безопасность. Национальные стандарты Российской Федерации

Однако вопросы применения на добровольной основе стандартов в целях обеспечения выполнения требований технических регламентов оставлены в предметной области закона «О техническом регулировании».

Закон «О техническом регулировании» регулирует отношения, возникающие при:

• разработке, принятии, применении и исполнении обязательных требований к продукции, в том числе зданиям и сооружениям, или к продукции и связанным с требованиями к продукции процессам проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации;

• применении и исполнении на добровольной основе требований к продукции, процессам проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации, а также к выполнению работ или оказанию услуг в целях добровольного подтверждения соответствия;

• оценке соответствия.

Одним из основных принципов стандартизации является добровольность применения документов по стандартизации.

В «Стратегии развития информационного общества в Российской Федерации на 2017–2030 годы», утвержденной Указом Президента Российской Федерации от 9 мая 2017 г. № 203, подчеркивается необходимость осуществления интеграции российских стандартов в сфере информационных и коммуникационных технологий в соответствующие международные стандарты, а также обеспечения гармонизации межгосударственной и национальной систем стандартов в данной сфере. В настоящее время в России наряду с отечественной нормативной базой широко используются международные стандарты в области информационных технологий и защиты информации.

В соответствии с международными и национальными стандартами для обеспечения информационной безопасности компании необходимо:

1. Определить цели обеспечения информационной безопасности.

2. Создать эффективную систему управления информационной безопасностью.

3. Определить совокупность количественных и качественных показателей для оценки соответствия уровня информационной безопасности заявленным целям.

4. Использовать определенный инструментарий для реализации процесса обеспечения информационной безопасности и оценки уровня ее текущего состояния.

5. Применять эффективные методики анализа и управления рисками, позволяющие объективно оценить состояние защищенности активов.