ГОСТ Р ИСО/МЭК 27004-2011 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Менеджмент информационной безопасности. Измерения

     5.4 Модель измерений

Примечание - Понятия "модель измерений" и "конструктивные элементы измерений", принятые в настоящем стандарте, основаны на понятиях, установленных в ИСО/МЭК 15939. Термин "информационный продукт" ("information product"), используемый в ИСО/МЭК 15939, является синонимом термина "результаты измерений" ("measurement results") настоящего стандарта, а термин "процесс измерений" ("measurement process"), используемый в ИСО/МЭК 15939, является синонимом термина "программа измерений" ("measurement programme") настоящего стандарта.

5.4.1 Общие положения

Модель измерений представляет собой структуру, связывающую информационную потребность с соответствующими объектами измерений и их атрибутами. В число объектов могут входить планируемые и реализованные процессы, процедуры, проекты и ресурсы.

Модель измерений описывает, как соответствующие атрибуты количественно оцениваются и преобразуются в показатели, служащие основой для принятия решений. Модель измерений показана на рисунке 2.

Рисунок 2 - Модель измерений

Примечание - Подробная информация об отдельных элементах модели измерений приведена в разделе 7.

В дальнейших подпунктах описываются отдельные элементы модели. Также в них приводятся примеры использования этих отдельных элементов.

Информационные потребности или цель измерений, используемые в примерах, содержащихся в таблицах 1-4, заключаются в оценке состояния осведомленности соответствующего персонала о соответствии политике безопасности организации (см. А.8.2 "Цель применения мер и средств контроля и управления" приложения А, а также А.8.2.1 и А.8.2.2 "Меры и средства контроля и управления" приложения А ИСО/МЭК 27001:2005).

5.4.2 Основная мера измерения и метод измерений

Основная мера измерения является самой простой мерой, которая может быть получена. Основная мера измерения является результатом применения метода измерений к выбранным атрибутам объекта измерений. У объекта измерения может быть множество атрибутов, но лишь некоторые из них могут предоставлять полезные значения, которые могут быть присвоены основной мере измерения. Один и тот же атрибут может использоваться для нескольких различных основных мер измерений.

Метод измерений - это логическая последовательность операций, используемых для количественной оценки атрибута по отношению к заданной шкале. Операция может включать в себя такие действия, как подсчет событий или наблюдение за ходом времени.

Метод измерений должен основываться на атрибутах объекта измерений. Примерами объектов измерений наряду с прочим могут служить:

- результативность мер и средств контроля и управления, реализованных в СМИБ;

- состояние информационных активов, защищенных мерами и средствами контроля и управления;

- результативность процессов, реализованных в СМИБ;

- поведение персонала, ответственного за реализацию СМИБ;

- деятельность подразделений организации, ответственных за информационную безопасность;

- степень удовлетворенности заинтересованных сторон.

Метод измерений может использовать объекты измерений и атрибуты из разнообразных источников, таких как:

- результаты анализа риска и оценки риска;

- анкеты и личные беседы;

- отчеты о внутренних и (или) внешних аудитах;

- документированную информацию о событиях, например, протоколы, статистические данные отчетов и журналы регистрации;

- сообщения об инцидентах, особенно о тех, вследствие которых был причинен ущерб;

- результаты тестирования, например, полученные в результате тестирования на проникновение, использования социальной инженерии, инструментальных средств обеспечения соответствия, а также инструментальных средств аудита безопасности;