ГОСТ Р 57551-2017/ISO/TR 18128:2014 Информация и документация. Оценка рисков для документных процессов и систем

     5.4 Документные системы

При оценке воздействия риска на системы, используемые для создания документов и/или контроля над ними, следует принять во внимание архитектуру таких систем, вопросы обеспечения поддержки, жизнеспособности, непрерывности функционирования, интероперабельности и безопасности. Используемые организацией системы с течением времени сменяются в зависимости от экономических обстоятельств, перемен в характере деятельности и кадровом составе, а также в связи с изменениями размера и структуры организации. Критически важно, чтобы высшее руководство было надлежащим образом информировано о риске для документных систем и приняло на себя ответственность за предпринимаемые организацией меры реагирования.

Примечание 1 - В рамках настоящего подраздела термин "системы" следует понимать как "документные системы" в смысле определения, данного в 3.2.1.

Примечание 2 - Специалисты по управлению документами при проведении идентификации связанных с документными системами рисков в организациях, внедривших у себя меры и средства контроля и управления, предусмотренные стандартом системы менеджмента информационной безопасности ИСО/МЭК 27001, должны принять во внимание возможность снижения рисков в некоторых областях благодаря этим мерам. В не внедривших ИСО/МЭК 27001 организациях, этот стандарт может быть использован как источник для выбора действий по смягчению риска из числа перечисленных в нем мер. Приложение C содержит таблицу, устанавливающую соответствие между относящимися к документным системам областями неопределенности и мерами контроля и управления, описанными в ИСО/МЭК 27001.

5.4.1 Области неопределенности: архитектура систем

Архитектура и конфигурация систем имеют ключевое значение для создания документов и обеспечения их долговечности. Данная область пересекается с идентификацией рисков для документных процессов. Адекватная документация по конфигурации системы является основой для решения вопросов, связанных как с другими областями риска на системном уровне, так и с процессами в системе.

Примечание - О документных процессах в системах см. 5.5.

Исходя из современного опыта, идентификация связанных с архитектурой систем рисков, особенно в контексте электронных документов, включает в себя следующее: