### Что такое система менеджмента информационной безопасности?

 

 

Ознакомиться с официальными понятиями и определениями в сфере стандартизации информационной безопасности можно в ГОСТ 27001-2006, иных нормативных актах. Для целей предстоящей сертификации расскажем о них простыми словами. СМИБ – это комплекс решений и действий, обеспечивающих защиту сведений, баз данных, документации, иных ценных активов бизнеса или государственных структур. Обязательным требованием для любой системы менеджмента является контроль за деятельностью, оказываемыми услугами или выпускаемой продукции.

Система менеджмента есть на любом предприятии, даже если владелец бизнеса или предприниматель не указал на это в документах. Чтобы получить официальный документ, что СМК соответствует стандартизированным правилам, организации нужно:

* разработать и утвердить документацию в соответствие с выбранным стандартом;
* провести комплекс мер по внедрению стандартизированных правил;
* пройти официальную оценку соответствия (сертификацию) по показателям, указанным в ГОСТ ИСО;
* предпринимать меры по улучшению показателей безопасности после прохождения сертификации, подтверждать их в ходе инспекционного контроля.

Перечисленные мероприятия должны быть соблюдены и для получения сертификата МЭК 27001-2006. Общие требования для оценки соответствия СМИБ совпадают с базовыми сводами правил ISO, однако предусматривают и ряд специальных нюансов.

 



### Кому нужен сертификат ГОСТ Р ИСО/МЭК 27001-2006 и где он применяется?

 

 

Сертификат ISO 27001 может получить любая компания, госструктура или предприниматель, даже если их сфера деятельности не связана с информационными технологиями. Однако именно для фирм и учреждений, напрямую работающих с IT, базами данных и обменом информацией, сертификат МЭК является одним из основных документов для успешного ведения бизнеса. Обычно проверку заказывают:

* финансовые структуры, банки, страховые и инвестиционные компании;
* операторы связи, провайдеры, владельцы серверного и специализированного IT оборудования;
* операторы персональных данных, в том числе медицинские, образовательные учреждения;
* иные субъекты, для которых конфиденциальность информации имеет первоочередное значение.

Внедрив и используя правила ИСО 27001, предприятие снижает риск утечки данных или кражи информации, устраняет иные негативные последствия.