ISO IEC 27003-2017 PDF

Полное наименование и описание

ISO/IEC 27003:2017 — Information technology — Security techniques — Information security management systems — Guidance. Норматив предоставляет пояснения и практические рекомендации по внедрению и интерпретации требований ISO/IEC 27001:2013, не вводя новых обязательных требований.

Аннотация

Документ служит руководством по созданию, внедрению и поддержанию Системы менеджмента информационной безопасности (СМИБ/ISMS). Описывает цели и содержание разделов ISO/IEC 27001:2013, даёт практические указания по определению контекста организации, области применения, ролей и обязанностей, планированию, поддержке и оценке эффективности СМИБ. Стандарт предназначен для широкого круга организаций и специалистов, участвующих в разработке и внедрении СМИБ.

Общая информация

• Статус: Действующий (издание 2017 года, руководство по ISO/IEC 27001:2013).
• Дата публикации: 12 апреля 2017 г. (издание 2.0, пересмотр 2017).
• Организация-издатель: Международная организация по стандартизации (ISO) и Международная электротехническая комиссия (IEC), подготовлено комитетом ISO/IEC JTC 1/SC 27.
• ICS / категории: 03.100.70 (Management systems), 35.030 (IT Security).
• Редакция / версия: Редакция 2.0 (2017), заменяет ISO/IEC 27003:2010.
• Количество страниц: 45 страниц (PDF/электронная версия).

Область применения

Руководство предназначено для организаций любого типа и размера, которые планируют разработать, внедрить или улучшить Систему менеджмента информационной безопасности в соответствии с ISO/IEC 27001:2013. Стандарт не является документом для сертификации — он объясняет и уточняет требования ISO/IEC 27001 и предлагает варианты практической реализации.

Ключевые темы и требования

• Понимание контекста организации, внутренних и внешних факторов, заинтересованных сторон и границ СМИБ (соответствие разделу 4 ISO/IEC 27001).
• Роли, обязанности и руководство: участие высшего руководства, назначение ответственности за СМИБ.
• Планирование: цели безопасности, оценка рисков и выбор подхода к рискам (руководство, но без детального метода риск-менеджмента).
• Поддержка и эксплуатация: ресурсы, компетенции, осведомлённость, документирование и управление изменениями.
• Оценка эффективности и непрерывное улучшение: мониторинг, внутренний аудит, корректирующие действия и пересмотр со стороны руководства.
• Связь с контрольным списком Annex A и указания по выбору и применению мер безопасности; ссылки на сопутствующие документы (например, ISO/IEC 27002, ISO/IEC 27005, ISO/IEC TR/TS).

Применение и пользователи

Основные пользователи — менеджеры информационной безопасности, руководители проектов по внедрению СМИБ, консультанты, внутренние аудиторы и члены команды ISO/IEC 27001. Стандарт полезен как для организаций, начинающих путь к соответствию 27001, так и для тех, кто совершенствует существующий СМИБ. Также используется национальными органами по стандартизации при подготовке идентичных или эквивалентных национальных версий.

Связанные стандарты

ISO/IEC 27003 входит в семейство ISO/IEC 27000. Тесно связан с ISO/IEC 27001:2013 (требования), ISO/IEC 27002 (меры и лучшие практики), ISO/IEC 27005 (управление рисками), ISO/IEC 27004 (метрики) и ISO/IEC 27008 (оценка мер контроля). Для практической реализации рекомендуется использовать эти документы совместно.

Ключевые слова

СМИБ, ISMS, информационная безопасность, руководство, ISO/IEC 27001, внедрение, оценка рисков, меры безопасности, JTC 1/SC 27.

FAQ

В: Что это за стандарт?

О: Руководящий (non‑normative) стандарт, который разъясняет требования ISO/IEC 27001 и даёт практические рекомендации по проектированию и внедрению Системы менеджмента информационной безопасности (СМИБ).

В: Что он регулирует?

О: Не регулирует в смысле обязательных требований — он предоставляет пояснения по разделам ISO/IEC 27001:2013 (контекст, планирование, поддержка, эксплуатация, оценка и улучшение) и рекомендации по практической реализации.

В: Кто обычно использует?

О: Менеджеры по безопасности, команды внедрения СМИБ, консультанты, внутренние аудиторы и специалисты по управлению рисками, а также лица, ответственные за соответствие требованиям ISO/IEC 27001.

В: Он актуален или заменён?

О: Издание 2017 года — действующее руководство; оно заменило версию 2010 года. На 2024—2025 гг. инициирована процедура пересмотра/обновления стандарта (стадия подготовки к пересмотру по данным реестра проектов). Рекомендуется уточнять статус в национальных или международных каталогах стандартов перед покупкой.

В: Это часть серии?

О: Да — входит в семейство ISO/IEC 27000 (серия стандартов по менеджменту информационной безопасности), и предназначена для сопровождения и пояснения ISO/IEC 27001.

В: Какие ключевые слова?

О: СМИБ, ISMS, информационная безопасность, руководство, внедрение, ISO/IEC 27001, управление рисками, меры контроля.