ISO IEC TR 27016-2014 PDF

Полное наименование и описание

ISO/IEC TR 27016:2014 — Information technology — Security techniques — Information security management — Organizational economics. Технический отчёт, дающий рекомендации по учёту экономических последствий принимаемых решений в области информационной безопасности и по рациональному распределению ограниченных ресурсов организации для защиты информационных активов.

Аннотация

Документ описывает, как включить принципы организационной экономики в процесс принятия решений по информационной безопасности: оценку затрат и выгод, приоритизацию инвестиций, учёт альтернативного использования ресурсов и интересов заинтересованных сторон. Основная цель — помочь руководству организации (топ-менеджменту) принимать экономически обоснованные решения в области управления информационной безопасностью.

Общая информация

• Статус: Опубликован (Technical Report / Published).
• Дата публикации: март 2014 (издание 1; официальные публикации регистрируют выпуск в феврале—марте 2014).
• Организация-издатель: ISO и IEC (совместная публикация, технический комитет ISO/IEC JTC 1/SC 27).
• ICS / категории: 35.030 (информационная безопасность / IT security).
• Редакция / версия: Edition 1 (2014).
• Количество страниц: 31 страницы в оригинальном международном издании ISO; у некоторых национальных изданий встречаются иные счётчики страниц (напр., 42–44 стр.) из‑за добавленных национальных вводных материалов.

Область применения

TR 27016 применяется ко всем типам и размерам организаций и ориентирован на тех, кто принимает решения в области информационной безопасности на уровне политики и стратегии. Документ даёт рекомендации по использованию экономических подходов при оценке мер по защите информации и при обосновании распределения ресурсов между конкурирующими требованиями.

Ключевые темы и требования

• Роль организационной экономики в управлении информационной безопасностью: включение экономических соображений в процесс принятия решений.
• Оценка затрат и выгод (cost–benefit) и анализ альтернатив для мер безопасности.
• Приоритизация инвестиций и распределение ограниченных ресурсов между мерами безопасности и другими бизнес‑инициативами.
• Идентификация и учёт интересов ключевых заинтересованных сторон (топ‑менеджмент, финансовые роли, ИТ и безопасность).
• Интеграция экономических методов с существующими подходами семейства стандартов ISO/IEC 27000 (взаимосвязь с политиками, рисками и управлением).

Применение и пользователи

Основные пользователи: топ‑менеджмент (CEO, CFO, COO), руководители ИТ и информационной безопасности (CIO, CISO), менеджеры по рискам, бизнес‑аналитики и консультанты по информационной безопасности. TR 27016 особенно полезен при подготовке бизнес‑обоснований для инвестиций в безопасность, формировании политики распределения бюджета и взаимодействии с финансовыми подразделениями.

Связанные стандарты

Документ дополняет и соотносится с рядом стандартов семейства ISO/IEC 27000 (включая ISO/IEC 27000, 27001, 27002, 27005, 27014 и др.), а также с общими стандартами по управлению рисками и управлению (например, ISO 31000). Национальные и отраслевые публикации часто указывают эти перекрёстные ссылки при продаже/внедрении.

Ключевые слова

организационная экономичность, экономическая оценка, информационная безопасность, управление рисками, обоснование инвестиций, приоритизация ресурсов, ISMS, руководство.

FAQ

В: Что это за стандарт?

О: Это технический отчёт ISO/IEC TR 27016:2014, предоставляющий рекомендации по учёту экономических аспектов в управлении информационной безопасностью и по принятию экономически обоснованных решений на уровне организации.

В: Что он регулирует?

О: TR 27016 не является требовательным стандартом для сертификации — это руководящий технический отчёт, который даёт методические указания по оценке затрат и выгод, приоритизации мер безопасности и взаимодействию между бизнес‑целями и мерами защиты.

В: Кто обычно использует?

О: Руководители и специалисты, отвечающие за стратегию и бюджет в области информационной безопасности: топ‑менеджмент, финансовые руководители, руководители ИТ и безопасности, менеджеры по рискам и консультанты. Документ ориентирован на тех, кто должен обосновывать инвестиции в безопасность.

В: Он актуален или заменён?

О: По состоянию на публикацию и по доступным записям документ остаётся действующим техническим отчётом 2014 года; официальные реестры указывают статус «Published» и отсутствие новой редакции или официального отзыва. Следует проверять актуальность перед применением, так как национальные издания и связанные стандарты могли обновляться.

В: Это часть серии?

О: Да — TR 27016 входит в семейство ISO/IEC 27000 (стандарты по управлению информационной безопасностью) и предназначен для использования в сочетании с другими документами серии (27000, 27001, 27002, 27005 и пр.).

В: Какие ключевые слова?

О: организационная экономичность, оценка затрат и выгод, принятие решений, распределение ресурсов, информационная безопасность, ISMS, экономическое обоснование инвестиций.