Из ГОСТ Р 53114–2008 Защита информации. Обеспечение информационной безопасности в организации. Основные термины и определения

Все, что имеет ценность для организации в интересах достижения целей деятельности и находится в ее распоряжении.

Примечание - К активам организации могут относиться:

• информационные активы, в том числе различные виды информации, циркулирующие в информационной системе (служебная, управляющая, аналитическая, деловая и т.д.) на всех этапах жизненного цикла (генерация, хранение, обработка, передача, уничтожение);
• ресурсы (финансовые, людские, вычислительные, информационные, телекоммуникационные и прочие);
• процессы (технологические, информационные и пр.);
• выпускаемая продукция и (или) оказываемые услуги.

[из 3.1.6 ГОСТ Р 53114-2008]

Все, что имеет ценность для организации [ГОСТ Р ИСО/МЭК 13335-1-2006, пункт 2.2] [из А.5 ГОСТ Р 53114-2008]

Систематическое использование информации для определения источников риска и количественной оценки риска [ГОСТ Р ИСО/МЭК 27001-2006, статья 3.11] [из 3.2.13 ГОСТ Р 53114-2008]

Сетевая атака, приводящая к блокированию информационных процессов в автоматизированной системе [из 3.3.9 ГОСТ Р 53114-2008]

Попытка преодоления системы защиты информационной системы.

Примечания - Степень «успеха» атаки зависит от уязвимости и эффективности системы защиты [из А.12 ГОСТ Р 53114-2008]

Процесс комплексной проверки выполнения заданных функций автоматизированной системы по обработке защищаемой информации на соответствие требованиям стандартов и (или) нормативных документов в области защиты информации и оформления документов о ее соответствии выполнению функции по обработке защищаемой информации на конкретном объекте информатизации [из 3.5.7 ГОСТ Р 53114-2008]

Систематический, независимый и документируемый процесс получения свидетельств деятельности организации по обеспечению информационной безопасности и установлению степени выполнения в организации критериев информационной безопасности, а также допускающий возможность формирования профессионального аудиторского суждения о состоянии информационной безопасности организации [из 3.5.3 ГОСТ Р 53114-2008]

Систематический независимый и документированный процесс получения свидетельств аудита и объективного их оценивания с целью установления степени выполнения согласованных критериев аудита.

Примечания:

1. Внутренние аудиты, называемые аудитами первой стороны, проводит для внутренних целей сама организация или от ее имени другая организация. Результаты внутреннего аудита могут служить основанием для декларации о соответствии. Во многих случаях, особенно на малых предприятиях, аудит должен проводиться специалистами (людьми, не несущими ответственности за проверяемую деятельность).
2. Внешние аудиты включают аудиты, называемые аудитами второй стороны и аудитами третьей стороны. Аудиты второй стороны проводят стороны, заинтересованные в деятельности предприятия, например, потребители или другие лица от их имени. Аудиты третьей стороны проводят внешние независимые организации. Эти организации проводят сертификацию или регистрацию на соответствие требованиям, например требованиям ГОСТ Р ИСО 9001 и ГОСТ Р ИСО 14001.
3. Аудит систем менеджмента качества и экологического менеджмента, проводимый одновременно, называют «комплексным аудитом».
4. Если аудит проверяемой организации проводят одновременно несколько организаций, то такой аудит называют «совместным аудитом».

[из А.18 ГОСТ Р 53114-2008]

Состояние защищенности информации [данных], при котором обеспечены ее [их] конфиденциальность, доступность и целостность [ГОСТ Р 50922-2006, пункт 2.4.5] [из 3.1.1 ГОСТ Р 53114-2008]

Состояние защищенности информационной технологии, при котором обеспечиваются безопасность информации, для обработки которой она применяется, и информационная безопасность информационной системы, в которой она реализована [Р 50.1.056-2005, пункт 2.4.5] [из 3.1.2 ГОСТ Р 53114-2008]