CAM00397 2

55

3.3. Rozwój i znaczenie rodziny standardów BS 7799

Aprobata

kierownictwa

RYS. 3.2. System zarządzania bezpieczeństwem informacji 1SMS według normy BS 7799-2:2002

• Większy nacisk jest położony na zarządzanie ryzykiem i bardziej szczegółowo jest przedstawiony jego zalecany przebieg:

—    W starszej wersji istniał wymóg szacowania ryzyka i zarządzania ryzykiem, bez podania dodatkowych zaleceń.

—    W nowej wersji zwrócono uwagę na wybór metody oszacowania ryzyka dogodnej dla instytucji i jej systemu ISMS oraz na konieczność wyznaczenia obszaru ryzyka, który dotyczy instytucji (applicable risk) i powinien być pod kontrolą; pomocne do tego mogą się okazać proste diagramy wyrażające ryzyko w funkcji częstości występowania niekorzystnego zdarzenia i wielkości jego następstw²⁴)).

.. — Pojawiło się pojęcie traktowania ryzyka, a bardziej poprawnie postępowania z ryzykiem (risk treatment), które polega na wyborze i wdrożeniu środków zmieniających ryzyko [SM41J. Pojęcie to ma dość szerokie znaczenie i dotyczy takich kwestii, jak: czy już akceptować ryzyko, licząc na skuteczność procedur wykrywania incydentów, czy transferować ryzyko albo zastosować dodatkowe punkty jego kontroli, czyli w efekcie

H Metody oceny ryzyka zostaną przedstawione w oddzielnym rozdziale.