Процесс измерений затрагивает политику, менеджмент риска информационной безопасности, меры и средства контроля и управления и цели их применения, процессы и процедуры, а также поддерживает процесс проверки системы менеджмента информационной безопасности (СМИБ), помогая определить, требуется ли изменять или совершенствовать какие-либо из процессов или мер и средств контроля и управления СМИБ.  Процесс измерений реализуется в виде программы измерений, связанных с информационной безопасностью.

Одним из факторов, влияющих на способность организации проводить измерения, является ее размер. В целом, масштабы и сложность основной деятельности организации в сочетании с важностью информационной безопасности влияют на объем требуемых измерений как с точки зрения числа выбираемых мер измерений, так и с точки зрения частоты сбора и анализа данных. В то время как для малых и средних организаций менее детализированная программа будет достаточной, крупные организации будут внедрять и использовать многочисленные программы измерений.

Стандарт ISO/IEC 27004:2016 «Информационная технология. Методы и средства обеспечения безопасности. Менеджмент информационной безопасности. Мониторинг, измерения, анализ и оценка» устанавливает рекомендации по разработке и использованию измерений и мер измерений для оценки эффективности реализованной системы менеджмента информационной безопасности, мер и средств контроля и управления и их групп в соответствии с ИСО/МЭК 27001. В Российской Федерации действует национальный стандарт ГОСТ Р ИСО/МЭК 27004-2011, идентичный международному ISO/IEC 27004:2016.

В целях установления эффективных методов измерений важно определить риски информационной безопасности, с которыми сталкивается организация, и корректно выполнять действия по оценке таких рисков. 

Важно отметить, что стандарт ISO/IEC 27004:2016 является существенной методической помощью для выполнения организацией требований к измерениям, установленных в ISO/IEC 27001:2013 «Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования».     Стандарт ISO/IEC 27001 базируется на подходе управления рисками и также как и основополагающий стандарт в области систем менеджмента (ISO 9001) на процессном подходе. Сотрудники Института технического регулирования, стандартизации и сертификации (ITRC) участвуют в разработке основополагающих международных стандартов на системы менеджмента – стандартов ИСО серии 9000 и являются представителями Российской Федерации в международном техническом комитете Международной организации по стандартизации ИСО/ТК 176 «Менеджмент качества и обеспечение качества», который координирует деятельность по разработке международных стандартов на системы менеджмента качества. Как международным экспертам по стандартизации нам важно, чтобы заложенные в международных стандартах требования были понятны пользователям, однозначны и при их реализации выполнялись основные принципы менеджмента и достигались основные  цели применения стандартов. В связи с этим одной из основных задач Института технического регулирования, стандартизации и сертификации, как научно-методического центра в области систем менеджмента в Российской Федерации, является демонстрация организациям различных отраслей подходов к эффективному внедрению стандартов на системы менеджмента, что позволит организациям на системной основе повышать удовлетворенность как своих потребителей, так и собственного персонала и других заинтересованных сторон. Результат нашей деятельности – эффективные системы менеджмента.
                 
Институт технического регулирования, стандартизации и сертификации (ITRC) оказывает следующие виды услуг: