Please enable JavaScript.

Coggle requires JavaScript to display documents.

МІЖНАРОДНИЙ СТАНДАРТ BS ISO/IEC 27005: 2011 Частина 4 - Coggle Diagram

- - - - Вивчення організації дає можливість відтворити характерні елементи, що визначають особливості організації. Це стосується
        
        мети
        
        може визначатися як
        причина того, чому вона існує (її сфера діяльності, сегмент ринку і т.д.).
        
        бізнесу
        
        визначається методами і накопиченим
        досвідом (ноу-хау) її співробітників
        
        дає їй можливість реалізовувати своє
        призначення
        
        призначення
        
        Для визначення повинна мати забезпечувальні сервіси та виготовлювані продукти по відношенню до кінцевого користувачева
        
        цінностей
        
        Це основні принципи або певний кодекс
        поведінки, що застосовуються для здійснення бізнесу.
        
        Структура організації. Існують різні типи структури:
        
        • філіальна структура
        
        кожен підрозділ працює під керівництвом менеджера підрозділу, відповідального за прийняття стратегічних, адміністративних і операційних рішень, що стосуються його підрозділу;
        
        • функціональна структура
        
        функціональне керівництво здійснюється щодо процедур, сутності роботи і, іноді, прийняття рішень або планування
        
        Зауваження:
        
        • підрозділ, що існує в межах організації з філіальною структурою, може бути організований як функціональна структура і навпаки;
        
        • структура організації, що має елементи обох типів структури називається матричною
        
        • при будь-якої організаційної структури можуть відрізнятися наступні рівні:
        
        .
        
        рівень прийняття рішень (визначення стратегічної орієнтації);
        
        рівень керівництва (координація та менеджмент);
        
        операційний рівень (види діяльності, пов'язані з виробництвом і підтримкою).
        
        Діаграма організації.
        
        Структура організації представляється схематично на діаграмі організації.
        
        стратегій організації.
        
        Для цього потрібно формальне вираження керівних принципів організації.
        
        Стратегія організації визначає напрямок і розвиток, необхідні для одержання вигоди з питань "куди робити ставки" і планованих нею основних змін.
      - Труднощі такої діяльності полягає в точному розумінні структури організації.
      - Визначення її реальної структури дає розуміння ролі і важливості кожного підрозділу в досягненні цілей організації.
    - - Слід брати до уваги всі обмеження, що впливають на організацію і що визначають цілі її інформаційної безпеки.
      - Перелік обмежень включає в себе, але не обмежується, наступним:
        
        Обмеження політичного характеру
        
        Стратегічні обмеження
        
        Обмеження, на виникнення яких впливає стан економіки і політики
        
        Структурні обмеження
        
        Функціональні обмеження
        
        Обмеження, що стосуються персоналу
        
        Обмеження, на виникнення яких впливає календар організації
        
        Обмеження, пов'язані з методами
        
        Культурні обмеження
        
        10.Бюджетні обмеження
    - - Повинні визначатися регулюючі вимоги, які стосуються видів діяльності організації. До їх числа можуть бути віднесені
        
        • закони,
        
        • постанови,
        
        • спеціальні інструкції, що належать до сфери діяльності організації, або внутрішніх/зовнішніх норм. договори
        
        • угоди
        
        • юридичні зобов'язання.
    - - .
        
        Фінансові обмеження
        
        Обмеження, пов'язані з середовищем
        
        Обмеження за часом
        
        Обмеження, що стосуються методів
        
        Організаційні обмеження
        
        Різні обмеження можуть випливати з вимог організації, а саме:
        
        • експлуатація (вимоги, що стосуються тривалості виробничого циклу, забезпечення сервісів, спостереження, моніторингу, "надзвичайних" планів, погіршення роботи і т.д.);
        
        • підтримка (вимоги до пошуку несправностей, пов'язаних з інцидентом, превентивних дій, швидкого виправлення і т.д.);
        
        • менеджмент кадрових ресурсів (вимоги, що стосуються навчання оператора і користувача, кваліфікації, необхідної для таких посад, як системний адміністратор або адміністратор даних та т.д.);
        
        • адміністративний менеджмент (вимоги, що стосуються обов'язків і т.д.);
        
        • менеджмент розробки (вимоги, що стосуються інструментальних засобів розробки, систем автоматизованої розробки програм, планів приймального контролю, забезпечення організації і т.д.);
        
        • менеджмент зовнішніх відносин (вимоги, що стосуються організації відносин з третіми особами, договорів і т.д.).
        
        Технічні обмеження, пов'язані з інфраструктурі, в основному виникають в результаті експлуатації апаратних і програмних засобів, приміщень або майданчиків, де здійснюються процеси:
        
        • архіви (файли) (вимоги, що стосуються організації, менеджмент носіїв, менеджмент правил доступу і т.д.);
        
        • загальна архітектура (вимоги, що стосуються топології (Централізована, розподілена, клієнт-сервер), фізична архітектура і т.д.);
        
        • прикладне програмне забезпечення (вимоги, що стосуються проектування специфічного програмного забезпечення, ринкові стандарти і т.д.);
        
        • пакети програмного забезпечення (вимоги, що стосуються стандартів, рівня оцінювання, якості, відповідності нормам, безпеки і т.д.);
        
        • апаратні засоби (вимоги, що стосуються стандартів, якості, відповідності нормам і т.д.);
        
        • мережі зв'язку (вимоги, що стосуються покриття, стандартів, ємності, надійності і т.д.);
        
        • інфраструктура споруд та інженерних комунікацій (вимоги, що стосуються цивільного будівництва, конструкцій, високого напруги, низької напруги і т.д.).
        
        Обмеження, що виникають з раніше існуючих процесів
- - - - два види активів:
        
        первинні активи
        
        інформація
        
        бізнес-процеси і дії
        
        активи підтримки
        
        апаратні засоби
        
        програмне забезпечення
        
        мережу
        
        персонал
        
        сайт
        
        організаційна структура
      - 1 Ідентифікація первинних активів
        
        Основні активи бувають двох типів:
        
        бізнес-процеси (або підпроцеси) і бізнес-діяльність, наприклад:
        
        • процеси, втрата або погіршення яких унеможливлює виконання цільової мети організації;
        
        • процеси, що включають в себе секретні процеси або процеси, створені з використанням високорівневої технології;
        
        • процеси, модифікація яких може значно вплинути на виконання призначення організації;
        
        • процеси, які необхідні організації для виконання договірних, правових або регулюючих вимог;
        
        інформація:
        
        Узагальнено, основна інформація, головним чином,включає в себе:
        
        • інформацію, необхідну для реалізації призначення або бізнесу організації;
        
        • інформацію особистого характеру, яка може бути визначена особливим чином, відповідним національним законам про недоторканність приватного життя;
        
        • стратегічну інформацію, необхідну для досягнення цілей, визначених стратегією діяльності організації;
        
        • інформацію з високою собівартістю, збір, зберігання, обробка і передача якої вимагають тривалого часу і/або пов'язані з великими витратами на її придбання.
        
        • Що стосується більш точного опису області застосування, дана діяльність полягає в ідентифікації основних активів.
        
        • Здійснюється представниками спільної робочої групи
        
        • Основними активами зазвичай є базові процеси і інформація про діяльності організації в межах процесу ризик-менеджменту.
        
        Процеси і інформація, що не були ідентифіковані як чутливі щодо даної діяльності, не матимуть певної класифікації в частині дослідження.
      - .2 Перелік і опис допоміжних засобів
        
        • Сфера розгляду складається з активів, які повинні бути ідентифіковані та описані.
        
        • Цим активам притаманні уразливості, які можуть бути використані загрозами, націленими на погіршення основних активів сфери розгляду (процесів та інформації).
        
        • Вони можуть бути різних типів:
        
        Апаратні засоби (включає в себе всі фізичні елементи, які підтримують процеси.)
        
        Апаратура обробки даних (активна)
        
        Мобільна апаратура
        
        Портативна обчислювальна техніка.
        
        Приклади: портативний комп'ютер (ноутбук), PDA- персональний цифровий секретар (кишеньковий комп'ютер).
        
        Стаціонарна апаратура - обчислювальна техніка, яка використовується в приміщеннях організації.
        
        Приклади: сервер, мікрокомп'ютер, який використовується в якості робочої станції.
        
        Периферійне обладнання - апаратура, приєднана до комп'ютера за допомогою зв'язкового порту
        
        Приклади: принтер, змінний дисковод.
        
        Носій даних (пасивний) - носії для зберігання даних або функцій.
        
        Електронний носій - носій інформації, який може бути приєднаний до комп'ютера або комп'ютерної мережі для зберігання даних.
        
        Приклади: гнучкі диски, CD ROM, резервний картридж, змінний жорсткий диск, ключ захисту пам'яті, магнітна стрічка.
        
        Інші носії
        
        .
        
        • Місце функціонування організації - включає в себе всі майданчики, що мають відношення до сфери застосування або частини області застосування, і фізичні засоби, необхідні для її функціонування.
        
        • Розміщення
        
        • Зовнішнє середовище - Приклади: житла персоналу, приміщення іншої організації, середовище за межами місця функціонування організації (міська зона, небезпечна зона).
        
        • Володіння організації - Приклади: штат організації, будівлі.
        
        • Зона -створюється фізичним захисним кордоном, що утворює окремі ділянки на території організації. - Приклади: офіси, зарезервована зона доступу, безпечна зона.
        
        • Основні сервіси - всі сервіси, необхідні для функціонування обладнання організації.
        
        • Зв'язок - Телекомунікаційні послуги та обладнання, які обслуговуються оператором. - Приклади: телефонна лінія, АТС з вихідним і вхідним зв'язком, внутрішні телефонні мережі.
        
        • Комунікації
        
        • Сервіси і засоби (джерела і електропроводка) - Приклади: джерела електроживлення з низькою напругою, інвертор, розподільний пристрій електричного кола.
        
        • Водопостачання - Видалення відходів - Приклади: труби водяного охолодження, кондиціонери повітря.
        
        • Організація - складається з усіх кадрових структур, що виконують якусь роботу, і процедур, які керують цими структурами.
        
        • Адміністративні органи - структури, від яких зазначена організація отримує свої повноваження - Приклади: контролююча організація, правління організації.
        
        • Структура організації - Приклади: кадровий менеджмент, менеджмент ІТ, постачальницький менеджмент, менеджмент бізнес-підрозділів, служба безпеки будівель, пожежна служба, менеджмент аудиту
        
        • Організація проекту або системи - Приклади: проект розробки нової програми, проект міграції інформаційної системи
        
        • Контрагенти/постачальники/виробники - Це організації, які забезпечуються дану організацію сервісом або ресурсами і пов'язані з нею договором. - Приклади: компанія з управління обладнанням, аутсорсингова компанія, консалтингові компанії.
        
        Статичні, неелектронні носії, що містять дані.
        
        Приклади: папір, слайд, діапозитив, документація, факс.
        
        Програмне забезпечення
        
        Операційна система
        
        Пакетне програмне забезпечення або стандартне програмне забезпечення
        
        Приклади: програмне забезпечення менеджменту бази даних, програмне забезпечення електронного обміну повідомленнями, програмне забезпеченняколективного користування, програмне забезпечення директорій, програмне забезпечення Web-сервера і т.д.
        
        Бізнес-додаток
        
        Стандартний бізнес-додаток
        
        Приклади: програмне забезпечення облікових записів, програмне забезпечення управління верстатами, програмне забезпечення медичного спостереження за пацієнтами, програмне забезпечення менеджменту компетентності персоналу, адміністративне програмне забезпечення і т.д.
        
        Специфічний бізнес-додаток
        
        Приклади: менеджмент рахунків клієнтів операторів телекомунікації, додаток моніторингу запуску ракет в реальному часі.
        
        Мережа - складається з усіх телекомунікаційних пристроїв, що використовуються для з'єднання декількох фізично віддалених комп'ютерів або елементів інформаційної системи.
        
        Середовище і підтримка - характеризуються фізичними і технічними характеристиками обладнання і протоколами зв'язку
        
        Приклади: коммутируєма телефонна мережа загального користування (PSTN - Public Switching Telephone Network), Ethernet, Gigabit Ethernet, асиметрична цифрова абонентська лінія (ADSL - Asymmetric Digital Subscriber Line), стандарти на бездротовий зв'язок, специфікація Bluetooth, стандарт FireWire.
        
        Пасивні або активні ретранслятори (включає в себе всі пристрої, які є не кінцевими, а проміжними пристроями зв'язку.)
        
        Приклади: міст, маршрутизатор, концентратор, автоматичний комутатор каналів.
        
        Зв'язковий інтерфейс - характеризуються середовищем і підтримують протоколами, будь-якими встановленими функціями фільтрації, реєстрації або генерації попереджень та їх (функціональними) можливостями, а також можливістю і необхідністю віддаленого управління
        
        Приклади: пакетний радіозв'язок загального призначення (GPRS - General Packet Radio Service), Ethernet-адаптер.
        
        Персонал - складається з усіх груп осіб, що беруть участь в роботі інформаційної системи
        
        Особами, які приймають рішення, є власники основних активів (інформації і функцій) і менеджери організації або певного проекту.
        
        Приклади: вище керівництво, керівник проекту.
        
        Користувачами є персонал, який обробляє чутливі елементи в контексті своєї діяльності і несе в зв'язку з цим певну відповідальність
        
        Приклади: менеджмент кадрових ресурсів, фінансовий менеджмент, менеджер ризику.
        
        Персонал по експлуатації та супроводу
        
        Приклади: системний адміністратор, адміністратор даних, оператор резервування, довідкового столу, використання додатків, співробітники служби безпеки.
        
        Розробники - займаються розробкою додатків організації.
        
        Приклади: розробники бізнес-додатків.
  - - - повинні бути записані в однозначних висловах
      - витрати, понесені через втрати конфіденційності, цілісності і доступності в результаті інциденту
    - - Критерії, які можуть використовуватися для оцінки можливих наслідків, що випливають із втрати конфіденційності, цілісності, доступності, неспростовності, обліку, автентичності або надійності активів, включають:
        
        • порушення законодавства та/або розпоряджень;
        
        • погіршення функціонування бізнесу;
        
        • втрата "невловимого капіталу"/негативний вплив на репутацію;
        
        • порушення, пов'язані з особистою інформацією;
        
        • створення загрози особистій безпеці;
        
        • несприятливий вплив на забезпечення правопорядку;
        
        • порушення конфіденційності;
        
        • порушення громадського порядку;
        
        • фінансові втрати;
        
        • порушення бізнес-діяльності;
        
        • створення загрози для безпеки навколишнього середовища.
      - Іншим підходом до оцінки наслідків може бути:
        
        • переривання сервісу:
        
        o неможливість забезпечення сервісу;
        
        • втрата довіри клієнта:
        
        o втрата довіри міжнародної інформаційної системи;
        
        o втрата репутації;
        
        • порушення внутрішнього функціонування:
        
        o безпосередньо в організації;
        
        o додаткові внутрішні витрати;
        
        • порушення функціонування третьої сторони:
        
        o перешкоди для третіх сторін, які ведуть справи з організацією;
        
        o різні види збитків;
        
        • порушення законів / приписів:
        
        o нездатність виконання правових зобов'язань;
        
        • порушення договору:
        
        o нездатність виконання договірних зобов'язань;
        
        • небезпека для персоналу / безпеку користувачів:
        
        o небезпеку для персоналу та / або користувачів організації;
        
        o вторгнення в приватне життя користувачів;
        
        o фінансові втрати;
        
        • фінансові втрати, пов'язані з непередбаченими випадками або ремонтом:
        
        o що стосуються персоналу;
        
        o що стосуються обладнання;
        
        o що стосуються досліджень, звітів експертів;
        
        • втрата товарів / грошових коштів / активів;
        
        • втрата клієнтів, втрата постачальників;
        
        • судові справи і штрафи;
        
        • втрата конкурентної переваги;
        
        • втрата технологічного / технічного лідерства;
        
        • втрата ефективності / надійності;
        
        • втрата технічної репутації;
        
        • зниження здатності до укладення угод;
        
        • промислова криза (страйки);
        
        • урядова криза;
        
        • звільнення;
        
        • матеріальні збитки.
    - - Організація повинна узгодити шкалу, яка буде використовуватися в масштабах організації. Першим кроком є ухвалення рішення про кількість використовуваних рівнів.
      - Організація може визначити власні межі для цінності активів, такі як "низька", "середня" або "висока".
    - - Якщо бізнес-процес залежить від цілісності певних даних, що створюються програмою, вхідні дані цієї програми повинні мати відповідний ступінь надійності.
      - Цілісність інформації буде залежати від апаратних і програмних засобів, які використовуються для її зберігання і обробки.
      - Повинна бути також ідентифікована залежність активів від інших активів, оскільки це може впливати на цінність активів.
    - - • якщо цінність залежних активів (наприклад, даних) нижче або дорівнює цінності розглянутого активу (наприклад, програмного забезпечення), його цінність залишається такою ж;
      - • якщо цінність залежних активів (наприклад, даних) більше цінності розглянутого активу (наприклад, програмного забезпечення), його цінність повинна бути збільшена відповідно до:
        
        ступені залежності
        
        цінності інших активів
    - - Остаточним результатом цього кроку буде список активів і їх цінності по відношенню
        
        • до розкриття (збереження конфіденційності),
        
        • модифікації (збереження цілісності, автентичності, неспростовності і обліку),
        
        • недоступності і руйнування (збереження доступності та надійності)
        
        • відновної вартості.
  - - - a. фінансова відновна вартість втраченого активу (частини активу);
      - b. вартість придбання, конфігурації і установки нового активу або повна резервна копія;
      - c. вартість призупинених через інцидент операцій, поки послуга, яка надається активом (активами), очікує відновленння;
      - d. вплив призводить до порушення інформаційної безпеки.
    - - a. витрати втрачених можливостей (фінансові ресурси, необхідні для заміни або відновлення активу, який використовувався б десь в іншому місці);
      - b. вартість перерваних операцій;
      - c. можливе зловживання інформацією, отриманою в результаті порушення безпеки;
      - d. порушення встановлених законом або регулятивних зобов'язань;
      - e. порушення етичних норм поведінки
- - - - • Навмисними - D (навмисні)
      - • випадковими - А (випадкові)
      - • пов'язаними з зовнішнім середовищем (природними) - E (екологічні)
- - - - • автоматизовані інструментальні засоби пошуку вразливостей;
      - • тестування та оцінювання безпеки;
      - • тестування на проникнення;
      - • перевірка кодів.
    - - • опитування співробітників і користувачів;
      - • анкетування;
      - • фізичний огляд;
      - • аналіз документів.
- - - - Високорівнева оцінка дає можливість визначення пріоритетів і
        хронології дій.
      - Особливості ітерації високорівневою оцінки ризику можуть включати наступне:
        
        • Високорівнева оцінка ризику може мати справу з більш глобальним розглядом організації та її інформаційних систем, коли технологічні аспекти розглядаються як незалежні від питань, пов'язаних з бізнесом.
        
        • при використанні високорівневою оцінки ризику може розглядатися більш обмежений перелік загроз і вразливостей, розподілених по певних сфер, або для прискорення процесу вона може зосереджуватися на сценаріях ризику або нападів замість їх елементів;
        
        • ризики, представлені в високорівневою оцінці ризику, часто є більш загальними сферами ризику, ніж конкретно були ідентифіковані ризиками.
        
        • через те, що при використанні високорівневою оцінки ризику рідко розглядаються технологічні деталі, вона більш доречна для забезпечення організаційних і нетехнічних засобів контролю, а також загальних аспектів менеджменту технічних засобів контролю або основних і поширених технічних захисних заходів, таких як резервне копіювання та антивірусні програми.
      - Переваги оцінки ризику високого рівня наступні:
        
        включення початкового простого підходу, ймовірно, повинно отримати схвалення програми оцінки ризику;
        
        повинна з'явитися можливість побудови стратегічної картини програми забезпечення безпеки організації, тобто вона буде діяти як хороша допомога в плануванні;
        
        ресурси і засоби можуть бути застосовані там, де вони найбільш корисні, і системи, ймовірно, найбільше потребують захисту, будуть розглянуті першими.
      - Високорівнева оцінка адекватної для обробки ризику; ці фактори можуть включати наступне:
        
        бізнес-цілі, які повинні бути досягнуті за допомогою використання різних інформаційних активів;
        
        ступінь залежності бізнесу організації від кожного інформаційного активу,
        
        рівень інвестицій в кожен інформаційний актив, з точки зору розробки, підтримки або заміни активу;
        
        інформаційні активи, якими організація безпосередньо привласнює цінність.
    - - • Детальний процес оцінки ризику інформаційної безпеки включає в себе ретельну ідентифікацію та визначення цінності активів, оцінку загроз цим активам і оцінку вразливостей.
      - • Детальна послідовність дій зазвичай вимагає значного часу, зусиль і компетентності і тому може бути найбільш придатною для інформаційних систем з високим рівнем ризику.
      - • Остаточним етапом детальної оцінки ризику інформаційної безпеки є оцінка загальних ризиків, що знаходиться в центрі уваги цієї програми.
      - • Для оцінки ймовірності виникнення загрози повинні бути встановлені тимчасові рамки, протягом яких актив буде володіти цінністю або потребувати захисту.
      - На ймовірність виникнення конкретної загрози впливає наступне:
        
        • привабливість активу або можливий вплив - може бути застосовано при розгляді умисної загрози з боку персоналу;
        
        • простота перетворення, що використовує уразливість, активу в винагороду - може бути застосовано при розгляді умисної загрози з боку персоналу;
        
        • технічні можливості чинного фактора загрози - може бути застосовано при розгляді умисної загрози з боку персоналу;
        
        • чутливість уразливості до використання - можна застосувати до технічним і нетехнічних вразливостей.
      - Приклад матриці з зумовленими значеннями
        
        У методах оцінки ризику даного виду фактичні або передбачувані фізичні активи оцінюються з точки зору вартості заміни або відновлення (Тобто кількісні заходи).
        
        Визначення цінності виконується з використанням принципів визначення цінності інформації, які охоплюють такі питання, як:
        
        • особиста безпека;
        
        • особиста інформація;
        
        • юридичні та регулятивні зобов'язання;
        
        • правозастосування;
        
        • комерційні та економічні інтереси;
        
        • фінансові втрати / порушення діяльності;
        
        • громадський порядок;
        
        • політика і операції бізнесу;
        
        • втрата "невловимого капіталу";
        
        • договір або угоду з клієнтом.
        
        Цінність активів, рівні загроз і вразливостей, які стосуються кожного виду наслідків, приводяться до табличній формі (матриці), такий як представлена нижче, щоб для кожної комбінації ідентифікувати відповідну міру ризику на основі шкали від 0 до 8.
        
        Дана шкала ризиків може також відображатися для простого загального рейтингу ризиків, наприклад, наступним чином:
        
        • низький ризик: 0-2;
        
        • середній ризик: 3-5;
        
        • високий ризик: 6-8
        
        Для кожного активу розглядаються доречні уразливості і відповідні їм загрози.
      - Приклад ранжирування заходів загроз ризику
        
        • Матриця або таблиця може бути використана, щоб зв'язати чинники наслідків (цінність активів) з ймовірністю виникнення загрози (приймаючи в розрахунок аспекти уразливості).
        
        • Перший крок полягає в оцінюванні наслідків (цінності активів) по заздалегідь певною шкалою, наприклад, від 1 до 5.
        
        • Другий крок полягає в оцінюванні ймовірності виникнення загрози по заздалегідь певною шкалою, наприклад, від 1 до 5, для кожної загрози.
        
        • Третій крок полягає в обчисленні міри ризику шляхом множення (bхс).
        
        • Нарешті, загрози можуть бути ранжовані в порядку відповідної міри ризику.
      - Приклад оцінка цінності для ймовірності і можливих наслідків ризиків
        
        • Особлива увага приділяється наслідків інцидентів інформаційної безпеки (тобто, сценаріями інцидентів) та визначенню того, яким системам слід віддавати пріоритет.
        
        • Це виконується шляхом оцінки двох значень - для кожного активу і ризику, комбінація яких буде визначати бали для кожного активу.
        
        • Коли підсумовуються всі бали активів системи, визначається міра ризику для цієї системи.
- - - - • Тимчасові обмеження (Види: 1. Нові засоби контролю може бути нелегко реалізувати при наявності несочетаемости або несумісності з існуючими засобами контролю. 2. чи може засіб контролю бути реалізовано протягом терміну служби системи або інформації 3. період часу, який керівники організації вважають відповідним для схильності певного ризику)
      - • Фінансові обмеження (Реалізація або підтримка засобів контролю не повинна бути більш дорогої, чому цінність активів, які вони призначені захищати, за винятком випадків, коли забезпечення відповідності є обов'язковим)
      - • Технічні обмеження (Технічних проблем, таких як сумісність програм або апаратних засобів, легко можна уникнути, якщо їх враховувати під час вибору засобів контролю.)
      - • Операційні обмеження (Операційні обмеження, такі як потреба працювати 24 години на день, виробляючи все ж при цьому резервне копіювання, можуть призводити до складної і дорогої реалізації засобів контролю, якщо вони не вбудовуються в проект з самого початку)
      - • Культурні обмеження (Культурні обмеження, що стосуються вибору засобів контролю, можуть бути характерними для країни, сектора, організації або навіть відділу в організації.)
      - • Етичні обмеження (Етичні обмеження можуть мати серйозні наслідки для засобів контролю, так як етичні принципи змінюються на основі соціальних норм. Це може перешкоджати реалізації таких засобів контролю, як сканування повідомлень електронної пошти, у деяких країнах.)
      - • Обмеження, пов'язані з навколишнім середовищем (Фактори навколишнього середовища, такі як обсяг пам'яті, доступний, екстремальні кліматичні умови, навколишнє природне і міська географія, можуть впливати на вибір засобів контролю.)
      - • Юридичні обмеження (Правові фактори, такі як забезпечення захисту особистих даних або положення кримінального кодексу, що стосуються обробки інформації, можуть впливати на вибір засобів контролю.)
      - • Простота використання (Поганий інтерфейс людина-технологія буде викликати помилки персоналу і може приводити до марності контролю. Засоби контролю повинні вибиратися з метою забезпечення оптимальної простоти використання поряд з досягненням прийнятного рівня залишкового ризику для бізнесу.)
      - • Кадрові обмеження (Слід враховувати доступність і витрати на оплату сукупності спеціалізованих навичок для реалізації засобів контролю, а також можливість переміщення персоналу на різні майданчики при несприятливих робочих умовах.)
      - • Обмеження, що стосуються інтеграції нових та існуючих засобів контролю (Нові засоби контролю може бути нелегко реалізувати при наявності несумісності з існуючими засобами контролю.)