Please enable JavaScript.

Coggle requires JavaScript to display documents.

BS ISO/IEC 27001:2005 - Coggle Diagram

- - - - Розробка і реалізація планів забезпечення безперервності, включаючи інформаційну безпеку
        
        Повинні бути розроблені та реалізовані плани, які дозволять продовжити або відновити операції і забезпечити необхідний рівень доступності інформації у встановлені терміни після переривання або збою критично важливих бізнес процесів
      - Загальна схема планування безперервності бізнесу
        
        Необхідно підтримувати єдину структуру планів забезпечення безперервності бізнесу, що дозволить гарантувати несуперечність всіх планів, послідовно враховувати вимоги інформаційної безпеки, а також визначати пріоритети в області тестування і супроводу
      - Безперервність бізнесу та оцінка ризиків
        
        Події, які можуть призвести до переривань бізнес процесів, повинні бути ідентифіковані поряд з ймовірністю і наслідками таких переривань і їх впливом на інформаційну безпеку.
      - Тестування, підтримка і перегляд планів забезпечення
        безперервності бізнесу
        
        Механізм управління
      - Включення інформаційної безпеки в процес управління безперервністю бізнесу
        
        Для забезпечення безперервності бізнесу в усій організації слід розробити і підтримувати керований процес, що враховує вимоги інформаційної безпеки, необхідні для забезпечення безперервності бізнесу організації
  - - - Перевірка відповідності технічним вимогам
      - Дотримання вимог політик і стандартів безпеки
    - - Захист особистих секретних даних
      - Право інтелектуальної власності
      - Запобігання випадків неналежного використання інструментів обробки інформації
      - Захист документації організації
      - Правове регулювання в галузі використання криптографічних засобів
      - Визначення законодавчої бази, яка застосовується до діяльності організації
    - - Захист засобів аудиту інформаційних систем
      - Механізми аудиту інформаційних систем
  - - - Тренінг з питань інформаційної безпеки
      - Збір свідчень
      - Відповідальність і процедури
- - - - Володіння ресурсами
        
        Механізм управління
        Вся інформація та ресурси, пов'язані із засобами обробки інформації, повинні перебувати у володінні призначеної частиною організації
      - Допустиме використання ресурсів
        
        Механізм управління
        Правила допустимого використання інформації і ресурсів, пов'язаних із засобами обробки інформації повинні бути визначені, задокументовані та впроваджені.
      - Інвентаризація ресурсів
        
        Механізм управління
        Всі ресурси повинні бути чітко ідентифіковані, а також повинна проводитися і підтримуватися інвентаризація всіх важливих ресурсів.
    - - Керівництво по класифікації
        
        Механізм управління
        Інформація повинна бути класифікована в термінах її цінності, вимог законодавства, конфіденційності та критичності для організації.
      - Маркування та обробка інформації
        
        Механізм управління
        Повинен бути визначений і реалізований необхідний набір процедур для маркування та поводження з інформацією, відповідний схемою класифікації, прийнятої в організації.
  - - - Підвищення обізнаності, навчання і тренінги в області інформаційної безпеки
        
        Механізм управління
        Всі співробітники організації і, в разі необхідності, підрядники та користувачі третьої сторони, повинні проходити необхідне навчання і отримувати регулярні оновлення політик і процедур, прийнятих в організації та необхідних для виконання їх посадових обов'язків.
      - Відповідальність керівництва
        
        Механізм управління
        Керівництво повинно вимагати від працівників, підрядників і користувачів третьої сторони застосування заходів безпеки відповідно до встановлених в організації політиками та процедурами.
      - Дисциплінарний процес
        
        Механізм управління
        Повинен існувати офіційний дисциплінарний процес щодо співробітників, які допускають порушення безпеки.
    - - Повернення ресурсів
        
        Механізм управління
        При завершенні їх трудових відносин, контракту або угоди всі співробітники, підрядники та користувачі третьої сторони повинні повернути всі належні організації ресурси, що знаходять в їх володінні
      - Скасування прав доступу
        
        Механізм управління
        При завершенні їх трудових відносин, контракту або угоди права доступу всіх співробітників, підрядників і користувачів третіх сторін до інформації та засобів її обробки повинні бути скасовані або, в разі зміни характеру роботи, відкориговані.
      - Відповідальність при завершенні трудових відносин
        
        Механізм управління
        Відповідальність за виконання дій по завершенню трудових відносин повинна бути чітко визначена і встановлена.
    - - Перевірка співробітників
        
        Механізм управління
        Перевірки анкетних даних всіх кандидатів на роботу, підрядників і користувачів третьої сторони повинні виконуватися відповідно до чинних законів, правил і етичними нормами, пропорційно вимогам бізнесу, класифікації інформації, до якої буде здійснюватися доступ, і усвідомленими ризиків.
      - Умови працевлаштування
        
        Механізм управління
        Працівники, підрядники та користувачі третьої сторони як частина їх контрактних зобов'язань повинні схвалити і підписати свої трудові договори, в яких встановлюється їх відповідальність і відповідальність організації за інформаційну безпеку.
      - Ролі та відповідальність
        
        Механізм управління
        Ролі та обов'язки співробітників, підрядників і користувачів третіх сторін щодо забезпечення безпеки повинні бути визначені і документовані відповідно до політики інформаційної безпеки організації.
- - - - Задокументована політика інформаційної безпеки
        
        Механізм управління
        Документована політика інформаційної безпеки повинна бути затверджена керівництвом, опублікована і доведена до відома всіх співробітників організації і мають до неї відношення зовнішніх сторін.
      - Перегляд політики інформаційної безпеки
        
        Механізм управління
        Політика інформаційної безпеки повинна переглядатися через заплановані інтервали часу, а також у разі впливають на неї істотних змін, щоб забезпечити її безперервне відповідність реальному стану справ, достатність і ефективність.
    - - Внутрішня організація
        Мета: Управляти інформаційною безпекою в організації.
        
        Процес авторизації для засобів обробки інформації
        
        Механізм управління
        Повинен бути визначений і реалізований процес авторизації керівництвом нових засобів обробки інформації.
        
        Угоди про конфіденційність
        
        Механізм управління
        Вимоги до угод про конфіденційність або нерозголошення, що відображають потреби організації в захисті інформації, повинні бути визначені і повинні регулярно переглядатися.
        
        Розподіл відповідальності за інформаційну безпеку
        
        Механізм управління
        Всі області відповідальності за інформаційну безпеку повинні бути чітко визначені.
        
        Контакт з органами влади
        
        Механізм управління
        Повинні підтримуватися відповідні контакти з відповідними органами влади.
        
        Координація інформаційної безпеки
        
        Механізм управління
        Дії по забезпеченню інформаційної безпеки повинні координуватися представниками з різних частин організації з відповідними ролями та посадовими обов'язками.
        
        Контакт з професійними об'єднаннями
        
        Механізм управління
        Повинні підтримуватися необхідні контакти з професійними об'єднаннями або іншими форумами фахівців з безпеки і професійними асоціаціями.
        
        Прихильність керівництва інформаційної безпеки
        
        Механізм управління
        Керівництво повинно активно підтримувати безпеку в організації шляхом чіткого управління, яку демонструють прихильність, явного призначення і підтвердження відповідальності за інформаційну безпеку.
        
        Незалежна перевірка інформаційної безпеки
        
        Механізм управління
        Підхід організації до управління інформаційною безпекою та її реалізації (тобто цілі контролю, механізми контролю, політики, процеси та процедури інформаційної безпеки) повинні піддаватися незалежній перевірці через заплановані інтервали часу або, в разі, якщо відбуваються істотні зміни в реалізації безпеки.
      - Зовнішні сторони
        Мета: Забезпечити безпеку інформації організації та засобів її обробки, доступ, обробка, передача або управління якими здійснюється третіми сторонами.
        
        Врахування вимог безпеки при роботі з клієнтами
        
        Механізм управління
        Повинні бути враховані всі ідентифіковані вимоги безпеки, перш ніж клієнтам буде надано доступ до інформації або ресурсів організації.
        
        Врахування вимог безпеки в договорах з третіми сторонами
        
        Механізм управління
        Угоди з третіми сторонами, що передбачають доступ, обробку, передачу або управління інформацією організації або засобами її обробки, або додавання продуктів або сервісів в засоби обробки інформації повинні охоплювати всі необхідні вимоги безпеки.
        
        Ідентифікація ризиків, пов'язаних з зовнішніми сторонами
        
        Механізм управління
        Ризики для інформації організації та засобів її обробки з боку бізнес процесів, в яких задіяні зовнішні сторони, повинні бути ідентифіковані і відповідні механізми контролю повинні бути реалізовані, перш ніж буде надано доступ.
- - - - Захист офісів, кімнат та обладнання
        
        Механізм управління
        Повинні проектуватися і застосовуватися механізми забезпечення фізичної безпеки офісів, кімнат і обладнання.
      - Захист від зовнішніх загроз і загроз навколишнього середовища
        
        Механізм управління
        Повинна проектуватися і застосовуватися фізичний захист від збитків, викликаних вогнем, повінню, землетрусом, вибухом, цивільними заворушеннями та іншими формами природних і антропогенних катастроф.
      - Механізми контролю фізичного входу
        
        Механізм управління
        Захищені області повинні бути захищені відповідними механізмами контролю входу, забезпечують можливість доступу тільки для авторизованого персоналу.
      - Робота в захищених областях
        
        Механізм управління
        Повинні проектуватися і застосовуватися механізми забезпечення фізичної безпеки та інструкції по роботі в захищених областях.
      - Периметр фізичної безпеки
        
        Механізм управління
        Для захисту зон, що містять інформацію і засоби її обробки, повинні використовувати периметри безпеки (різні бар'єри, такі як стіни, прохідні з контролем доступу по картах, прийомні з черговими).
      - Області загального доступу, доставки та навантаження
        
        Механізм управління
        Місця доступу, такі як області доставки і навантаження і інші місця, в яких неавторизовані люди можуть входити в приміщення організації, повинні контролюватися і, якщо це можливо, повинні бути ізольовані від засобів обробки інформації з метою запобігання несанкціонованому доступу.
    - - Технічне обслуговування обладнання
        
        Механізм управління
        З метою забезпечення його безперервної доступності та цілісності обладнання повинно правильно обслуговуватися.
      - Безпека обладнання за межами організації
        
        Механізм управління
        Повинна забезпечуватися безпеку обладнання за межами території організації, беручи до уваги різні ризики, пов'язані з роботою за межами території організації.
      - Безпека кабельної розводки
        
        Механізм управління
        Телекомунікаційні та силові кабелі, що передають дані або підтримують інформаційні сервіси повинні бути захищені від прослуховування або пошкодження.
      - Безпечна утилізація або повторне використання обладнання
        
        Механізм управління
        Повинна забезпечуватися безпеку обладнання за межами території організації, беручи до уваги різні ризики, пов'язані з роботою за межами території організації.
      - Послуги підтримки
        
        Механізм управління
        Обладнання повинне бути захищене від збоїв електроживлення та інших порушень функціонування, викликаних збоями допоміжних служб
      - Переміщення майна
        
        Механізм управління
        Устаткування, інформація або програмне забезпечення без попереднього дозволу не повинні виноситися за межі організації.
      - Розміщення і захист устаткування
        
        Механізм управління
        З метою зниження ризиків, пов'язаних з небезпечними явищами навколишнього середовища, і можливостей несанкціонованого доступу, має здійснюватися надійне розміщення або захист обладнання.
- - - - Резервне копіювання інформації
        
        Механізм управління
        Резервні копії інформації та програмного забезпечення повинні створюватися і тестуватися регулярно відповідно до узгодженої політикою резервного копіювання.
    - - Мережеві механізми контролю
        
        Механізм управління
        Повинні бути забезпечені адекватне управління і контроль мережі для захисту від загроз і забезпечення безпеки систем і додатків при використанні мережі, включаючи передану інформацію.
      - Безпека мережевих сервісів
        
        Механізм управління
        Повинні бути ідентифіковані і включені в усі угоди про надання мережевих сервісів функції безпеки, рівні сервісу і вимоги керівництва для всіх мережевих сервісів, незалежно від того, чи надаються послуги всередині організації або перебувають на аутсорсингу.
    - - Механізми контролю, спрямовані проти шкідливого коду
        
        Механізм управління
        Для захисту від шкідливого коду повинні бути реалізовані механізми виявлення, запобігання і відновлення, а також відповідні процедури підвищення обізнаності користувачів.
      - Механізми контролю, спрямовані проти мобільного коду
        
        Механізм управління
        Там, де дозволено використання мобільного коду, конфігурація повинна гарантувати, що авторизований мобільний код виконується відповідно до чітко визначеної політикою безпеки, а виконання неавторизованого мобільного коду повинне запобігати.
    - - Знищення носіїв інформації
        
        Механізм управління
        Носії інформації, які не використовуються підлягають безпечному і надійному знищенню з використанням встановлених процедур
      - Процедури поводження з інформацією
        
        Механізм управління
        Для захисту інформації від несанкціонованого розкриття або неправомірного використання, необхідно встановити процедури звернення і зберігання інформації.
      - Управління змінними носіями інформації
        
        Механізм управління
        Повинні бути встановлені процедури для управління змінними носіями інформації.
      - Безпека системної документації
        
        Механізм управління
        Системна документація повинна бути захищена від несанкціонованого доступу.
    - - Управління продуктивністю
        
        Механізм управління
        Має відстежуватися і пристосовуватися використання ресурсів, а також повинні прогнозуватися вимоги до ресурсів на майбутнє з метою забезпечення необхідної продуктивності системи
      - Приймання системи
        
        Механізм управління
        Повинні бути встановлені критерії приймання нових інформаційних систем, їх модернізацій і нових версій, а також має проводитися необхідне тестування систем (и) в ході розробки і перед прийманням в експлуатацію.
    - - Транспортування фізичних носіїв інформації
        
        Механізм управління
        Носії, що містять інформацію, повинні бути захищені від несанкціонованого доступу, неправомірного використання або пошкодження під час транспортування за межі кордонів організації.
      - Передача електронних повідомлень
        
        Механізм управління
        Інформація, що бере участь в електронних обмінах, повинна бути належним чином захищена.
      - Угоди про обмін інформацією
        
        Механізм управління
        Між організацією та зовнішні сторони повинні бути встановлені угоди про обмін інформацією і програмним забезпеченням.
      - Інформаційні бізнес-системи
        
        Механізм управління
        Для захисту інформації, пов'язаної з взаємодією інформаційних бізнес систем повинні бути розроблені і впроваджені відповідні політики і процедури.
      - Політики та процедури обміну інформацією
        
        Механізм управління
        Повинні існувати офіційні політики, процедури та механізми обміну інформацією для захисту інформаційних обмінів, які використовують всі види засобів комунікацій
    - - Моніторинг і аналіз сервісів, що надаються третьою стороною
        
        Механізм управління
        Сервіси, звіти і записи, що надаються третьою стороною, повинні регулярно переглядатися і аналізуватися, а також повинен регулярно проводитися аудит.
      - Управління змінами в сервісах, що надаються третьою стороною
        
        Механізм управління
        Необхідно управляти змінами в сервісах, включаючи супровід та вдосконалення існуючих політик, процедур і механізмів контролю інформаційної безпеки, з урахуванням критичності задіяних бізнес систем і процесів, а також результатів переоцінки ризиків.
      - Надання послуг
        
        Механізм управління
        Необхідно переконатися в тому, що механізми безпеки, визначення сервісів і рівні надання сервісів, включені в угоду про надання сервісу третьою стороною, реалізовані, дотримуються і підтримуються третьою стороною.
    - - Онлайн-транзакції
        
        Механізм управління
        Інформація, яка використовується в онлайнових транзакцій, повинна бути захищена з метою запобігання незавершених транзакцій, помилок маршрутизації, несанкціонованого зміни повідомлень, несанкціонованого розкриття, несанкціонованого дублювання і повторного використання повідомлень.
      - Загальнодоступна інформація
        
        Механізм управління
        Цілісність інформації, яка робиться загальнодоступною в системах загального користування, повинна бути захищена для запобігання несанкціонованих модифікацій.
      - Електронна комерція
        
        Механізм управління
        Інформація, яка використовується в електронній комерції і передана по мережах загального користування, повинна бути захищена від шахрайських дій, контрактних суперечок, а також несанкціонованого розкриття та модифікації.
    - - Управління змінами
        
        Механізм управління
        Зміни засобів і систем обробки інформації повинні контролюватися
      - Розподіл обов'язків
        
        Механізм управління
        Обов'язки та сфери відповідальності повинні бути розділені з метою зниження можливостей несанкціонованого зміни або зловживання ресурсами організації.
      - Задокументовані операційні процедури
        
        Механізм управління
        Операційні процедури повинні бути задокументовані, підтримуватися в актуальному стані і бути доступними для всіх користувачів, яким вони потрібні.
      - Відокремлення систем, що розробляються, випробовуються та працюють
        
        Механізм управління
        Засоби розробки, тестування і діючі системи повинні бути розділені з метою зменшення ризику несанкціонованого доступу або внесення змін до діючої системи.
    - - Захист даних журналів аудиту
        
        Механізм управління
        Засоби реєстрації подій і інформація журналів аудиту повинні бути захищені від підробки та несанкціонованого доступу.
      - Журнали адміністратора та оператора
        
        Механізм управління
        Дії системного адміністратора і системного оператора повинні контролюватися
      - Моніторинг використання системи
        
        Механізм управління
        Повинні бути встановлені процедури моніторингу використання засобів обробки інформації. Результати моніторингу повинні регулярно аналізуватися.
      - Повідомлення про помилки
        
        Механізм управління
        Збої повинні контролюватися, аналізуватися, і повинні вживатися відповідні заходи.
      - Реєстрація подій аудиту
        
        Механізм управління
        Повинні вестися журнали аудиту, в яких записуються дії користувачів, виняткові ситуації і події інформаційної безпеки. Вони повинні зберігатися протягом встановленого періоду часу з метою їх використання в майбутньому для проведення розслідувань і моніторингу доступу
      - Синхронізація годин
        
        Механізм управління
        Години всіх важливих систем обробки інформації в організації або в домені безпеки повинні бути синхронізовані з встановленим джерелом точного часу.