Please enable JavaScript.

Coggle requires JavaScript to display documents.

BS ISO/IEC 27001:2005 - Coggle Diagram

- - - - Ідентифікувати ризики
      - Проаналізувати та оцінити ризики
      - Визначити підхід організації до оцінки ризиків
      - Ідентифікувати і оцінити можливості по обробці ризиків.
      - Визначити політику СУІБ в термінах характеристик бізнесу,
        організації, її розташування, ресурсів і технологій
      - Вибрати цілі і механізми контролю для обробки ризиків.
      - Визначити область дії і кордони СУІБ в термінах характеристик бізнесу, організації, її розташування, ресурсів і технологій, а також включаючи детальну інформацію та обгрунтування для будь-яких винятків зі сфери дії
      - Отримати схвалення керівництва для запропонованих залишкових
        ризиків
      - Отримати дозвіл керівництва на впровадження та експлуатацію
        СУІБ.
      - Підготувати Декларацію про можливість застосування
    - - Організація повинна робити наступне
        
        Визначити, як вимірювати ефективність вибраних механізмів контролю або груп механізмів контролю, і визначити, як ці вимірювання повинні використовуватися для оцінки ефективності механізмів контролю з метою отримання порівнянних і відтворюваних результатів
        
        Реалізувати програми навчання і підвищення обізнаності
        
        Реалізувати механізми контролю, вибрані в 4.2.1g), для досягнення
        цілей контролю.
        
        Управляти експлуатацією СУІБ
        
        Реалізувати план обробки ризиків з метою досягнення встановлених цілей контролю, що включає в себе розгляд питань фінансування, призначення ролей і розподіл відповідальності
        
        Управляти ресурсами СУІБ
        
        Розробити план обробки ризиків, який визначає відповідні дії керівництва, ресурси, відповідальність і пріоритети з управління ризиками інформаційної безпеки
        
        Впровадити процедури та інші механізми контролю, придатні для точного виявлення подій безпеки та реагування на інциденти безпеки
    - - Вимірювати ефективність механізмів контролю, щоб перевірити
        виконання вимог безпеки.
      - Переглядати оцінки ризиків через певні інтервали, переглядати залишкові ризики та ідентифіковані рівні допустимих ризиків, беручи до уваги зміни
      - Вживати регулярні перевірки ефективності СУІБ
      - Проводити внутрішній аудит СУІБ через заплановані інтервали
        часу
      - Виконувати процедури моніторингу та аналізу, а також
        застосовувати інші механізми контролю
      - Виробляти аналіз СУІБ керівництвом на регулярній основі для того, щоб гарантувати, що область дії СУІБ залишається адекватною і поліпшення в процесах СУІБ ідентифіковані
      - Оновлювати плани забезпечення безпеки, щоб прийняти до уваги
        висновки, отримані в ході моніторингу і аналізу
      - Протоколювати дії і події, які можуть впливати на ефективність
        або поведінку СУІБ
    - - Вживати відповідні коригувальні та запобіжні дії згідно 8.2 та 8.3. Використовувати власний досвід і досвід інших організацій в області забезпечення безпеки
      - Запитувати про заходи, що вживаються і вдосконалення всім зацікавленим сторонам зі ступенем подробиці, що відповідає обставинам, і, в разі необхідності, погоджувати свої дії.
      - Впроваджувати ідентифіковані вдосконалення в СУІБ.
      - Забезпечувати досягнення поставлених цілей в ході реалізації
        удосконалень
  - - - Документи, які необхідні для СУІБ, повинні бути захищені і знаходиться під контролем. Потрібно розробити задокументовану процедура, яка визначає дії керівництва, необхідні для:
        
        надання гарантій того, що документи залишаються зрозумілими і
        простоти ідентифікації документів;
        
        забезпечення доступності документів для тих, кому вони необхідні, а також забезпечення передачі, зберігання і, в кінцевому підсумку, знищення документів згідно з процедурами, відповідним їх класифікації;
        
        забезпечення доступності найостанніших версій відповідних
        документів в місцях їх використання;
        
        забезпечення ідентифікації документів, що мають зовнішнє
        походження;
        
        забезпечення ідентифікації змін та статусу поточних ревізій
        документів
        
        забезпечення контролю над поширенням документів;
        
        аналізу і коригування документів у разі необхідності, а також
        повторного затвердження документів;
        
        застосування відповідної схеми ідентифікації застарілих
        документів, якщо вони зберігаються з якої-небудь причини.
        
        затвердження документів перед опублікуванням з точки зору їх достовірності та достатності;
        
        запобігання ненавмисному використанню застарілих документів;
    - - Повинні створюватися і зберігатися записи для надання доказів відповідності вимогам і ефективності функціонування СУІБ. Вони повинні контролюватися і бути захищені. СУІБ повинна брати до уваги будь-які пов'язані з нею вимоги законодавства або нормативної бази, а також контрактні зобов'язання.
    - - Документація повинна включати в себе записи про рішення керівництва, забезпечувати простежуваність дій до рішень керівництва і політик, а також відтворюваність запротокольованих результатів.