Please enable JavaScript.

Coggle requires JavaScript to display documents.

ISO/ІЕС 27002 - Coggle Diagram

- - - - Захист документів організації
      - Права на інтелектуальну власність
      - Захист даних і конфіденційність персональних даних
    - - Документування політики інформаційної безпеки
      - Розподіл обов'язків щодо забезпечення інформаційної безпеки
      - Обізнаність, навчання і тренінг - навчання на практичних заняттях або в
        наближених до реальних умовах) в області інформаційної безпеки
      - Коригуюча обробка в прикладних програмах
      - Менеджмент технічних вразливостей
      - Менеджмент безперервності бізнесу
      - Менеджмент інцидентів інформаційної безпеки та необхідне
        вдосконалення
- - - - Додаткова інформація
- - - - Результат що служить орієнтиром для керівництва
    - - Вибору заходів та засобів контролю і управління для
        того, щоб охопити різні підрозділи організації або окремі інформаційні
        системи
    - - Кількісній оцінці ризиків
      - Процес порівняння кількісно оцінених ризиків з даними критеріями ризиків для визначення значущості ризиків
  - - - Застосування відповідних заходів і засобів контролю та управління для зниження ризиків
      - Свідоме та об'єктивне прийняття ризиків в тому випадку, якщо вони, безсумнівно, задовольняють політиці і критеріям організації щодо прийняття ризиків
      - Запобігання ризикам шляхом недопущення дій, які можуть стати причиною виникнення ризиків
      - Перенесення взаємодіючих ризиків шляхом поділу їх з іншими
        сторонами, наприклад страховиками або постачальниками
    - - Вимоги та обмеження національних і міжнародних законів і норм
      - Цілі організації
      - Експлуатаційні вимоги і обмеження
      - Вартість реалізації і експлуатації стосовно знижує ризик повинна залишатися пропорційної вимогам і обмеженням організації
      - Необхідність збереження балансу між інвестиціями в реалізацію і експлуатацію заходів і засобів контролю та управління і збитком, який може мати місце в результаті недостатньої безпеки
- - - - Забезпечувати чітке управління і очевидну підтримку менеджменту щодо ініціатив, пов'язаних з безпекою
      - Забезпечувати ресурси, необхідні для інформаційної безпеки
      - Аналізувати ефективність реалізації політики інформаційної безпеки
      - Затверджувати певні ролі і відповідальності щодо інформаційної безпеки в рамках організації
      - Формулювати, аналізувати і затверджувати політику інформаційної безпеки
      - Ініціювати плани і програми для підтримки поінформованості про інформаційну безпеку
      - Забезпечувати впевненість в тому, що цілі інформаційної безпеки визначено, відповідають вимогам організації і включені до відповідних процеси
      - Забезпечувати впевненість в тому, що реалізація заходів і засобів контролю та управління інформаційної безпеки скоординована в рамках організації
    - - Міра і засіб контролю і управління
        
        Рекомендація щодо реалізації
        
        Виявляти значні зміни загроз і схильність інформації і засобів обробки інформації загрозам
        
        Оцінювати адекватність і координувати реалізацію заходів і засобів контролю та управління інформаційної безпеки
        
        Стверджувати методики і процеси забезпечення інформаційної безпеки, наприклад оцінку ризику, класифікацію інформації
        
        Ефективно сприяти обізнаності, навчання та тренінгу щодо інформаційної безпеки в рамках організації
        
        Визначати спосіб усунення невідповідності
        
        Оцінювати інформацію, отриману в результаті моніторингу та аналізу інцидентів інформаційної безпеки, і рекомендувати відповідні дії у відповідь на виявлені інциденти інформаційної безпеки
        
        Забезпечувати впевненість у тому, що забезпечення безпеки здійснюється відповідно до політикою інформаційної безпеки
    - - Міра і засіб контролю і управління
        
        Рекомендація щодо реалізації
        
        Розподіл обов'язків по забезпеченню інформаційної безпеки
        
        Необхідно призначити відповідальних за кожен актив або процедуру безпеки, і докладно описати їх обов'язки у відповідних документах
        
        Рівні доступу до повинні бути чітко визначені і документально
        оформлені
        
        Активи і процеси (процедури) безпеки, пов'язані з кожною конкретною системою, повинні бути чітко визначені
        
        Додаткова інформаці
        
        Призначення менеджеру з інформаційної безпеки
    - - Міра і засіб контролю і управління
        
        Рекомендація щодо реалізації
        
        На нові засоби повинні бути отримані відповідні дозволи керівництва користувачів, яка стверджує мету і використання
        
        Апаратні засоби і програмне забезпечення, де необхідно, слід
        перевіряти на предмет сумісності з іншими компонентами системи
        
        Використання персональних або перебувають у приватній власності засобів обробки інформації
    - - Міра і засіб контролю і управління
      - Рекомендація щодо реалізації
        
        Визначення інформації, що підлягає захисту
        
        Передбачуваний термін дії угоди, включаючи випадки, коли може виникнути необхідність в необмеженій підтримці конфіденційності
        
        Обов'язки і дії осіб, які підписали угоду, з метою запобігання
        несанкціонованого розголошення інформації
        
        Необхідні дії при закінченні терміну дії угоди
        
        Володіння інформацією, комерційні таємниці і інтелектуальна
        власність, і як це співвідноситься з захистом конфіденційної інформації
        
        Дозволене використання конфіденційної інформації та права осіб, що підписали угоду, щодо використання інформації
        
        Право піддавати аудиту і моніторингу діяльність, пов'язану з
        конфіденційною інформацією
        
        Процедуру попередження і повідомлення про несанкціонований розголошенні або порушеннях, пов'язаних з конфіденційною інформацією
        
        Умови повернення або знищення інформації в разі призупинення дії угоди
        
        Передбачувані дії, які повинні бути зроблені в разі порушення даної угоди
    - - Рекомендації щодо реалізації
        
        Підвищення знання про «передовий досвід» і досягнень інформаційної безпеки на сучасному рівні
        
        Забезпечення впевненості в тому, що розуміння проблем інформаційної безпеки є сучасним і повним
        
        Отримання раннього оповіщення у вигляді попереджень,
        інформаційних повідомлень і патчей
        
        Можливості отримання консультацій фахівців з питань інформаційної безпеки
        
        Спільного використання та обміну інформацією про нові технології, продуктах, погрози або вразливості
        
        Забезпечення адекватних точок контакту для обговорення інцидентів інформаційної безпеки
    - - Рекомендація щодо реалізації
        
        Оцінку можливостей поліпшення
        
        Необхідність змін підходу до безпеки
        
        Результати незалежної перевірки повинні реєструватися і повідомлятися керівництву
        
        Звіти необхідно зберігати
        
        Якщо в результаті незалежної перевірки встановлюється, що підхід організації і реалізація менеджменту інформаційної безпеки неадекватні або не відповідають напрямку інформаційної безпеки
        
        Керівництву слід розглянути відповідні коригувальні дії
    - - Міра і засіб контролю і управління
      - Рекомендація щодо реалізації
        
        Така діяльність повинна
        
        Виявляти значні зміни загроз і схильність інформації і засобів обробки інформації загрозам
        
        Оцінювати адекватність і координувати реалізацію заходів і засобів контролю та управління інформаційної безпеки
        
        Стверджувати методики і процеси забезпечення інформаційної безпеки,
        
        Ефективно сприяти обізнаності, навчання та тренінгу щодо
        інформаційної безпеки в рамках організації
        
        Визначати спосіб усунення невідповідності
        
        Оцінювати інформацію, отриману в результаті моніторингу та аналізу інцидентів інформаційної безпеки і рекомендувати відповідні дії у відповідь на виявлені інциденти інформаційної безпеки
        
        Забезпечувати впевненість у тому, що забезпечення безпеки
        здійснюється відповідно до політикою інформаційної безпеки
  - - - Рекомендація щодо реалізації
        
        Тип доступу до інформації та засобів обробки інформації, який буде наданий стороннім організаціям
        
        Логічний доступ, наприклад до баз даних, інформаційних систем організації
        
        Можливість підключення до мережі між мережею (мережами) організації та сторонньої організації, наприклад нероз'ємне з'єднання, віддалений доступ
        
        Здійснення доступу на місці або поза місцем експлуатації
        
        Фізичний доступ, наприклад до офісів, машинним залам, картотеками
        
        Засоби обробки інформації, необхідні стороннім організаціям для доступу
        
        Цінність і чутливість використовуваної інформації, її критичність для операцій бізнесу
        
        Заходи і засоби контролю і управління, необхідні для захисту інформації, не призначеної для доступу стороннім організаціям
        
        Персонал сторонньої організації, що бере участь в обробці інформації організації
        
        Яким чином організація або персонал, авторизовані на отримання доступу, можуть бути ідентифіковані, авторизація перевірена і як часто це необхідно підтверджувати
        
        Інструкції та процедури прийняття заходів по відношенню до інцидентів інформаційної безпеки та можливих збитків, а також терміни і умови поновлення доступу сторонніх організацій в разі інциденту інформаційної безпеки
        
        Правові та нормативні вимоги, а також договірні зобов'язання, значимі для сторонніх організацій, які необхідно брати до уваги
        
        Різні способи і заходи і засоби контролю і управління, які застосовуються сторонніми організаціями при зберіганні, обробці, передачі, спільне використання та обмін інформацією
        
        Вплив ненадання необхідного доступу сторонньої організації і введення або отримання сторонньою організацією неточної або помилкової інформації
        
        Вплив вищезгаданих заходів на інтереси будь-яких інших причетних сторін
    - - Захист активів, включаючи
        
        Цілісність
        
        Обмеження на копіювання та розголошення інформації
        
        Процедури для визначення компрометації активів, наприклад внаслідок втрати або модифікації даних
        
        Процедури захисту активів організації, в тому числі інформацію і програмне забезпечення, а також менеджмент відомих вразливостей
      - Опис продукту чи послуги, які повинні бути забезпечені
      - Різні причини, вимоги та переваги, пов'язані з доступом клієнта
      - Політика управління доступом, що охоплює
        
        Процес авторизації щодо доступу і привілеїв користувачів
        
        Положення про те, що весь доступ, чи не авторизований явно, є забороненим
        
        Дозволені методи доступу, а також управління і використання унікальних ідентифікаторів, типу ідентифікаторів користувача і паролів
        
        Процес скасування прав доступу або переривання з'єднання між системами
      - Процедури щодо звітності, повідомлення та розслідування неточностей в інформації (наприклад, персональних подробиць), інцидентів інформаційної безпеки та порушень безпеки
      - Опис кожної послуги, що надається
      - Визначення необхідного та неприйнятного рівня обслуговування
      - Право на проведення моніторингу та скасування будь-якої діяльності, пов'язаної з активами організації
      - Відповідні зобов'язання організації і клієнта
      - Зобов'язання щодо юридичних питань, і спосіб забезпечення впевненості у відповідності правовим нормам
      - Дотримання прав на інтелектуальну власність та авторських прав
    - - Політика інформаційної безпеки
      - Заходи і засоби контролю і управління для забезпечення впевненості в захисті активів, включаючи
        
        Заходи і засоби контролю і управління для забезпечення впевненості в захисті від шкідливого програмного засобу
        
        Процедури по визначенню компрометації активів, наприклад внаслідок втрати або модифікації інформації, програмного забезпечення та апаратних засобів
        
        Заходи і засоби контролю і управління по забезпеченню впевненості в поверненні або знищення інформації і активів після закінчення договору або в узгоджений час протягом терміну дії договору
        
        Будь-які заходи і засоби контролю і управління, а також інструменти необхідної фізичного захисту
        
        Конфіденційність, цілісність, доступність і будь-яка інша значима властивість активів
        
        Процедури щодо захисту активів організації, в тому числі інформацію, програмне забезпечення та апаратні засоби
        
        Обмеження на копіювання та розголошення інформації, і застосування угод про конфіденційність
      - Тренінг користувачів і адміністраторів щодо методів, процедур і безпеки
      - Забезпечення поінформованості користувачів щодо обов'язків та питань, пов'язаних з інформаційною безпекою
      - Забезпечення доставки персоналу до місця роботи, де це необхідно
      - Обов'язки, що стосуються установки і супроводу апаратних засобів і програмного забезпечення
      - Чітка структура підзвітності та узгоджені формати подання звітів
      - Ясний і певний процес менеджменту змін
      - Політика управління доступом, що охоплює
        
        Положення про те, що весь доступ, чи не авторизований явно, є забороненим
        
        Процес скасування прав доступу або переривання з'єднання між системами
        
        Вимога щодо ведення списку осіб, уповноважених використовувати надані послуги, із зазначенням відповідних прав і привілеїв
        
        Процес авторизації щодо доступу і привілеїв користувачів
        
        Дозволені методи доступу, а також управління і використання унікальних ідентифікаторів типу ідентифікаторів користувача і паролів
        
        Різні причини, вимоги та переваги, які роблять доступ третьої сторони за необхідне
      - Процедури щодо звітності, повідомлення та розслідування інцидентів інформаційної безпеки і порушень безпеки, а також порушень вимог, викладених в угоді
      - Опис продукту чи послуги, які повинні бути надані, і опис інформації, яка повинна бути надана, поряд з категорією її секретності
      - Визначення необхідного та неприйнятного рівня обслуговування
      - Визначення піддаються контролю критеріїв ефективності, а також їх моніторинг і надання звітності
      - Право на проведення моніторингу та скасування будь-якої діяльності щодо активів організації
      - Право на проведення аудиту виконання договірних зобов'язань і можливість проведення такого аудиту третьою стороною, а також перерахування встановлених законом прав аудиторів
      - Встановлення процесу інформування про виникаючі проблеми з метою їх вирішення
      - Вимоги щодо безперервності обслуговування, включаючи заходи щодо забезпечення доступності і надійності, відповідно до пріоритетів бізнесу організації
      - Відповідні зобов'язання сторін в рамках угоди
      - Зобов'язання щодо юридичних питань, і способів забезпечення впевненості у відповідності правовим вимогам, наприклад законодавству про захист даних, особливо з урахуванням різних вимог національних правових систем, якщо договір передбачає співпрацю з клієнтами в інших країнах
      - Дотримання прав на інтелектуальну власність та авторських прав
      - Залучення третьої сторони разом з субпідрядниками, заходи і засоби контролю і управління безпеки, які ці субпідрядники повинні реалізувати
      - Умови переукладання / закінчення договорів
        
        Переукладання договорів в разі зміни вимог організації до безпеки
        
        Діють документовані переліки активів, ліцензій, договорів або пов'язаних з ними прав
        
        План дій в надзвичайних ситуаціях повинен містити положення на випадок, якщо будь-яка сторона побажає перервати відносини до закінчення терміну дії договорів
      - Додаткова інформація
        
        Договори можуть варіюватися в значній мірі по відношенню до різних організацій і серед різних типів третіх сторін
        
        Якщо менеджмент інформаційної безпеки здійснюється в рамках договорів аутсорсингу, то в договорах має бути обумовлено, яким чином третя сторона гарантуватиме підтримку адекватної безпеки, визначеної оцінкою ризику, а також адаптацію до виявлених ризиків і змін ризиків
        
        У договорі необхідно враховувати процедури безперервної обробки на випадок, якщо третя сторона виявиться нездатною постачати свої послуги, для запобігання будь-якої затримки по організації заміни послуг
        
        У договорах з третіми сторонами можуть брати участь також і інші сторони. Договори, що надають доступ третім сторонам, повинні містити дозвіл на залучення інших організацій, а також умови їх доступу та участі
        
        Як правило, договори розробляються, в першу чергу, організацією
    - - Аутсорсинг засобів і (або) операцій, наприклад систем ІТ, послуг зі збирання даних, операцій центру телефонного обслуговування
      - Консультантів з питань менеджменту та бізнесу, а також аудиторів
      - Клієнтів
      - Розробників і постачальників, наприклад програмних продуктів і систем ІТ
      - Послуги з менеджменту безпеки
      - Прибирання, громадське харчування та інші допоміжні послуги, що забезпечуються в рамках договорів аутсорсингу
      - Провайдерів послуг, наприклад Інтернет-провайдерів, мережевих провайдерів, послуги телефонного зв'язку, технічного обслуговування і підтримки
      - Тимчасових працівників, прийом на роботу студентів та інші нерегулярні короткострокові призначення
- - - - Міра і засіб контролю і управління
        
        Рекомендація щодо реалізації
        
        Вхідні данні для перегляду методів управління повинні включати інформацію про
        
        Стані запобігають і коригувальних дій
        
        Результати попередніх переглядів методів управління
        
        Результати незалежних переглядів
        
        Виконання процесу і відповідно політиці інформаційної безпеки
        
        Відповідної реакції зацікавлених сторін
        
        Зміни, які могли б вплинути на підхід організації до методів управління інформаційною безпекою
        
        Тенденції щодо загроз і вразливостей
        
        Доведених до відома інциденти інформаційної безпеки
        
        Рекомендаціях, даних відповідними органами
        
        Вихідні дані перегляду методів управління повинні включати будь-які рішення і дії щодо:
        
        Поліпшення підходу організації до менеджменту інформаційної безпеки та її процесів
        
        Поліпшення заходів і засобів контролю та управління і цілей їх
        застосування
        
        Поліпшення розподілу ресурсів і (або) обов'язків
      - Рекомендація щодо реалізації
        
        Визначення інформаційної безпеки, її загальних цілей і сфери дії
        
        Викладу намірів керівництва, що підтримують цілі і принципи
        інформаційної безпеки відповідно до стратегії і цілями бізнесу
        
        Підходу до встановлення заходів і засобів контролю та управління і цілей їх застосування
        
        Короткого роз'яснення найбільш істотних для організації політик безпеки, принципів, стандартів і вимог відповідності, наприклад
        
        Відповідність законодавчим вимогам та договірними
        зобов'язаннями
        
        Вимоги щодо забезпечення поінформованості, навчання і
        тренінгу щодо безпеки
        
        Менеджмент безперервності бізнесу
        
        Відповідальність за порушення політики інформаційної безпеки
        
        Визначення загальних і конкретних обов'язків співробітників в рамках менеджменту інформаційної безпеки
        
        Посилань на документи, що доповнюють політику інформаційної безпеки, наприклад більш детальні політики та процедури безпеки для певних інформаційних систем
    - - слід передбачити наявність контактної особи, що
        займається питаннями інформаційної безпеки всередині організації, до якого можуть звертатися зацікавлені співробітники