Please enable JavaScript.

Coggle requires JavaScript to display documents.

Стандарт ДСТУ 27002 - Coggle Diagram

- - - - Всі активи повинні враховуватися і мати призначеного власника.
        Необхідно визначати власників всіх активів, і слід визначати відповідального за підтримку відповідних заходів і засобів контролю та управління. Реалізація визначених заходів і засобів контролю і управління при необхідності може бути делегована власником, але власник залишається відповідальним за належний захист активів.
    - - Міра і засіб контролю і управління
        Всі активи повинні бути чітко визначені, повинна складатися і підтримуватися опис всіх важливих активів.
    - - Вся інформація і активи, пов'язані із засобами обробки інформації повинні знаходитися у власності (Терміном «власник» визначається фізична або юридична особа, яка наділена адміністративною відповідальністю за керівництво виготовленням, розробкою, зберіганням, використанням та безпекою активів. Термін «власник» не означає, що дана людина фактично має право власності на цей актив) певної частини організації.
    - - Слід визначати, документально оформляти і реалізовувати правила прийнятного використання інформації та активів, пов'язаних із засобами обробки інформації.
  - - - Інформацію слід класифікувати, щоб визначити необхідність, пріоритети і передбачувану ступінь захисту при обробці інформації.
        Інформація має різні ступені чутливості і критичності. Деякі елементи можуть зажадати додаткового рівня захисту або спеціальної обробки. Схему класифікації інформації слід використовувати для визначення відповідного безлічі рівнів захисту і встановлення потреби в прийнятті спеціальних заходів обробки.
    - - Інформацію слід класифікувати, виходячи з її цінності, законодавчих вимог, чутливості та критичності для організації.
    - - Міра і засіб контролю і управління
        Відповідний набір процедур маркування та обробки інформації слід розробляти і реалізовувати відповідно до системи класифікації, прийнятої організацією.
- - - - Ролі та обов'язки в галузі безпеки співробітників, підрядників і представників третьої сторони необхідно визначати і оформляти документально відповідно до політики інформаційної безпеки організації.
    - - Ретельна перевірка всіх кандидатів на постійну роботу, підрядників і представників третьої боку повинна проводитися згідно з відповідними законами, інструкціями і правилами етики, пропорційно вимогам бізнесу, класифікації інформації, до якої буде здійснюватися доступ, і передбачуваним ризикам.
    - - В рамках своїх договірних зобов'язань, співробітники, підрядники та представники третьої сторони повинні узгодити і підписати умови свого трудового договору, що встановлює їх відповідальність і відповідальність організації щодо інформаційної безпеки.
  - - - Керівництво організації повинно вимагати, щоб співробітники, підрядники та представники третьої боку забезпечували безпеку відповідно до встановлених політиками і процедурами організації.
    - - Всі співробітники організації і, де необхідно, підрядники та представники третьої сторони, повинні пройти відповідне навчання і отримувати на регулярній основі оновлені варіанти політик і процедур, прийнятих в організації та необхідних для виконання їх робочих функцій.
    - - Повинен існувати формальний дисциплінарний процес, застосовуваний щодо співробітників, які вчинили порушення безпеки.
  - - - Обов'язки щодо припинення зайнятості або зміни зайнятості повинні бути чітко визначені і встановлені.
    - - Всі співробітники, підрядники та представники третьої сторони зобов'язані повернути організації всі активи, що знаходяться в їх користуванні, при припиненні їх зайнятості, договору або угоди.
    - - Права доступу всіх службовців, підрядників і представників третьої сторони до інформації та засобів обробки інформації повинні бути анульовані у разі припинення зайнятості, договору або угоди, або скориговані при зміні зайнятості.
- - - - Для захисту зон, що містять інформацію і засоби обробки інформації, слід використовувати периметри безпеки (бар'єри, наприклад стіни, керовані картами доступу ворота або турнікети, керовані чоловіком).
    - - Зони безпеки необхідно захищати за допомогою відповідних заходів і засобів контролю та управління входу, щоб забезпечити впевненість у тому, що доступ дозволений тільки авторизованому персоналу.
    - - Необхідно розробити і реалізувати фізичний захист будівель, виробничих приміщень і обладнання.
    - - Необхідно розробити і реалізувати фізичний захист від нанесення шкоди, який може з'явитися результатом пожежі, повені, землетруси, вибуху, громадських заворушень та інших форм природних або антропогенних лих.
    - - Необхідно розробити і реалізувати фізичний захист і рекомендації по роботі в зонах безпеки.
    - - Місця доступу, наприклад зони приймання та відвантаження, і інші місця, де неавторизовані особи можуть проникнути в приміщення, повинні перебувати під контролем і, по можливості, повинні бути ізольовані від засобів обробки інформації, щоб уникнути несанкціонованого доступу.