Please enable JavaScript.

Coggle requires JavaScript to display documents.

БРИТАНСЬКИЙ СТАНДАРТ BS ISO/IEC 27001:2005 BS 7799-2:2005 Інформаційні…

- - - - Задокументована політика інформаційної безпеки
      - Перегляд політики інформаційної безпеки
    - - Внутрішня організація МЕТА: Управляти інформаційною безпекою в організації.
        
        Прихильність керівництва інформаційної безпеки
        
        Координація інформаційної безпеки
        
        Розподіл відповідальності за інформаційну безпеку
        
        Процес авторизації для засобів обробки інформації
        
        Угоди про
        конфіденційність
        
        Контакт з органами влади
        
        Контакт з професійними об'єднаннями
        
        Незалежна перевірка інформаційної безпеки
      - Зовнішні сторони МЕТА: Забезпечити безпеку інформації організації та засобів її обробки, доступ, обробка, передача або управління якими здійснюється третіми сторонами.
        
        Ідентифікація ризиків, пов'язаних з зовнішніми сторонами
        
        Врахування вимог безпеки при роботі з клієнтами
        
        Врахування вимог безпеки в договорах з третіми сторонами
    - - Відповідальність за ресурси МЕТА: Забезпечити і підтримувати необхідний захист
        ресурсів організації.
        
        Інвентаризація
        ресурсів
        
        Володіння ресурсами
        
        Допустиме використання ресурсів
      - Класифікація інформації МЕТА: Забезпечити необхідний рівень захисту інформації.
        
        Керівництво по класифікації
        
        Маркування та
        обробка інформації
    - - Перед наймом МЕТА: Гарантувати, що працівники, підрядники та користувачі третьої сторони розуміють свою відповідальність і відповідають своїм ролям, а також знизити ризик крадіжок, шахрайства або неправомірного використання обладнання.
        
        Ролі та
        відповідальність
        
        Перевірка
        співробітників
        
        Умови
        працевлаштування
      - У період роботи МЕТА: Гарантувати, що всі працівники, підрядники та користувачі третьої сторони поінформовані про загрози та проблеми інформаційної безпеки, їх відповідальності та зобов'язання і готові підтримувати політику безпеки організації в своїй повсякденній діяльності та зменшувати ризик людської помилки.
        
        Відповідальність
        керівництва
        
        Підвищення обізнаності, навчання і тренінги в області інформаційної безпеки
        
        Дисциплінарний
        процес
      - Завершення або зміна трудових відносин МЕТА: Гарантувати, що всі співробітники, підрядники та користувачі третьої сторони залишають організацію чи змінюють роботу в установленому порядку.
        
        Відповідальність при завершенні трудових відносин
        
        Повернення ресурсів
        
        Скасування прав доступу
    - - Захищені області МЕТА: Запобігти несанкціонований фізичний доступ і заподіяння шкоди для приміщень та інформації організації.
        
        Периметр фізичної
        безпеки
        
        Механізми контролю
        фізичного входу
        
        Захист офісів, кімнат
        та обладнання
        
        Захист від зовнішніх загроз і загроз навколишнього середовища
        
        Робота в захищених
        областях
        
        Області загального доступу, доставки та навантаження
      - Безпека обладнання МЕТА: Запобігти втрату, пошкодження, крадіжку або компрометацію ресурсів і порушення діяльності організації.
        
        Розміщення і захист
        устаткування
        
        Послуги підтримки
        
        Безпека кабельної
        розводки
        
        Технічне обслуговування обладнання
        
        Безпека обладнання за межами організації
        
        Безпечна утилізація або повторне використання обладнання
        
        Переміщення майна
    - - Операційні процедури і розподіл відповідальності МЕТА: Забезпечити коректне і безпечне функціонування засобів обробки інформації.
        
        Задокументовані операційні процедури
        
        Управління змінами
        
        Розподіл обов'язків
        
        Відокремлення систем, що розробляються, випробовуються та працюють
      - Управління сторонніми службами МЕТА: Реалізація та підтримка необхідного рівня інформаційної безпеки та надання сервісу відповідно до
        угод про надання сервісів, що укладаються з третіми особами.
        
        Надання послуг
        
        Моніторинг і аналіз сервісів, що надаються третьою стороною
        
        Управління змінами в сервісах, що надаються третьою стороною
      - Системне планування та прийняття МЕТА: Мінімізація ризику відмови системи.
        
        Управління
        продуктивністю
        
        Приймання системи
      - Захист від шкідливого і мобільного коду МЕТА: Забезпечити цілісність інформації та програмного забезпечення.
        
        Механізми контролю, спрямовані проти шкідливого коду
        
        Механізми контролю, спрямовані проти мобільного коду
      - Резервне копіювання МЕТА: Підтримувати цілісність і доступність інформації та засобів її обробки.
        
        Резервне копіювання
        інформації
      - Управління мережевою безпекою МЕТА: Забезпечити збереження інформації в мережах, а також захист підтримуючої інфраструктури.
        
        Мережеві механізми
        контролю
        
        Безпека мережевих
        сервісів
      - Поводження з носіями інформації МЕТА: Запобігти несанкціоноване розкриття, модифікацію, видалення або руйнування ресурсів, а також переривання бізнес діяльності.
        
        Управління змінними носіями інформації
        
        Знищення носіїв
        інформації
        
        Процедури поводження з інформацією
        
        Безпека системної
        документації
      - Обмін інформацією МЕТА: Підтримувати безпеку інформації і програмного забезпечення при їх обміні всередині організації і з будь-якої зовнішньої стороною.
        
        Політики та процедури обміну інформацією
        
        Угоди про обмін
        інформацією
        
        Транспортування фізичних носіїв інформації
        
        Передача електронних повідомлень
        
        Інформаційні бізнес-
        системи
      - Сервіси електронної комерції МЕТА: Забезпечити безпеку сервісів електронної комерції і їх безпечне використання.
        
        Електронна комерція
        
        Онлайн-транзакції
        
        Загальнодоступна
        інформація
      - Мониторингинг МЕТА: Виявлення несанкціонованої діяльності з обробки інформації.
        
        Реєстрація подій
        аудиту
        
        Моніторинг використання системи
        
        Захист даних
        журналів аудиту
        
        Журнали адміністратора та оператора
        
        Повідомлення про
        помилки
        
        Синхронізація
        годин
    - - Бізнес вимоги до контролю доступу МЕТА: Контролювати доступ до інформації.
        
        Політика
        контролю доступу
      - Управління доступом користувачів МЕТА: Забезпечити доступ авторизованих користувачів і запобігти несанкціонованому доступу до інформаційних систем.
        
        Реєстрація
        користувача
        
        Керування
        привілеями
        
        Керування паролями користувачів
        
        Перевірка прав доступу користувачів
      - Відповідальність користувачів МЕТА: Запобігти несанкціонований доступ користувачів, а також компрометацію або крадіжку інформації і засобів її обробки.
        
        Використання
        паролів
        
        Користувальницьке обладнання, залишене без нагляду
        
        Політика чистих столів і чистих екранів.
      - Керування доступом до мережі МЕТА: Запобігання несанкціонованому доступу до мережевих служб.
        
        Політика використання мережевих сервісів
        
        Аутентифікація користувачів при зовнішніх підключених
        
        Ідентифікація обладнання в мережах
        
        Захист віддалених діагностичних і конфігураційних портів
        
        Ізоляція мережі
        
        Елемент керування підключенням до мережі
        
        Керування маршрутизацією в мережі
      - Контроль доступу в операційних системах МЕТА: Запобігти несанкціонований доступ до операційних систем.
        
        Безпечні процедури входу в систему
        
        Ідентифікація та аутентифікація користувача
        
        Система керування
        паролями
        
        Використання
        системних утиліт
        
        Завершення сесій при перевищенні ліміту часу
        
        Обмеження часу
        з'єднання
      - Контроль доступу до прикладних програм та інформації МЕТА: Запобігти несанкціонований доступ до інформації, що міститься в прикладних системах.
        
        Обмеження доступу до інформації
        
        Ізоляція критичних
        систем
      - Мобільна комп'ютерна техніка та робота поза офісом МЕТА: Забезпечити безпеку інформації при використанні мобільного комп'ютерного обладнання та при роботі поза офісом.
        
        Мобільна комп'ютерна техніка та засоби зв'язку
        
        Робота поза офісом
    - - Вимоги безпеки для інформаційних систем МЕТА: Гарантувати, що безпека є складовою частиною інформаційних систем.
        
        Аналіз безпеки та
        специфікація
      - Коректна обробки інформації в додатках МЕТА: Запобігти помилки, втрату, несанкціоновану модифікацію або неправильне використання інформації в
        додатках.
        
        Перевірка вхідних
        даних
        
        Контроль внутрішньої обробки даних
        
        Цілісність
        повідомлення
        
        Перевірка
        вихідних даних
      - Криптографічні механізми МЕТА: Захист конфіденційності, автентичності та цілісності інформації криптографічними засобами.
        
        Політика використання криптографічних механізмів
        
        Управління
        ключами
      - Безпека системних файлів МЕТА: Забезпечення безпеки системних файлів.
        
        Управління поточним програмним забезпеченням
        
        Захист тестових
        системних даних
        
        Контроль доступу до вихідних текстів програм
      - Безпека процесів розробки і підтримки МЕТА: Підтримання безпеки програмного забезпечення та інформації прикладних систем.
        
        Процедури
        контролю змін
        
        Технічний аналіз додатків після змін операційної системи
        
        Обмеження на зміни пакетів програмного забезпечення
        
        Витік інформації
        
        Аутсорсинг розробки програмного забезпечення
      - Управління технічними уразливими МЕТА: Зменшення ризиків, пов'язаних з використанням опублікованих технічних вразливостей.
        
        Контроль технічних вразливостей
    - - Інформація про події та слабкі сторони
        інформаційної безпекиМЕТА: Забезпечити своєчасне повідомлення інформації про події інформаційної безпеки та слабкі місця, пов'язані з інформаційними системами, уповноваженим особам, що дозволяє вчасно вжити коригувальних заходів.
        
        Інформування про події інформаційної безпеки
        
        Інформування про недоліки інформаційної безпеки
      - Управління інцидентами і вдосконаленням
        інформаційної безпеки МЕТА: Забезпечення послідовного та ефективного підходу до управління інцидентами інформаційної безпеки.
        
        Відповідальність і
        процедури
        
        Тренінг з питань інформаційної безпеки
        
        Збір свідчень
    - - Аспекти управління безперервністю бізнесу,
        пов'язані з інформаційною безпекою МЕТА: Перешкоджати перериванням господарської діяльності та захищати критично важливі бізнес процеси від впливу великих збоїв інформаційних систем або аварій і забезпечити їх своєчасне відновлення.
        
        Включення інформаційної безпеки в процес управління безперервністю бізнесу
        
        Безперервність бізнесу та оцінка ризиків
        
        Розробка і реалізація планів забезпечення безперервності, включаючи інформаційну
        безпеку
        
        Загальна схема планування безперервності бізнесу
        
        Тестування, підтримка і перегляд планів забезпечення безперервності бізнесу
    - - Дотримання вимог законодавства МЕТА: Уникнути порушення положень будь-яких обов'язків, встановлених чинним законодавством, підзаконними актами і договірними відносинами, а також будь-яких вимог безпеки.
        
        Визначення законодавчої бази, яка застосовується до діяльності організації
        
        Право інтелектуальної власності
        
        Захист документації організації
        
        Захист особистих
        секретних даних
        
        Запобігання випадків неналежного використання інструментів обробки інформації
        
        Правове регулювання в галузі використання криптографічних засобів
      - Дотримання вимог політик і стандартів безпеки, а також технічних вимог МЕТА: Забезпечити відповідність систем політикам і
        стандартам безпеки організації.
        
        Дотримання вимог політик і стандартів безпеки
        
        Перевірка відповідності технічним вимогам
      - Міркування, що відносяться до аудиту
        інформаційних систем МЕТА: максимізувати ефективність і мінімізувати втручання
        в / з боку процесу аудиту інформаційних систем.
        
        Механізми аудиту інформаційних систем
        
        Захист засобів аудиту інформаційних систем
- - - - Учасники повинні бути інформовані про необхідність забезпечення безпеки інформаційних систем і мереж, а також про те, що вони можуть зробити для посилення безпеки.
    - - Всі учасники несуть відповідальність за забезпечення безпеки інформаційних систем і мереж.
    - - Учасники повинні діяти своєчасно і спільно для запобігання, виявлення і реагування на інциденти безпеки.
    - - Учасники повинні проводити оцінку
        ризиків.
    - - Учасники повинні вбудовувати механізми безпеки як суттєвий елемент інформаційних систем і мереж.
    - - Учасники повинні прийняти комплексний підхід до управління безпекою.
    - - Учасники повинні аналізувати і переглядати безпеку інформаційних систем і мереж, вносити необхідні зміни в політики безпеки, практики, механізми і процедури.