Please enable JavaScript.

Coggle requires JavaScript to display documents.

Інформаційні технології – Методи забезпечення безпеки – Системи управління…

- - - - Документована політика інформаційної безпеки повинна бути затверджена керівництвом, опублікована і доведена до відома всіх співробітників організації і мають до неї відношення зовнішніх сторін.
    - - Політика інформаційної безпеки повинна переглядатися через заплановані інтервали часу, а також у разі впливають на неї істотних змін, щоб забезпечити її безперервне відповідність реальному стану справ, достатність і ефективність.
  - - - Мета: Управляти інформаційною безпекою в організації.
      - Прихильність керівництва інформаційної безпеки
        
        Керівництво повинно активно підтримувати безпеку в організації шляхом чіткого управління, яку демонструють прихильність, явного призначення і підтвердження відповідальності за інформаційну безпеку.
      - Координація інформаційної безпеки
        
        Дії по забезпеченню інформаційної безпеки повинні координуватися представниками з різних частин організації з відповідними ролями та посадовими обов'язками.
      - Розподіл відповідальності за інформаційну безпеку
        
        Всі області відповідальності за інформаційну безпеку повинні бути чітко визначені.
      - Процес авторизації для засобів обробки інформації
        
        Повинен бути визначений і реалізований процес авторизації керівництвом нових засобів обробки інформації.
      - Угоди про конфіденційність
        
        Вимоги до угод про конфіденційність або нерозголошення, що відображають потреби організації в захисті інформації, повинні бути визначені і повинні регулярно переглядатися.
      - Контакт з органами влади
        
        Повинні підтримуватися відповідні контакти з відповідними органами влади.
      - Контакт з професійними об'єднаннями
        
        Повинні підтримуватися необхідні контакти з професійними об'єднаннями або іншими форумами фахівців з безпеки і професійними асоціаціями.
      - Незалежна перевірка інформаційної безпеки
        
        Підхід організації до управління інформаційною безпекою та її реалізації (тобто цілі контролю, механізми контролю, політики, процеси та процедури інформаційної безпеки) повинні піддаватися незалежній перевірці через заплановані інтервали часу або, в разі, якщо відбуваються істотні зміни в реалізації безпеки.
    - - Мета: Забезпечити безпеку інформації організації та засобів її обробки, доступ, обробка, передача або управління якими здійснюється третіми сторонами.
      - Ідентифікація ризиків, пов'язаних з зовнішніми сторонами
        
        Ризики для інформації організації та засобів її обробки з боку бізнес процесів, в яких задіяні зовнішні сторони, повинні бути ідентифіковані і відповідні механізми контролю повинні бути реалізовані, перш ніж буде надано доступ.
      - Врахування вимог безпеки при роботі з клієнтами
        
        Повинні бути враховані всі ідентифіковані вимоги безпеки, перш ніж клієнтам буде надано доступ до інформації або ресурсів організації.
      - Врахування вимог безпеки в договорах з третіми сторонами
        
        Угоди з третіми сторонами, що передбачають доступ, обробку, передачу або управління інформацією організації або засобами її обробки, або додавання продуктів або сервісів в засоби обробки інформації повинні охоплювати всі необхідні вимоги безпеки.
  - - - Мета: Забезпечити і підтримувати необхідний захист
        ресурсів організації.
      - Інвентаризація ресурсів
        
        Всі ресурси повинні бути чітко ідентифіковані, а також повинна проводитися і підтримуватися інвентаризація всіх важливих ресурсів.
      - Володіння ресурсами
        
        Вся інформація та ресурси, пов'язані із засобами обробки інформації, повинні перебувати у володінні призначеної частиною організації
      - Допустиме використання ресурсів
        
        Правила допустимого використання інформації і ресурсів, пов'язаних із засобами обробки інформації повинні бути визначені, задокументовані та впроваджені.
    - - Мета: Забезпечити необхідний рівень захисту інформації.
      - Керівництво по класифікації
        
        Інформація повинна бути класифікована в термінах її цінності, вимог законодавства, конфіденційності та критичності для організації.
      - Маркування та обробка інформації
        
        Повинен бути визначений і реалізований необхідний набір процедур для маркування та поводження з інформацією, відповідний схемою класифікації, прийнятої в організації.
  - - - Мета: Гарантувати, що працівники, підрядники та користувачі третьої сторони розуміють свою відповідальність і відповідають своїм ролям, а також знизити ризик крадіжок, шахрайства або неправомірного використання обладнання.
      - Ролі та відповідальність
        
        Ролі та обов'язки співробітників, підрядників і користувачів третіх сторін щодо забезпечення безпеки повинні бути визначені і документовані відповідно до політики інформаційної безпеки організації.
      - Перевірка співробітників
        
        Перевірки анкетних даних всіх кандидатів на роботу, підрядників і користувачів третьої сторони повинні виконуватися відповідно до чинних законів, правил і етичними нормами, пропорційно вимогам бізнесу, класифікації інформації, до якої буде здійснюватися доступ, і усвідомленими ризиків.
      - Умови працевлаштування
        
        Працівники, підрядники та користувачі третьої сторони як частина їх контрактних зобов'язань повинні схвалити і підписати свої трудові договори, в яких встановлюється їх відповідальність і відповідальність організації за інформаційну безпеку.
    - - Мета: Гарантувати, що всі працівники, підрядники та користувачі третьої сторони поінформовані про загрози та проблеми інформаційної безпеки, їх відповідальності та зобов'язання і готові підтримувати політику безпеки організації в своїй повсякденній діяльності та зменшувати ризик людської помилки.
      - Відповідальність керівництва
        
        Керівництво повинно вимагати від працівників, підрядників і користувачів третьої сторони застосування заходів безпеки відповідно до встановлених в організації політиками та процедурами.
      - Підвищення обізнаності, навчання і тренінги в області інформаційної безпеки
        
        Всі співробітники організації і, в разі необхідності, підрядники та користувачі третьої сторони, повинні проходити необхідне навчання і отримувати регулярні оновлення політик і процедур, прийнятих в організації та необхідних для виконання їх посадових обов'язків.
      - Дисциплінарний процес
        
        Повинен існувати офіційний дисциплінарний процес щодо співробітників, які допускають порушення безпеки.
    - - Мета: Гарантувати, що всі співробітники, підрядники та користувачі третьої сторони залишають організацію чи змінюють роботу в установленому порядку.
      - Відповідальність при завершенні трудових відносин
        
        Відповідальність за виконання дій по завершенню трудових відносин повинна бути чітко визначена і встановлена.
      - Повернення ресурсів
        
        При завершенні їх трудових відносин, контракту або угоди всі співробітники, підрядники та користувачі третьої сторони повинні повернути всі належні організації ресурси, що знаходять в їх володінні.
      - Скасування прав доступу
        
        При завершенні їх трудових відносин, контракту або угоди права доступу всіх співробітників, підрядників і користувачів третіх сторін до інформації та засобів її обробки повинні бути скасовані або, в разі зміни характеру роботи, відкориговані.
  - - - Мета: Запобігти несанкціонований фізичний доступ і
        заподіяння шкоди для приміщень та інформації організації.
      - Периметр фізичної безпеки
        
        Для захисту зон, що містять інформацію і засоби її обробки, повинні використовувати периметри безпеки (різні бар'єри, такі як стіни, прохідні з контролем доступу по картах, прийомні з черговими).
      - Механізми контролю фізичного входу
        
        Захищені області повинні бути захищені відповідними механізмами контролю входу, забезпечують можливість доступу тільки для авторизованого персоналу.
      - Захист офісів, кімнат та обладнання
        
        Повинні проектуватися і застосовуватися механізми забезпечення фізичної безпеки офісів, кімнат і обладнання.
      - Захист від зовнішніх загроз і загроз навколишнього середовища
        
        Повинна проектуватися і застосовуватися фізичний захист від збитків, викликаних вогнем, повінню, землетрусом, вибухом, цивільними заворушеннями та іншими формами природних і антропогенних катастроф.
      - Робота в захищених областях
        
        Повинні проектуватися і застосовуватися механізми забезпечення фізичної безпеки та інструкції по роботі в захищених областях.
      - Області загального доступу, доставки та навантаження
        
        Місця доступу, такі як області доставки і навантаження і інші місця, в яких неавторизовані люди можуть входити в приміщення організації, повинні контролюватися і, якщо це можливо, повинні бути ізольовані від засобів обробки інформації з метою запобігання несанкціонованому доступу.
    - - Мета: Запобігти втрату, пошкодження, крадіжку або
        компрометацію ресурсів і порушення діяльності організації.
      - Розміщення і захист устаткування
        
        З метою зниження ризиків, пов'язаних з небезпечними явищами навколишнього середовища, і можливостей несанкціонованого доступу, має здійснюватися надійне розміщення або захист обладнання.
      - Послуги підтримки
        
        Телекомунікаційні та силові кабелі, що передають дані або підтримують інформаційні сервіси повинні бути захищені від прослуховування або пошкодження.
      - Безпека кабельної розводки
        
        Повинні проектуватися і застосовуватися механізми забезпечення фізичної безпеки офісів, кімнат і обладнання.
      - Технічне обслуговування обладнання
        
        З метою забезпечення його безперервної доступності та цілісності обладнання повинно правильно обслуговуватися.
      - Безпека обладнання за межами організації
        
        Повинна забезпечуватися безпеку обладнання за межами території організації, беручи до уваги різні ризики, пов'язані з роботою за межами території організації.
      - Безпечна утилізація або повторне використання обладнання
        
        Усі види обладнання, що містять кошти зберігання інформації, повинні перевірятися, щоб гарантувати, що всі конфіденційні дані і ліцензійне програмне забезпечення було видалено або надійно перезаписані перед утилізацією.
      - Переміщення майна
        
        Устаткування, інформація або програмне забезпечення без попереднього дозволу не повинні виноситися за межі організації.
  - - - Мета: Забезпечити коректне і безпечне функціонування
        засобів обробки інформації.
      - Задокументовані операційні процедури
        
        Операційні процедури повинні бути задокументовані, підтримуватися в актуальному стані і бути доступними для всіх користувачів, яким вони потрібні.
      - Управління змінами
        
        Зміни засобів і систем обробки інформації повинні контролюватися.
      - Розподіл обов'язків
        
        Обов'язки та сфери відповідальності повинні бути розділені з метою зниження можливостей несанкціонованого зміни або зловживання ресурсами організації.
      - Відокремлення систем, що розробляються, випробовуються та працюють
        
        Засоби розробки, тестування і діючі системи повинні бути розділені з метою зменшення ризику несанкціонованого доступу або внесення змін до діючої системи.
    - - Мета: Реалізація та підтримка необхідного рівня інформаційної безпеки та надання сервісу відповідно до угод про надання сервісів, що укладаються з третіми особами.
      - Надання послуг
        
        Необхідно переконатися в тому, що механізми безпеки, визначення сервісів і рівні надання сервісів, включені в угоду про надання сервісу третьою стороною, реалізовані, дотримуються і підтримуються третьою стороною.
      - Моніторинг і аналіз сервісів, що надаються третьою стороною
        
        Сервіси, звіти і записи, що надаються третьою стороною, повинні регулярно переглядатися і аналізуватися, а також повинен регулярно проводитися аудит.
      - Управління змінами в сервісах, що надаються третьою стороною
        
        Необхідно управляти змінами в сервісах, включаючи супровід та вдосконалення існуючих політик, процедур і механізмів контролю інформаційної безпеки, з урахуванням критичності задіяних бізнес систем і процесів, а також результатів переоцінки ризиків.
    - - Мета: Мінімізація ризику відмови системи.
      - Управління продуктивністю
        
        Має відстежуватися і пристосовуватися використання ресурсів, а також повинні прогнозуватися вимоги до ресурсів на майбутнє з метою забезпечення необхідної продуктивності системи.
      - Приймання системи
        
        Повинні бути встановлені критерії приймання нових інформаційних систем, їх модернізацій і нових версій, а також має проводитися необхідне тестування систем (и) в ході розробки і перед прийманням в експлуатацію.
    - - Мета: Забезпечити цілісність інформації та програмного забезпечення.
      - Механізми контролю, спрямовані проти шкідливого коду
        
        Для захисту від шкідливого коду повинні бути реалізовані механізми виявлення, запобігання і відновлення, а також відповідні процедури підвищення обізнаності користувачів.
      - Механізми контролю, спрямовані проти мобільного коду
        
        Там, де дозволено використання мобільного коду, конфігурація повинна гарантувати, що авторизований мобільний код виконується відповідно до чітко визначеної політикою безпеки, а виконання неавторизованого мобільного коду повинне запобігати.
    - - Мета: Підтримувати цілісність і доступність інформації та засобів її обробки.
      - Резервне копіювання інформації
        
        Резервні копії інформації та програмного забезпечення повинні створюватися і тестуватися регулярно відповідно до узгодженої політикою резервного копіювання.
    - - Мета: Забезпечити збереження інформації в мережах, а також захист підтримуючої інфраструктури.
      - Мережеві механізми контролю
        
        Повинні бути забезпечені адекватне управління і контроль мережі для захисту від загроз і забезпечення безпеки систем і додатків при використанні мережі,включаючи передану інформацію.
      - Безпека мережевих сервісів
        
        Повинні бути ідентифіковані і включені в усі угоди про надання мережевих сервісів функції безпеки, рівні сервісу і вимоги керівництва для всіх мережевих сервісів, незалежно від того, чи надаються послуги всередині організації або перебувають на аутсорсингу.
    - - Мета: Запобігти несанкціоноване розкриття, модифікацію, видалення або руйнування ресурсів, а також переривання бізнес діяльності.
      - Управління змінними носіями інформації
        
        Повинні бути встановлені процедури для управління змінними носіями інформації.
      - Знищення носіїв інформації
        
        Носії інформації, які не використовуються підлягають безпечному і надійному знищенню з використанням встановлених процедур.
      - Процедури поводження з інформацією
        
        Для захисту інформації від несанкціонованого розкриття або неправомірного використання, необхідно встановити процедури звернення і зберігання інформації.
      - Безпека системної документації
        
        Системна документація повинна бути захищена від несанкціонованого доступу.
    - - Мета: Підтримувати безпеку інформації і програмного забезпечення при їх обміні всередині організації і з будь- якої зовнішньої стороною.
      - Політики та процедури обміну інформацією
        
        Повинні існувати офіційні політики, процедури та механізми обміну інформацією для захисту інформаційних обмінів, які використовують всі види засобів комунікацій.
      - Угоди про обмін інформацією
        
        Між організацією та зовнішні сторони повинні бути встановлені угоди про обмін інформацією і програмним забезпеченням.
      - Транспортування фізичних носіїв інформації
        
        Носії, що містять інформацію, повинні бути захищені від несанкціонованого доступу, неправомірного використання або пошкодження під час транспортування за межі кордонів організації.
      - Передача електронних повідомлень
        
        Інформація, що бере участь в електронних обмінах, повинна бути належним чином захищена.
      - Інформаційні бізнес-системи
        
        Для захисту інформації, пов'язаної з взаємодією інформаційних бізнес систем повинні бути розроблені і впроваджені відповідні політики і процедури.
    - - Мета: Забезпечити безпеку сервісів електронної комерції і їх безпечне використання.
      - Електронна комерція
        
        Інформація, яка використовується в електронній комерції і передана по мережах загального користування, повинна бути захищена від шахрайських дій, контрактних суперечок, а також несанкціонованого розкриття та модифікації.
      - Онлайн-транзакції
        
        Інформація, яка використовується в онлайнових транзакцій, повинна бути захищена з метою запобігання незавершених транзакцій, помилок маршрутизації, несанкціонованого зміни повідомлень, несанкціонованого розкриття, несанкціонованого дублювання і повторного використання повідомлень.
      - Загальнодоступна інформація
        
        Цілісність інформації, яка робиться загальнодоступною в системах загального користування, повинна бути захищена для запобігання несанкціонованих модифікацій.
    - - Мета: Виявлення несанкціонованої діяльності з обробки інформації.
      - Реєстрація подій
        аудиту
        
        Повинні вестися журнали аудиту, в яких записуються дії користувачів, виняткові ситуації і події інформаційної безпеки. Вони повинні зберігатися протягом встановленого періоду часу з метою їх використання в майбутньому для проведення розслідувань і моніторингу доступу.
      - Моніторинг використання системи
        
        Повинні бути встановлені процедури моніторингу використання засобів обробки інформації. Результати моніторингу повинні регулярно аналізуватися.
      - Захист даних журналів аудиту
        
        Засоби реєстрації подій і інформація журналів аудиту повинні бути захищені від підробки та несанкціонованого доступу.
      - Журнали адміністратора та оператора
        
        Дії системного адміністратора і системного оператора повинні контролюватися.
      - Повідомлення про помилки
        
        Збої повинні контролюватися, аналізуватися, і повинні вживатися відповідні заходи.
      - Синхронізація годин
        
        Години всіх важливих систем обробки інформації в організації або в домені безпеки повинні бути синхронізовані з встановленим джерелом точного часу.
  - - - Мета: Контролювати доступ до інформації.
      - Політика контролю доступу
        
        Політика контролю доступу повинна бути встановлена, документально підтверджена, повинна переглядатися на підставі бізнес вимог та вимог щодо забезпечення безпеки доступу.
    - - Мета: Забезпечити доступ авторизованих користувачів і запобігти несанкціонованому доступу до інформаційних систем.
      - Реєстрація користувача
        
        Повинна існувати офіційна процедура реєстрації та видалення облікових записів користувачів для надання та скасування доступу до всіх інформаційних систем і сервісів.
      - Керування привілеями
        
        Розподіл і використання привілеїв повинні бути обмежені і контролюватися.
      - Керування паролями користувачів
        
        Контроль розподілу паролів повинен здійснюватися за допомогою офіційного керуючого процесу.
      - Перевірка прав доступу користувачів
        
        Керівництво повинно регулярно проводити перевірку прав доступу користувачів в рамках відповідного офіційного процесу.
    - - Мета: Запобігти несанкціонований доступ користувачів, а також компрометацію або крадіжку інформації і засобів її обробки.
      - Використання паролів
        
        Від користувачів треба вимагати, щоб вони слідували стандартам добре зарекомендувала себе практики в області вибору і використання паролів.
      - Користувальницьке обладнання, залишене без нагляду
        
        Користувачі повинні забезпечити необхідний рівень захисту для обладнання, що залишається без нагляду.
      - Політика чистих столів і чистих екранів.
        
        Повинна бути прийнята політика чистих столів для паперів і знімних пристроїв зберігання інформації і політика чистих екранів для засобів обробки інформації.
    - - Мета: Запобігання несанкціонованому доступу до мережевих служб.
      - Політика використання мережевих сервісів
        
        Користувачам повинен бути наданий доступ тільки до тих сервісів, використання яких їм явним чином дозволено.
      - Аутентифікація користувачів при зовнішніх підключених
        
        Для контролю доступу віддалених користувачів повинні використовуватися відповідні методи аутентифікації.
      - Ідентифікація обладнання в мережах
        
        В якості методів аутентифікації з'єднань з конкретних місць і від конкретного обладнання повинна розглядатися автоматична ідентифікація обладнання.
      - Захист віддалених діагностичних і конфігураційних портів
        
        Фізичний і логічний доступ до діагностичних і конфігураційним портам повинен контролюватися.
      - Ізоляція мережі
        
        Групи інформаційних сервісів, користувачів та інформаційних систем повинні бути ізольовані в мережах.
      - Елемент керування підключенням до мережі
        
        У спільно використовуваних мережах, особливо в тих, які виходять за межі організації, повинні бути обмежені можливості підключення користувачів до мережі відповідно до політики контролю доступу та вимог бізнес додатків.
      - Керування маршрутизацією в мережі
        
        У мережах повинні бути впроваджені механізми контролю маршрутизації, щоб гарантувати, що підключення комп'ютерів і інформаційні потоки не порушують політики контролю доступу бізнес додатків.
    - - Мета: Запобігти несанкціонований доступ до операційних
        систем.
      - Безпечні процедури входу в систему
        
        Доступ до операційних систем повинен контролюватися за допомогою безпечної процедури входу в систему.
      - Ідентифікація та аутентифікація користувача
        
        Всі користувачі повинні мати унікальний ідентифікатор (ідентифікатор користувача) виключно для персонального використання. Для підтвердження заявленого коду користувача повинні вибиратися відповідні методи аутентифікації.
      - Система керування паролями
        
        Системи управління паролями повинні бути інтерактивними і забезпечувати вибір якісних паролів.
      - Використання системних утиліт
        
        Використання утиліт, які можуть обходити механізми контролю системи і додатків, має бути обмежена і строго контролюватися.
      - Завершення сесій при перевищенні ліміту часу
        
        Неактивні сесії повинні автоматично завершуватися при закінчення встановленого періоду неактивності.
      - Обмеження часу з'єднання
        
        Обмеження часу підключення повинно використовуватися для забезпечення додаткового рівня захисту для додатків з високим ризиком.
    - - Мета: Запобігти несанкціонований доступ до інформації, що міститься в прикладних системах.
      - Обмеження доступу до інформації
        
        Доступ до інформації і до функцій прикладної системи з боку користувачів і обслуговуючого персоналу повинен бути обмежений відповідно до встановленої політики контролю доступу.
      - Ізоляція критичних систем
        
        Критичні системи вимагають створення спеціального(ізольованого ) комп'ютерного середовища.
    - - Мета: Забезпечити безпеку інформації при використанні мобільного комп'ютерного обладнання та при роботі поза офісом.
      - Мобільна комп'ютерна техніка та засоби зв'язку
        
        Повинна існувати офіційна політика і повинні бути затверджені відповідні механізми контролю для захисту від ризиків, пов'язаних з використанням мобільного комп'ютерного обладнання та засобів зв'язку.
      - Робота поза офісом
        
        Повинні бути розроблені та реалізовані політика, робочі плани і процедури для роботи поза офісом.
  - - - Мета: Гарантувати, що безпека є складовою частиною інформаційних систем.
      - Аналіз безпеки та специфікація
        
        Вимоги до механізмів безпеки повинні визначатися бізнес вимогами для нових систем або вимогами до вдосконалення для існуючих систем.
    - - Мета: Запобігти помилки, втрату, несанкціоновану модифікацію або неправильне використання інформації в додатках.
      - Перевірка вхідних даних
        
        Вхідні дані програми повинні перевірятися на предмет їх коректності та прийнятності.
      - Контроль внутрішньої обробки даних
        
        Для виявлення будь-яких спотворень оброблюваних даних в результаті помилок їх обробки або навмисних дій в додатки повинні бути вбудовані механізми перевірки їх достовірності.
      - Цілісність повідомлення
        
        Повинні бути ідентифіковані вимоги до забезпечення автентичності та цілісності повідомлення в додатках, а також повинні бути ідентифіковані і реалізовані відповідні механізми контролю.
      - Перевірка вихідних даних
        
        Вихідні дані додатки повинні перевірятися для забезпечення коректності обробки інформації, що зберігається і її відповідності обставинам.
    - - Мета: Захист конфіденційності, автентичності та цілісності інформації криптографічними засобами.
      - Політика використання криптографічних механізмів
        
        Повинна бути розроблена і реалізована політика використання криптографічних механізмів для захисту інформації.
      - Управління ключами
        
        Спосіб керування ключами для підтримки застосування криптографічних методів в організації.
    - - Мета: Забезпечення безпеки системних файлів.
      - Управління поточним програмним забезпеченням
        
        Повинні існувати процедури для контролю установки програмного забезпечення в діючих системах.
      - Захист тестових системних даних
        
        Тестові дані повинні бути ретельно відібрані, захищені та контрольовані.
      - Контроль доступу до вихідних текстів програм
        
        Доступ до вихідних текстів програм повинен бути обмежений.
    - - Мета: Підтримання безпеки програмного забезпечення та інформації прикладних систем.
      - Процедури контролю змін
        
        Внесення змін має контролюватися шляхом використання офіційних процедур контролю змін.
      - Технічний аналіз додатків після змін операційної системи
        
        Після внесення змін до операційних систем критично важливі для бізнесу програми повинні бути проаналізовані та перевірені, щоб гарантувати відсутність шкідливих наслідків для роботи або безпеки організації.
      - Обмеження на зміни пакетів програмного забезпечення
        
        Необхідно запобігти внесенню змін до програмних пакетів, за винятком необхідних змін, і всі зміни повинні строго контролюватися.
      - Витік інформації
        
        Слід запобігати можливості витоку інформації.
      - Аутсорсинг розробки програмного забезпечення
        
        Аутсорсинг розробки програмного забезпечення повинен контролюватися і відслідковуватися організацією.
    - - Мета: Зменшення ризиків, пов'язаних з використанням опублікованих технічних вразливостей.
      - Контроль технічних вразливостей
        
        Інформація про технічні вразливості інформаційних систем, що використовуються, повинна бути своєчасно повідомлена, вплив організації на ці вразливості повинен бути оцінений і необхідні заходи, вжиті для мінімізації пов'язаного з ними ризику.
  - - - Мета: Забезпечити своєчасне повідомлення інформації про події інформаційної безпеки та слабкі місця, пов'язані з інформаційними системами, уповноваженим особам, що дозволяє вчасно вжити коригувальних заходів.
      - Інформування про події інформаційної безпеки
        
        Інформування про події інформаційної безпеки має здійснюватися по відповідних каналах управління якомога швидше.
      - Інформування про недоліки інформаційної безпеки
        
        Усі працівники, підрядники та користувачі сторонніх інформаційних систем і служб повинні записувати та повідомляти про всі недоліки безпеки систем або послуг.
    - - Мета: Забезпечення послідовного та ефективного підходу до управління інцидентами інформаційної безпеки.
      - Відповідальність і процедури
        
        Повинні бути встановлені відповідальність керівництва та процедури для забезпечення швидкої, ефективної і послідовної реакції на інциденти інформаційної безпеки.
      - Тренінг з питань інформаційної безпеки
        
        Повинні існувати механізми для кількісного представлення і відстеження типів, розмірів і вартості інцидентів інформаційної безпеки.
      - Збір свідчень
        
        У тих випадках, коли дії, що вживаються після інциденту інформаційної безпеки проти фізичної особи або організації, припускають юридичні санкції (цивільні або кримінальні), повинні здійснюватися збір, зберігання і надання свідчень для виконання правил, прийнятих у відповідній юрисдикції (ях).
  - - - Мета: Перешкоджати перериванням господарської діяльності та захищати критично важливі бізнес процеси від впливу великих збоїв інформаційних систем або аварій і забезпечити їх своєчасне відновлення.
      - Включення інформаційної безпеки в процес управління безперервністю бізнесу
        
        Для забезпечення безперервності бізнесу в усій організації слід розробити і підтримувати керований процес, що враховує вимоги інформаційної безпеки, необхідні для забезпечення безперервності бізнесу організації.
      - Безперервність бізнесу та оцінка ризиків
        
        Події, які можуть призвести до переривань бізнес процесів, повинні бути ідентифіковані поряд з ймовірністю і наслідками таких переривань і їх впливом на інформаційну безпеку.
      - Розробка і реалізація планів забезпечення безперервності, включаючи інформаційну безпеку
        
        Повинні бути розроблені та реалізовані плани, які дозволять продовжити або відновити операції і забезпечити необхідний рівень доступності інформації у встановлені терміни після переривання або збою критично важливих бізнес процесів.
      - Загальна схема планування
        безперервності бізнесу
        
        Необхідно підтримувати єдину структуру планів забезпечення безперервності бізнесу, що дозволить гарантувати несуперечність всіх планів, послідовно враховувати вимоги інформаційної безпеки, а також визначати пріоритети в області тестування і супроводу.
      - Тестування, підтримка і
        перегляд планів забезпечення
        безперервності бізнесу
        
        Плани забезпечення безперервності бізнесу необхідно регулярно тестувати і переглядати, щоб гарантувати їх ефективність і відповідність сучасному стану речей.
  - - - Мета: Уникнути порушення положень будь-яких обов'язків, встановлених чинним законодавством, підзаконними актами і договірними відносинами, а також будь-яких вимог безпеки.
      - Визначення законодавчої бази, яка застосовується до діяльності організації
        
        Усі значимі вимоги, встановлені чинним законодавством, підзаконними актами і договірними відносинами, а також підхід організації до забезпечення відповідності цим вимогам повинні бути явно визначені, задокументовані і підтримуватися в актуальному стані для кожної інформаційної системи та організації.
      - Право інтелектуальної власності
        
        Повинні бути впроваджені відповідні процедури для забезпечення дотримання законодавчих обмежень, підзаконних актів і контрактних зобов'язань по використанню матеріалів, що охороняються правом інтелектуальної власності, а також по використанню ліцензійного програмного забезпечення.
      - Захист документації організації
        
        Важлива документація організації повинна бути захищена від втрати, знищення та фальсифікації відповідно до вимог законодавства, підзаконних актів, контрактних зобов'язань і бізнес вимогами.
      - Захист особистих секретних даних
        
        Захист особистих секретних даних повинен забезпечуватися відповідно до вимог чинного законодавства та нормативної бази, а також, якщо необхідно, положень контрактних зобов'язань.
      - Правове регулювання в галузі використання криптографічних засобів
        
        Криптографічні механізми повинні використовуватися у відповідності з усіма наявними угодами, законодавчими і нормативними актами.
    - - Мета: Забезпечити відповідність систем політикам і
        стандартам безпеки організації.
      - Дотримання вимог політик і стандартів безпеки
        
        Керівники повинні забезпечити коректне виконання всіх процедур щодо забезпечення безпеки в зоні своєї відповідальності з метою дотримання вимог політик і стандартів безпеки.
      - Перевірка відповідності технічним вимогам
        
        Інформаційні системи повинні регулярно перевірятися на відповідність стандартам в області реалізації механізмів безпеки.
    - - Мета: максимізувати ефективність і мінімізувати втручання в / з боку процесу аудиту інформаційних систем.
      - Механізми аудиту інформаційних систем
        
        Вимоги та заходи аудиту, що включають в себе проведення перевірок діючих систем, повинні бути ретельно сплановані та погоджені з метою зведення до мінімуму ризику переривання бізнес процесів.
      - Захист засобів аудиту інформаційних систем
        
        Доступ до засобів аудиту інформаційних систем повинен бути захищений з метою запобігання будь- якій можливості неналежного використання або компрометації.
- - - - Вступ
    - - Область дії
    - - Нормативні посилання
    - - Терміни та визначення
    - - Система управління
    - - Моніторинг
    - - Обслуговування системи
    - - Взаємодія з суб'єктами
    - - Управління ресурсами
    - - Внутрішній аудит
    - - Аналіз з боку керівництва
    - - Заходи з удосконалення