Please enable JavaScript.

Coggle requires JavaScript to display documents.

Методи захисту системи управління інформаційною безпекою (ДСТУ ІSО/ІЕС…

- - - - зацікавлені сторони, які важливі для системи управління інформаційною безпекою;
      - вимоги цих зацікавлених сторін, важливих для інформаційної безпеки
  - - - зовнішні та внутрішні обставини
      - вимоги
      - інтерфейси та залежності між діями, які виконує організація, і тими, що виконують інші організації.
- - - - гарантуванням, що політика інформаційної безпеки та цілі інформаційної безпеки розроблені та сумісні зі стратегічними планами організації;
      - гарантуванням інтеграції вимог системи інформаційної безпеки в процеси організації;
      - гарантуванням, що ресурси, потрібні для системи управління інформаційною безпекою,
        доступні;
      - доведенням до відома організації важливості ефективного управління інформаційною безпекою та відповідності вимогам системи управління інформаційною безпекою;
      - гарантуванням, що система управління інформаційною безпекою досягне своїх запланованих результатів;
      - призначенням та підтримкою осіб для досягнення ефективності системи управління інформаційною безпекою;
      - сприянням постійному вдосконаленню;
      - підтримкою інших пов’язаних ролей вищого керівництва, щоб продемонструвати їх керівну
        роль, яку вони застосовують у сферах їх відповідальності.
  - - - містить цілі інформаційної безпеки або зазначає основні положення для визначення цілей інформаційної безпеки;
      - відповідає цілям організації;
      - містить зобов’язання відповідати застосованим вимогам, пов’язаним з інформаційною безпекою;
      - містить зобов’язання щодо постійного вдосконалення системи управління інформаційною
        безпекою.
      - Політика інформаційної безпеки має:
        
        бути доступною як документована інформація;
        
        бути розповсюдженою в середині організації;
        
        бути доступною зацікавленим сторонам, за потреби.
  - - - гарантування, що система управління інформаційною безпекою відповідає вимогам цього
        стандарту;
      - звітування вищому керівництву щодо результативності системи управління інформаційною
        безпекою.
- - - - досягти постійного вдосконалення
      - Організація повинна планувати:
        
        дії, які стосуються цих ризиків та можливостей;
        
        як саме
        
        інтегрувати й упровадити ці дії до процесів її системи управління інформаційною безпекою;
        
        оцінювати ефективність цих дій.
      - запобігти або зменшити небажані ефекти;
      - гарантувати, що система управління інформаційною безпекою може досягти заплановано
        го результату(-ів);
    - - Організація повинна визначити
        та застосовувати процес
        оцінювання ризиків інформаційної
        безпеки, який:
        
        встановлює та підтримує критерії ризиків інформаційної безпеки, які містять:
        
        критерії прийняття ризиків;
        
        критерії для виконання оцінки ризиків інформаційної безпеки;
        
        гарантує, що повторні оцінки ризиків інформаційної безпеки призводять до послідовних, дійових та порівняльних результатів;
        
        ідентифікує ризики інформаційної безпеки:
        
        застосовує процес оцінювання ризиків інформаційної безпеки для ідентифікації ризиків, пов’язаних із втратою конфіденційності, цілісності й доступності в межах сфери застосування системи управління інформаційною безпекою;
        
        ідентифікує власників ризиків
        
        виконує аналіз ризиків інформаційної безпеки:
        
        оцінює потенційні наслідки, які будуть результатом реалізації ризиків
        
        оцінює практичну імовірність появи ризиків
        
        визначає рівні ризиків;
        
        оцінює ризики інформаційної безпеки.
        
        порівнює результати аналізу ризиків з критеріями ризиків
        
        визначає пріоритети проаналізованих ризиків для оброблення ризиків.
      - Організація повинна зберігати документовану інформацію стосовно процесу оцінювання ризиків інформаційної безпеки.
    - - Організація повинна визначити та застосовувати процес оброблення ризиків інформаційної
        безпеки для:
        
        вибору доречних опцій оброблення ризиків інформаційної безпеки з урахуванням результатів оцінки ризиків;
        
        визначити всі заходи безпеки, які необхідно впровадити для вибраної(-их) опції(-ій) оброблення ризиків;
        
        порівняти визначені заходи безпеки і підтвердити, що не було опущено потрібних заходів безпеки;
        
        підготувати Положення щодо застосовності, яке містить:
        
        необхідні заходи безпеки;
        
        обґрунтування для їх застосування;
        
        впроваджені необхідні заходи безпеки чи ні;
        
        обґрунтування для виключень заходів безпеки.
        
        розробити план оброблення ризиків інформаційної безпеки;
        
        отримати від власників ризиків підтвердження плану оброблення ризиків інформаційної безпеки та згоду на залишкові ризики інформаційної безпеки.
      - Організація повинна зберігати задокументовану інформацію щодо процесу оброблення ризиків
        інформаційної безпеки.
  - - - відповідати політиці інформаційної безпеки;
      - бути вимірюваними (якщо доцільно);
      - враховувати вимоги до інформаційної безпеки, які застосовують, а також результати оцінювання ризиків та оброблення ризиків;
      - бути розповсюдженими;
      - оновлюватися, за потреби.
    - - що треба зробити;
      - які ресурси будуть потрібні;
      - хто буде відповідальним;
      - коли процес буде завершено;
      - як результати будуть оцінювати.
- - - - визначити рівень необхідної компетентності персоналу, який виконує роботи, що впливають
        на результативність інформаційної безпеки;
      - гарантувати, що цей персонал має компетенцію на основі відповідного навчання, тренінгів
        або досвіду;
      - за можливості, забезпечувати виконання певних дій для досягнення необхідної компетенції
        та оцінювати ефективність таких дій;
      - зберігати відповідну документовану інформацію як доказ компетентності.
  - - - політиці інформаційної безпеки;
      - його вкладі в ефективність системи управління інформаційною безпекою, враховуючи переваги від вдосконалення результативності інформаційної безпеки;
      - розумінні невідповідності вимогам системи управління інформаційною безпекою.
  - - - з яких питань спілкуватися;
      - коли спілкуватися;
      - з ким спілкуватися;
      - хто повинен спілкуватися;
      - процеси, за допомогою яких комунікація повинна відбуватися.
  - - - документовану інформацію, визначену цим стандартом;
      - документовану інформацію, визначену організацією як необхідну для ефективності системи управління інформаційною безпекою.
    - - У разі створення й оновлення
        документованої інформації
        організація повинна гарантувати
        відповідну:
        
        ідентифікацію та опис;
        
        формат;
        
        перегляд і затвердження для відповідності й адекватності.
    - - Задокументована інформація, визначена системою управління інформаційною безпекою та цим
        стандартом має контролювати для гарантії того, що:
        
        вона доступна й придатна для використання, де і коли вона потрібна;
        
        її належним чином захищено.
      - Для контролю документованої інформації організація повинна виконувати такі дії відповідним чином:
        
        розподіл, доступ, повернення та використання;
        
        збереження та консервування, зокрема й консервування чіткості/розбірливості;
        
        контроль змін;
        
        утримування й розташування.
      - Документована інформація від зовнішнього джерела, визначена організацією як необхідна для планування та функціонування системи управління інформаційною безпекою, має бути ідентифі кована відповідних чином і контрольована.
- - - - планувати, впроваджувати й контролювати процеси, необхідні для виконання вимог інформаційної безпеки, а також впроваджувати визначені дії;
      - впроваджувати плани для досягнення цілей інформаційної безпеки
      - повинна зберігати документовану інформацію в обсязі, необхідному для впевненості, що процес виконується як було заплановано;
      - повинна контролювати заплановані зміни та переглядати наслідки непередбачених змін, застосовуючи дії для усунення будь-яких шкідливих дій, за потреби.
      - повинна гарантувати, що процеси, віддані на аутсорсинг, визначені й контрольовані.
  - - - виконувати оцінювання ризиків через заплановані інтервали або коли запропоновані чи відбуваються суттєві зміни з урахуванням критеріїв;
      - зберігати задокументовану інформацію стосовно результатів оцінювання ризиків інформаційної безпеки.
  - - - впровадити план оброблення ризиків інформаційної безпеки.
      - зберігати задокументовану інформацію стосовно результатів оброблення ризиків інформаційної безпеки.
- - - - що саме потрібно моніторити й вимірювати, включаючи процеси інформаційної безпеки та
        заходи безпеки;
      - методи моніторингу, вимірювань, аналізу та оцінювання, які може бути застосовано для гарантії обґрунтованих результатів;
      - коли моніторинг та вимірювання потрібно виконувати;
      - хто повинен виконувати моніторинг та вимірювання;
      - коли результати моніторингу та вимірювань потрібно аналізувати й оцінювати;
      - хто повинен аналізувати й оцінювати ці результати.
  - - - відповідають
        
        власним вимогам організації для її системи управління інформаційною безпекою;
        
        вимогам цього стандарту;
      - ефективно впроваджена та підтримується.
    - - планувати, розробляти, впроваджувати та підтримувати програму(-и) аудиту;
      - визначити критерії аудиту та сферу застосування для кожного аудиту;
      - призначити аудиторів і виконати аудити, які гарантують об'єктивність і неупередженість
        процесу аудиту;
      - гарантувати, що результати аудиту буде доведено до відповідного керівництва;
      - зберігати документовану інформацію як доказ програми аудиту та результатів аудиту.
  - - - статусу дії, що є наслідком попереднього перегляду керівництва;
      - зміни в зовнішніх та внутрішніх обставинах, які мають відношення до системи управління
        інформаційною безпекою;
      - зворотного впливу на результативність інформаційної безпеки, охоплюючи тенденції в:
        
        невідповідностях та коригувальних діях;
        
        результатах моніторингу та вимірювань;
        
        результатах аудиту;
        
        досягненнях цілей інформаційної безпеки;
      - зворотного зв’язку від зацікавлених сторін;
      - результатів оцінювання ризиків і статусу плану оброблення ризиків;
      - можливостей для постійного вдосконалення.
- - - - реагувати на невідповідності і за можливості:
        
        виконувати дії для контролю та їх корекції;
        
        вживати заходів щодо наслідків;
      - оцінювати потреби
        в діях для усунення причин
        невідповідностей для запобігання
        їх повторення чи виникнення
        будь-де за допомогою:
        
        перегляду невідповідностей;
        
        визначення причин невідповідностей;
        
        визначення, чи існують подібні невідповідності або потенційно можуть з’являтися;
      - впровадити певні дії, за потреби;
      - переглянути ефективність виконаних коригувальних дій;
      - внести зміни до системи управління інформаційною безпекою, за потреби.
    - - сутності невідповідностей та будь-яких послідовних дій, що були виконані;
      - результати будь-яких коригувальних дій.
- - - - Ціль: Забезпечити принципи управління та підтримку інформаційної безпеки згідно з вимогами бізнесу та
        відповідними законами й нормативами.
      - Політики інформаційної безпеки
        
        Набір політик щодо інформаційної безпеки повинен бути визначений, затверджений керівництвом, виданий і доведений до відома всього найманого персоналу та потрібних зовнішніх сторін
      - Перегляд політики інформаційної безпеки
        
        Політики інформаційної безпеки потрібно переглядати в заплановані інтервали часу або за появи істотних змін для забезпечення їх постійної придатності, адекватності й ефективності
  - - - Ціль: Визначити структуру управління для започаткування та контролю впровадження та функціонування
        інформаційної безпеки в організації.
      - Ролі та обов’язки щодо
        інформаційної безпеки
        
        Усі обов’язки щодо інформаційної безпеки необхідно чітко визначити та розподілити
      - Розподіл обов’язків
        
        Конфліктуючі обов’язки та сфери відповідальності мають бути розподілені для зменшення можливостей неавторизованої чи ненавмисної модифікації або неправильного використання ресурсів СУІБ організації
      - Контакти з повноважними
        органами
        
        Необхідно підтримувати належні контакти з відповідними повноважними органами
      - Контакти з групами фахівців
        з певної проблематики
        
        Необхідно підтримувати належні контакти з групами фахівців з певної проблематики або іншими форумами фахівців з безпеки чи професій ними об’єднаннями
      - Інформаційна безпека в
        управлінні проектами
        
        Інформаційну безпеку потрібно брати до уваги під час управління проектами незалежно від типу проекту
    - - Ціль: Гарантувати безпеку віддаленої роботи та використання мобільного обладнання.
      - Політика щодо мобільного
        обладнання
        
        Політика та заходи підтримання безпеки мають бути пристосовані до управління ризиками, які виникають за рахунок використання мобільного обладнання
      - Віддалена робота
        
        Політика та заходи підтримання безпеки мають бути запроваджені для захисту інформації, яка доступна, обробляється чи зберігається в місцях віддаленої роботи
  - - - Ціль: Гарантувати, що найманий персонал та підрядники розуміють свої обов’язки, придатні до ролей, на які
        претендують.
      - Ретельна перевірка
        
        Підтверджувальні перевірки біографічних даних усіх кандидатів на найм мають виконуватись згідно з усіма відповідними законами, нормативами та морально-етичними нормами, а також співвідносно до бізнес-вимог, класифікації інформації, до якої потрібен доступ, і усвідомлюваних ризиків
      - Терміни та умови найму
        
        Контрактна угода з найманим персоналом та підрядниками має встановити взаємні відповідальності щодо інформаційної безпеки
    - - Ціль: Впевнитися, що весь найманий персонал та підрядники усвідомлюють і виконують свої обов’язки з інформаційної безпеки.
      - Відповідальність керівництва
        
        Керівництво повинно вимагати від найманого персоналу та підрядників застосування заходів безпеки згідно з установленими в організації політиками та процедурами
      - Поінформованість, освіта
        й навчання щодо
        інформаційної безпеки
        
        Увесь найманий персонал організації, а там, де це суттєво, і підрядники повинні одержати належне навчання й тренінги для поінформованості та регулярно отримувати оновлені дані щодо політик і процедур організації, суттєвих для їх посадових функцій
      - Дисциплінарний процес
        
        Має існувати формальний та офіційно оформлений дисциплінарний процес щодо найманого персоналу, який порушив інформаційну безпеку
    - - Ціль: Захистити інтереси організації як частини процесу зміни умов чи припинення найму.
      - Припинення чи зміна відповідальностей
        
        Має бути чітко визначено, доведено до найманого персоналу чи підрядників і встановлено відповідальності за інформаційну безпеку та обов’язки, які залишаються дійсними після припинення чи зміни умов найму
  - - - Ціль: Ідентифікувати ресурси СУІБ організації і визначити відповідні обов’язки щодо їх захисту
      - Інвентаризація ресурсів СУІБ
        
        Інформація, ресурси СУІБ, пов’язані з інформацією та обладнанням для обробки інформації, мають бути ідентифіковані та має підтримуватися їх актуальний інвентарний опис
      - Володіння ресурсами СУІБ
        
        Ресурси СУІБ, які наявні в інвентарному описі, мають «бути у власності».
      - Припустиме використання
        ресурсів СУІБ
        
        Правила щодо припустимого використання інформації та ресурсів СУІБ, пов’язаних із засобами оброблення інформації, мають бути ідентифіковані, задокументовані та впроваджені
      - Повернення ресурсів СУІБ
        
        Увесь найманий персонал та користувачі зовнішньої сторони повинні повернути всі ресурси СУІБ організації, що перебувають у їх володінні, після припинення їх найму, контракту чи угоди
    - - Ціль: Забезпечити належний рівень захисту інформації відповідно до її важливості для організації.
      - Класифікація інформації
        
        Інформація має бути класифікована в термінах правових вимог, її цінності, критичності й чутливості для неавторизованого розкриття чи модифікації
      - Маркування інформації
        
        Має бути розроблено та впроваджено належну множину процедур для маркування й оброблення інформації згідно зі схемою класифікації, прийнятою організацією
      - Поводження з ресурсами
        СУІБ
        
        Має бути розроблено та впроваджено процедури поводження з ресурсами СУІБ відповідно до схеми класифікації інформації, яку офіційно прийнято в організації
    - - Ціль: Запобігти несанкціонованому розголошенню, модифікації, вилученню або знищенню інформації, яка зберігається на носіях.
      - Управління змінними носіями
        
        Має бути впроваджено процедури управління змінними носіями відповідно до схеми класифікації, запровадженої в організації
      - Вилучення носіїв
        
        Коли носії більше не потрібні, їх треба безпечно вилучати із застосуванням офіційно оформлених процедур
      - Фізичні носії під час передавання
        
        Носії, що містять інформацію, має бути захищено від несанкціонованого доступу, зловживання чи руйнування під час транспортування
  - - - Ціль: Обмежити доступ до інформації та засобів оброблення інформації.
      - Політика контролю доступу
        
        Політика контролю доступу має бути розроблена, задокументована та переглядатися на основі вимог бізнесу та інформаційної безпеки
      - Доступ до мереж та послуг
        мережі
        
        Користувачі повинні отримувати доступ до мережі та послуг мережі лише тоді, коли вони були спеціально авторизовані для використання
    - - Ціль: Забезпечити санкціонований доступ користувача і запобігти несанкціонованому доступу до систем та
        послуг.
      - Реєстрація та зняття
        з реєстрації користувача
        
        Має бути впроваджено процес реєстрації та зняття з реєстрації для того, щоб була можливість управляти правами доступу
      - Забезпечення доступу користувачів
        
        Має бути впроваджено формально затверджений процес забезпечення доступу користувачу для надання або вилучення прав доступу для всіх типів користувачів до всіх систем та послуг
      - Управління привілейованими
        правами доступу
        
        Призначення та використання привілейованих прав доступу має бути обмежено та контрольовано
      - Управління таємною інформацією автентифікації користувачів
        
        Облік таємної інформації автентифікації користувачів потрібно контролювати за допомогою офіційно оформленого процесу управління
      - Перегляд прав доступу користувача
        
        Власники ресурсів СУІБ повинні переглядати права доступу користувача через регулярні встановлені інтервали
      - Вилучення або корекція
        прав доступу
        
        Права доступу всього найманого персоналу та користувачів зовнішніх сторін до інформації та засобів оброблення інформації мають вилучатися після припинення найму, контракту чи угоди, або коректуватися після змін
    - - Ціль: Зробити користувачів відповідальними за збереження їх інформації автентифікації.
      - Використання таємної
        інформації автентифікації
        
        Треба вимагати від користувачів додержання визначених в організації практик у використанні таємної інформації автентифікації
    - - Ціль: Запобігти несанкціонованому доступу до систем та прикладних програм.
      - Обмеження доступу до інформації
        
        Доступ до інформації та функцій прикладних систем має бути обмежений відповідно до визначеної політики контролю доступу
      - Процедури безпечного підключення
        
        Доступ до систем та прикладних програм повинен контролювати процедурою безпечного підключення, коли це визначено політикою контролю доступу
      - Система управління паролем
        
        Системи для управління паролями мають бути інтерактивними і забезпечувати якісні паролі
      - Використання привілейованих
        системних утиліт
        
        Використання програм утиліт, що можуть бути спроможні скасовувати заходи безпеки системи та прикладних програм, має бути обмежено та суворо контрольовано
      - Контроль доступу до
        початкових кодів програм
        
        Доступ до початкових кодів програм має бути обмежений
  - - - Ціль: Гарантувати відповідне та ефективне використання криптографії для захисту конфіденційності, автентичності та/або цілісності.
      - Політика використання
        криптографічних засобів
        
        Має бути розроблено та впроваджено політику використання криптографічних засобів для захисту інформації
      - Управління ключами
        
        Має бути розроблено та впроваджено політику використання, захисту й часу життя криптографічних ключів для всього їх життєвого циклу
  - - - Ціль: Запобігти несанкціонованому фізичному доступу, пошкодженню та втручанню в її інформацію та засоби
        оброблення інформації.
      - Периметр фізичної безпеки
        
        Для захисту зон, що містять конфіденційну або критичну інформацію чи засоби оброблення інформації, треба визначити та використовувати периметри безпеки
      - Заходи безпеки фізичного
        прибуття
        
        Зони безпеки має бути захищено належними заходами безпеки прибуття, щоб гарантувати, що доступ дозволений лише персоналу, який отримав санкцію
      - Убезпечення офісів, кімнат
        та обладнання
        
        Має бути розроблено й застосовано фізичну безпеку офісів, кімнат та обладнання
      - Захист від зовнішніх та
        інфраструктурних загроз
        
        Має бути розроблено й застосовано фізичний захист від пошкодження внаслідок природних катаклізмів, акцій громадської непокори та аварій
      - Робота в зонах безпеки
        
        Має бути розроблено та застосовано процедури роботи в зонах безпеки
      - Зони доставки
        та відвантаження
        
        Щоб уникнути несанкціонованого доступу, має бути контрольовано й, за можливості, ізольовано від засобів оброблення інформації точки доступу, такі як зони доставки та відвантаження, а також інші точки, через які особи, доступ яких не санкціоновано, можуть увійти до службових приміщень
    - - Ціль: Запобігти втратам, пошкодженню, крадіжці або компрометації ресурсів СУІБ та перериванню діяльності
        організації.
      - Розміщення та захист обладнання
        
        Обладнання має бути розміщено чи захищено так, щоб зменшити ризики інфраструктурних загроз і небезпек та можливого несанкціонованого доступу
      - Допоміжні комунальні служби
        
        Обладнання має бути захищено від аварійних відімкнень живлення та інших порушень, внаслідок аварій засобів життєзабезпечення
      - Безпека кабельних мереж
        
        Силові та телекомунікаційні кабельні мережі передачі даних або підтримки інформаційних послуг має бути захищено від перехоплювання, взаємного впливу чи пошкоджень
      - Обслуговування обладнання
        
        Обладнання потрібно правильно обслуговувати, щоб забезпечити його постійну доступність і цілісність
      - Переміщення майна
        
        Обладнання, інформацію чи програмне забезпечення не потрібно виносити назовні без попередньої санкції на ці дії
      - Безпека обладнання та
        ресурсів СУІБ поза
        службовими приміщеннями
        
        До ресурсів СУІБ поза службовими приміщеннями має бути застосовний захист з урахуванням різних ризиків роботи поза службовими приміщеннями організації
      - Безпечне вилучення або повторне
        використання обладнання
        
        Всі елементи обладнання, які містять носії пам'яті, має бути перевірено для забезпечення того, що будь-які конфіденційні дані або ліцензійне програмне забезпечення було видалено чи безпечним чином перезаписано до вилучення або повторного використання
      - Обладнання користувачів,
        залишене без нагляду
        
        Користувачі мають забезпечити, що залишене без нагляду обладнання, належним чином захищене
      - Політика чистого стола та
        чистого екрана
        
        Повинні бути ухвалені політика чистого стола щодо паперів і змінних носіїв інформації та політика чистого екрана щодо засобів оброблення інформації
  - - - Ціль: Забезпечити коректне та безпечне функціонування засобів оброблення інформації.
      - Документовані процедури
        експлуатації
        
        Процедури експлуатації має бути задокументовано та зроблено доступними для всіх користувачів, що їх потребують
      - Управління змінами
        
        Зміни в організації, бізнес-процесах, засобах оброблення інформації та системах, які впливають на інформаційну безпеку, мають бути контрольованими
      - Управління потужністю
        
        Для забезпечення потрібної продуктивності системи необхідно здійснювати моніторинг та регулювати використання ресурсів і проектувати вимоги до майбутньої потужності
      - Відокремлення засобів
        розробки, тестування
        та експлуатації
        
        Засоби розроблення, тестування та експлуатації має бути відокремлено для зменшення ризиків несанкціонованого доступу чи змін в операційному середовищі
    - - Ціль: Гарантувати, що інформація та засоби оброблення інформації захищені від зловмисного коду.
      - Заходи безпеки проти зловмисного коду
        
        Має бути впроваджено заходи безпеки щодо виявлення, запобігання та відновлення для захисту від зловмисного коду і належні процедури поінформування користувачів
    - - Ціль: Захистити від втрати даних
      - Резервне копіювання
        інформації
        
        Згідно із затвердженою політикою резервного копіювання треба регулярно робити і в подальшому тестувати резервні копії інформації, програмного забезпечення та образів систем
    - - Ціль: Записувати події та генерувати докази.
      - Журнал аудиту подій
        
        Журнал аудиту подій, у якому записується діяльність користувачів, винятки, збої та події інформаційної безпеки, треба вести, зберігати й регулярно переглядати
      - Захист інформації журналів
        реєстрації
        
        Засоби реєстрування та інформація реєстрації має бути захищено від фальсифікації та несанкціонованого доступу
      - Журнали реєстрації
        адміністратора та оператора
        
        Діяльність системного адміністратора та системного оператора має реєструватися і журнали аудиту мають бути захищені та регулярно переглядатися
      - Синхронізація годинників
        
        Годинники всіх важливих систем оброблення інформації в організації або домені безпеки має бути синхронізовано з джерелом часу погодженої точності
    - - Ціль: Гарантувати цілісність систем, що перебувають в експлуатації.
      - Інсталяція програмного
        забезпечення в системах,
        що перебувають в експлуатації
        
        Мають бути наявними процедури контролю інсталяції програмного забезпечення в системах, що перебувають в експлуатації
    - - Ціль Запобігати використанню технічних вразливостей.
      - Управління технічною вразливістю
        
        Треба отримувати своєчасну інформацію щодо технічних вразливостей інформаційних систем, які використовують, оцінювати підвладність організації таким вразливостям і вживати належних заходів, щоб урахувати пов’язаний з цим ризик
      - Обмеження на інсталяцію
        програмного забезпечення
        
        Має бути розроблено та впроваджено правила стосовно інсталяції програмного забезпечення користувачами
    - - Ціль: Мінімізувати вплив аудиту на системи, які перебувають у промисловій експлуатації.
      - Заходи безпеки аудиту інформаційних систем
        
        Вимоги аудиту та діяльність, що охоплює перевірки систем, які перебувають в експлуатації, має бути ретельно сплановано та погоджено, щоб мінімізувати ризик порушення бізнес-процесів
  - - - Ціль: Забезпечити захист інформації в мережах та захист засобів оброблення інформації, що їх підтримує
      - Заходи безпеки мережі
        
        Треба відповідним чином управляти й захищати мережі для захисту інформації в системах і прикладних програмах
      - Безпека послуг мережі
        
        Характеристики безпеки, рівні послуг, а також вимоги управління всіма послугами мережі має бути ідентифіковано і міститися в будь-якій угоді щодо послуг мережі як для послуг, які надає сама організація, так і для аутсорсингових послуг
      - Сегментація в мережах
        
        У мережі мають бути сегментовані групи інформаційних послуг, користувачів, а також інформаційні системи
    - - Ціль: Підтримувати безпеку інформації, якою обмінюються всередині організації та з зовнішнім об’єктом.
      - Політики та процедури обміну інформацією
        
        Мають бути наявними офіційно оформлені політики, процедури та заходи безпеки для захисту обміну інформацією з використанням усіх видів засобів комунікації
      - Угоди щодо обміну інформацією
        
        Між організацією та зовнішніми сторонами повинні бути укладені угоди щодо безпечного обміну бізнес-інформацією
      - Електронний обмін повідомленнями
        
        Інформація, яка міститься в електронних повідомленнях, має бути захищена належним чином
      - Угоди щодо конфіденційності
        або нерозголошення
        
        Вимоги до угод щодо конфіденційності або нерозголошення, які відображують потреби організації в захисті інформації, мають бути
        ідентифіковані, задокументовані та регулярно переглядатися
  - - - Ціль: Гарантувати, що безпека є невід’ємною частиною інформаційних систем протягом всього життєвого циклу
      - Аналіз та специфікація вимог
        інформаційної безпеки
        
        Вимоги щодо інформаційної безпеки має бути долучено в положення щодо бізнес-вимог до нових інформаційних систем або модернізацій до наявних інформаційних систем
      - Безпечні прикладні сервіси
        в публічних мережах
        
        Інформація в прикладних сервісах, яку передають через публічні мережі, має бути захищеною від шахрайської діяльності, контрактних суперечок, несанкціонованого розголошення та модифікації
      - Захист транзакцій
        прикладних сервісів
        
        Інформація, залучена в транзакції прикладних сервісів, має бути захищена для запобігання неповній передачі, неправильній маршрутизації, несанкціонованій зміні повідомлення, несанкціонованому розголошенню, несанкціонованому дублюванню повідомлення чи його повторенню
    - - Ціль. Гарантувати, що інформаційну безпеку проектують та впроваджують протягом життєвого циклу розроблення інформаційних систем.
      - Політика безпечного розроблення
        
        Потрібно встановлювати та застосовувати до розробників всередині організації правила для розроблення програмного забезпечення та систем
      - Процедури контролю змін
        системи
        
        Зміни в системах всередині життєвого циклу розроблення мають бути контрольованими за допомогою офіційно оформлених процедур контролю змін
      - Технічний перегляд приклад них
        програм після змін операційної платформи
        
        Коли операційні платформи змінено, критичні для бізнесу прикладні програми має бути переглянуто й протестовано, щоб забезпечити відсутність негативного впливу на функціонування та безпеку організації
      - Обмеження на зміни
        до пакетів програмного забезпечення
        
        Модифікації пакетів програмного забезпечення не повинні заохочуватися, бути обмеженими найнеобхіднішими змінами і всі зміни потрібно суворо контролювати
      - Принципи проектування
        безпечної системи
        
        Принципи проектування безпечних систем потрібно розробити, задокументувати, виконувати та використовувати для будь-яких зусиль щодо реалізації інформаційних систем
      - Безпечне середовище
        розроблення
        
        Організації повинні запровадити та відповідним чином захистити безпечне середовище проектування для розроблення систем та інтеграції зусиль, що покривають повний життєвий цикл розроблення системи
      - Аутсорсингове розроблення
        
        Організація повинна здійснювати нагляд над аутсорсинговим розробленням систем та його моніторинг
      - Тестування безпеки системи
        
        Тестування функціональності безпеки потрібно виконувати протягом розроблення
      - Приймальне тестування системи
        
        Програми приймального тестування та відповідні критерії має бути визначено для нових інформаційних систем, оновлень та нових версій
    - - Ціль: Забезпечити захист даних, які використовують для тестування.
      - Захист даних для тестування
        системи
        
        Дані для тестування має бути ретельно відібрано, захищено та контрольовано
  - - - Ціль: Гарантувати захист ресурсів СУІБ організації, які можуть бути доступні постачальникам.
      - Політика інформаційної безпеки
        для взаємовідносин з постачальниками
        
        Вимоги інформаційної безпеки для послаблення ризиків, пов’язаних із доступом постачальників до ресурсів СУІБ організації має бути погоджено з постачальником та задокументовано
      - Врахування безпеки в угодах
        з постачальниками
        
        Усі відповідні вимоги щодо інформаційної безпеки має бути встановлено та погоджено з кожним постачальником, який може мати доступ, обробляти, зберігати, передавати чи надавати компоненти ІТ- інфраструктури для інформації організації
      - Ланцюг постачання інформаційних
        та комунікаційних технологій
        
        Угоди з постачальниками мають містити вимоги стосовно адресації ризиків інформаційної безпеки, пов’язаних з ланцюгом постачання продуктів та послуг інформаційних і комунікаційних технологій
    - - Ціль: Підтримувати належний рівень інформаційної безпеки та надання послуг відповідно до угод з постачальниками.
      - Моніторинг та перегляд
        послуг постачальника
        
        Організація повинна регулярно проводити моніторинг, перегляд та аудит отримання послуг постачальника
      - Управління змінами у
        послугах постачальника
        
        Зміни в наданні послуг постачальника, зокрема й підтримування та вдосконалювання наявних політик інформаційної безпеки, процедур і заходів безпеки, мають управлятися з урахуванням критичності залучених бізнес-систем і процесів та переоцінки ризиків
  - - - Ціль: Гарантувати послідовний та ефективний підхід до управління інцидентами інформаційної безпеки,
        охоплюючи поширення інформації про події безпеки та слабкі місця.
      - Відповідальності та процедури
        
        Має бути визначено відповідальності керівництва та процедури для забезпечення швидкого, ефективного і правильного реагування на інциденти інформаційної безпеки
      - Звітування про події
        інформаційної безпеки
        
        Необхідно якнайшвидше звітувати стосовно подій інформаційної безпеки через належні канали управління
      - Звітування щодо слабких
        місць інформаційної безпеки
        
        Треба вимагати від усього найманого персоналу та підрядників, які користуються інформаційними системами та послугами, звертати увагу та звітувати щодо будь-яких спостережених або очікуваних слабких місць у системах чи послугах
      - Оцінювання та прийняття рішення стосовно подій інформаційної безпеки
        
        Події інформаційної безпеки має бути оцінено та прийнято рішення стосовно віднесення їх до інцидентів інформаційної безпеки
      - Реагування на інциденти
        інформаційної безпеки
        
        Реагування на інциденти інформаційної безпеки має здійснюватися
        відповідно до задокументованої процедури
      - Знання з вивчення інцидентів
        інформаційної безпеки
        
        Знання, отримані з аналізу та розв’язання інцидентів інформаційної безпеки, мають використовуватися для зменшення ймовірності чи впливу майбутніх інцидентів
      - Збирання доказів
        
        Організація повинна визначити і використовувати процедури для ідентифікації, збирання, отримання і зберігання інформації, яку можна використовувати як докази
  - - - Ціль: Безперервність інформаційної безпеки має бути залучено в системи управління безперервністю бізнесу
        організації.
      - Планування безперервності
        інформаційної безпеки
        
        Організація повинна визначити свої вимоги щодо інформаційної безпеки та безперервності управління інформаційною безпекою в над звичайних ситуаціях, наприклад під час кризи чи катастрофи
      - Реалізація безперервності
        інформаційної безпеки
        
        Організація повинна розробити, задокументувати, реалізувати та підтримувати процеси, процедури та заходи безпеки для гарантування необхідного рівня безперервності щодо інформаційної безпеки під час надзвичайної ситуації
      - Верифікація, перегляд
        та оцінювання безперервності
        інформаційної безпеки
        
        Організація повинна підтверджувати розроблені та впроваджені за ходи безперервності інформаційної безпеки через регулярні інтервали часу для гарантування, що вони дійсні та ефективні протягом над звичайних ситуацій
    - - Ціль: Гарантувати доступність обладнання для оброблення інформації.
      - Доступність обладнання для
        оброблення інформації
        
        Обладнання оброблення інформації має бути впроваджено з резервуванням, достатнім для того, щоб відповідати вимогам доступності
  - - - Ціль: Уникнути порушень будь-якого закону, вимог, що діють на підставі закону, нормативних або контрактних
        зобов’язань, пов’язаних з інформаційною безпекою та будь-якими вимогами щодо безпеки.
      - Ідентифікація застосовного законодавства та контракт них вимог
        
        Усі важливі вимоги, що діють на підставі закону, нормативні чи контрактні вимоги та підхід організації до задоволення цих вимог має бути чітко визначено, задокументовано та актуалізовано для кожної інформаційної системи та організації
      - Права інтелектуальної власності
        
        Має бути впроваджено належні процедури забезпечення відповідності законодавчим, нормативним і контрактним вимогам щодо прав інтелектуальної власності та щодо використання запатентованих продуктів програмного забезпечення
      - Захист організаційних записів
        
        Відповідно до законодавчих, регуляторних, контрактних і бізнес-вимог важливі записи має бути захищено від втрати, знищення, фальсифікації, несанкціонованого доступу та несанкціонованого використання
      - Захист даних та конфіденційність
        персональних даних
        
        Конфіденційність і захист даних, що ідентифікують особу, має бути забезпечено згідно з вимогами відповідного законодавства та регуляторними вимогами, за наявності.
      - Нормативи щодо
        криптографічних засобів
        
        Криптографічні засоби потрібно використовувати відповідно до всіх застосовних угод, законів та регуляторних вимог
    - - Ціль: Гарантувати, що інформаційна безпека впроваджена та працює відповідно до організаційних політик та процедур.
      - Незалежні перевірки
        інформаційної безпеки
        
        Підходи організації до управління інформаційною безпекою та її впровадження (тобто цілі заходів безпеки, заходи безпеки, політики, процеси й процедури для інформаційної безпеки) мають незалежно перевірятися через заплановані інтервали або коли відбуваються значні зміни
      - Відповідність політикам
        і стандартам безпеки
        
        Керівники повинні регулярно перевіряти відповідність оброблення інформації та процедур у межах сфери їх відповідальності належним політикам, стандартам та іншим вимогам щодо безпеки
      - Перевірка технічної відповідності
        
        Інформаційні системи потрібно регулярно перевіряти на відповідність політикам і стандартам інформаційної безпеки організації