Please enable JavaScript.

Coggle requires JavaScript to display documents.

МІЖНАРОДНІ СТАНДАРТИ ІЗ ЗАХИСТУ ІНФОРМАЦІЇ ISO/ІЕС 27002 «ІНФОРМАЦІЙНІ…

- - - - Міра і засіб контролю і управління: Експлуатаційні процедури слід документально оформляти, дотримуватися і робити доступними для всіх, хто потребує них користувачів.
      - Рекомендація щодо реалізації: Документально оформлені процедури повинні бути підготовлені для дій системи, пов'язаних із засобами обробки інформації та зв'язку, таких як процедури запуску і завершення роботи комп'ютерів (серверів), процедури резервування, поточного обслуговування та ремонту обладнання, поводження з носіями інформації, управління роботою в машинному залі і роботи з поштою, а також процедури забезпечення безпеки.
        
        Дані процедури повинні містити детальні інструкції щодо виконання кожної роботи, включаючи:
        
        a) обробку і управління інформацією;
        
        b) резервування (див. 10.5);
        
        c) вимоги щодо графіка робіт, включаючи взаємозалежності між системами, час початку самого ранньої роботи і час завершення самої останньої роботи;
        
        d) інструкції по обробці помилок або інших виняткових ситуацій, які могли б виникнути в процесі виконання роботи, включаючи обмеження на використання системних утиліт (див. 11.5.4);
        
        e) необхідні контакти на випадок несподіваних експлуатаційних або технічних проблем;
        
        f) спеціальні інструкції з управління висновком даних та поводження з носіями інформації, наприклад використання спеціального паперу для друкуючих пристроїв або управління висновком конфіденційних даних, включаючи процедури щодо безпечної утилізації вихідних даних у разі збоїв в роботі (див. 10.7.2 та 10.7.3);
        
        g) перезапуск системи і відповідні процедури відновлення на випадок системних збоїв;
        
        h) управління інформацією, що міститься в контрольних записах і системних журналах (див. 10.10).
    - - Міра і засіб контролю і управління: Зміни в конфігурації засобів обробки інформації та системах повинні контролюватися.
      - Рекомендація щодо реалізації: Експлуатовані системи і прикладне програмне забезпечення повинні бути предметом суворого контролю управління змінами.
        
        Зокрема, необхідно розглянути наступні аспекти:
        
        a) визначення та реєстрацію істотних змін;
        
        b) планування і тестування змін;
        
        c) оцінку можливих наслідків, включаючи наслідки для безпеки, таких змін;
        
        d) формалізовану процедуру затвердження передбачуваних змін;
        
        e) докладне інформування про зміни всіх зацікавлених осіб;
        
        f) процедури повернення в початковий режим, включаючи процедури та обов'язки щодо скасування та подальшого відновлення в разі невдалих змін і непередбачених обставин.
    - - Міра і засіб контролю і управління: Обов'язки та сфери відповідальності повинні бути розділені для зменшення можливостей неавторизованої або ненавмисної модифікації активів організації або їх нецільового використання.
      - Рекомендація щодо реалізації: Розподіл обов'язків - це спосіб зведення до мінімуму ризику нецільового використання систем внаслідок помилкових або зловмисних дій користувачів.
    - - Міра і засіб контролю і управління Щоб знизити ризики несанкціонованого доступу або змін експлуатованої системи, слід забезпечувати розподіл коштів розробки, тестування та експлуатації.
      - Рекомендація щодо реалізації: Рівень поділу між середовищами експлуатації, тестування і розробки, необхідний для запобігання проблем експлуатації, повинен бути визначений і при цьому повинні бути реалізовані відповідні заходи і засоби контролю і управління.
        
        Необхідно розглянути наступні питання:
        
        a. правила перекладу програмного забезпечення зі статусу розроблюваного в статус прийнятого до експлуатації повинні бути визначені і документально оформлені;
        
        b. розробка і експлуатація програмного забезпечення повинна здійснюватися на різних системах або комп'ютерах в різних доменах або директоріях;
        
        c. компілятори, редактори та інші інструментальні засоби розробки або системні утиліти не повинні бути доступні в середовищі експлуатації без крайньої необхідності;
        
        d. середовище системи тестування повинна емулювати середу експлуатації настільки точно, наскільки це можливо;
        
        e. щоб зменшити ризик помилок, користувачі повинні застосовувати різні параметри користувача для експлуатованих і тестових систем, а в екранних меню мають бути показані відповідні ідентифікаційні повідомлення;
        
        f. чутливі дані не повинні копіюватися в середу системи тестування.
  - - - Міра і засіб контролю і управління: Необхідно забезпечувати впевненість в тому, що заходи і засоби контролю і управління безпеки, визначення послуг та рівні надання послуг, які підтверджують договір про надання послуг третьою стороною, реалізуються, функціонують і підтримуються третьою стороною.
      - Рекомендація щодо реалізації: Надання послуг третьою стороною має включати узгоджені заходи щодо забезпечення безпеки, визначенню послуг та аспекти менеджменту послуг.
    - - Міра і засіб контролю і управління: Необхідно регулярно проводити моніторинг і аналіз послуг, звітів і записів, які забезпечуються третьою стороною, і регулярно проводити аудити.
      - Рекомендація щодо реалізації: Моніторинг і аналіз послуг, що забезпечуються третьою стороною, повинні забезпечувати впевненість у тому, що умови, що стосуються інформаційної безпеки, і умови договорів дотримуються, і що менеджмент інцидентів і проблем інформаційної безпеки здійснюється належним чином.
        
        Між організацією і третьою стороною повинна існувати зв'язок для того, щоб:
        
        a. здійснювати моніторинг рівнів надання послуг з метою перевірки дотримання умов договорів;
        
        b. аналізувати звіти, про надання послуг, підготовлені третьою стороною, і проводити регулярні робочі зустрічі відповідно до договорів;
        
        c. забезпечувати інформацію про інциденти інформаційної безпеки і аналіз даної інформації третьою стороною і організацією відповідно до умов договорів і будь-якими підтримують настановами та процедурами;
        
        d. аналізувати контрольні записи третьої сторони і записи подій, пов'язаних з безпекою, експлуатаційних проблем, відмов, простеження недоліків і руйнувань, що відносяться до наданих послуг;
        
        e. вирішувати всі виявлені проблеми і здійснювати їх менеджмент.
    - - Міра і засіб контролю і управління: Зміни в наданні послуг, включаючи підтримку і поліпшення існуючих політик, процедур, заходів та засобів контролю і управління інформаційної безпеки, повинні здійснюватися з урахуванням критичності яких торкається систем і процесів бізнесу, а також переоцінки ризиків.
      - Рекомендація щодо реалізації: Процес управління змінами послуг третьої сторони, повинен враховувати:
        
        a. зміни, що проводяться організацією, для реалізації:
        
        1) поліпшення пропонованих поточних послуг;
        
        2) розробки будь-яких нових прикладних програм і систем;
        
        3) модифікацій або оновлень політик і процедур організації;
        
        4) нових заходів і засобів контролю та управління для усунення інцидентів інформаційної безпеки і підвищення безпеки;
        
        b. зміни в послугах третьої сторони, для реалізації:
        
        1) змін і поліпшень щодо мереж;
        
        2) використання нових технологій;
        
        3) використання нових продуктів або новітніх версій / випусків;
        
        4) нових інструментальних засобів і середовищ розробки;
        
        5) змін фізичного розташування засобів обслуговування;
        
        6) зміни постачальників.
  - - - Міра і засіб контролю і управління: Використання ресурсів необхідно прогнозувати, виходячи з майбутніх вимог до продуктивності, налаштовувати і контролювати, щоб забезпечити впевненість у досягненні необхідних експлуатаційних даних системи.
      - Рекомендація щодо реалізації: Для кожної нової і триваючої діяльності необхідно визначати вимоги до продуктивності. Слід проводити настройку і контроль систем для забезпечення, де необхідно, впевненості в підвищенні доступності та ефективності систем.
    - - Міра і засіб контролю і управління: Повинні бути визначені критерії приймання для нових інформаційних систем, оновлень і нових версій, окрім того, необхідно тестувати системи протягом їх розробки і перед їх прийманням.
      - Рекомендація щодо реалізації: Керівники повинні забезпечити впевненість у тому, що вимоги і критерії для прийняття нових систем чітко визначені, погоджені, документально оформлені і протестовані. Нові інформаційні системи, оновлення та нові версії повинні вводитися в експлуатацію тільки після проходження офіційної приймання. До офіційної приймання необхідно розглянути наступні аспекти:
        
        a) вимоги до потужності і продуктивності комп'ютера;
        
        b) процедури відновлення після збоїв і перезапуску, і плани дій в надзвичайних ситуаціях;
        
        c) підготовка і тестування типових операційних процедур на відповідність встановленим стандартам;
        
        d) наявність узгодженого набору заходів та засоби контролю і управління безпеки;
        
        e) ефективні ручні процедури;
        
        f) заходи щодо забезпечення безперервності бізнесу (див. 14.1);
        
        g) документальне підтвердження того, що впровадження нової системи не буде несприятливо впливати на існуючі системи, особливо, під час максимальних навантажень, наприклад в кінці місяця;
        
        h) документальне підтвердження того, що було враховано вплив, який чиниться новою системою, на загальну безпеку організації;
        
        i) тренінг щодо експлуатації та використання нових систем;
        
        j) простота використання, оскільки це впливає на продуктивність роботи користувача і дозволяє уникати помилок оператора.
  - - - Міра і засіб контролю і управління: Необхідно впровадити заходи і засоби контролю і управління, пов'язані з виявленням, попередженням та відновленням, з метою захисту від шкідливої програми, а також процедури, що забезпечують відповідну обізнаність користувачів.
      - Рекомендація щодо реалізації: Захист від шкідливої програми повинна грунтуватися: на виявленні шкідливої програми і відновленні програмного забезпечення; на розумінні вимог безпеки; на заходи та засоби контролю і управління відповідного доступу до системи і менеджменту змін. Необхідно розглянути наступні рекомендації:
        
        a. створити офіційну політику, яка встановлює заборону на використання неавторизованого програмного забезпечення (див. 15.1.2);
        
        b. створити офіційну політику захисту від ризиків, пов'язаних з отриманням файлів і програмного забезпечення, або з зовнішніх мереж, або через інші передають середовища, яка показує, які захисні заходи слід прийняти;
        
        c. проводити регулярний аналіз програмного забезпечення та змісту даних систем, що підтримують критичні процеси бізнесу; необхідна формальна процедура розслідування причин наявності будь-яких неавторизованих або змінених файлів;
        
        d. здійснювати в якості превентивного заходу або звичайним порядком інсталяцію та регулярне оновлення програмного забезпечення з виявлення шкідливої програми і відновленню для сканування комп'ютерів і носіїв інформації; проведені перевірки повинні включати:
        
        i. перевірку на наявність шкідливих програм будь-яких файлів на електронних або оптичних носіях і файлів, отриманих з мереж перед їх використанням;
        
        ii. перевірку будь-яких вкладень електронної пошти і завантажувати інформацію до їх використання на наявність шкідливої програми; ця перевірка повинна виконуватися в різних точках, наприклад на серверах електронної пошти, настільних комп'ютерах або при вході в мережу організації;
        
        iii. перевірку web-сторінок на наявність шкідливої програми;
        
        e. визначати управлінські процедури і обов'язки, пов'язані із захистом від шкідливої програми в системах, тренінг їх використання, оповіщення та відновлення після атак шкідливої програми (див. 13.1 та 13.2);
        
        f. підготувати відповідні плани щодо забезпечення безперервності бізнесу в частині відновлення після атак шкідливих програм, включаючи всі необхідні заходи щодо резервування та відновленню даних і програмного забезпечення (див. розділ 14);
        
        g. реалізувати процедури регулярного збору інформації, наприклад підписуючись на список поштової розсилки та (або) перевіряючи web-сайти, що дають інформацію про нову шкідливу програму;
        
        h. реалізувати процедури перевірки інформації, що стосується шкідливої програми, і забезпечити точність і інформативність попереджувальних повідомлень; відповідні керівники повинні забезпечити впевненість у тому, що компетентні джерела, наприклад інформація з відомих журналів, які заслуговують на довіру Інтернет-сайтів або від постачальників антивірусного програмного забезпечення використовується для визначення відмінностей між помилковою і реальної шкідливою програмою; усі користувачі повинні бути інформовані про проблему помилкових вірусів і діях при їх отриманні.
    - - Міра і засіб контролю і управління: Там, де дозволено використання мобільного програми, конфігурація повинна забезпечувати впевненість у тому, що дозволена мобільна програма функціонує відповідно до ясно сформульованої політикою безпеки, а виконання невирішеною мобільного програми буде заборонено.
      - Рекомендація щодо реалізації: Для запобігання виконання мобільного програмою недозволених дій необхідно вживати таких заходів:
        
        a. забезпечувати виконання мобільного програми в логічно ізольованому середовищі;
        
        b. блокувати будь-яке несанкціоноване використання мобільного програми;
        
        c. блокувати прийом мобільного програми;
        
        d. активізувати технічні заходи, доступні щодо певної системи, щоб забезпечити впевненість у керованості мобільного програми;
        
        e. контролювати ресурси, доступні мобільного програмі;
        
        f. застосовувати криптографічні заходи і засоби контролю і управління для однозначної аутентифікації мобільного програми.
  - - - Міра і засіб контролю управління: Створення резервних копій інформації та програмного забезпечення повинно виконуватися і тестуватися на регулярній основі відповідно до встановленої політики резервування.
      - Рекомендація щодо реалізації: Слід забезпечити адекватні засоби резервування для забезпечення впевненості в тому, що вся важлива інформація і програмне забезпечення можуть бути відновлені після лиха або збою обладнання.
        
        Відносно резервування інформації необхідно розглядати такі питання:
        
        a) необхідно визначити належний рівень резервної інформації;
        
        b) необхідно забезпечувати точні і повні записи резервних копій і документально оформлені процедури відновлення;
        
        c) обсяг (тобто повне або вибіркове резервування) і частота резервування повинні відображати вимоги бізнесу організації, вимоги до безпеки зачепленої інформації та критичність інформації для безперервної роботи організації;
        
        d) резервні копії повинні зберігатися в віддаленому місці, на надійному відстані, достатньому, щоб уникнути будь-якого пошкодження внаслідок аварійної ситуації в основній будівлі;
        
        e) стосовно резервної інформації повинен бути забезпечений відповідний рівень фізичного захисту і захисту від впливів навколишнього середовища (див. 9), відповідно до стандартів, що застосовуються в основній будівлі; заходи і засоби контролю і управління, які застосовуються до носіїв інформації в основній будівлі, повинні також застосовуватися і на резервному майданчику;
        
        f) носії резервної інформації повинні регулярно тестуватися для забезпечення впевненості в тому, що в разі надзвичайних ситуацій вони можуть бути використані;
        
        g) процедури відновлення слід регулярно перевіряти і тестувати для забезпечення впевненості в їх ефективності, а також в тому, що для виконання цих процедур буде потрібно не більше часу, ніж це визначено;
        
        h) в ситуаціях, коли конфіденційність грає важливу роль, резервні копії необхідно захищати за допомогою шифрування.
  - - - Міра і засіб контролю і управління: Мережі повинні адекватно справлятися і контролюватися, щоб бути захищеними від загроз і забезпечити безпеку систем і прикладних програм, що використовують мережу, включаючи інформацію під час її передачі.
      - Рекомендація щодо реалізації: Керівники, що відповідають за підтримку мережевих ресурсів, повинні впроваджувати заходи і засоби контролю і управління для забезпечення впевненості в безпеці інформації в мережах і захисту підключених сервісів від несанкціонованого доступу. Зокрема, необхідно розглянути наступні питання:
        
        a) слід розділити, де це необхідно, відповідальність за підтримку мережевих ресурсів і за підтримку комп'ютерних операцій (див. 10.1.3);
        
        b) слід визначити обов'язки і процедури для управління віддаленим обладнанням, включаючи обладнання, встановлене у кінцевих користувачів;
        
        c) спеціальні заходи і засоби контролю і управління слід впровадити для забезпечення конфіденційності і цілісності даних, що передаються по загальнодоступних мереж, або по бездротових мереж, а також для захисту підключених систем і прикладних програм (див. 11.4 та 12.3); спеціальні заходи і засоби контролю і управління можуть знадобитися для підтримки доступності мережевих сервісів і робочих станцій;
        
        d) відповідна реєстрація та моніторинг повинні застосовуватися з метою забезпечення можливості реєстрації дій, що мають значення для безпеки;
        
        e) дії керівництва повинні бути ретельно узгоджені як для оптимізації одержуваних організацією послуг, так і для забезпечення впевненості в тому, що заходи і засоби контролю і управління одноманітно застосовні до всієї інфраструктури обробки інформації.
    - - Міра і засіб контролю і управління: Засоби забезпечення безпеки, рівні послуг і вимоги щодо менеджменту всіх мережевих послуг повинні бути визначені і включені в будь-який договір з мережних послуг, незалежно від того, чи будуть вони забезпечуватися силами організації або в рамках договорів аутсорсингу.
      - Рекомендація щодо реалізації: Здатність провайдера мережевих послуг безпечно здійснювати менеджмент встановлених послуг слід визначати і піддавати регулярному моніторингу, а право проведення аудиту повинно бути погоджено.
        
        Засобами забезпечення безпеки мережевих послуг можуть бути:
        
        a) засоби, що застосовуються для забезпечення безпеки мережевих послуг, наприклад аутентифікація, шифрування, і заходи і засоби контролю і управління мережевими з'єднаннями;
        
        b) дотримання технічних параметрів, необхідних для безпечного підключення мережевих послуг відповідно до правил безпеки мережевих з'єднань;
        
        c) процедури використання мережевої послуги, що застосовуються для обмеження доступу до онлайн-служб або прикладним програмам, де це необхідно.
  - - - Міра і засіб контролю і управління: Повинні існувати процедури щодо менеджменту змінних носіїв інформації.
      - Рекомендація щодо реалізації: Необхідно розглянути наступні рекомендації щодо менеджменту змінних носіїв інформації:
        
        a) якщо не передбачається повторно використовувати вміст носіїв інформації, які повинні бути переміщені за межі організації, то інформацію необхідно зробити неізвлекаемой;
        
        b) коли це доцільно і практично, має турбуватися дозвіл на винос носіїв інформації з організації та запис про таке переміщення слід зберігати як контрольну запис для аудиту;
        
        c) всі носії інформації повинні зберігатися в надійному, безпечному середовищі, відповідно зі специфікаціями виробників;
        
        d) інформацію, збережену на носіях, затребувану довше, ніж життєвий цикл носія (У відповідності зі специфікаціями виробників), слід зберігати також і в іншому місці, щоб уникнути втрати інформації внаслідок зносу носіїв;
        
        e) для зменшення можливості втрати даних повинна бути передбачена реєстрація змінних носіїв інформації;
        
        f) змінні дискові накопичувачі дозволяється використовувати тільки в разі, обумовленому потребами бізнесу.
    - - Міра і засіб контролю управління: Носії інформації, коли в них більше немає необхідності, слід надійно і безпечно утилізувати, використовуючи формальні процедури.
      - Рекомендація щодо реалізації: Формальні процедури для безпечної утилізації носіїв інформації повинні знижувати ризик витоку чутливої інформації неавторизованих особам.
        
        Процедури для безпечної утилізації носіїв, які містять чутливу інформацію, повинні відповідати чутливості тієї інформації. Необхідно розглянути наступні питання:
        
        a) носії, що містять чутливу інформацію, повинні зберігатися і утилізуватися надійно і безпечно, наприклад за допомогою спалювання або подрібнення; якщо носії планується використовувати в межах організації для інших прикладних програм, інформація на них повинна бути знищена;
        
        b) повинні існувати процедури щодо виявлення носіїв інформації, для яких може знадобитися безпечна утилізація;
        
        c) може виявитися простіше вживати заходів зі збору та безпечної утилізації по відношенню до всіх носіїв інформації, ніж намагатися виділити носії з чутливою інформацією;
        
        d) багато організацій пропонують послуги зі збирання та утилізації паперу, обладнання та носіїв інформації; слід ретельно вибирати відповідного підрядника з урахуванням наявного у нього досвіду і застосовуваних заходів і засобів контролю та управління;
        
        e) де можливо, утилізацію носіїв, які містять чутливу інформацію, слід фіксувати як контрольну запис для аудиту.
    - - Міра і засіб контролю і управління: З метою забезпечення захисту інформації від несанкціонованого розкриття або неправильного використання необхідно визначити процедури обробки та зберігання інформації.
      - Рекомендація щодо реалізації: Повинні бути розроблені процедури по ручній обробці інформації, обробки інформації з використанням комп'ютерів, зберігання і передачі інформації відповідно до її класифікацією (Див. 7.2). Необхідно розглянути наступні питання:
        
        a) обробку і маркування всіх носіїв інформації відповідно до її зазначеним рівнем класифікації;
        
        b) обмеження доступу з метою запобігання доступу неавторизованого персоналу;
        
        c) забезпечення формальної реєстрації авторизованих одержувачів даних;
        
        d) забезпечення впевненості в тому, що процес введення даних і обробки завершуються належним чином і що виконується перевірка вихідних даних;
        
        e) захист інформації, що знаходиться в буфері даних і чекає на виведення, відповідну ступеня чутливості цієї інформації;
        
        f) зберігання носіїв інформації у відповідності зі специфікаціями виробників;
        
        g) зведення поширення даних до мінімуму;
        
        h) чітке маркування всіх копій даних, призначених увазі авторизованого одержувача;
        
        i) перегляд списків розсилки і списків авторизованих одержувачів через регулярні інтервали часу.
    - - Міра і засіб контролю і управління: Системна документація повинна бути захищена від несанкціонованого доступу.
      - Рекомендація щодо реалізації: Для захисту системної документації необхідно враховувати наступні питання:
        
        a) системну документацію слід зберігати безпечний спосіб;
        
        b) список осіб, що мають доступ до системної документації, необхідно звести до мінімуму; доступ повинен бути авторизований власником прикладної програми;
        
        c) системну документацію, отриману або підтримувану через загальнодоступну мережу, слід захищати належним чином.
  - - - Міра і засіб контролю і управління: Повинні існувати формальні політики, процедури та заходи і засоби контролю і управління в щодо обміну інформацією з метою захисту такого обміну, коли використовуються всі типи засобів зв'язку.
      - Рекомендація щодо реалізації: Процедури, заходи і засоби контролю і управління, які необхідно дотримуватися при використанні електронних засобів зв'язку для обміну інформацією, повинні враховувати наступне:
        
        a) процедури, призначені для захисту обмінюваної інформації від перехоплення, копіювання, модифікації, помилкової маршрутизації і руйнування;
        
        b) процедури виявлення шкідливої програми, яка може передаватися при використанні електронних засобів зв'язку, і процедури захисту від неї (див. 10.4.1);
        
        c) процедури захисту переданої чутливої електронної інформації, що має форму додатка;
        
        d) політику або рекомендації, що визначають прийнятне використання електронних засобів зв'язку (див. 7.1.3);
        
        e) процедури використання бездротового зв'язку, враховуючи пов'язані з нею певні ризики;
        
        f) зобов'язання співробітника, підрядника та будь-якого іншого представника не компрометувати організацію, наприклад за допомогою наклепу, антисоціальних дій, видачі себе за іншу особу, поширення «листів щастя», використання «таємних важелів» і т. д .;
        
        g) використання криптографічних методів, наприклад для захисту конфіденційності, цілісності та автентичності інформації (див. 12.3);
        
        h) рекомендації щодо збереження та утилізації всієї ділової кореспонденції, включаючи повідомлення, відповідно до чинних національних та місцевими законодавчими і нормативними актами;
        
        i) нагадування співробітникам про те, що не можна залишати чутливу або критичну інформацію на друкуючих пристроях, наприклад копіювальних пристроях, принтерах і факсах, оскільки неавторизований персонал може здійснювати до них доступ;
        
        j) заходи і засоби контролю і управління та обмеження, пов'язані з пересилкою засобів зв'язку, наприклад автоматична пересилка електронної пошти на зовнішні поштові адреси;
        
        k) нагадування співробітникам про необхідність дотримання заходів безпеки, наприклад не слід розголошувати чутливу інформацію, щоб уникнути її підслуховування або перехоплення при телефонних дзвінках;
        
        i) нагадування співробітникам про проблеми, пов'язані з використанням факсів;
        
        j) нагадування співробітникам про те, що не слід реєструвати демографічні дані, наприклад адресу електронної пошти або іншу особисту інформацію, в будь-якому програмному забезпеченні, в іншому разі вона збору для неавторизованого використання;
    - - Міра і засіб контролю і управління: Необхідно укладати угоди з обміну інформацією та програмним забезпеченням між організацією і сторонніми організаціями.
      - Рекомендація щодо реалізації: В угодах з обміну слід враховувати наступні умови безпеки:
        
        a) обов'язки керівництва щодо контролю та повідомлення про передачу, відправку та отримання;
        
        b) процедури повідомлення відправника, а також процедури передачі, відправки та отримання;
        
        c) процедури забезпечення простежуваності і неспростовності;
        
        d) мінімальні вимоги технічних стандартів щодо формування та передачі пакетів даних;
        
        e) угоди щодо передачі на зберігання вихідних пакетів даних;
        
        f) стандарти щодо кур'єрської служби;
        
        g) відповідальність і зобов'язання в разі інцидентів інформаційної безпеки, наприклад, в разі втрати даних;
        
        h) використання узгодженої системи маркування для критичної або чутливої інформації, що забезпечує впевненість у тому, що значення цього маркування буде відразу ж зрозуміло і що інформація буде відповідно захищена;
        
        1) право власності та обов'язки щодо захисту даних, дотримання авторських прав, відповідність ліцензії на програмне забезпечення та аналогічні вимоги (див. 15.1.2 та 15.1.4);
        
        i) технічні стандарти щодо запису і зчитування інформації та програмного забезпечення;
        
        j) будь-які спеціальні заходи і засоби контролю і управління, які можуть знадобитися для захисту чутливих елементів, наприклад криптографічних ключів (див. 12.3).
    - - Міра і засіб контролю управління: Носії інформації повинні бути захищені від несанкціонованого доступу, неправильного використання або пошкодження під час їх транспортування за межами організації.
      - Рекомендація щодо реалізації: Для захисту носіїв інформації, які передаються між різними пунктами призначення, необхідно враховувати наступні рекомендації:
        
        a) необхідно користуватися послугами надійних перевізників або кур'єрів;
        
        b) список авторизованих кур'єрів необхідно узгоджувати з керівництвом;
        
        c) необхідно розробити процедури для перевірки ідентифікації кур'єрів;
        
        d) упаковка повинна бути досить міцною для захисту від будь-якого фізичного пошкодження, яке, ймовірно, може мати місце при транспортуванні, і відповідати будь-яким вимогам виробників (наприклад програмного забезпечення), необхідно забезпечувати захист від впливу будь-яких чинників навколишнього середовища, які можуть знизити ефективність відновлення , таких як тепловий ефект, вологість або електромагнітні поля;
        
        e) заходи і засоби контролю і управління слід застосовувати, де це необхідно, для захисту чутливої інформації від несанкціонованого розкриття або модифікації
    - - Міра і засіб контролю і управління: Необхідно належним чином захищати інформацію, що включається в електронний обмін повідомленнями.
      - Рекомендація щодо реалізації: Відносно електронного обміну повідомленнями, необхідно враховувати наступні питання, пов'язані із забезпеченням безпеки:
        
        a) захист повідомлень від несанкціонованого доступу, модифікації або відмови в обслуговуванні;
        
        b) забезпечення правильної адресації і передачі повідомлення;
        
        c) загальна надійність і доступність послуг;
        
        d) законодавчі питання, наприклад вимоги щодо використання електронних підписів;
        
        e) отримання схвалення до використання зовнішніх загальнодоступних послуг, таких як миттєвий обмін повідомленнями або поділ файлів;
        
        f) строгі рівні аутентифікації управління доступом з боку загальнодоступних мереж.
    - - Міра і засіб контролю і управління: Необхідно розробити і впровадити політики і процедури захисту інформації, пов'язаної з взаємодією інформаційних систем бізнесу.
      - Рекомендація щодо реалізації: Необхідно враховувати наслідки від взаємодії інформаційних систем для безпеки і бізнесу в цілому, такі як:
        
        a) відома вразливість, притаманна адміністративних систем та систем обліку і звітності, де інформація поділяється між різними частинами організації;
        
        b) вразливість інформації в системах зв'язку бізнесу, наприклад записи телефонних розмов або переговорів по конференц-зв'язку, конфіденційність дзвінків, зберігання факсів, розтин і розсилка електронних повідомлень;
        
        c) політика і відповідні заходи і засоби контролю і управління для менеджменту спільного використання інформації;
        
        d) заборона на використання чутливої інформації бізнесу і не підлягають оголошенню документів, якщо дані системи не забезпечують відповідний рівень захисту;
        
        e) обмеження доступу до даних особистих щоденників окремих співробітників, наприклад працюють над чутливими проектами;
        
        f) визначення категорій тих співробітників, підрядників або ділових партнерів, яким дозволено використовувати систему, і точок, з яких може здійснюватися доступ до неї;
        
        g) обмеження окремих можливостей системи для певних категорій користувачів;
        
        h) визначення статусу користувачів, наприклад співробітників організації або підрядників, в окремих директоріях, для зручності інших користувачів;
        
        i) збереження та створення резервних копій інформації, що міститься в системі;
        
        j) умови переходу на аварійний режим роботи і перелік відповідних заходів
- - - - Міра і засіб контролю і управління: Політика управління доступом повинна створюватися, документально оформлятися і переглядатися з урахуванням вимог бізнесу і безпеки для доступу.
      - Рекомендація щодо реалізації: Правила управління доступом і права кожного користувача або групи користувачів повинні бути чітко сформульовані в політиці управління доступом. Необхідно, щоб в політиці було враховано наступне:
        
        a) вимоги щодо безпеки конкретних прикладних програм бізнесу;
        
        b) визначення всієї інформації, пов'язаної з прикладними програмами бізнесу, і ризиків, що стосуються інформації;
        
        c) правила щодо поширення інформації та авторизації доступу, наприклад необхідно знати принципи і рівні безпеки і класифікації інформації;
        
        d) узгодженість між управлінням доступом і політиками класифікації інформації різних систем і мереж;
        
        e) відповідні вимоги законодавства та будь-які договірні зобов'язання щодо захисту доступу до даних або послуг;
        
        f) стандартні профілі доступу користувачів для посадових ролей в організації;
        
        д) менеджмент прав доступу в розподіленої середовищі або мережах з урахуванням всіх типів доступних з'єднань;
        
        g) поділ ролей щодо управління доступом, наприклад запит доступу, авторизація доступу, адміністрування доступу;
        
        h) вимоги щодо формального дозволу запитів доступу;
        
        i) вимоги щодо періодичного перегляду управління доступом;
        
        j) анулювання прав доступу.
  - - - Міра і засіб контролю і управління: Необхідна формальна процедура реєстрації та зняття з обліку користувачів щодо надання та скасування доступу до всіх інформаційних систем і послуг.
      - Рекомендація щодо реалізації: Процедура управління доступом щодо реєстрації та зняття з обліку користувачів повинна включати:
        
        a) використання унікальних ідентифікаторів користувачів, які дозволяють відстежувати дії користувачів, щоб вони несли відповідальність за свої дії; використання групових ідентифікаторів слід вирішувати тільки там, де це необхідно для бізнесу або за умовами експлуатації, все це повинно бути затверджено і документовано;
        
        b) перевірку того, що користувач має дозвіл власника системи на використання інформаційної системи або послуги; наявність окремого дозволу на право доступу від керівництва також може бути доречним;
        
        c) перевірку того, що рівень наданого доступу відповідає цілям бізнесу (див. 9.1) і узгоджується з політикою безпеки організації, наприклад не порушує принципу розмежування обов'язків (див. 10.1.3);
        
        d) надання користувачам письмової заяви про їхні права доступу;
        
        e) вимога від користувачів підписати заяву про прийняття умов доступу;
        
        f) забезпечення впевненості в тому, що всі постачальники послуг дозволяють доступ, поки процедури авторизації не завершені;
        
        g) ведення формального обліку всіх осіб, зареєстрованих як користувачі послуг;
        
        h) негайне скасування або блокування прав доступу користувачів, у яких змінилися роль, або робоче місце, або звільнилися з організації;
        
        i) періодичну перевірку і видалення або блокування надлишкових користувальницьких ідентифікаторів і облікових записів;
        
        j) забезпечення того, щоб надлишкові призначені для користувача ідентифікатори були передані іншим користувачам.
    - - Міра і засіб контролю і управління: Надання і використання привілеїв необхідно обмежувати і контролювати.
      - Рекомендація щодо реалізації: Необхідно, щоб в багатокористувацьких системах, які вимагають захисту від несанкціонованого доступу, надання привілеїв контролювалося за допомогою формального процесу авторизації. Необхідно розглянути наступні заходи:
        
        a) визначення привілеїв доступу щодо кожного системного продукту, наприклад експлуатованої системи, системи управління базами даних, кожної програми і користувачів, яким ці привілеї повинні бути надані;
        
        b) привілеї повинні надаватися користувачам на підставі принципу необхідності і принципу «подія за подією» відповідно до політики управління доступом, тобто мінімальна вимога для їх функціональної ролі, тільки при необхідності;
        
        c) забезпечення процесу авторизації і реєстрації щодо всіх наданих привілеїв, привілеї не повинні надаватися до завершення процесу авторизації;
        
        d) проведення політики розробки і використання стандартних системних утиліт (скриптів), для того щоб уникнути необхідності надання привілеїв користувачам;
        
        e) заохочення розробки і використання програм, що дозволяють уникнути необхідності надання привілеїв при їх виконанні;
        
        f) використання різних ідентифікаторів користувачів при роботі в нормальному режимі і з використанням привілеїв.
    - - Міра і засіб контролю і управління: Розподіл паролів необхідно контролювати за допомогою формального процесу управління.
      - Рекомендація щодо реалізації: Процес повинен включати наступні вимоги:
        
        a) користувачів необхідно зобов'язати підписати заяву про збереження особистих паролів в таємниці і збереженні групових паролів виключно в межах членів даної групи; ця заява може бути включено в умови і положення зайнятості;
        
        b) якщо користувачі самостійно управляють власними паролями, їм слід спочатку надати безпечний тимчасовий пароль, який підлягає негайну примусову заміну після входу в систему;
        
        c) створення процедур перевірки особистості користувача, перш ніж йому буде надано новий, замінює або тимчасовий пароль;
        
        d) тимчасові паролі слід видавати користувачам безпечним способом, при цьому необхідно уникати використання третіх сторін або незахищеного (відкритого) тексту повідомлень електронної пошти;
        
        e) тимчасові паролі повинні бути унікальні для кожного користувача і не повинні бути легко вгадувати;
        
        f) користувачі повинні підтверджувати отримання паролів;
        
        g) паролі ніколи не слід зберігати в комп'ютерних системах в незахищеною формі;
        
        h) паролі постачальника, встановлені за замовчуванням, необхідно змінити після інсталяції систем або програмного забезпечення.
    - - Міра і засіб контролю управління: Керівництво повинно здійснювати формальний процес періодичного перегляду прав доступу користувачів.
      - Рекомендація щодо реалізації: При перегляді прав доступу повинні враховуватися такі рекомендації:
        
        a) права доступу повинні переглядатися регулярно, наприклад через шість місяців, і після будь-яких змін, таких як підвищення / пониження в посаді, або звільнення;
        
        b) права доступу користувачів повинні переглядатися і перепризначатися при переході з однієї роботи на іншу в межах однієї організації;
        
        c) дозволу щодо спеціальних привілейованих прав доступу повинні переглядатися через невеликі інтервали часу, наприклад через три місяці;
        
        d) надані привілеї повинні переглядатися через рівні інтервали часу для забезпечення впевненості в тому, що не було отримано неавторизовані привілеї;
        
        e) зміни привілейованих облікових записів повинні реєструватися для періодичного аналізу.
  - - - Міра і засіб контролю і управління: Користувачі повинні дотримуватися загальноприйнятої практики в області безпеки при виборі і використанні паролів.
      - Рекомендація щодо реалізації: Всім користувачам слід рекомендувати:
        
        a) зберігати конфіденційність паролів;
        
        b) уникати записи паролів (наприклад на папері, у файлі програмного забезпечення або кишенькових пристроях), якщо не може бути забезпечено безпечне зберігання і спосіб зберігання не затверджений;
        
        c) змінювати паролі всякий раз, коли з'являється будь-яка ознака можливої компрометації системи або пароля;
        
        d) вибирати якісні паролі з досить мінімальною довжиною;
        
        e) змінювати паролі через різні інтервали часу або після певного числа звернень до системи (паролі для привілейованих облікових записів слід міняти частіше, ніж звичайні паролі) і уникати повторного або циклічного використання старих паролів;
        
        f) змінювати тимчасові паролі при першому початку сеансу;
        
        g) не включати паролі в жодній автоматизований процес початку сеансу, наприклад з використанням збережених макрокоманд або функціональних клавіш;
        
        h) не використовувати колективно індивідуальні паролі;
        
        i) не використовувати один і той же пароль для бізнесу та некомерційних цілей.
    - - Міра і засіб контролю і управління: Користувачі повинні забезпечувати відповідний захист обладнання, залишеного без нагляду
      - Рекомендація щодо реалізації: Всім користувачам необхідно знати вимоги безпеки і процедури щодо захисту залишеного без нагляду обладнання, а також їх обов'язки щодо забезпечення такого захисту. Користувачам рекомендується:
        
        a) завершувати активні сеанси по закінченні роботи, якщо відсутня відповідний механізм блокування, наприклад захищена паролем заставка;
        
        b) завершити сеанс на системах мейнфреймів, серверах і офісних персональних комп'ютерах, коли робота завершена (т. е. не тільки вимкнути екран персонального комп'ютера або термінал);
        
        c) забезпечувати безпеку персональних комп'ютерів або терміналів від несанкціонованого використання за допомогою блокування клавіатури або еквівалентних засобів контролю, наприклад доступу по паролю, коли обладнання не використовується.
    - - Міра і засіб контролю і управління: Необхідно прийняти політику «чистого стола» щодо паперових документів і змінних носіїв даних, а також політику «чистого екрану» щодо засобів обробки інформації.
      - Рекомендація щодо реалізації: Політика «чистого стола» та «чистого екрану» повинна враховувати класифікацію інформації, законодавчі та договірні вимоги, а також відповідні ризики і корпоративну культуру організації. Необхідно розглянути наступні рекомендації:
        
        a) носії (паперові або електронні), які містять чутливу або критичну інформацію бізнесу, коли вони не використовуються, слід прибирати і замикати (найкраще, в вогнетривкий сейф або шафа), особливо, коли приміщення пустує;
        
        b) комп'ютери і термінали, коли їх залишають без нагляду, слід вимикати або захищати за допомогою механізму блокування екрану або клавіатури, контрольованого паролем, токеном або аналогічним механізмом аутентифікації користувача, а також необхідно застосовувати кодові замки, паролі або інші заходи та засоби контролю і управління в той час, коли ці пристрої не використовуються;
        
        c) необхідно забезпечити захист пунктів прийому / відправки кореспонденції, а також автоматичних факсимільних апаратів;
        
        d) необхідно запобігати несанкціонованому використанню фотокопіювальних пристроїв і іншої відтворювальної техніки (сканерів, цифрових фотоапаратів);
        
        e) документи, що містять чутливу або критичну інформацію, необхідно негайно вилучати з принтерів.
  - - - Міра і засіб контролю і управління: Користувачам слід надавати доступ тільки до тих послуг, на використання яких вони були спеціально уповноважені.
      - Рекомендація щодо реалізації: Слід сформулювати політику щодо використання мереж і мережевих послуг. У політиці необхідно розглянути:
        
        a) мережі і мережеві послуги, до яких дозволений доступ;
        
        b) процедури авторизації для визначення того, кому і до яких мереж і онлайн-служб дозволений доступ;
        
        c) заходи і засоби контролю і управління, а також процедури менеджменту щодо захисту доступу до мережевим підключенням і послуг мережі;
        
        d) засоби, що використовуються для здійснення доступу до мереж та послуг мережі (наприклад умови, що забезпечують можливість доступу віддаленого підключення до провайдера Інтернет услуг або віддаленій системі).
    - - Міра і засіб контролю і управління: Для управління доступом віддалених користувачів слід застосовувати відповідні методи аутентифікації.
      - Рекомендація щодо реалізації: Аутентифікація віддалених користувачів може бути досягнута при використанні, наприклад методів, заснованих на застосуванні засобів криптографії, апаратних засобів захисту (токенов) або протоколів «запит-відповідь».
    - - Міра і засіб контролю і управління: Автоматичну ідентифікацію обладнання необхідно розглядати як засіб для аутентифікації для підключення згідно здійснюваних з певних місць або певного обладнання.
      - Рекомендація щодо реалізації: Ідентифікацію обладнання можна застосовувати в тих випадках, коли важливо, щоб зв'язок могла бути ініційована тільки з певного місця або обладнання.
    - - Міра і засіб контролю і управління: Фізичний і логічний доступ для портів дистанційної діагностики та конфігурації повинен бути контрольованим і керованим.
      - Рекомендація щодо реалізації: Можливі заходи і засоби контролю і управління доступом до портів дистанційної діагностики та конфігурації включають в себе використання блокування клавіш і підтримують процедур для контролю фізичного доступу до порту.
    - - Міра і засіб контролю управління: Групи інформаційних послуг, користувачів та інформаційних систем в межах мережі повинні бути розділені.
      - Рекомендація щодо реалізації: Один з методів контролю безпеки великих мереж полягає в тому, щоб розділити їх на окремі логічні мережеві домени, наприклад на внутрішні мережеві домени організації і зовнішні мережеві домени, кожен з яких захищений певним периметром безпеки.
    - - Міра і засіб контролю управління: Приєднання користувачів до спільно використовуваних мереж, особливо тим, які виходять за рамки організації, необхідно обмежувати відповідно до політики управління доступом і вимогами прикладних програм бізнесу.
      - Рекомендація щодо реалізації: Права користувачів стосовно мережевого доступу повинні підтримуватися і оновлюватися відповідно до вимог політики управління доступом. Прикладами прикладних програм, до яких слід застосувати обмеження є:
        
        a) обмін повідомленнями, наприклад електронна пошта;
        
        b) передача файлів;
        
        c) інтерактивний доступ;
        
        d) доступ до прикладної програми.
    - - Міра і засіб контролю і управління: Для мереж слід впроваджувати заходи і засоби контролю і управління маршрутизацією, щоб забезпечити впевненість у тому, що приєднання комп'ютерів і інформаційні потоки не порушують політику управління доступом до прикладних програм бізнесу.
      - Рекомендація щодо реалізації: Необхідно, щоб заходи та засоби контролю і управління маршрутизацією грунтувалися на механізмах перевірки реальних адрес джерела і одержувача.
  - - - Міра і засіб контролю управління: Доступ до експлуатованих систем повинен контролюватися за допомогою безпечної процедури початку сеансу.
      - Рекомендація щодо реалізації: Процедура реєстрації в експлуатованої системі повинна бути спроектована так, щоб звести до мінімуму можливість несанкціонованого доступу. Тому необхідно, щоб процедура початку сеансу розкривала мінімум інформації про систему, щоб уникнути надання будь-якої непотрібної допомоги неавторизованого користувачеві. Правильна процедура початку сеансу характеризується такі властивості:
        
        a) не відображує найменувань системи або прикладних програм, поки процес початку сеанси не буде успішно завершено;
        
        b) відображає загальне попередження про те, що доступ до комп'ютера можуть отримати тільки авторизовані користувачі;
        
        c) не надає повідомлень-підказок протягом процедури започаткування сеансу, які могли б допомогти неавторизованого користувача;
        
        d) підтверджує інформацію початку сеансу тільки по завершенні введення всіх вихідних даних, в разі помилкового введення, система не повинна показувати, яка частина даних є правильною або неправильної;
        
        e) обмежує число дозволених невдалих спроб початку сеансу (наприклад, три спроби) і передбачає;
        
        f) обмежує максимальне і мінімальне час, дозволений для процедури започаткування сеансу, якщо воно перевищено, система повинна припинити початок сеансу;
        
        g) відображає наступну інформацію щодо успішного завершення початку сеансу;
        
        h) не відображує введений пароль або передбачає приховування знаків пароля за допомогою символів;
        
        i) не передають паролі відкритим текстом по мережі.
    - - Міра і засіб контролю і управління: Необхідно, щоб всі користувачі мали унікальний ідентифікатор (ідентифікатор користувача), призначений тільки для їх особистого використання, і повинен бути обраний відповідний спосіб перевірки для підтвердження заявленої автентичності користувача.
      - Рекомендація щодо реалізації: Заходи і засоби контролю і управління повинна застосовуватися по відношенню до всіх типів користувачів.
    - - Міра і засіб контролю управління: Системи управління паролями повинні бути інтерактивними і повинні забезпечувати впевненість у як паролі.
      - Рекомендація щодо реалізації: Система управління паролями повинна:
        
        a) наказувати використання індивідуальних користувальницьких ідентифікаторів і паролів з метою встановлення персональної відповідальності;
        
        b) дозволяти користувачам вибирати і змінювати свої паролі, і включати процедуру підтвердження помилок введення;
        
        c) наказувати використання якісних паролів;
        
        d) примушувати до зміни паролів;
        
        e) примушувати користувачів змінювати тимчасові паролі при першому початку сеансу;
        
        f) вести облік попередніх призначених для користувача паролів і запобігати їх повторне використання;
        
        g) не відображати паролі на екрані при їх введенні;
        
        h) зберігати файли паролів окремо від даних прикладних систем;
        
        i) зберігати і передавати паролі в захищеній (наприклад зашифрованою або хешировать) формі.
    - - Міра і засіб контролю і управління: Використання утиліт, які могли б обійти заходи і засоби контролю і управління експлуатованих систем і прикладних програм, слід обмежувати і строго контролювати.
      - Рекомендація щодо реалізації: Необхідно розглянути наступні рекомендації по використанню системних утиліт:
        
        a) використання процедур ідентифікації, аутентифікації і авторизації для системних утиліт;
        
        b) відділення системних утиліт від прикладних програм;
        
        c) обмеження використання системних утиліт мінімальним числом довірених авторизованих користувачів;
        
        d) авторизація на використання спеціальних системних утиліт;
        
        е) обмеження доступності системних утиліт, наприклад на час внесення авторизованих змін;
        
        e) реєстрація використання всіх системних утиліт;
        
        f) визначення та документальне оформлення рівнів авторизації щодо системних утиліт;
        
        g) видалення або блокування непотрібного програмного забезпечення утиліт і системного програмного забезпечення;
        
        h) забезпечення недоступності системних утиліт для користувачів, що мають доступ до прикладних програмами на системах, де потрібно поділ обов'язків.
    - - Міра і засіб контролю і управління: Неактивні сеанси повинні бути закриті після певного періоду бездіяльності.
      - Рекомендація щодо реалізації: Необхідно, щоб механізм блокування за часом забезпечував очищення вікна сеансу, а також, можливо пізніше, після певного періоду бездіяльності закривав прикладну програму і мережеві сеанси.
    - - Міра і засіб контролю і управління: Обмеження на час з'єднання повинні бути використані для забезпечення додаткової безпеки прикладних програм з високим ступенем ризику.
      - Рекомендація щодо реалізації: Необхідно розглянути заходи і засоби контролю і управління щодо часу приєднання для чутливих комп'ютерних програм, особливо в місцях підвищеного ризику, наприклад загальнодоступних місцях або на зовнішній території, що знаходиться поза сферою дії менеджменту безпеки організації. Прикладами таких обмежень є:
        
        a) використання заздалегідь визначених відрізків часу, наприклад для пакетної передачі файлів або регулярних інтерактивних сеансів невеликої тривалості;
        
        b) обмеження часу підключення нормальними годинами роботи організації, якщо немає необхідності в понаднормової або більш тривалій роботі;
        
        c) проведення повторної аутентифікації через заплановані інтервали часу.
  - - - Міра і засіб контролю і управління: Доступ користувачів і персоналу підтримки до інформації і функцій прикладних систем повинен обмежуватися відповідно до певної політики щодо управління доступом.
      - Рекомендація щодо реалізації: Обмеження доступу повинні грунтуватися на вимогах щодо окремих прикладних програм бізнесу. Політика управління доступом повинна відповідати політиці доступу організації. Необхідно розглянути можливість застосування таких рекомендацій для дотримання вимог щодо обмеження доступу:
        
        a) наявність пунктів меню, що дозволяють управляти доступом до функцій прикладних систем;
        
        b) управління правами доступу користувачів, наприклад читання, запис, видалення, виконання;
        
        c) управління правами доступу інших прикладних програм;
        
        d) забезпечення впевненості в тому, що дані, що виводяться з прикладних систем, що обробляють чутливу інформацію, містять тільки необхідну інформацію і відправлені тільки в адреси авторизованих терміналів і місць призначення; необхідний періодичний аналіз процесу виведення для забезпечення впевненості в тому, що надлишкова інформація видалена.
    - - Міра і засіб контролю і управління: Чутливі системи повинні мати спеціалізовану (ізольовану) обчислювальну середу.
      - Рекомендація щодо реалізації:Відносно систем, що обробляють чутливу інформацію, необхідно розглянути наступне:
        
        a) власник прикладної програми повинен визначити і документально оформити ступінь чутливості даної прикладної програми;
        
        b) якщо чутлива прикладна програма повинна працювати в середовищі спільного використання, власником даної прикладної програми повинні бути виявлені інші прикладні програми, з якими будуть спільно використовуватися ресурси, а також ідентифіковані та прийняті відповідні ризики.
  - - - Міра і засіб контролю і управління: Необхідно прийняти формальну політику і забезпечити відповідні заходи безпеки для захисту від ризиків, пов'язаних з роботою із засобами мобільного обчислювальної техніки і зв'язку.
      - Рекомендація щодо реалізації: При використанні мобільних обчислювальних засобів і засобів зв'язку, наприклад ноутбуків, кишенькових комп'ютерів, лептопів, смарт-карт і мобільних телефонів, необхідно приймати спеціальні заходи для забезпечення впевненості в тому, що бізнес-інформацію не скомпрометована.
    - - Міра і засіб контролю і управління: Політика, плани і процедури експлуатації повинні бути розроблені і впроваджені для дистанційної роботи.
      - Рекомендація щодо реалізації: Організації повинні дозволяти дистанційну роботу тільки при впевненості в тому, що застосовуються відповідні угоди про безпеку і заходи і засоби контролю і управління, які, в свою чергу, узгоджуються з політикою безпеки організації. Необхідно брати до уваги наступне:
        
        а) існуючу фізичну безпеку місця дистанційної роботи, включаючи фізичну безпеку будівлі і навколишнього середовища;
        
        b) пропоновані умови дистанційної роботи;
        
        c) вимоги щодо безпеки комунікацій, з огляду на потребу в такого далекого доступі до внутрішніх систем організації, чутливість інформації, до якої буде здійснюватися доступ і яка буде передаватися по каналах зв'язку, а також чутливість самих внутрішніх систем;
        
        d) загрозу несанкціонованого доступу до інформації або ресурсів з боку інших осіб, що використовують місце дистанційної роботи, наприклад членів сім'ї та друзів;
        
        e) використання домашніх комп'ютерних мереж, а також вимоги або обмеження щодо конфігурації послуг бездротових мереж;
        
        f) політики і процедури для запобігання суперечок, що стосуються прав на інтелектуальну власність, розроблену на обладнанні, що знаходиться в приватній власності;
        
        g) доступ до обладнання, що знаходиться в приватній власності (для перевірки безпеки машини або під час проведення розслідувань), який може бути заборонений законодавством;
        
        h) ліцензійні угоди щодо програмного забезпечення, які є такими, що організація може стати відповідальною за ліцензування клієнтського програмного забезпечення на робочих станціях, що знаходяться в приватній власності співробітників, підрядників або користувачів третьої сторони;
        
        i) вимоги щодо антивірусного захисту і міжмережевих екранів.
      - Рекомендації та необхідні організаційні заходи включають, зокрема:
        
        a) забезпечення відповідним обладнанням та меблями для дистанційної роботи в тих випадках, коли забороняється використання обладнання, що знаходиться в приватній власності, якщо воно не знаходиться під контролем організації;
        
        b) визначення видів дозволеної роботи, часу роботи, класифікацію інформації, яка може підтримуватися внутрішніми системами і послугами, до яких дозволений доступ співробітникові в дистанційному режимі;
        
        c) забезпечення відповідним телекомунікаційним обладнанням, включаючи методи забезпечення безпеки віддаленого доступу;
        
        d) фізичну безпеку;
        
        e) правила і рекомендації щодо доступу членів сім'ї і друзів до обладнання і інформації;
        
        f) забезпечення технічної підтримки та обслуговування апаратного і програмного забезпечення;
        
        g) забезпечення страхування;
        
        h) процедури щодо резервного копіювання даних і забезпечення безперервності бізнесу;
        
        i) аудит і моніторинг безпеки;
        
        j) анулювання повноважень, скасування прав доступу і повернення обладнання в разі припинення роботи в дистанційному режимі.