Please enable JavaScript.

Coggle requires JavaScript to display documents.

МІЖНАРОДНІ СТАНДАРТИ ІЗ ЗАХИСТУ ІНФОРМАЦІЇ ISO/ІЕС 27002 «ІНФОРМАЦІЙНІ…

- - - - Міра і засіб контролю і управління
        Необхідно, щоб у формулюваннях вимог бізнесу для нових інформаційних систем або при модернізації існуючих інформаційних систем були визначені вимоги до заходів і засобів контролю та управління безпеки.
      - Рекомендація щодо реалізації
        У специфікаціях вимог до заходів і засобів контролю та управління слід враховувати як вбудовані в інформаційну систему автоматизовані заходи і засоби контролю і управління, так і необхідність підтримки ручного управління.
  - - - Рекомендація щодо реалізації Перевірки слід проводити під час уведення транзакцій бізнесу, довідників (наприклад імена та адреси, кредитні ліміти, ідентифікаційні номери клієнтів) і таблиць параметрів (наприклад ціни продажів, курси валют, ставки податків). Необхідно розглянути наступні рекомендації:
        
        a. подвійне введення або інші процедури перевірки введення, наприклад перевірка кордонів або обмеження полів до певних діапазонів даних, що вводяться з метою виявлення таких помилок:
        
        значень, що виходять за допустимий діапазон;
        
        неприпустимих символів в полях даних;
        
        відсутніх або неповних даних;
        
        перевищення верхніх і нижніх меж обсягу даних;
        
        заборонених або суперечливих контрольних даних;
        
        b. періодична перевірка вмісту ключових полів або файлів даних для підтвердження їх достовірності та цілісності;
        
        c. звірка друкованих копій документів, що вводяться на предмет виявлення будь-яких несанкціонованих змін (необхідно, щоб всі зміни у вводяться документах були затверджені);
        
        d. процедури реагування на помилки перевірки;
        
        e. процедури перевірки достовірності даних, що вводяться;
        
        f. визначення обов'язків всіх співробітників, залучених до процесу введення даних;
        
        g. створення журналу реєстрації дій, пов'язаних з процесом введення даних
      - Міра і засіб контролю і управління Вхідні дані для прикладних програм повинні проходити процедуру підтвердження з метою забезпечення впевненості в їх коректності та відповідності.
    - - Міра і засіб контролю і управління Підтверджують перевірки повинні бути включені в прикладні програми з метою виявлення будь-якого спотворення інформації внаслідок помилок обробки або навмисних дій.
      - Рекомендація щодо реалізації Розробка і реалізація прикладних програм повинні забезпечувати впевненість в тому, що ризики обробки збоїв, що ведуть до втрати цілісності, зведені до мінімуму. Необхідно враховувати, зокрема, наступне:
        
        a. використання функцій додавання, модифікації і видалення для здійснення змін даних;
        
        b. процедури, що не допускають запуск програм, виконуваних в неправильній послідовності або виконуваних після збою в попередньої обробки (див. 10.1.1);
        
        c. використання відповідних програм для відновлення після збоїв і забезпечення правильної обробки даних;
        
        d. захист від атак, що використовують перевантаження / переповнення буфера.
      - Необхідно готувати відповідну технологічну карту, дії документально оформляти і надійно зберігати результати. Приклади перевірок, які можуть бути комбінованими, включають наступне:
        
        a. контроль сеансовое або пакетної обробки з метою узгодження залишків масиву даних після оновлень в результаті транзакції;
        
        b. контроль балансу, щоб перевірити відповідність відкриваються даних і даних попереднього закриття, а саме:
        
        c. підтвердження коректності даних, згенерованих системою;
        
        d. перевірки цілісності, автентичності або будь-якого іншого властивості безпеки, отриманих даних або програмного забезпечення, або переданих між центральним і віддаленими комп'ютерами;
        
        e. контрольні суми записів і файлів;
        
        f. перевірки для забезпечення впевненості в тому, що прикладні програми виконуються в потрібне час;
        
        g. перевірки для забезпечення впевненості в тому, що прикладні програми виконуються в правильному порядку і припиняють роботу в разі відмови, і що подальша обробка припиняється до тих пір, поки проблема не буде вирішена;
        
        h. створення журналу реєстрації дій, пов'язаних з обробкою
    - - Міра і засіб контролю і управління Необхідно визначити вимоги щодо забезпечення автентичності та захисту цілісності повідомлень в прикладних програмах, а також ідентифікувати і впровадити відповідні заходи і засоби контролю і управління.
      - Рекомендація щодо реалізації Необхідно провести оцінку ризиків безпеки для визначення необхідності забезпечення цілісності повідомлень, і ідентифікації відповідного способу реалізації.
    - - Міра і засіб контролю і управління Дані, що виводяться з прикладної програми, повинні бути перевірені з метою забезпечення впевненості в коректності обробки інформації, що зберігається і відповідності вимогам.
      - Рекомендація щодо реалізації Перевірка вихідних даних може включати:
        
        a. перевірки достовірності з метою визначення прийнятності вихідних даних;
        
        b. контрольна звірка результатів, для забезпечення впевненості в тому, що всі дані були оброблені;
        
        c. надання достатньої інформації для читання або подальшої системи обробки, щоб визначити коректність, повноту, точність і класифікацію інформації;
        
        d. процедури реагування на перевірку придатності вихідних даних;
        
        e. визначення обов'язків всіх співробітників, залучених до процесу виведення даних;
        
        f. створення журналу реєстрації дій по підтвердженню коректності вихідних даних.
  - - - Міра і засіб контролю управління З метою захисту інформації необхідно розробити і реалізувати політику щодо використання криптографічних заходів і засобів контролю та управління.
      - Рекомендація щодо реалізації При розробці криптографічного політики необхідно враховувати наступне:
        
        a. позицію керівництва щодо використання коштів криптографії у всій організації, включаючи загальні принципи, відповідно до яких повинна бути захищена бізнес-інформація (див. 5.1.1);
        
        b. заснований на оцінці ризику необхідний рівень захисту, який повинен бути визначений з урахуванням типу, стійкості і якості необхідного алгоритму шифрування;
        
        c. використання шифрування для захисту чутливої інформації, переданої за допомогою переносних або змінних носіїв і пристроїв або по лініях зв'язку;
        
        d. підхід до управління ключами, включаючи методи щодо захисту криптографічних ключів та відновлення зашифрованої інформації в разі втрати, компрометації або пошкодження ключів;
        
        e. ролі та обов'язки, наприклад персональна відповідальність
        
        f. стандарти, які повинні бути прийняті для ефективної реалізації в межах організації (яке рішення використовується і для яких процесів бізнесу);
        
        g. вплив використання зашифрованої інформації на заходи і засоби контролю і управління, які базуються на перевірки вмісту (наприклад виявлення вірусів).
      - Криптографічні заходи і засоби контролю і управління можуть використовуватися для досягнення різних цілей безпеки, наприклад:
        
        a) конфіденційності за допомогою використання шифрування інформації для захисту чутливої або критичної інформації какхранімой, так і переданої;
        
        b) цілісності / автентичності за допомогою використання цифрових підписів або кодів аутентифікації повідомлень для захисту автентичності та цілісності, що зберігається або передається чутливої або критичної інформації;
        
        c) неспростовності, за допомогою використання криптографічних методів для отримання підтвердження того, що подія або дія мала або не мало місце.
    - - Міра і засіб контролю і управління Для підтримки використання організацією криптографічних методів необхідно застосовувати управління ключами.
      - Рекомендація щодо реалізації Всі криптографічні ключі слід захищати від модифікації, втрати і руйнування. Крім того, секретним і персональним ключам необхідний захист від несанкціонованого розкриття. Обладнання, що використовується для генерації, зберігання та архівування ключів повинно бути фізично захищене. Система управління ключами повинна бути заснована на узгодженому безлічі стандартів, процедур і безпечних методів для:
        
        a. генерації ключів для різних криптографічних систем і прикладних програм;
        
        b. генерації та отримання сертифікатів відкритих ключів;
        
        c. розсилки ключів передбачуваним користувачам, включаючи інструкції по активації зазначених ключів при отриманні;
        
        d. зберігання ключів, в тому числі інструкцій щодо отримання доступу до ключів авторизованих користувачів;
        
        e. заміни або поновлення ключів, включаючи правила щодо порядку і термінів заміни ключів;
        
        f. дій щодо скомпрометованих ключів;
        
        g. анулювання ключів, в тому числі порядок вилучення і деактивації, наприклад в разі компрометації ключів або при звільненні користувача з організації (при цьому ключі необхідно також архівувати);
        
        h. відновлення ключів, які були загублені або зіпсовані, як частина менеджменту безперервності бізнесу, наприклад для відновлення зашифрованої інформації;
        
        i. архівування ключів, наприклад для відновлення заархівувати або резервної інформації;
        
        j. знищення інформації;
        
        k. реєстрації та аудиту дій, пов'язаних з управлінням ключами.
  - - - Міра і засіб контролю і управління Необхідно застосовувати процедури контролю установки програмного забезпечення в експлуатованих системах.
      - Рекомендація щодо реалізації Для зведення до мінімуму ризику пошкодження експлуатованих систем необхідно врахувати наступні рекомендації щодо контролю змін:
        
        a) оновлення експлуатованого програмного забезпечення, прикладних програм і бібліотек програм повинні виконувати тільки навчені адміністратори при наявності відповідного дозволу керівництва (див. 12.4.3); і не повинні містити коди розробки або компілятори;
        
        b) прикладні програми та програмне забезпечення слід впроваджувати в експлуатований систему тільки після всебічного і успішного тестування, яке повинно виконуватися на ізольованих системах і включати в себе тести на придатність до експлуатації, безпека, вплив на інші системи і зручність для користувача (див. 10.1.4); необхідно забезпечити впевненість у тому, що всі відповідні бібліотеки вихідних текстів програм були оновлені;
        
        c) заходи і засоби контролю і управління конфігурацією системи необхідно використовувати згідно системної документації для збереження управління всім реалізованим програмним забезпеченням;
        
        d) перш ніж зміни будуть реалізовані, необхідно застосовувати метод відкоту;
        
        e) в контрольному журналі повинні бути збережені всі оновлення експлуатованої бібліотеки програм;
        
        f) попередні версії прикладного програмного забезпечення слід зберігати на випадок непередбачених обставин;
        
        g) старі версії програмного забезпечення слід архівувати разом з усією необхідною інформацією та параметрами, процедурами, конфігураційними деталями і підтримує програмним забезпеченням до тих пір, поки дані зберігаються в архіві.
    - - Міра і засіб контролю і управління Дані тестування слід ретельно відбирати, захищати і контролювати.
      - Рекомендація щодо реалізації Слід уникати використання діючих баз даних, що містять персональну або будь яку іншу чутливу інформацію, для цілей тестування.
        
        Для захисту діючих (робочих) даних, якщо вони використовуються для цілей тестування, необхідно застосовувати такі рекомендації:
        
        a) процедури управління доступом, застосовні для експлуатованих прикладних систем, слід також застосовувати і для тестування прикладних систем;
        
        b) необхідно окремий дозвіл на кожен випадок копіювання діючої (робочої) інформації для тестування прикладної системи;
        
        c) після того як тестування було завершено, діючу (робочу) інформацію слід негайно видалити з тестованої прикладної системи;
        
        d) копіювання та використання діючої (робочої) інформації має фіксуватися для забезпечення контрольної записи.
    - - Міра і засіб контролю управління Доступ до вихідних текстів програм необхідно обмежувати.
      - Рекомендація щодо реалізації З метою запобігання введенню несанкціонованих функціональних можливостей і щоб уникнути випадкових змін повинен бути забезпечений суворий контроль доступу до вихідних текстів програм і пов'язаних з ними документів (наприклад проектам, специфікаціям, планам верифікації і планам валідації). Відносно початкового програмного коду це може бути досягнуто за допомогою контрольованого централізованого зберігання таких текстів, переважно в бібліотеках вихідних текстів програм. Щоб скоротити можливість спотворення комп'ютерних програм, необхідно розглянути наступні рекомендації (див. 11) з управління доступом до таких бібліотек вихідних текстів програм:
        
        a) якщо це можливо, слід уникати зберігання бібліотек вихідних текстів програм в експлуатованих системах;
        
        b) менеджмент початкового програмного коду і бібліотек вихідних текстів програм слід здійснювати відповідно до встановлених процедур;
        
        c) персонал підтримки не повинен мати необмежений доступ до бібліотек вихідних текстів програм;
        
        d) оновлення бібліотек вихідних текстів програм і пов'язаних з ними елементів, а також надання програмістам початкового програмного коду повинні здійснюватися тільки після отримання відповідного дозволу;
        
        e) роздруківки (листинги) програм слід зберігати безпечним чином (див. 10.7.4);
        
        f) в контрольному журналі повинні фіксуватися всі звернення до бібліотек вихідних текстів програм;
        
        g) підтримку і копіювання бібліотек вихідних текстів програм слід здійснювати відповідно до строгих процедурами контролю змін
  - - - Міра і засіб контролю і управління Внесення змін слід контролювати, використовуючи формальні процедури управління змінами.
      - Рекомендація щодо реалізації Для зведення до мінімуму пошкоджень інформаційних систем слід здійснювати і документально оформляти формальні процедури контролю змін.
        
        Процедури зміни повинні включити:
        
        a) ведення обліку узгоджених рівнів дозволів;
        
        b) забезпечення впевненості в тому, що зміни представлені уповноваженими користувачами;
        
        c) аналіз заходів та засобів контролю і управління, а також процедур цілісності на предмет забезпечення впевненості в тому, що вони не будуть порушені змінами;
        
        d) виявлення всього програмного забезпечення, інформації, об'єктів баз даних та апаратних засобів, які вимагають змін;
        
        e) отримання формального схвалення на детальні пропозиції щодо змін перед початком роботи;
        
        f) забезпечення впевненості в тому, що авторизований користувач схвалив всі зміни до їх реалізації;
        
        g) забезпечення впевненості в тому, що комплект системної документації оновлюється після завершення кожної зміни, і що стара документація архівується або віддаляється;
        
        h) підтримання контролю версій для всіх оновлень програмного забезпечення;
        
        i) збереження контрольних записів про всі запити на зміну;
        
        j) забезпечення впевненості в тому, що експлуатаційна документація (див. 10.1.1) і призначені для користувача процедури при необхідності змінюються, щоб відповідати внесеними змінами;
        
        k) забезпечення впевненості в тому, що процес впровадження змін здійснюється в узгоджений час і не порушує яких торкається процесів бізнесу.
    - - Міра і засіб контролю і управління При внесенні змін до експлуатовані системи прикладні програми, що мають велике значення для бізнесу, слід аналізувати і тестувати з метою забезпечення впевненості в тому, що не надається несприятливого впливу на функціонування або безпеку організації.
      - Рекомендація щодо реалізації
        Цей процес повинен охоплювати:
        
        a) аналіз заходів та засобів контролю і управління прикладними програмами і процедур цілісності на предмет забезпечення впевненості в тому, що вони не будуть порушені змінами експлуатованої системи;
        
        b) забезпечення впевненості в тому, що щорічний план підтримки та бюджет передбачає аналіз і тестування систем, необхідні при змінах експлуатованої системи;
        
        c) забезпечення впевненості в тому, що повідомлення про зміни експлуатованої системи надходять своєчасно, щоб дати можливість перед їх реалізацією провести відповідні тести і аналізи;
        
        d) забезпечення впевненості в тому, що відповідні зміни вносяться до планів забезпечення безперервності бізнесу
    - - Міра і засіб контролю і управління Необхідно уникати модифікацій пакетів програм, обмежуватися необхідними змінами і строго контролювати всі зроблені зміни.
      - Рекомендація щодо реалізації Наскільки можливо і допустимо з практичної точки зору пакети програм, що поставляються постачальником, слід використовувати без змін. Там, де необхідно внести зміни в пакет програм, слід враховувати наступне:
        
        a) ризик щодо вбудованих заходів і засобів контролю та управління і процедур забезпечення цілісності;
        
        b) необхідність отримання згоди постачальника;
        
        c) можливість отримання необхідних змін від постачальника в якості стандартної програми оновлення;
        
        d) можливі наслідки в разі, якщо організація стане відповідальною за майбутнє супровід програмного забезпечення в результаті внесених змін.
    - - Міра і засіб контролю і управління Можливість витоку інформації повинна бути відвернена.
      - Рекомендація щодо реалізації Для зниження ризику витоку інформації, наприклад, з причин використання і експлуатації прихованих каналів, необхідно брати до уваги наступне:
        
        a) сканування носіїв вихідної інформації і каналів зв'язку на наявність прихованої інформації;
        
        b) маскування і регулювання поведінки систем і каналів зв'язку для зниження ймовірності того, що третя сторона зможе отримати інформацію з поведінки систем і каналів зв'язку;
        
        c) використання систем і програмного забезпечення, які вважаються максимально достовірними, наприклад використання оцінених продуктів (див. ISO / IEC 15408);
        
        d) регулярний моніторинг діяльності персоналу та систем там, де це дозволено існуючим законодавством або приписами;
        
        e) моніторинг використання ресурсів в комп'ютерних системах.
    - - Міра і засіб контролю і управління Аутсорсинг розробки програмного забезпечення повинен бути під наглядом і контролем організації.
      - Рекомендація щодо реалізації Там, де для розробки програмного забезпечення залучається стороння організація, необхідно враховувати наступне:
        
        a) ліцензійні угоди, права власності на програми і права інтелектуальної власності (див. 15.1.2);
        
        b) сертифікацію якості і точності виконаної роботи;
        
        c) угоди умовного депонування на випадок відмови третьої сторони виконувати свої
        
        d) зобов'язання;
        
        e) права доступу з метою перевірки якості і точності виконаної роботи;
        
        f) договірні вимоги до якості та функціональної безпеки програм;
        
        g) тестування програм перед установкою на предмет виявлення шкідливих і «троянських» програм.
  - - - Міра і засіб контролю управління Необхідно отримувати своєчасну інформацію про технічні вразливості використовуваних інформаційних систем, оцінювати незахищеність організації щодо таких вразливостей і вживати відповідних заходів для розгляду пов'язаного з ними ризику.
      - Рекомендація щодо реалізації Постійно оновлюється та повний опис активів (див. 7.1) є передумовою ефективного менеджменту технічних вразливостей.
        
        Для створення ефективного процесу менеджменту щодо технічних вразливостей необхідно виконувати наступні рекомендації:
        
        a) в організації необхідно визначати і встановлювати ролі і обов'язки, пов'язані з менеджментом технічних вразливостей, включаючи моніторинг вразливостей, оцінку ризику прояви вразливостей, виправлення програм (патчінга), стеження за активами і будь-які інші координуючі функції;
        
        b) інформаційні ресурси, які будуть використовуватися для виявлення значимих технічних вразливостей і забезпечення обізнаності про них, слід визначати для програмного забезпечення та іншою технологією на основі списку інвентаризації активів (див. 7.1.1); ці інформаційні ресурси повинні оновлюватися слідом за змінами, що вносяться до опису, або коли знайдені інші нові або корисні ресурси;
        
        c) необхідно визначити часові параметри реагування на повідомлення про потенційно значущих технічних вразливості;
        
        d) після виявлення нею ризики і дії, які необхідно зробити; такі дії можуть включати внесення виправлень в уразливі системи і (або) застосування інших заходів і засобів контролю та управління;
        
        e) в залежності від потенційної технічної вразливості організація повинна визначити пов'язані з того, наскільки терміново необхідно розглянути технічну вразливість, що робляться дію слід здійснювати відповідно до заходів і засобами контролю і управління, пов'язаними з менеджментом змін (див. 12.5.1), або слідуючи процедурам реагування на інциденти інформаційної безпеки (див . 13.2);
        
        f) якщо є можливість установки патча, слід оцінити ризики, пов'язані з його установкою (Ризики, що створюються вразливістю, необхідно порівняти з ризиком установки патча);
        
        g) перед установкою патчі слід тестувати і оцінювати для забезпечення впевненості в тому, що вони є ефективними і не призводять до побічних ефектів, які не можна допускати; якщо ні можливості встановити патч, слід розглянути інші заходи і засоби контролю і управління/
        
        h) в контрольний журнал слід вносити інформацію про всіх зроблених процедурах;
        
        i) слід регулярно проводити моніторинг і оцінку процесу менеджменту технічних вразливостей в цілях забезпечення впевненості в його ефективності та дієвості;
        
        j) в першу чергу слід звертати увагу на системи з високим рівнем ризику.
- - - - Міра і засіб контролю і управління Про події інформаційної безпеки необхідно негайно повідомляти через відповідні канали управління.
      - Рекомендація щодо реалізації Необхідно впровадити формальну процедуру оповіщення про події інформаційної безпеки разом з процедурою реагування та ескалації інциденту, що містить дію, яке потрібно вжити при отриманні повідомлення про подію інформаційної безпеки. Повинна бути встановлена «точка контакту» для повідомлення про події інформаційної безпеки. необхідно забезпечити впевненість в тому, що ця «точка контакту» відома в організації, завжди доступна і здатна до адекватного і своєчасного реагування.
        
        Необхідно, щоб процедури інформування включали:
        
        a) відповідні процеси зворотного зв'язку, для забезпечення впевненості в тому, що співробітник, який повідомив про події інформаційної безпеки, був повідомлений про результати після того, як проблема була вирішена і закрита;
        
        b) форми повідомлень про події інформаційної безпеки, які повинні нагадати особі про дії, які необхідно здійснити;
        
        c) правила поведінки в разі, якщо відбудеться подія інформаційної безпеки, а саме:
        
        d) посилання на встановлені формальні дисциплінарні процеси щодо співробітників, підрядників і користувачів третьої сторони, які порушують правила безпеки.
    - - Міра і засіб контроля управління Від усіх співробітників, підрядників і представників третьої сторони, що мають справу з інформаційними системами та послугами, необхідно вимагати, щоб вони звертали увагу і повідомляли про будь-які помічені або передбачуваних вразливості в області безпеки в відношенні систем або послуг.
      - Рекомендація щодо реалізації Всі співробітники, підрядники та представники третьої сторони повинні якомога швидше повідомляти про уразливість безпеки своєму керівництву або безпосередньо постачальнику послуг, щоб запобігти інциденти інформаційної безпеки.
  - - - Міра і засіб контролю і управління Необхідно встановлювати обов'язки посадових осіб щодо здійснення менеджменту та процедури для забезпечення швидкого, ефективного та належного реагування на інциденти інформаційної безпеки.
      - Рекомендація щодо реалізації На додаток до інформування про події та недоліки інформаційної безпеки, необхідно також використовувати моніторинг систем, сигналів тривоги і вразливостей для виявлення інцидентів інформаційної безпеки. Відносно процедур менеджменту інцидентів інформаційної безпеки необхідно враховувати наступні рекомендації:
        
        a) слід встановити процедури обробки різних типів інцидентів інформаційної безпеки, включаючи:
        
        1) збої інформаційних систем і втрату обслуговування;
        
        2) шкідливі програми (див. 10.4.1);
        
        3) відмова в обслуговуванні;
        
        4) помилки, які є наслідком неповноти або неточності даних бізнесу;
        
        5) порушення конфіденційності та цілісності;
        
        6) неправильне використання інформаційних систем;
        
        b) на додаток до звичайних планам забезпечення безперервності бізнесу, процедури повинні також охоплювати:
        
        1) аналіз і виявлення причини інциденту;
        
        2) обмеження поширення наслідків;
        
        3) планування і реалізацію коригувальних дій для запобігання повторення, якщо це необхідно;
        
        4) взаємодія з особами, які зазнали вплив інциденту або брали участь у відновленні після інциденту;
        
        5) повідомлення про прийняте дії до відповідного органу;
        
        c) контрольні записи і аналогічні докази необхідно збирати і захищати для:
        
        a) аналізу внутрішніх проблем;
        
        b) використання в якості судового докази щодо можливого порушення договору або нормативного вимоги, а також в разі цивільного чи кримінального провадження, наприклад на підставі неправильного використання комп'ютера або законодавства про захисту даних;
        
        c) обговорення умов про виплату компенсації постачальниками програмного забезпечення і послуг;
        
        d) дії по відновленню після прояву недоліків безпеки і щодо усунення збоїв систем слід ретельно контролювати; процедури повинні забезпечувати впевненість у тому, що:
        
        1) тільки чітко ідентифікованого та уповноваженому персоналу дозволений доступ до експлуатованих систем і даними (див. 6.2 на предмет зовнішнього доступу);
        
        2) всі вжиті аварійні дії документуються в деталях;
        
        3) керівництво інформується про аварійний дії, і така дія аналізується належним чином;
        
        4) цілісність систем, а також заходів і засобів контролю та управління бізнесу підтверджується з мінімальною затримкою.
    - - Міра і засіб контролю і управління Повинні бути створені механізми, що дозволяють встановити типи, обсяги і збитки, викликані інцидентами інформаційної безпеки, які повинні бути виміряні і проконтрольовані.
      - Рекомендація щодо реалізації Інформацію, отриману в результаті оцінки інцидентів інформаційної безпеки, слід використовувати для ідентифікації повторюваних або які суттєво впливають інцидентів.
    - - Міра і засіб контролю управлінняУ тих випадках, коли наступні дії проти особи або організації після інциденту безпеки призводять до судового позову (як цивільного, так і кримінального), докази повинні бути зібрані, збережені і представлені відповідно до правил збору доказів, викладених у відповідних юрисдикціях.
      - Рекомендація щодо реалізації При зборі і поданні докази для цілей дисциплінарних впливів, що розглядаються в рамках організації, необхідно розробити і забезпечити проходження внутрішніх процедур.
- - - - Міра і засіб контролю і управління: Слід розробляти та підтримувати керований процес для забезпечення безперервності бізнесу в усій організації, який враховує вимоги до інформаційної безпеки, необхідні для забезпечення безперервності бізнесу організації.
      - Рекомендація щодо реалізації: Даний процес повинен об'єднувати такі ключові елементи менеджменту безперервності бізнесу:
        
        a) розуміння ризиків, з якими стикається організація, з точки зору ймовірності і тривалості впливу, включаючи визначення критичних процесів бізнесу і встановлення їх пріоритетів (див. 14.1.2);
        
        b) визначення всіх активів, залучених в критичні процеси бізнесу (див. 7.1.1);
        
        c) розуміння наслідків для бізнесу, які можуть бути викликані перериваннями, зумовленими інцидентами інформаційної безпеки (важливо, щоб були знайдені рішення, які будуть застосовуватися як в разі незначних, так і суттєвих інцидентів, потенційно загрозливих життєдіяльності організації), а також визначення цілей бізнесу стосовно до засобів обробки інформації;
        
        d) розгляд можливості відповідного страхування, яке може стати частиною загального процесу безперервності бізнесу, а також частиною менеджменту експлуатаційного ризику;
        
        e) визначення і розгляд впровадження додаткових превентивних і політики з боротьби з і засобів контролю і управління;
        
        f) визначення достатності фінансових, організаційних, технічних ресурсів і ресурсів навколишнього середовища для реагування на виявлені вимоги інформаційної безпеки;
        
        g) забезпечення безпеки персоналу та захист засобів обробки інформації і майна організації;
        
        h) розробку і документальне оформлення планів забезпечення безперервності бізнесу, які враховують вимоги інформаційної безпеки відповідно до узгодженої стратегією забезпечення безперервності бізнесу (див. 14.1.3);
        
        i) регулярне тестування і оновлення даних планів і застосовуваних процесів (див. 14.1.5);
        
        j) забезпечення впевненості в тому, що менеджмент безперервності бізнесу органічно вписується в процеси і структуру організації; відповідальність за процес менеджменту інформаційної безпеки слід призначати на відповідному рівні в рамках організації (див. 6.1.1).
    - - Міра і засіб контролю і управління: Події, які можуть стати причиною переривань процесів бізнесу, необхідно визначати разом з ймовірністю і впливом таких переривань, а також їх наслідками для інформаційної безпеки.
      - Рекомендація щодо реалізації: Необхідно, щоб аспекти інформаційної безпеки в контексті забезпечення безперервності бізнесу грунтувалися на виявленні подій (або послідовності подій), які можуть стати причиною переривань бізнес-процесів організацій, наприклад відмова обладнання, помилки оператора, крадіжка, пожежа, стихійні лиха і тероризм.
    - - Міра і засіб контролю і управління: Слід розробити і впровадити плани забезпечення безперервності бізнесу з метою підтримки або відновлення операцій і забезпечення доступності інформації на необхідному рівні та в потрібні терміни після переривання або збою критичних процесів бізнесу.
      - Рекомендація щодо реалізації: Процес планування безперервності бізнесу повинен передбачати наступне:
        
        a) визначення та узгодження всіх обов'язків і процедур, пов'язаних із забезпеченням безперервності бізнесу;
        
        b) визначення прийнятних втрат інформації та послуг;
        
        c) впровадження процедур, що дозволяють відновити і відновити операції бізнесу і доступність інформації в необхідні терміни; особливу увагу слід приділити оцінці зовнішніх і внутрішніх залежностей бізнесу та існуючих договорів;
        
        d) експлуатаційні процедури, яких необхідно дотримуватися в очікуванні завершення відновлення і відновлення;
        
        e) документальне оформлення узгоджених процедур і процесів;
        
        f) відповідне навчання співробітників узгодженими процедурами розвиваються, включаючи управління в критичних ситуаціях;
        
        g) тестування та оновлення планів.
    - - Міра і засіб контролю і управління: Слід підтримувати єдину структуру планів безперервності бізнесу, щоб забезпечити впевненість у тому, що всі плани узгоджені відповідно до розглянутими вимогами інформаційної безпеки і встановлених пріоритетів для тестування і обслуговування.
      - Рекомендація щодо реалізації: У кожному плані забезпечення безперервності бізнесу повинен описуватися підхід до забезпечення безперервності, наприклад підхід до забезпечення впевненості в доступності та безпеки інформації або інформаційних систем.
        
        В основу планування безперервності бізнесу повинні бути закладені вимоги інформаційної безпеки, і передбачено наступне:
        
        a) умови активізації планів, що описують процес, якому необхідно слідувати (наприклад, як оцінити ситуацію, хто повинен брати участь), перш ніж привести в дію кожен план;
        
        b) процедури, що визначають порядок дій при надзвичайних ситуаціях, які повинні бути зроблені після інциденту, що ставить під загрозу операції бізнесу;
        
        c) процедури переходу на аварійний режим, що описують дії, які повинні бути зроблені, щоб перенести важливі операції бізнесу і послуги підтримки в альтернативне тимчасове місце розміщення і відновити процеси бізнесу в необхідні терміни;
        
        d) тимчасові експлуатаційні процедури, яких слід дотримуватися в очікуванні завершення відновлення і відновлення;
        
        e) процедури відновлення, що визначають порядок дій, які повинні бути зроблені, щоб повернутися до нормального стану операцій бізнесу;
        
        f) графік підтримки плану, який визначає спосіб і час перевірки, а також процес підтримки плану в актуальному стані;
        
        g) інформування, навчання та тренінг, спрямовані на розуміння процесів забезпечення безперервності бізнесу та забезпечення впевненості в ефективності цих процесів;
        
        h) обов'язки осіб із зазначенням відповідальних за виконання кожного пункту плану, при необхідності повинні бути вказані альтернативні відповідальні особи;
        
        i) найважливіші активи і ресурси, необхідні для дій в надзвичайних ситуаціях, при переході на аварійний режим і в процедурах відновлення.
    - - Міра і засіб контролю і управління: Плани безперервності бізнесу необхідно регулярно тестувати та оновлювати з метою забезпечення впевненості в їх актуальності та ефективності.
      - Рекомендація щодо реалізації: Зазначені тести повинні забезпечувати впевненість в тому, що всі члени групи ліквідації наслідків надзвичайних ситуацій та інший персонал, що має доцього відношення, обізнані про плани і про свої обов'язки, що стосуються забезпечення безперервності бізнесу та інформаційної безпеки.
        
        Слід використовувати різні методи для забезпечення впевненості в тому, що план (и) буде (уть) діяти в реальному житті. До таких методів належать:
        
        a) теоретична перевірка різних сценаріїв (обговорення заходів по відновленню бізнесу на різних прикладах переривань);
        
        b) моделювання особливо для тренінгу співробітників по виконанню їх ролей менеджменту в постінцідентних і кризових ситуаціях;
        
        c) тестування технічного відновлення (забезпечення впевненості в можливості ефективного відновлення систем);
        
        d) тестування процесів відновлення діяльності на альтернативному майданчику (процеси бізнесу здійснюються паралельно з процедурами відновлення на віддаленій альтернативному майданчику);
        
        e) тестування обладнання і послуг постачальників (забезпечення впевненості в тому, що надані сторонніми організаціями продукти і послуги задовольняють договірним зобов'язанням);
        
        f) «генеральні репетиції» (перевірка готовності персоналу, обладнання, засобів і процесів до забезпечення безперервності бізнесу).
- - - - Міра і засіб контролю і управління: Все застосовні правові, нормативні та договірні вимоги та підхід організації до виконання цих вимог слід чітко визначити, документально оформити і підтримувати на актуальному рівні по відношенню до кожної інформаційної системи та організації.
      - Рекомендація щодо реалізації: Конкретні заходи і засоби контролю і управління, а також обов'язки конкретних осіб щодо виконання цих вимог необхідно визначити і документально оформити.
    - - Міра і засіб контролю управління: Важливі документи організації необхідно захищати від втрати, руйнування і фальсифікації в відповідно до законодавчих, нормативних та договірними вимогами, а також вимогами бізнесу.
      - Рекомендація щодо реалізації: Документи необхідно класифікувати за типами, наприклад бухгалтерські рахунки, записи баз даних, журнали реєстрації транзакцій, контрольні журнали і методики експлуатації, із зазначенням періоду зберігання та типу носіїв даних, що зберігаються, наприклад папір, мікрофіша (мікрофіша - плівка або пластина з декількома десятками кадрів мікрофільмів.
    - - Міра і засіб контролю і управління: Повинна бути забезпечена впевненість у захисті даних та персональних даних відповідно до вимогами відповідних законодавчих і нормативних актів і, в разі необхідності, умов договорів.
      - Рекомендація щодо реалізації: Необхідно розробити і впровадити політику організації по відношенню до забезпечення захисту даних і персональних даних. Ця політика повинна бути доведена до відома всіх осіб, що беруть участь в обробці персональних даних.
    - - Міра і засіб контролю і управління: Користувачів слід утримувати від застосування засобів обробки інформації для несанкціонованих цілей.
      - Рекомендація щодо реалізації:Керівництво повинно санкціонувати використання коштів обробки інформації. Будь-яке використання цих коштів для невиробничих цілей без схвалення керівництва або для яких-небудь несанкціонованих цілей слід розглядати як нецільове.
    - - Міра і засіб контролю управління: Криптографічні заходи і засоби контролю і управління повинні використовуватися з дотриманням всіх відповідних угод, законів і нормативних актів.
      - Рекомендація щодо реалізації: Наступні питання необхідно розглядати стосовно дотримання відповідних угод, законів і нормативних актів:
        
        a) обмеження на імпорт і (або) експорт комп'ютерних апаратних і програмних засобів для виконання криптографічних функцій;
        
        b) обмеження на імпорт і (або) експорт комп'ютерних апаратних і програмних засобів, які розроблені таким чином, що мають в якості доповнення криптографічні функції;
        
        c) обмеження на використання шифрування;
        
        d) обов'язкові або представлені на власний розсуд методи доступу державних органів до інформації, зашифрованої за допомогою апаратних або програмних засобів для забезпечення конфіденційності змісту.
  - - - Міра і засіб контролю і управління: Керівники повинні забезпечити впевненість у тому, що всі процедури безпеки в межах їх зони відповідальності виконуються правильно, для того щоб досягти відповідності політикам та стандартам безпеки.
      - Рекомендація щодо реалізації: Керівники повинні регулярно аналізувати відповідність обробки інформації в межах їх зони відповідальності політикам і стандартам безпеки, а також будь-яким іншим вимогам безпеки.
    - - Міра і засіб контролю управління: Інформаційні системи слід регулярно перевіряти на відповідність стандартам безпеки безпеки.
      - Рекомендація щодо реалізації:Перевірку відповідності технічним вимогам повинен здійснювати досвідчений системний інженер вручну (при необхідності за допомогою відповідних інструментальних засобів програмного забезпечення) і (або) за допомогою автоматизованих інструментальних засобів, які генерують технічний звіт для подальшого аналізу технічним фахівцем.
  - - - Міра і засіб контролю і управління: Вимоги і процедури аудиту, що включають перевірки експлуатованих систем, необхідно ретельно планувати і погоджувати, щоб звести до мінімуму ризик порушення процесів бізнесу.
      - Рекомендація щодо реалізації: Необхідно враховувати наступні рекомендації:
        
        a) вимоги аудиту повинні бути погоджені з відповідним керівництвом;
        
        b) область перевірок слід узгоджувати і контролювати;
        
        c) при проведенні перевірок доступ до програмного забезпечення та даними повинен бути обмежений тільки читанням;
        
        d) інші види доступу, крім доступу тільки для читання, можуть бути дозволені тільки в відношенні ізольованих копій файлів системи, які необхідно видалити після завершення аудиту або забезпечити відповідним захистом, якщо необхідно зберігати такі файли у відповідності до вимог документального оформлення аудиту;
        
        e) ресурси, необхідні для виконання перевірок, повинні бути чітко визначені і зроблені доступними;
        
        f) вимоги щодо спеціальної або додаткової обробки даних слід визначити і узгодити;
        
        g) весь доступ необхідно відстежувати і реєструвати для створення простежуються посилань; для критично важливих даних і систем належить розглядати використання датуються простежуються посилань;
        
        h) всі процедури, вимоги і обов'язки слід оформляти документально;
        
        i) особа (и), що проводить (і) аудит, має (и) бути незалежним (і).
    - - Міра і засіб контролю і управління: Доступ до інструментальним кошти, що застосовуються при проведенні аудиту інформаційних систем, необхідно захищати, щоб запобігти будь-яке можливе їх неправильне використання або компрометацію.
      - Рекомендація щодо реалізації: Інструментальні засоби, що застосовуються при проведенні аудиту інформаційних систем, наприклад програмне забезпечення або файли даних, необхідно відокремлювати від систем розробки і експлуатованих систем, а також, якщо не забезпечений відповідний рівень додаткового захисту, їх не слід зберігати в бібліотеках на магнітних стрічках або в області користувачів.