Please enable JavaScript.

Coggle requires JavaScript to display documents.

ISO/ІЕС 27002 «ІНФОРМАЦІЙНІ ТЕХНОЛОГІЇ. МЕТОДИКИ БЕЗПЕКИ. ПРАКТИЧНІ…

- - - - a. політика безпеки (1);
        
        b. організаційні аспекти інформаційної безпеки (2);
        
        c. менеджмент активів (2);
        
        d. безпеку, пов'язана з персоналом (3);
        
        e. фізичний захист і захист від впливу навколишнього середовища (2);
        
        f. менеджмент комунікацій і робіт (10);
        
        g. управління доступом (7);
        
        h. придбання, розробка та експлуатація інформаційних систем (6);
        
        i. менеджмент інцидентів інформаційної безпеки (2);
        
        j. менеджмент безперервності бізнесу (1);
        
        k. відповідність (3).
  - - - a. Міра і засіб контролю і управління – визначається формулювання специфічних заходів і засобів контролю і управління для досягнення мети управління.
        
        b. Рекомендація щодо реалізації – надається більш деталізована інформація для підтримки реалізації заходів і засоби контролю і управління та досягнення мети управління. Деякі з цих рекомендацій можуть бути неприйнятні для всіх випадків, тому інші способи реалізації заходів і засоби контролю і управління можуть бути більш доречними.
        
        c. Додаткова інформація – надається додаткова інформація, яка може бути розглянута, наприклад правові питання і посилання на інші стандарти.
- - - - Оцінка ризиків повинна ідентифікувати ризики, визначити кількість і пріоритети ризиків на основі критеріїв для прийняття ризику і цілей, які є значущими для організації. Результати повинні служити орієнтиром і визначати відповідні дії керівництва і пріоритети менеджменту ризиків інформаційної безпеки, а також реалізацію заходів і засобів контролю та управління, обраних для захисту від цих ризиків. Може виникнути необхідність в неодноразовому виконанні процесу оцінки ризиків і вибору заходів та засобів контролю і управління для того, щоб охопити різні підрозділи організації або окремі інформаційні системи.
      - Оцінка ризиків повинна включати систематичний підхід, що полягає в кількісній оцінці ризиків (аналіз ризику), і процес порівняння кількісно оцінених ризиків з даними критеріями ризиків для визначення значущості ризиків (оцінювання ризиків).
      - Оцінки ризиків слід виконувати періодично, щоб враховувати зміни у вимогах безпеки і в ситуації, пов'язаної з ризиком, наприклад щодо активів, погроз, вразливостей, впливів, оцінювання ризиків, а також при значних змінах. Такі оцінки ризиків слід проводити систематично, способом, що дає порівняльні та відтворювані результати.
      - Щоб бути ефективною, оцінка ризиків інформаційної безпеки повинна мати чітко визначену сферу застосування і, при необхідності, взаємозв'язок з оцінками ризиків в інших областях.
      - Областю застосування оцінки ризиків може бути ціла організація, її підрозділи, окрема інформаційна система, певні компоненти системи, або послуги, де це можливо, реально і корисно. Приклади методик оцінки ризиків розглядаються в ISO / IEC ТО 13335-3 [4].
  - - - a. застосування відповідних заходів і засобів контролю та управління для зниження ризиків;
      - b. свідоме та об'єктивне прийняття ризиків в тому випадку, якщо вони, безсумнівно, задовольняють політиці і критеріям організації щодо прийняття ризиків;
      - c. запобігання ризикам шляхом недопущення дій, які можуть стати причиною виникнення ризиків;
      - d. перенесення взаємодіючих ризиків шляхом поділу їх з іншими сторонами, наприклад страховиками або постачальниками.
    - - a. вимоги та обмеження національних і міжнародних законів і норм;
      - b. цілі організації;
      - c. експлуатаційні вимоги і обмеження;
      - d. вартість реалізації і експлуатації стосовно знижує ризик повинна залишатися пропорційної вимогам і обмеженням організації;
      - e. необхідність збереження балансу між інвестиціями в реалізацію і експлуатацію заходів і засобів контролю та управління і збитком, який може мати місце в результаті недостатньої безпеки.
- - - - Міра і засіб контролю і управління:
        
        Політика інформаційної безпеки повинна бути затверджена керівництвом, видана і доведена до відома всіх співробітників організації і відповідних сторонніх організацій.
      - Рекомендація щодо реалізації:
        
        Політика інформаційної безпеки повинна встановлювати відповідальність керівництва, а також викладати підхід організації до менеджменту інформаційної безпеки, Документ, в якому викладається політика, повинен містити положення щодо:
        
        a. визначення інформаційної безпеки, її загальних цілей і сфери дії, а також згадки значення безпеки як інструменту, що забезпечує можливість спільного використання інформації (див. «Вступ»);
        
        b. викладу намірів керівництва, що підтримують цілі і принципи інформаційної безпеки відповідно до стратегії і цілями бізнесу;
        
        c. підходу до встановлення заходів і засобів контролю та управління і цілей їх застосування, включаючи структуру оцінки ризику та менеджменту ризику;
        
        d. короткого роз'яснення найбільш істотних для організації політик безпеки, принципів, стандартів і вимог відповідності, наприклад:
        
        1) відповідність законодавчим вимогам та договірними зобов'язаннями;
        
        2) вимоги щодо забезпечення поінформованості, навчання і тренінгу щодо безпеки;
        
        3) менеджмент безперервності бізнесу;
        
        4) відповідальність за порушення політики інформаційної безпеки;
        
        e. визначення загальних і конкретних обов'язків співробітників в рамках менеджменту інформаційної безпеки, включаючи інформування про інциденти безпеки;
        
        f. посилань на документи, що доповнюють політику інформаційної безпеки, наприклад більш детальні політики та процедури безпеки для певних інформаційних систем, а також правила безпеки, яким повинні слідувати користувачі.
    - - Міра і засіб контролю і управління:
        
        Політика інформаційної безпеки повинна переглядатися або через заплановані інтервали часу, або, якщо відбулися значні зміни, з метою забезпечення впевненості в її актуальності, адекватності та ефективності.
      - Рекомендація щодо реалізації:
        
        Вхідні дані для перегляду методів управління повинні включати інформацію про (о):
        
        a. відповідної реакції зацікавлених сторін;
        
        b. результати незалежних переглядів (см. 6.1.8);
        
        c. стані запобігають і коригувальних дій (див. 6.1.8 та 15.2.1);
        
        d. результати попередніх переглядів методів управління;
        
        e. виконання процесу і відповідно політиці інформаційної безпеки;
        
        f. зміни, які могли б вплинути на підхід організації до методів управління інформаційною безпекою, включаючи зміни, що стосуються організаційного середовища, обставин бізнесу, доступності ресурсів, контрактних, що регулюють і правових умов або технічного середовища;
        
        g. тенденції щодо загроз і вразливостей;
        
        h. доведених до відома інциденти інформаційної безпеки (див. 13.1);
        
        i. рекомендаціях, даних відповідними органами (див. 6.1.6).
        
        j. Вихідні дані перегляду методів управління повинні включати будь- які рішення і дії щодо:
        
        k. поліпшення підходу організації до менеджменту інформаційної безпеки та її процесів;
        
        l. поліпшення заходів і засобів контролю та управління і цілей їх застосування;
        
        m. поліпшення розподілу ресурсів і (або) обов'язків.
        
        Політика інформаційної безпеки повинна мати власника, який затверджений керівництвом в якості відповідального за розробку, перегляд та оцінку політики безпеки. Перегляд полягає в оцінці можливостей щодо поліпшення політики інформаційної безпеки організації і підходу до менеджменту інформаційної безпеки у відповідь на зміни організаційної середовища, обставин бізнесу, правових умов або технічного середовища.
        
        При перегляді політики інформаційної безпеки слід враховувати результати переглядів методів управління. Повинні існувати певні процедури перегляду методів управління, в тому числі графік або період перегляду.
- - - - Міра і засіб контролю і управління:
        
        Керівництву слід активно підтримувати безпеку в організації за допомогою чіткого управління, відомого розподілу обов'язків, визначених призначень і визнання обов'язків щодо інформаційної безпеки.
      - Рекомендація щодо реалізації:
        
        Керівництву слід:
        
        a. забезпечувати впевненість в тому, що цілі інформаційної безпеки визначено, відповідають вимогам організації і включені до відповідних процеси;
        
        b. формулювати, аналізувати і затверджувати політику інформаційної безпеки;
        
        c. аналізувати ефективність реалізації політики інформаційної безпеки;
        
        d. забезпечувати чітке управління і очевидну підтримку менеджменту щодо ініціатив, пов'язаних з безпекою;
        
        e. забезпечувати ресурси, необхідні для інформаційної безпеки;
        
        f. затверджувати певні ролі і відповідальності щодо інформаційної безпеки в рамках організації;
        
        g. ініціювати плани і програми для підтримки поінформованості про інформаційну безпеку;
        
        h. забезпечувати впевненість в тому, що реалізація заходів і засобів контролю та управління інформаційної безпеки скоординована в рамках організації.
    - - Міра і засіб контролю і управління:
        
        Керівництву слід активно підтримувати безпеку в організації за допомогою чіткого управління, відомого розподілу обов'язків, визначених призначень і визнання обов'язків щодо інформаційної безпеки.
      - Рекомендація щодо реалізації:
        
        Керівництву слід:
        
        a. забезпечувати впевненість в тому, що цілі інформаційної безпеки визначено, відповідають вимогам організації і включені до відповідних процеси;
        
        b. формулювати, аналізувати і затверджувати політику інформаційної безпеки;
        
        c. аналізувати ефективність реалізації політики інформаційної безпеки;
        
        d. забезпечувати чітке управління і очевидну підтримку менеджменту щодо ініціатив, пов'язаних з безпекою;
        
        e. забезпечувати ресурси, необхідні для інформаційної безпеки;
        
        f. затверджувати певні ролі і відповідальності щодо інформаційної безпеки в рамках організації;
        
        g. ініціювати плани і програми для підтримки поінформованості про інформаційну безпеку;
        
        h. забезпечувати впевненість в тому, що реалізація заходів і засобів контролю та управління інформаційної безпеки скоординована в рамках організації.
    - - Міра і засіб контролю і управління:
        
        Діяльність, пов'язана з інформаційною безпекою, повинна бути скоординована представниками різних підрозділів організації з відповідними ролями та посадовими обов'язками.
      - Рекомендація щодо реалізації:
        
        Така діяльність повинна:
        
        a. забезпечувати впевненість у тому, що забезпечення безпеки здійснюється відповідно до політикою інформаційної безпеки;
        
        b. визначати спосіб усунення невідповідності;
        
        c. стверджувати методики і процеси забезпечення інформаційної безпеки, наприклад оцінку ризику, класифікацію інформації;
        
        d. виявляти значні зміни загроз і схильність інформації і засобів обробки інформації загрозам;
        
        e. оцінювати адекватність і координувати реалізацію заходів і засобів контролю та управління інформаційної безпеки;
        
        f. ефективно сприяти обізнаності, навчання та тренінгу щодо інформаційної безпеки в рамках організації;
        
        g. оцінювати інформацію, отриману в результаті моніторингу та аналізу інцидентів інформаційної безпеки, і рекомендувати відповідні дії у відповідь на виявлені інциденти інформаційної безпеки.
    - - Міра і засіб контролю і управління:
        
        Всі обов'язки по забезпеченню інформаційної безпеки повинні бути чітко визначені.
      - Рекомендація щодо реалізації:
        
        Коло обов'язків кожного керівника повинен бути чітко визначений, зокрема:
        
        a. активи і процеси (процедури) безпеки, пов'язані з кожною конкретною системою, повинні бути чітко визначені;
        
        b. необхідно призначити відповідальних за кожен актив або процедуру безпеки, і докладно описати їх обов'язки у відповідних документах;
        
        c. рівні доступу до повинні бути чітко визначені і документально оформлені.
    - - Міра і засіб контролю і управління:
        
        Необхідно визначити і реалізувати процес отримання дозволу у керівництва на використання нових засобів обробки інформації.
      - Рекомендація щодо реалізації:
        
        Відносно процесу отримання дозволу слід розглянути наступні рекомендації:
        
        a. на нові засоби повинні бути отримані відповідні дозволи керівництва користувачів, який стверджує їх мета і використання. Дозвіл слід також отримувати від менеджера, відповідального за підтримку середовища безпеки локальної інформаційної системи, щоб забезпечити впевненість у тому, що всі відповідні вимоги і політики безпеки дотримуються;
        
        b. апаратні засоби і програмне забезпечення, де необхідно, слід перевіряти на предмет сумісності з іншими компонентами системи;
        
        c. використання персональних або перебувають у приватній власності засобів обробки інформації, наприклад лептопів, домашніх комп'ютерів або кишенькових пристроїв для обробки ділової інформації може бути причиною нових вразливостей, тому слід визначати і реалізовувати необхідні заходи і засоби контролю і управління.
    - - Міра і засіб контролю і управління:
        
        Вимоги щодо угод про конфіденційність або нерозголошення, що відображають потреби організації в захисті інформації, повинні визначатися і регулярно переглядатися.
      - Рекомендація щодо реалізації:
        
        В угодах про конфіденційність або нерозголошення повинно міститися вимога про захист конфіденційної інформації, виражене юридичними термінами, що мають позовну силу. Щоб визначити вимоги для угод про конфіденційність або нерозголошення, необхідно врахувати наступні фактори:
        
        a. визначення інформації, що підлягає захисту (наприклад конфіденційна інформація);
        
        b. передбачуваний термін дії угоди, включаючи випадки, коли може виникнути необхідність в необмеженій підтримці конфіденційності;
        
        c. необхідні дії при закінченні терміну дії угоди;
        
        d. обов'язки і дії осіб, які підписали угоду, з метою запобігання несанкціонованого розголошення інформації (наприклад за принципом «необхідного знання»);
        
        e. володіння інформацією, комерційні таємниці і інтелектуальна власність, і як це співвідноситься з захистом конфіденційної інформації;
        
        f. дозволене використання конфіденційної інформації та права осіб, що підписали угоду, щодо використання інформації;
        
        g. право піддавати аудиту і моніторингу діяльність, пов'язану з конфіденційною інформацією;
        
        h. процедуру попередження і повідомлення про несанкціонований розголошенні або порушеннях, пов'язаних з конфіденційною інформацією;
        
        i. умови повернення або знищення інформації в разі призупинення дії угоди;
        
        j. передбачувані дії, які повинні бути зроблені в разі порушення даної угоди.
    - - Міра і засіб контролю та управління:
        
        Повинні підтримуватися відповідні контакти з різними інстанціями.
      - Рекомендація щодо реалізації:
        
        В організаціях повинні застосовуватися процедури, що визначають, коли і з якими інстанціями (наприклад правоохоронними, пожежними та наглядовими органами) необхідно вступити в контакт, і яким чином слід своєчасно повідомляти про виявлені інциденти інформаційної безпеки, якщо є підозра про можливість порушення закону. Організаціям, що піддаються атаці через Інтернет, може знадобитися залучення зовнішньої третьої сторони (наприклад провайдера Інтернет-послуг або телекомунікаційного оператора) для вжиття заходів проти джерела атаки.
    - - Міра і засіб контролю та управління:
        
        Повинні підтримуватися відповідні контакти зі спеціалізованими професійними групами або учасниками форумів з безпеки, а також з професійними асоціаціями.
      - Рекомендація щодо реалізації:
        
        Членство в спеціалізованих групах або форумах слід розглядати як засіб для:
        
        a. підвищення знання про «передовий досвід» і досягнень інформаційної безпеки на сучасному рівні;
        
        b. забезпечення впевненості в тому, що розуміння проблем інформаційної безпеки є сучасним і повним;
        
        c. отримання раннього оповіщення у вигляді попереджень, інформаційних повідомлень і патчей (блок змін для оперативного виправлення або нейтралізації помилки в виконуваної програмі, найчастіше поставляється або розміщується на сайті розробника у вигляді невеликої програми, вставляти виправлення в об'єктний код відповідних модулів програми. Іноді цей метод використовується для додавання в додаток нової функціональності) стосуються атак і вразливостей;
        
        d. можливості отримання консультацій фахівців з питань інформаційної безпеки;
        
        e. спільного використання та обміну інформацією про нові технології, продуктах, погрози або вразливості;
        
        f. забезпечення адекватних точок контакту для обговорення інцидентів інформаційної безпеки.
    - - Міра і засіб контролю і управління:
        
        Підхід організації до менеджменту інформаційної безпеки і її реалізації (тобто мети управління, політики, процеси та процедури щодо забезпечення інформаційної безпеки) повинен перевірятися незалежним чином через заплановані інтервали часу, або коли відбулися значні зміни, пов'язані з реалізацією безпеки.
      - Рекомендація щодо реалізації:
        
        Незалежна перевірка повинна ініціюватися керівництвом. Така незалежна перевірка необхідна для забезпечення впевненості в збереженні працездатності, адекватності та ефективності підходу організації до менеджменту інформаційної безпеки. Перевірка повинна включати в себе оцінку можливостей поліпшення і необхідність змін підходу до безпеки, в тому числі політику і цілі управління.
        
        Така перевірка повинна здійснюватися фахівцями, які не працюють у даній області діяльності, наприклад службою внутрішнього аудиту, незалежним менеджером або сторонньою організацією, яка спеціалізується на таких перевірках. Фахівці, які залучаються до таких перевірок, повинні володіти відповідними навичками та досвідом.
        
        Результати незалежної перевірки повинні реєструватися і повідомлятися керівництву, який ініціював перевірку. Ці звіти необхідно зберігати для можливого подальшого використання.
        
        Якщо в результаті незалежної перевірки встановлюється, що підхід організації і реалізація менеджменту інформаційної безпеки неадекватні або не відповідають напрямку інформаційної безпеки, викладеному в документі, що містить політику інформаційної безпеки, керівництву слід розглянути відповідні коригувальні дії.
  - - - Міра і засіб контролю і управління:
        
        Ризики для інформації і засобів обробки інформації організації, що є наслідком процесів бізнесу, в яких беруть участь сторонні організації, необхідно визначати і необхідно реалізовувати відповідні заходи і засоби контролю і управління перш, ніж буде надано доступ.
      - Рекомендація щодо реалізації:
        
        Там, де є необхідність дозволу доступу сторонньої організації до засобів обробки інформації або інформації організації, слід проводити оцінку ризику з метою визначення будь-яких потреб у спеціальних заходах і засобах контролю і управління. При визначенні ризиків, пов'язаних з доступом сторонніх організацій, слід враховувати:
        
        a. засоби обробки інформації, необхідні стороннім організаціям для доступу;
        
        b. тип доступу до інформації та засобів обробки інформації, який буде наданий стороннім організаціям, наприклад:
        
        1) фізичний доступ, наприклад до офісів, машинним залам, картотеками;
        
        2) логічний доступ, наприклад до баз даних, інформаційних систем організації;
        
        3) можливість підключення до мережі між мережею (мережами) організації та сторонньої організації, наприклад нероз'ємне з'єднання, віддалений доступ;
        
        4) здійснення доступу на місці або поза місцем експлуатації;
        
        c. цінність і чутливість використовуваної інформації, її критичність для операцій бізнесу;
        
        d. заходи і засоби контролю і управління, необхідні для захисту інформації, не призначеної для доступу стороннім організаціям;
        
        e. персонал сторонньої організації, що бере участь в обробці інформації організації;
        
        f. яким чином організація або персонал, авторизовані на отримання доступу, можуть бути ідентифіковані, авторизація перевірена і як часто це необхідно підтверджувати;
        
        g. різні способи і заходи і засоби контролю і управління, які застосовуються сторонніми організаціями при зберіганні, обробці, передачі, спільне використання та обмін інформацією;
        
        h. вплив ненадання необхідного доступу сторонньої організації і введення або отримання сторонньою організацією неточної або помилкової інформації;
        
        i. інструкції та процедури прийняття заходів по відношенню до інцидентів інформаційної безпеки та можливих збитків, а також терміни і умови поновлення доступу сторонніх організацій в разі інциденту інформаційної безпеки;
        
        j. правові та нормативні вимоги, а також договірні зобов'язання, значимі для сторонніх організацій, які необхідно брати до уваги;
        
        k. вплив вищезгаданих заходів на інтереси будь-яких інших причетних сторін.
    - - Міра і засіб контролю і управління:
        
        Всі встановлені вимоги безпеки повинні бути розглянуті раніше, ніж клієнтам буде даний доступ до інформації або активів організації.
      - Рекомендація щодо реалізації:
        
        Наступні умови повинні бути враховані при розгляді безпеки до надання клієнтам доступу до будь-якого активу організації (в залежності від типу і тривалості надається доступу не всі з них можуть бути застосовні):
        
        a. захист активів, включаючи:
        
        1) процедури захисту активів організації, в тому числі інформацію і програмне забезпечення, а також менеджмент відомих вразливостей;
        
        2) процедури для визначення компрометації активів, наприклад внаслідок втрати або модифікації даних;
        
        3) цілісність;
        
        4) обмеження на копіювання та розголошення інформації;
        
        b. опис продукту чи послуги, які повинні бути забезпечені;
        
        c. різні причини, вимоги та переваги, пов'язані з доступом клієнта;
        
        d. політика управління доступом, що охоплює:
        
        1) дозволені методи доступу, а також управління і використання унікальних ідентифікаторів, типу ідентифікаторів користувача і паролів;
        
        2) процес авторизації щодо доступу і привілеїв користувачів;
        
        3) положення про те, що весь доступ, чи не авторизований явно, є забороненим;
        
        4) процес скасування прав доступу або переривання з'єднання між системами;
        
        e. процедури щодо звітності, повідомлення та розслідування неточностей в інформації (наприклад, персональних подробиць), інцидентів інформаційної безпеки та порушень безпеки;
        
        f. опис кожної послуги, що надається;
        
        g. визначення необхідного та неприйнятного рівня обслуговування;
        
        h. право на проведення моніторингу та скасування будь-якої діяльності, пов'язаної з активами організації;
        
        i. відповідні зобов'язання організації і клієнта;
        
        j. зобов'язання щодо юридичних питань, і спосіб забезпечення впевненості у відповідності правовим нормам, наприклад законодавству про захист даних, особливо з урахуванням різних вимог національних правових систем, якщо договір передбачає співпрацю з клієнтами в інших країнах;
        
        k. дотримання прав на інтелектуальну власність та авторських прав, а також забезпечення правового захисту будь-якої спільної роботи.
    - - Міра і засіб контролю і управління:
        
        Договори з третьою стороною, залученої до доступу, обробці, передачі або управління інформацією або засобами обробки інформації організації, або до доповнення продуктів або послуг до засобів обробки інформації, повинні охоплювати всі відповідні вимоги безпеки.
      - Рекомендація щодо реалізації:
        
        Наступні умови повинні бути розглянуті на предмет включення в договір з метою задоволення встановлених вимог безпеки:
        
        a. політика інформаційної безпеки;
        
        b. заходи і засоби контролю і управління для забезпечення впевненості в захисті активів, включаючи:
        
        1) процедури щодо захисту активів організації, в тому числі інформацію, програмне забезпечення та апаратні засоби;
        
        2) будь-які заходи і засоби контролю і управління, а також інструменти необхідної фізичного захисту;
        
        3) заходи і засоби контролю і управління для забезпечення впевненості в захисті від шкідливого програмного засобу;
        
        4) процедури по визначенню компрометації активів, наприклад внаслідок втрати або модифікації інформації, програмного забезпечення та апаратних засобів;
        
        5) заходи і засоби контролю і управління по забезпеченню впевненості в поверненні або знищення інформації і активів після закінчення договору або в узгоджений час протягом терміну дії договору;
        
        6) конфіденційність, цілісність, доступність і будь-яка інша значима властивість активів;
        
        7) обмеження на копіювання та розголошення інформації, і застосування угод про конфіденційність;
        
        c. тренінг користувачів і адміністраторів щодо методів, процедур і безпеки;
        
        d. забезпечення поінформованості користувачів щодо обов'язків та питань, пов'язаних з інформаційною безпекою;
        
        e. забезпечення доставки персоналу до місця роботи, де це необхідно;
        
        f. обов'язки, що стосуються установки і супроводу апаратних засобів і програмного забезпечення;
        
        g. чітка структура підзвітності та узгоджені формати подання звітів;
        
        h. ясний і певний процес менеджменту змін;
        
        i. політика управління доступом, що охоплює:
        
        1) різні причини, вимоги та переваги, які роблять доступ третьої сторони за необхідне;
        
        2) дозволені методи доступу, а також управління і використання унікальних ідентифікаторів типу ідентифікаторів користувача і паролів;
        
        3) процес авторизації щодо доступу і привілеїв користувачів;
        
        4) вимога щодо ведення списку осіб, уповноважених використовувати надані послуги, із зазначенням відповідних прав і привілеїв;
        
        5) положення про те, що весь доступ, чи не авторизований явно, є забороненим;
        
        6) процес скасування прав доступу або переривання з'єднання між системами;
        
        j. процедури щодо звітності, повідомлення та розслідування інцидентів інформаційної безпеки і порушень безпеки, а також порушень вимог, викладених в угоді;
        
        k. опис продукту чи послуги, які повинні бути надані, і опис інформації,
        
        l. яка повинна бути надана, поряд з категорією її секретності;
        
        m. визначення необхідного та неприйнятного рівня обслуговування;
        
        n. визначення піддаються контролю критеріїв ефективності, а також їх моніторинг і надання звітності;
        
        o. право на проведення моніторингу та скасування будь-якої діяльності щодо активів організації;
        
        p. право на проведення аудиту виконання договірних зобов'язань і можливість проведення такого аудиту третьою стороною, а також перерахування встановлених законом прав аудиторів;
        
        q. встановлення процесу інформування про виникаючі проблеми з метою їх вирішення;
        
        r. вимоги щодо безперервності обслуговування, включаючи заходи щодо забезпечення доступності і надійності, відповідно до пріоритетів бізнесу організації;
        
        s. відповідні зобов'язання сторін в рамках угоди;
        
        t. зобов'язання щодо юридичних питань, і способів забезпечення впевненості у відповідності правовим вимогам, наприклад законодавству про захист даних, особливо з урахуванням різних вимог національних правових систем, якщо договір передбачає співпрацю з клієнтами в інших країнах;
        
        u. дотримання прав на інтелектуальну власність та авторських прав, а також забезпечення правового захисту будь-якої спільної роботи;
        
        v. залучення третьої сторони разом з субпідрядниками, заходи і засоби контролю і управління безпеки, які ці субпідрядники повинні реалізувати;
        
        w. умови переукладання / закінчення договорів:
        
        1) план дій в надзвичайних ситуаціях повинен містити положення на випадок, якщо будь-яка сторона побажає перервати відносини до закінчення терміну дії договорів;
        
        2) переукладання договорів в разі зміни вимог організації до безпеки;
        
        3) діють документовані переліки активів, ліцензій, договорів або пов'язаних з ними прав.
- - - - Міра і засіб контролю і управління:
        
        Всі активи повинні бути чітко визначені, повинна складатися і підтримуватися опис всіх важливих активів.
    - - Міра і засіб контролю і управління
        
        Вся інформація і активи, пов'язані із засобами обробки інформації повинні знаходитися у власності (Терміном «власник» визначається фізична або юридична особа, яка наділена адміністративною відповідальністю за керівництво виготовленням, розробкою, зберіганням, використанням та безпекою активів. Термін «власник» не означає, що дана людина фактично має право власності на цей актив) певної частини організації.
    - - Міра і засіб контролю і управління
        
        Слід визначати, документально оформляти і реалізовувати правила прийнятного використання інформації та активів, пов'язаних із засобами обробки інформації.
  - - - Міра і засіб контролю і управління
        
        Інформацію слід класифікувати, виходячи з її цінності, законодавчих вимог, чутливості та критичності для організації.
    - - Міра і засіб контролю і управління
        
        Відповідний набір процедур маркування та обробки інформації слід розробляти і реалізовувати відповідно до системи класифікації, прийнятої організацією.
- - - - Під словом «працевлаштування» тут розуміється охоплення всіх наступних, (які відрізняються одна від одної) ситуацій: працевлаштування людей (тимчасове або постійне), вказівку посадових функцій (ролей), зміна посадових функцій, визначення терміну дії договорів і припинення будь-якої з цих домовленостей.
      - Мета: Забезпечити впевненість в тому, що співробітники, підрядники та представники третьої сторони усвідомлюють свої обов'язки і здатні виконувати передбачені для них ролі, і знизити ризик розкрадання, шахрайства або нецільового використання коштів обробки інформації.
      - Обов'язки, пов'язані з забезпеченням безпеки, слід домовлятися перед працевлаштуванням у відповідних посадових інструкціях і умовами роботи.
      - Необхідна відповідна перевірка всіх кандидатів на посаду, підрядників і представників третьої сторони, особливо якщо робота пов'язана з секретністю.
      - Співробітники, підрядники та представники третьої сторони, що використовують засоби обробки інформації організації, повинні підписувати угоду щодо їх ролей і обов'язків в області безпеки.
    - - Ролі та обов'язки в галузі безпеки співробітників, підрядників і представників третьої сторони необхідно визначати і оформляти документально відповідно до політики інформаційної безпеки організації.
    - - Ретельна перевірка всіх кандидатів на постійну роботу, підрядників і представників третьої боку повинна проводитися згідно з відповідними законами, інструкціями і правилами етики, пропорційно вимогам бізнесу, класифікації інформації, до якої буде здійснюватися доступ, і передбачуваним ризикам.
    - - В рамках своїх договірних зобов'язань, співробітники, підрядники та представники третьої сторони повинні узгодити і підписати умови свого трудового договору, що встановлює їх відповідальність і відповідальність організації щодо інформаційної безпеки.
  - - - Керівництво організації повинно вимагати, щоб співробітники, підрядники та представники третьої боку забезпечували безпеку відповідно до встановлених політиками і процедурами організації.
    - - Всі співробітники організації і, де необхідно, підрядники та представники третьої сторони, повинні пройти відповідне навчання і отримувати на регулярній основі оновлені варіанти політик і процедур, прийнятих в організації та необхідних для виконання їх робочих функцій.
    - - Повинен існувати формальний дисциплінарний процес, застосовуваний щодо співробітників, які вчинили порушення безпеки.
  - - - Обов'язки щодо припинення зайнятості або зміни зайнятості повинні бути чітко визначені і встановлені.
    - - Всі співробітники, підрядники та представники третьої сторони зобов'язані повернути організації всі активи, що знаходяться в їх користуванні, при припиненні їх зайнятості, договору або угоди.
    - - Права доступу всіх службовців, підрядників і представників третьої сторони до інформації та засобів обробки інформації повинні бути анульовані у разі припинення зайнятості, договору або угоди, або скориговані при зміні зайнятості.
- - - - Експлуатаційні процедури слід документально оформляти, дотримуватися і робити доступними для всіх, хто потребує них користувачів.
    - - Зміни в конфігурації засобів обробки інформації та системах повинні контролюватися.
    - - Обов'язки та сфери відповідальності повинні бути розділені для зменшення можливостей неавторизованої або ненавмисної модифікації активів організації або їх нецільового використання.
    - - Щоб знизити ризики несанкціонованого доступу або змін експлуатованої системи, слід забезпечувати розподіл коштів розробки, тестування та експлуатації.
  - - - Необхідно забезпечувати впевненість в тому, що заходи і засоби контролю і управління безпеки, визначення послуг та рівні надання послуг, які підтверджують договір про надання послуг третьою стороною, реалізуються, функціонують і підтримуються третьою стороною.
    - - Необхідно регулярно проводити моніторинг і аналіз послуг, звітів і записів, які забезпечуються третьою стороною, і регулярно проводити аудити.
    - - Зміни в наданні послуг, включаючи підтримку і поліпшення існуючих політик, процедур, заходів та засобів контролю і управління інформаційної безпеки, повинні здійснюватися з урахуванням критичності яких торкається систем і процесів бізнесу, а також переоцінки ризиків.
  - - - Використання ресурсів необхідно прогнозувати, виходячи з майбутніх вимог до продуктивності, налаштовувати і контролювати, щоб забезпечити впевненість у досягненні необхідних експлуатаційних даних системи.
    - - Повинні бути визначені критерії приймання для нових інформаційних систем, оновлень і нових версій, окрім того, необхідно тестувати системи протягом їх розробки і перед їх прийманням.
  - - - Необхідно впровадити заходи і засоби контролю і управління, пов'язані з виявленням, попередженням та відновленням, з метою захисту від шкідливої програми, а також процедури, що забезпечують відповідну обізнаність користувачів.
    - - Там, де дозволено використання мобільного програми, конфігурація повинна забезпечувати впевненість у тому, що дозволена мобільна програма функціонує відповідно до ясно сформульованої політикою безпеки, а виконання невирішеною мобільного програми буде заборонено.
  - - - Створення резервних копій інформації та програмного забезпечення повинно виконуватися і тестуватися на регулярній основі відповідно до встановленої політики резервування.
  - - - Мережі повинні адекватно справлятися і контролюватися, щоб бути захищеними від загроз і забезпечити безпеку систем і прикладних програм, що використовують мережу, включаючи інформацію під час її передачі.
    - - Засоби забезпечення безпеки, рівні послуг і вимоги щодо менеджменту всіх мережевих послуг повинні бути визначені і включені в будь-який договір з мережних послуг, незалежно від того, чи будуть вони забезпечуватися силами організації або в рамках договорів аутсорсингу.
  - - - Повинні існувати процедури щодо менеджменту змінних носіїв інформації.
    - - Носії інформації, коли в них більше немає необхідності, слід надійно і безпечно утилізувати, використовуючи формальні процедури.
    - - З метою забезпечення захисту інформації від несанкціонованого розкриття або неправильного використання необхідно визначити процедури обробки та зберігання інформації.
    - - Системна документація повинна бути захищена від несанкціонованого доступу.
  - - - Повинні існувати формальні політики, процедури та заходи і засоби контролю і управління в щодо обміну інформацією з метою захисту такого обміну, коли використовуються всі типи засобів зв'язку.
    - - Необхідно укладати угоди з обміну інформацією та програмним забезпеченням між організацією і сторонніми організаціями.
    - - Носії інформації повинні бути захищені від несанкціонованого доступу, неправильного використання або пошкодження під час їх транспортування за межами організації.
    - - Необхідно належним чином захищати інформацію, що включається в електронний обмін повідомленнями.
    - - Необхідно розробити і впровадити політики і процедури захисту інформації, пов'язаної з взаємодією інформаційних систем бізнесу.
  - - - Інформація, яка використовується в електронній торгівлі, що проходить по загальнодоступних мереж, повинна бути захищена від шахрайства, заперечування договорів, а також неавторизованого розкриття і модифікації.
    - - Інформацію, яку використовують в онлайн транзакції, слід захищати для запобігання неповній передачі, неправильній маршрутизації, неавторизованого зміни повідомлень, неавторизованого розкриття, неавторизованого дублювання або відтворення повідомлень.
    - - Цілісність інформації, яка доступна в загальнодоступній системі, слід захищати для запобігання неавторизованої модифікації.
  - - - Необхідно вести і зберігати протягом узгодженого періоду часу контрольні журнали, які реєструють дії користувачів, позаштатні ситуації і події інформаційної безпеки, щоб допомогти в майбутніх розслідуваннях і проведенні контролю управління доступом.
    - - Необхідно створити процедури для проведення моніторингу використання коштів обробки інформації і регулярно аналізувати результати діяльності, пов'язаної з моніторингом.
    - - Засоби реєстрації та інформацію журналів реєстрації слід захищати від пошкодження та несанкціонованого доступу.
    - - Дії системного адміністратора і системного оператора слід реєструвати.
    - - Несправності слід реєструвати, аналізувати, і робити в їх відношенні необхідні дії.
    - - Годинники у всіх відповідних системах обробки інформації в межах організації або домену безпеки повинні бути синхронізовані з встановленим джерелом точного часу.
- - - - Про події інформаційної безпеки необхідно негайно повідомляти через відповідні канали управління.
    - - Від усіх співробітників, підрядників і представників третьої сторони, що мають справу з інформаційними системами та послугами, необхідно вимагати, щоб вони звертали увагу і повідомляли про будь-які помічені або передбачуваних вразливості в області безпеки в відношенні систем або послуг.
  - - - Необхідно встановлювати обов'язки посадових осіб щодо здійснення менеджменту та процедури для забезпечення швидкого, ефективного та належного реагування на інциденти інформаційної безпеки.
    - - Повинні бути створені механізми, що дозволяють встановити типи, обсяги і збитки, викликані інцидентами інформаційної безпеки, які повинні бути виміряні і проконтрольовані.
    - - У тих випадках, коли наступні дії проти особи або організації після інциденту безпеки призводять до судового позову (як цивільного, так і кримінального), докази повинні бути зібрані, збережені і представлені відповідно до правил збору доказів, викладених у відповідних юрисдикціях.
- - - - Слід розробляти та підтримувати керований процес для забезпечення безперервності бізнесу в усій організації, який враховує вимоги до інформаційної безпеки, необхідні для забезпечення безперервності бізнесу організації.
    - - Події, які можуть стати причиною переривань процесів бізнесу, необхідно визначати разом з ймовірністю і впливом таких переривань, а також їх наслідками для інформаційної безпеки.
    - - Слід розробити і впровадити плани забезпечення безперервності бізнесу з метою підтримки або відновлення операцій і забезпечення доступності інформації на необхідному рівні та в потрібні терміни після переривання або збою критичних процесів бізнесу.
    - - Слід підтримувати єдину структуру планів безперервності бізнесу, щоб забезпечити впевненість у тому, що всі плани узгоджені відповідно до розглянутими вимогами інформаційної безпеки і встановлених пріоритетів для тестування і обслуговування.
    - - Плани безперервності бізнесу необхідно регулярно тестувати та оновлювати з метою забезпечення впевненості в їх актуальності та ефективності.
- - - - Все застосовні правові, нормативні та договірні вимоги та підхід організації до виконання цих вимог слід чітко визначити, документально оформити і підтримувати на актуальному рівні по відношенню до кожної інформаційної системи та організації.
    - - Необхідно впровадити відповідні процедури для забезпечення впевненості в дотриманні законодавчих, нормативних та договірних вимог по використанню матеріалів, відносно яких можуть бути права на інтелектуальну власність, і по використанню пропрієтарних програмних продуктів.
    - - Важливі документи організації необхідно захищати від втрати, руйнування і фальсифікації в відповідно до законодавчих, нормативних та договірними вимогами, а також вимогами бізнесу.
    - - Повинна бути забезпечена впевненість у захисті даних та персональних даних відповідно до вимогами відповідних законодавчих і нормативних актів і, в разі необхідності, умов договорів.
    - - Користувачів слід утримувати від застосування засобів обробки інформації для несанкціонованих цілей.
    - - Криптографічні заходи і засоби контролю і управління повинні використовуватися з дотриманням всіх відповідних угод, законів і нормативних актів.
  - - - Керівники повинні забезпечити впевненість у тому, що всі процедури безпеки в межах їх зони відповідальності виконуються правильно, для того щоб досягти відповідності політикам та стандартам безпеки.
    - - Інформаційні системи слід регулярно перевіряти на відповідність стандартам безпеки безпеки.
  - - - Вимоги і процедури аудиту, що включають перевірки експлуатованих систем, необхідно ретельно планувати і погоджувати, щоб звести до мінімуму ризик порушення процесів бізнесу.
    - - Доступ до інструментальним кошти, що застосовуються при проведенні аудиту інформаційних систем, необхідно захищати, щоб запобігти будь-яке можливе їх неправильне використання або компрометацію.
- - - - Політика управління доступом повинна створюватися, документально оформлятися і переглядатися з урахуванням вимог бізнесу і безпеки для доступу.
  - - - Необхідна формальна процедура реєстрації та зняття з обліку користувачів щодо надання та скасування доступу до всіх інформаційних систем і послуг.
    - - Надання і використання привілеїв необхідно обмежувати і контролювати.
    - - Розподіл паролів необхідно контролювати за допомогою формального процесу управління.
    - - Керівництво повинно здійснювати формальний процес періодичного перегляду прав доступу користувачів.
  - - - Користувачі повинні дотримуватися загальноприйнятої практики в області безпеки при виборі і використанні паролів.
    - - Користувачі повинні забезпечувати відповідний захист обладнання, залишеного без нагляду
    - - Необхідно прийняти політику «чистого стола» щодо паперових документів і змінних носіїв даних, а також політику «чистого екрану» щодо засобів обробки інформації.
  - - - Користувачам слід надавати доступ тільки до тих послуг, на використання яких вони були спеціально уповноважені.
    - - Для управління доступом віддалених користувачів слід застосовувати відповідні методи аутентифікації.
    - - Автоматичну ідентифікацію обладнання необхідно розглядати як засіб для аутентифікації для підключення згідно здійснюваних з певних місць або певного обладнання.
    - - Фізичний і логічний доступ для портів дистанційної діагностики та конфігурації повинен бути контрольованим і керованим.
    - - Групи інформаційних послуг, користувачів та інформаційних систем в межах мережі повинні бути розділені.
    - - Приєднання користувачів до спільно використовуваних мереж, особливо тим, які виходять за рамки організації, необхідно обмежувати відповідно до політики управління доступом і вимогами прикладних програм бізнесу.
    - - Для мереж слід впроваджувати заходи і засоби контролю і управління маршрутизацією, щоб забезпечити впевненість у тому, що приєднання комп'ютерів і інформаційні потоки не порушують політику управління доступом до прикладних програм бізнесу.
  - - - Доступ до експлуатованих систем повинен контролюватися за допомогою безпечної процедури початку сеансу.
    - - Необхідно, щоб всі користувачі мали унікальний ідентифікатор (ідентифікатор користувача), призначений тільки для їх особистого використання, і повинен бути обраний відповідний спосіб перевірки для підтвердження заявленої автентичності користувача.
    - - Системи управління паролями повинні бути інтерактивними і повинні забезпечувати впевненість у як паролі.
    - - Використання утиліт, які могли б обійти заходи і засоби контролю і управління експлуатованих систем і прикладних програм, слід обмежувати і строго контролювати.
    - - Неактивні сеанси повинні бути закриті після певного періоду бездіяльності.
    - - Обмеження на час з'єднання повинні бути використані для забезпечення додаткової безпеки прикладних програм з високим ступенем ризику.
  - - - Доступ користувачів і персоналу підтримки до інформації і функцій прикладних систем повинен обмежуватися відповідно до певної політики щодо управління доступом.
    - - Чутливі системи повинні мати спеціалізовану (ізольовану) обчислювальну середу.
  - - - Необхідно прийняти формальну політику і забезпечити відповідні заходи безпеки для захисту від ризиків, пов'язаних з роботою із засобами мобільного обчислювальної техніки і зв'язку.
    - - Політика, плани і процедури експлуатації повинні бути розроблені і впроваджені для дистанційної роботи.
- - - - Необхідно, щоб у формулюваннях вимог бізнесу для нових інформаційних систем або при модернізації існуючих інформаційних систем були визначені вимоги до заходів і засобів контролю та управління безпеки.
  - - - Вхідні дані для прикладних програм повинні проходити процедуру підтвердження з метою забезпечення впевненості в їх коректності та відповідності.
    - - Підтверджують перевірки повинні бути включені в прикладні програми з метою виявлення будь-якого спотворення інформації внаслідок помилок обробки або навмисних дій.
    - - Необхідно визначити вимоги щодо забезпечення автентичності та захисту цілісності повідомлень в прикладних програмах, а також ідентифікувати і впровадити відповідні заходи і засоби контролю і управління.
    - - Дані, що виводяться з прикладної програми, повинні бути перевірені з метою забезпечення впевненості в коректності обробки інформації, що зберігається і відповідності вимогам.
  - - - З метою захисту інформації необхідно розробити і реалізувати політику щодо використання криптографічних заходів і засобів контролю та управління.
    - - Для підтримки використання організацією криптографічних методів необхідно застосовувати управління ключами.
  - - - Необхідно застосовувати процедури контролю установки програмного забезпечення в експлуатованих системах.
    - - Дані тестування слід ретельно відбирати, захищати і контролювати.
    - - Доступ до вихідних текстів програм необхідно обмежувати.
  - - - Внесення змін слід контролювати, використовуючи формальні процедури управління змінами.
    - - При внесенні змін до експлуатовані системи прикладні програми, що мають велике значення для бізнесу, слід аналізувати і тестувати з метою
        забезпечення впевненості в тому, що не надається несприятливого впливу на функціонування або безпеку організації.
    - - Необхідно уникати модифікацій пакетів програм, обмежуватися необхідними змінами і строго контролювати всі зроблені зміни.
    - - Можливість витоку інформації повинна бути відвернена.
    - - Аутсорсинг розробки програмного забезпечення повинен бути під наглядом і контролем організації.
  - - - Необхідно отримувати своєчасну інформацію про технічні вразливості використовуваних інформаційних систем, оцінювати незахищеність організації щодо таких вразливостей і вживати відповідних заходів для розгляду пов'язаного з ними ризику.