Please enable JavaScript.

Coggle requires JavaScript to display documents.

ISO/ІЕС 27002 «Інформаційні технології. Методики безпеки. Практичні…

- - - - Всі активи повинні бути чітко визначені, повинна складатися і підтримуватися опис всіх важливих активів
    - - Вся інформація і активи, пов'язані із засобами обробки інформації повинні знаходитися у власності (Терміном «власник» визначається фізична або юридична особа, яка наділена адміністративною відповідальністю за керівництво виготовленням, розробкою, зберіганням, використанням та безпекою активів
    - - Слід визначати, документально оформляти і реалізовувати правила прийнятного використання інформації та активів, пов'язаних із засобами обробки інформації
  - - - Інформацію слід класифікувати, виходячи з її цінності, законодавчих вимог, чутливості та критичності для організації
    - - Відповідний набір процедур маркування та обробки інформації слід розробляти і реалізовувати відповідно до системи класифікації, прийнятої організацією
- - - - Ролі та обов'язки в галузі безпеки співробітників, підрядників і представників третьої сторони необхідно визначати і оформляти документально відповідно до політики інформаційної безпеки організації
    - - Ретельна перевірка всіх кандидатів на постійну роботу, підрядників і представників третьої боку повинна проводитися згідно з відповідними законами, інструкціями і правилами етики, пропорційно вимогам бізнесу, класифікації інформації, до якої буде здійснюватися доступ, і передбачуваним ризикам
  - - - Керівництво організації повинно вимагати, щоб співробітники, підрядники та представники третьої боку забезпечували безпеку відповідно до встановлених політиками і процедурами організації
    - - Всі співробітники організації і, де необхідно, підрядники та представники третьої сторони, повинні пройти відповідне навчання і отримувати на регулярній основі оновлені варіанти політик і процедур, прийнятих в організації та необхідних для виконання їх робочих функцій
    - - Повинен існувати формальний дисциплінарний процес, застосовуваний щодо співробітників, які вчинили порушення безпеки
  - - - Обов'язки щодо припинення зайнятості або зміни зайнятості повинні бути чітко визначені і встановлені
    - - Всі співробітники, підрядники та представники третьої сторони зобов'язані повернути організації всі активи, що знаходяться в їх користуванні, при припиненні їх зайнятості, договору або угоди
    - - Права доступу всіх службовців, підрядників і представників третьої сторони до інформації та засобів обробки інформації повинні бути анульовані у разі припинення зайнятості, договору або угоди, або скориговані при зміні зайнятості
- - - - Для захисту зон, що містять інформацію і засоби обробки інформації, слід використовувати периметри безпеки
    - - Зони безпеки необхідно захищати за допомогою відповідних заходів і засобів контролю та управління входу, щоб забезпечити впевненість у тому, що доступ дозволений тільки авторизованому персоналу
    - - Необхідно розробити і реалізувати фізичний захист будівель, виробничих приміщень і обладнання
    - - Необхідно розробити і реалізувати фізичний захист від нанесення шкоди, який може з'явитися результатом пожежі, повені, землетруси, вибуху, громадських заворушень та інших форм природних або антропогенних лих
  - - - Обладнання повинно бути розміщено і захищено так, щоб зменшити ризики від загроз навколишнього середовища і можливості несанкціонованого доступу
    - - Силові та телекомунікаційні кабельні мережі, по яких передаються дані або підтримують інформаційні послуги, необхідно захищати від перехоплення інформації або руйнування
    - - При забезпеченні безпеки обладнання, що використовується поза місцем його постійної експлуатації, слід враховувати різні ризики, пов'язані з роботою поза приміщеннями організації
    - - Устаткування, інформацію або програмне забезпечення можна використовувати поза приміщеннями організації тільки при наявності відповідного дозволу
- - - - Необхідно регулярно проводити моніторинг і аналіз послуг, звітів і записів, які забезпечуються третьою стороною, і регулярно проводити аудити
- - - - Інформаційні системи слід регулярно перевіряти на відповідність стандартам безпеки безпеки
    - - Керівники повинні забезпечити впевненість у тому, що всі процедури безпеки в межах їх зони відповідальності виконуються правильно, для того щоб досягти відповідності політикам та стандартам безпеки
  - - - Вимоги і процедури аудиту, що включають перевірки експлуатованих систем, необхідно ретельно планувати і погоджувати, щоб звести до мінімуму ризик порушення процесів бізнесу
    - - Доступ до інструментальним кошти, що застосовуються при проведенні аудиту інформаційних систем, необхідно захищати, щоб запобігти будь-яке можливе їх неправильне використання або компрометацію
- - - - застосування відповідних заходів і засобів контролю та управління для зниження ризиків
      - свідоме та об'єктивне прийняття ризиків в тому випадку, якщо вони, безсумнівно, задовольняють політиці і критеріям організації щодо прийняття ризиків
      - запобігання ризикам шляхом недопущення дій, які можуть стати причиною виникнення ризиків
      - перенесення взаємодіючих ризиків шляхом поділу їх з іншими
        
        сторонами, наприклад страховиками або постачальниками
- - - - Рекомендація щодо реалізації
        
        викладу намірів керівництва, що підтримують цілі і принципи інформаційної безпеки відповідно до стратегії і цілями бізнесу
        
        короткого роз'яснення найбільш істотних для організації політик безпеки, принципів, стандартів і вимог відповідності, наприклад
        
        відповідність законодавчим вимогам та договірними зобов'язаннями
        
        вимоги щодо забезпечення поінформованості, навчання і тренінгу щодо безпеки
        
        менеджмент безперервності бізнесу
        
        відповідальність за порушення політики інформаційної безпеки
        
        Дана політика інформаційної безпеки повинна бути доведена до відома користувачів в рамках всієї організації в актуальною, доступній та зрозумілій формі
      - Додаткова інформація
        
        Якщо політика інформаційної безпеки поширюється за 20 межами організації, слід приймати заходи щодо нерозголошення чутливої інформації
    - - Міра і засіб контролю і управління
        
        Політика інформаційної безпеки повинна переглядатися або через заплановані інтервали часу, або, якщо відбулися значні зміни, з метою забезпечення впевненості в її актуальності, адекватності та ефективності
      - Рекомендація щодо реалізації
        
        Вхідні дані для перегляду методів управління повинні включати інформацію про
        
        відповідної реакції зацікавлених сторін
        
        результати незалежних переглядів
        
        результати попередніх переглядів методів управління
        
        виконання процесу і відповідно політиці інформаційної безпеки
        
        поліпшення підходу організації до менеджменту інформаційної
        
        безпеки та її процесів
        
        поліпшення розподілу ресурсів і (або) обов'язків
- - - - Плани безперервності бізнесу необхідно регулярно тестувати та оновлювати з метою забезпечення впевненості в їх актуальності та ефективності
    - - Слід підтримувати єдину структуру планів безперервності бізнесу, щоб забезпечити впевненість у тому, що всі плани узгоджені відповідно до розглянутими вимогами інформаційної безпеки і встановлених пріоритетів для тестування і обслуговування
    - - Слід розробити і впровадити плани забезпечення безперервності бізнесу з метою підтримки або відновлення операцій і забезпечення доступності інформації на необхідному рівні та в потрібні терміни після переривання або збою критичних процесів бізнесу
- - - - Міра і засіб контролю і управління
        
        Керівництву слід активно підтримувати безпеку в організації за допомогою чіткого управління, відомого розподілу обов'язків, визначених призначень і визнання обов'язків щодо інформаційної безпеки
      - Рекомендація щодо реалізації
        
        формулювати, аналізувати і затверджувати політику інформаційної безпеки
        
        аналізувати ефективність реалізації політики інформаційної безпеки
        
        забезпечувати чітке управління і очевидну підтримку менеджменту щодо ініціатив, пов'язаних з безпекою
        
        забезпечувати ресурси, необхідні для інформаційної безпеки
        
        ініціювати плани і програми для підтримки поінформованості про інформаційну безпеку
      - Додаткова інформація міститься в ISO / IEC 13335-1
    - - Міра і засіб контролю і управління
        
        Діяльність, пов'язана з інформаційною безпекою, повинна бути скоординована представниками різних підрозділів організації з відповідними ролями та посадовими обов'язками
      - Рекомендація щодо реалізації
        
        забезпечувати впевненість у тому, що забезпечення безпеки здійснюється відповідно до політикою інформаційної безпеки
        
        визначати спосіб усунення невідповідності
        
        стверджувати методики і процеси забезпечення інформаційної безпеки, наприклад оцінку ризику, класифікацію інформації
        
        виявляти значні зміни загроз і схильність інформації і засобів обробки інформації загрозам
        
        оцінювати адекватність і координувати реалізацію заходів і засобів контролю та управління інформаційної безпеки
        
        ефективно сприяти обізнаності, навчання та тренінгу щодо інформаційної безпеки в рамках організації
    - - Міра і засіб контролю і управління
        
        Всі обов'язки по забезпеченню інформаційної безпеки повинні бути чітко визначені
      - Рекомендація щодо реалізації
        
        необхідно призначити відповідальних за кожен актив або процедуру безпеки, і докладно описати їх обов'язки у відповідних документах
        
        рівні доступу до повинні бути чітко визначені і документально оформлені
        
        активи і процеси (процедури) безпеки, пов'язані з кожною конкретною системою, повинні бути чітко визначені
    - - Міра і засіб контролю і управління
        
        Вимоги щодо угод про конфіденційність або нерозголошення, що відображають потреби організації в захисті інформації, повинні визначатися і регулярно переглядатися
      - Рекомендація щодо реалізації
        
        визначення інформації, що підлягає захисту (наприклад конфіденційна інформація)
        
        передбачуваний термін дії угоди, включаючи випадки, коли може виникнути необхідність в необмеженій підтримці конфіденційності
        
        необхідні дії при закінченні терміну дії угоди
        
        дозволене використання конфіденційної інформації та права осіб, що підписали угоду, щодо використання інформації
        
        умови повернення або знищення інформації в разі призупинення дії угоди
  - - - Міра і засіб контролю і управління
        
        Ризики для інформації і засобів обробки інформації організації, що є наслідком процесів бізнесу, в яких беруть участь сторонні організації, необхідно визначати і необхідно реалізовувати відповідні заходи і засоби контролю і управління перш, ніж буде надано доступ
      - Рекомендація щодо реалізації
        
        засоби обробки інформації, необхідні стороннім організаціям для доступу
        
        тип доступу до інформації та засобів обробки інформації, який буде наданий стороннім організаціям, наприклад
        
        фізичний доступ, наприклад до офісів, машинним залам, картотеками
        
        логічний доступ, наприклад до баз даних, інформаційних систем організації
        
        можливість підключення до мережі між мережею (мережами) організації та сторонньої організації, наприклад нероз'ємне з'єднання, віддалений доступ
        
        здійснення доступу на місці або поза місцем експлуатації
        
        цінність і чутливість використовуваної інформації, її критичність для операцій бізнесу
        
        персонал сторонньої організації, що бере участь в обробці інформації організації
        
        правові та нормативні вимоги, а також договірні зобов'язання, значимі для сторонніх організацій, які необхідно брати до уваги