Please enable JavaScript.

Coggle requires JavaScript to display documents.

Лр.4 БРИТАНСЬКИЙ СТАНДАРТ BS ISO/IEC 27001:2005 BS 7799-2:2005 Ч. 3 -…

- - - - А.6.1.2 - Координація інформаційної безпеки - Дії по забезпеченню інформаційної безпеки повинні координуватися представниками з різних частин організації з
        відповідними ролями та посадовими обов'язками.
      - А.6.1.3 - Розподіл відповідальності за інформаційну безпеку - Всі області відповідальності за інформаційну безпеку повинні бути чітко визначені.
      - А.6.1.1 - Прихильність керівництва інформаційної безпеки - Механізм управління
        Керівництво повинно активно підтримувати безпеку в організації шляхом чіткого управління, яку демонструють прихильність, явного призначення і підтвердження відповідальності за інформаційну безпеку.
      - А.6.1.4 - Процес авторизації для засобів обробки інформації - Повинен бути визначений і реалізований процес авторизації керівництвом нових засобів обробки інформації.
      - A.6.1.5 - Угоди про конфіденційність Вимоги до угод про конфіденційність або нерозголошення, що відображають потреби організації в захисті інформації, повинні бути визначені і повинні регулярно переглядатися.
      - A.6.1.6 - Контакт з органами влади - Повинні підтримуватися відповідні контакти з відповідними органами влади.
      - A.6.1.7 - Контакт з професійними об'єднаннями - Повинні підтримуватися необхідні контакти з професійними об'єднаннями або іншими форумами фахівців з безпеки і професійними асоціаціями.
      - А.6.1.8 - Незалежна перевірка інформаційної безпеки - Підхід організації до управління інформаційною безпекою та її реалізації (тобто цілі контролю, механізми контролю, політики, процеси та процедури інформаційної безпеки) повинні піддаватися незалежній перевірці через заплановані інтервали часу або, в разі, якщо відбуваються істотні зміни в реалізації безпеки.
    - - А.6.2.1 - Ідентифікація ризиків, пов'язаних з зовнішніми сторонами - Ризики для інформації організації та засобів її обробки з боку бізнес процесів, в яких задіяні зовнішні сторони, повинні бути ідентифіковані і відповідні механізми контролю повинні бути реалізовані, перш ніж буде надано доступ.
      - A.6.2.2 - Врахування вимог безпеки при роботі з клієнтами - Повинні бути враховані всі ідентифіковані вимоги безпеки, перш ніж клієнтам буде надано доступ до інформації або ресурсів організації.
      - А.6.2.3 - Врахування вимог безпеки в договорах з третіми сторонами - Угоди з третіми сторонами, що передбачають доступ, обробку, передачу або управління інформацією організації або засобами її обробки, або додавання продуктів або сервісів в засоби обробки інформації повинні охоплювати всі необхідні вимоги безпеки.
  - - - А.7.1.1 - Інвентаризація ресурсів - Всі ресурси повинні бути чітко ідентифіковані, а також повинна проводитися і підтримуватися інвентаризація всіх важливих ресурсів.
      - А.7.1.2 - Володіння ресурсами - Вся інформація та ресурси, пов'язані із засобами обробки інформації, повинні перебувати у володінні призначеної частиною організації
      - А.7.1.3 - Допустиме використання ресурсів - Правила допустимого використання інформації і ресурсів, пов'язаних із засобами обробки інформації повинні бути визначені, задокументовані та впроваджені.
    - - А.7.2.1 - Керівництво по класифікації - Інформація повинна бути класифікована в термінах її цінності, вимог законодавства, конфіденційності та критичності для організації.
      - A.7.2.2 - Маркування та обробка інформації Повинен бути визначений і реалізований необхідний набір процедур для маркування та поводження з інформацією, відповідний схемою класифікації, прийнятої в організації.
  - - - А.8.1.1 - Ролі та відповідальність - Ролі та обов'язки співробітників, підрядників і користувачів третіх сторін щодо забезпечення безпеки повинні бути визначені і документовані відповідно до політики інформаційної безпеки організації.
      - А.8.1.2 - Перевірка співробітників - Перевірки анкетних даних всіх кандидатів на роботу, підрядників і користувачів третьої сторони повинні виконуватися відповідно до чинних законів, правил і етичними нормами, пропорційно вимогам бізнесу, класифікації інформації, до якої буде здійснюватися доступ, і усвідомленими ризиків.
      - A.8.1.3 - Умови працевлаштування - Працівники, підрядники та користувачі третьої сторони як частина їх контрактних зобов'язань повинні схвалити і підписати свої трудові договори, в яких встановлюється їх відповідальність і відповідальність організації за інформаційну безпеку.
    - - А.8.2.1 - Відповідальність керівництва - Керівництво повинно вимагати від працівників, підрядників і користувачів третьої сторони застосування заходів безпеки відповідно до встановлених в організації політиками та процедурами.
      - А.8.2.2 - Підвищення обізнаності, навчання і тренінги в області інформаційної безпеки - Всі співробітники організації і, в разі необхідності, підрядники та користувачі третьої сторони, повинні проходити необхідне навчання і отримувати регулярні оновлення політик і процедур, прийнятих в організації та необхідних для виконання їх посадових обов'язків.
      - А.8.2.3 - Дисциплінарний процес - Повинен існувати офіційний дисциплінарний процес щодо співробітників, які допускають порушення безпеки.
    - - А.8.3.1 - Відповідальність при завершенні трудових відносин - Відповідальність за виконання дій по завершенню трудових відносин повинна бути чітко визначена і встановлена.
      - А.8.3.2 - Повернення ресурсів - При завершенні їх трудових відносин, контракту або угоди всі співробітники, підрядники та користувачі третьої сторони повинні повернути всі належні організації ресурси, що знаходять в їх володінні.
      - А.8.3.3 - Скасування прав доступу - При завершенні їх трудових відносин, контракту або угоди права доступу всіх співробітників, підрядників і користувачів третіх сторін до інформації та засобів її обробки повинні бути скасовані або, в разі зміни характеру роботи, відкориговані.
  - - - А.9.1.1 - Периметр фізичної безпеки - Для захисту зон, що містять інформацію і засоби її обробки, повинні використовувати периметри безпеки (різні бар'єри, такі як стіни, прохідні з контролем доступу по картах, прийомні з черговими).
      - А.9.1.2 - Механізми контролю фізичного входу - Захищені області повинні бути захищені відповідними механізмами контролю входу, забезпечують можливість доступу тільки для авторизованого персоналу.
      - А.9.1.3 - Захист офісів, кімнат та обладнання - Повинні проектуватися і застосовуватися механізми забезпечення фізичної безпеки офісів, кімнат і обладнання.
      - А.9.1.4 - Захист від зовнішніх загроз і загроз навколишнього середовища - Повинна проектуватися і застосовуватися фізичний захист від збитків, викликаних вогнем, повінню, землетрусом, вибухом, цивільними заворушеннями та іншими формами природних і антропогенних катастроф.
      - А.9.1.5 - Робота в захищених областях - Повинні проектуватися і застосовуватися механізми забезпечення фізичної безпеки та інструкції по роботі в захищених областях.
      - А.9.1.6 - Області загального доступу, доставки та навантаження - Місця доступу, такі як області доставки і навантаження і інші місця, в яких неавторизовані люди можуть входити в приміщення організації, повинні контролюватися і, якщо це можливо, повинні бути ізольовані від засобів обробки інформації з метою запобігання несанкціонованому доступу.
    - - А.9.2.1 - Розміщення і захист устаткування - З метою зниження ризиків, пов'язаних з небезпечними явищами навколишнього середовища, і можливостей несанкціонованого доступу, має здійснюватися надійне розміщення або захист обладнання.
      - А.9.2.2 - Послуги підтримки - Обладнання повинне бути захищене від збоїв електроживлення та інших порушень функціонування, викликаних збоями допоміжних служб.
      - А.9.2.3 - Безпека кабельної розводки - Телекомунікаційні та силові кабелі, що передають дані або підтримують інформаційні сервіси повинні бути захищені від прослуховування або пошкодження.
      - А.9.2.4 - Технічне обслуговування обладнання - З метою забезпечення його безперервної доступності та цілісності обладнання повинно правильно обслуговуватися.
      - А.9.2.5 - Безпека обладнання за межами організації - Повинна забезпечуватися безпеку обладнання за межами території організації, беручи до уваги різні ризики, пов'язані з роботою за межами території організації.
      - A.9.2.6 - Безпечна утилізація або повторне використання обладнання - Усі види обладнання, що містять кошти зберігання інформації, повинні перевірятися, щоб гарантувати, що всі конфіденційні дані і ліцензійне програмне забезпечення було видалено або надійно перезаписані перед утилізацією.
      - A.9.2.7 - Переміщення майна - Устаткування, інформація або програмне
        забезпечення без попереднього дозволу не повинні виноситися за межі організації.
  - - - А.10.1.1 - Задокументовані операційні процедури - Операційні процедури повинні бути задокументовані, підтримуватися в актуальному стані і бути доступними для всіх користувачів, яким вони потрібні.
      - А.10.1.2 - Управління змінами - Зміни засобів і систем обробки інформації повинні контролюватися.
      - А.10.1.3 - Розподіл обов'язків - Обов'язки та сфери відповідальності повинні бути розділені з метою зниження можливостей несанкціонованого зміни або зловживання ресурсами організації.
      - А.10.1.4 - Відокремлення систем, що розробляються, випробовуються та працюють - Засоби розробки, тестування і діючі системи повинні бути розділені з метою зменшення
        ризику несанкціонованого доступу або внесення змін до діючої системи.
    - - A.10.2.1 - Надання послуг - Необхідно переконатися в тому, що механізми безпеки, визначення сервісів і рівні надання сервісів, включені в угоду про надання сервісу третьою стороною, реалізовані, дотримуються і підтримуються третьою стороною.
      - А.10.2.2 - Моніторинг і аналіз сервісів, що надаються третьою стороною - Сервіси, звіти і записи, що надаються третьою стороною, повинні регулярно переглядатися і аналізуватися, а також повинен регулярно проводитися аудит.
      - А.10.2.3 - Управління змінами в сервісах, що надаються третьою стороною - Необхідно управляти змінами в сервісах, включаючи супровід та вдосконалення існуючих політик, процедур і механізмів контролю інформаційної безпеки, з урахуванням критичності задіяних бізнес систем і процесів, а також результатів переоцінки ризиків.
    - - А.10.3.1 - Управління продуктивністю - Має відстежуватися і пристосовуватися використання ресурсів, а також повинні прогнозуватися вимоги до ресурсів на майбутнє з метою забезпечення необхідної продуктивності системи.
      - А.10.3.2 - Приймання системи - Повинні бути встановлені критерії приймання нових інформаційних систем, їх модернізацій і нових версій, а також має проводитися необхідне тестування систем (и) в ході розробки і перед прийманням в експлуатацію.
    - - A.10.4.1 - Механізми контролю, спрямовані проти шкідливого коду - Для захисту від шкідливого коду повинні бути реалізовані механізми виявлення, запобігання і відновлення, а також відповідні процедури підвищення обізнаності користувачів.
      - А.10.4.2 - Механізми контролю, спрямовані проти мобільного коду - Там, де дозволено використання мобільного коду, конфігурація повинна гарантувати, що авторизований мобільний код виконується відповідно до чітко визначеної політикою безпеки, а виконання неавторизованогомобільного коду повинне запобігати.
    - - A.10.5.1 - Резервне копіювання інформації - Резервні копії інформації та програмного забезпечення повинні створюватися і тестуватися регулярно відповідно до узгодженої політикою резервного копіювання.
    - - A.10.6.1 - Мережеві механізми контролю - Повинні бути забезпечені адекватне управління і контроль мережі для захисту від загроз і забезпечення безпеки систем і додатків при використанні мережі, включаючи передану інформацію.
      - A.10.6.2 - Безпека мережевих сервісів - Повинні бути ідентифіковані і включені в усі угоди про надання мережевих сервісів функції безпеки, рівні сервісу і вимоги керівництва для всіх мережевих сервісів, незалежно від того, чи надаються послуги всередині організації або перебувають на аутсорсингу.
    - - A.10.7.1 - Управління змінними носіями інформації - Повинні бути встановлені процедури для управління змінними носіями інформації.
      - A.10.7.2 - Знищення носіїв інформації - Носії інформації, які не використовуються підлягають безпечному і надійному знищенню з використанням встановлених процедур.
      - А.10.7.3 - Процедури поводження з інформацією - Для захисту інформації від несанкціонованого розкриття або неправомірного використання, необхідно встановити процедури звернення і зберігання інформації.
      - А.10.7.4 - Безпека системної документації - Системна документація повинна бути захищена від несанкціонованого доступу.
    - - А.10.8.1 - Політики та процедури обміну інформацією - Повинні існувати офіційні політики, процедури та механізми обміну інформацією для захисту інформаційних обмінів, які використовують всі види засобів комунікацій.
      - А.10.8.2 - Угоди про обмін інформацією - Між організацією та зовнішні сторони повинні бути встановлені угоди про обмін інформацією і програмним забезпеченням.
      - А.10.8.3 - Транспортування фізичних носіїв інформації - Носії, що містять інформацію, повинні бути захищені від несанкціонованого доступу, неправомірного використання або пошкодження під час транспортування за межі кордонів організації.
      - A.10.8.4 - Передача електронних повідомлень - Інформація, що бере участь в електронних обмінах, повинна бути належним чином захищена.
      - A.10.8.5 - Інформаційні бізнес-системи - Для захисту інформації, пов'язаної з взаємодією інформаційних бізнес систем повинні бути розроблені і впроваджені відповідні політики і процедури.
    - - A.10.9.1 - Електронна комерція - Інформація, яка використовується в електронній комерції і передана по мережах загального користування, повинна бути захищена від шахрайських дій, контрактних суперечок, а також несанкціонованого розкриття та модифікації.
      - А.10.9.2 - Онлайн-транзакції - Інформація, яка використовується в онлайнових транзакцій, повинна бути захищена з метою запобігання незавершених транзакцій, помилок маршрутизації, несанкціонованого зміни повідомлень, несанкціонованого розкриття, несанкціонованого дублювання і повторного використання повідомлень.
      - А.10.9.3 - Загальнодоступна інформація - Цілісність інформації, яка робиться загальнодоступною в системах загального користування, повинна бути захищена для запобігання несанкціонованих модифікацій.
    - - А.10.10.1 - Реєстрація подій аудиту - Повинні вестися журнали аудиту, в яких записуються дії користувачів, виняткові ситуації і події інформаційної безпеки. Вони повинні зберігатися протягом встановленого періоду часу з метою їх використання в майбутньому для проведення розслідувань і моніторингу доступу.
      - А.10.10.2 - Моніторинг використання системи - Механізм управління
        Повинні бути встановлені процедури моніторингу використання засобів обробки інформації.
      - А.10.10.3 - Захист даних журналів аудиту - Засоби реєстрації подій і інформація журналів аудиту повинні бути захищені від підробки та несанкціонованого доступу.
      - А.10.10.4 - Журнали адміністратора та оператора - Дії системного адміністратора і системного оператора повинні контролюватися.
      - А.10.10.5 - Повідомлення про помилки - Збої повинні контролюватися, аналізуватися, і повинні вживатися відповідні заходи.
      - А.10.10.6 - Синхронізація годин - Години всіх важливих систем обробки інформації в організації або в домені безпеки повинні бути синхронізовані з встановленим джерелом точного часу.
  - - - А.11.1.1 - Політика контролю доступу - Політика контролю доступу повинна бути встановлена, документально підтверджена, повинна переглядатися на підставі бізнес вимог та вимог щодо забезпечення безпеки доступу.
    - - A.11.2.1 - Реєстрація користувача - Повинна існувати офіційна процедура реєстрації та видалення облікових записів користувачів для надання та скасування доступу до всіх інформаційних систем і сервісів.
      - А.11.2.2 - Керування привілеями - Розподіл і використання привілеїв повинні бути обмежені і контролюватися.
      - А.11.2.3 - Керування паролями користувачів - Контроль розподілу паролів повинен здійснюватися за допомогою офіційного керуючого процесу.
      - А.11.2.4 - Перевірка прав доступу користувачів - Керівництво повинно регулярно проводити перевірку прав доступу користувачів в рамках відповідного офіційного процесу.
    - - А.11.3.1 - Використання паролів - Від користувачів треба вимагати, щоб вони слідували стандартам добре зарекомендувала себе практики в області вибору і використання паролів.
      - А.11.3.2 - Користувальницьке обладнання, залишене без нагляду - Користувачі повинні забезпечити необхідний рівень захисту для обладнання, що залишається без нагляду.
      - А.11.3.3 - Політика чистих столів і чистих екранів. - Повинна бути прийнята політика чистих столів для паперів і знімних пристроїв зберігання інформації і політика чистих екранів для засобів обробки інформації.
    - - A.11.4.1 - Політика використання мережевих сервісів - Користувачам повинен бути наданий доступ тільки до тих сервісів, використання яких їм явним чином дозволено.
      - A.11.4.2 - Аутентифікація користувачів при зовнішніх
        підключених - Для контролю доступу віддалених користувачів повинні використовуватися відповідні методи аутентифікації.
      - A.11.4.3 - Ідентифікація обладнання в мережах - В якості методів аутентифікації з'єднань з конкретних місць і від конкретного обладнання повинна розглядатися автоматична ідентифікація обладнання.
      - А.11.4.4 - Захист віддалених діагностичних і конфігураційних
        портів - Фізичний і логічний доступ до діагностичних і конфігураційним портам повинен контролюватися.
      - A.11.4.5 - Ізоляція мережі - Групи інформаційних сервісів, користувачів та інформаційних систем повинні бути ізольовані в мережах.
      - A.11.4.6 - Елемент керування підключенням до мережі - У спільно використовуваних мережах, особливо в тих, які виходять за межі організації, повинні бути обмежені можливості підключення користувачів до мережі відповідно до політики контролю доступу та вимог бізнес додатків
      - А.11.4.7 - Керування маршрутизацією в мережі - У мережах повинні бути впроваджені механізми контролю маршрутизації, щоб гарантувати, що підключення комп'ютерів і інформаційні потоки не порушують політики контролю доступу бізнес додатків.
    - - A.11.5.1 - Безпечні процедури входу в систему - Доступ до операційних систем повинен контролюватися за допомогою безпечної процедури входу в систему.
      - A.11.5.2 - Ідентифікація та аутентифікація користувача - Всі користувачі повинні мати унікальний ідентифікатор (ідентифікатор користувача) виключно для персонального використання. Для підтвердження заявленого коду користувача повинні вибиратися відповідні методи аутентифікації.
      - А.11.5.3 - Система керування паролями - Системи управління паролями повинні бути інтерактивними і забезпечувати вибір якісних паролів.
      - А.11.5.4 - Використання системних утиліт - Використання утиліт, які можуть обходити механізми контролю системи і додатків, має бути обмежена і строго контролюватися.
      - A.11.5.5 - Завершення сесій при перевищенні ліміту часу - Неактивні сесії повинні автоматично завершуватися при закінчення встановленого періоду неактивності.
      - A.11.5.6 - Обмеження часу з'єднання - Обмеження часу підключення повинно використовуватися для забезпечення додаткового рівня захисту для додатків з високим ризиком.
    - - A.11.6.1 - Обмеження доступу до інформації - Доступ до інформації і до функцій прикладної системи з боку користувачів і обслуговуючого персоналу повинен бути обмежений відповідно до встановленої політики контролю доступу.
      - A.11.6.2 - Ізоляція критичних систем - Критичні системи вимагають створення спеціального(ізольованого) комп'ютерного середовища.
    - - A.11.7.1 - Мобільна комп'ютерна техніка та засоби зв'язку - Повинна існувати офіційна політика і повинні бути затверджені відповідні механізми контролю для захисту від ризиків, пов'язаних з використанням мобільного комп'ютерного обладнання та засобів зв'язку.
      - A.11.7.2 - Робота поза офісом - Повинні бути розроблені та реалізовані політика, робочі плани і процедури для роботи поза офісом.
  - - - А.12.1.1 - Аналіз безпеки та специфікація - Вимоги до механізмів безпеки повинні визначатися бізнес вимогами для нових систем або вимогами до вдосконалення для існуючих систем.
    - - A.12.2.1 - Перевірка вхідних даних - Вхідні дані програми повинні перевірятися на предмет їх коректності та прийнятності.
      - А.12.2.2 - Контроль внутрішньої обробки даних - Для виявлення будь-яких спотворень оброблюваних даних в результаті помилок їх обробки або навмисних дій в додатки повинні бути вбудовані механізми перевірки їх достовірності.
      - А.12.2.3 - Цілісність повідомлення - Повинні бути ідентифіковані вимоги до забезпечення автентичності та цілісності повідомлення в додатках, а також повинні бути ідентифіковані і реалізовані відповідні механізми контролю.
      - А.12.2.4 - Перевірка вихідних даних - Вихідні дані додатки повинні перевірятися для забезпечення коректності обробки інформації, що зберігається і її відповідності обставинам.
    - - А.12.3.1 - Політика використання криптографічних механізмів - Повинна бути розроблена і реалізована політика використання криптографічних механізмів для захисту інформації.
      - А.12.3.2 - Управління ключами - Спосіб керування ключами для підтримки застосування криптографічних методів в організації.
    - - A.12.4.1 - Управління поточним програмним забезпеченням - Повинні існувати процедури для контролю установки програмного забезпечення в діючих системах.
      - А.12.4.2 - Захист тестових системних даних - Тестові дані повинні бути ретельно відібрані, захищені та контрольовані.
      - А.12.4.3 - Контроль доступу до вихідних текстів програм - Доступ до вихідних текстів програм повинен бути обмежений.
    - - А.12.5.1 - Процедури контролю змін - Внесення змін має контролюватися шляхом використання офіційних процедур контролю змін.
      - А.12.5.2 - Технічний аналіз додатків після змін операційної системи - Після внесення змін до операційних систем критично важливі для бізнесу програми повинні бути проаналізовані та перевірені, щоб гарантувати відсутність шкідливих наслідків для роботи або безпеки організації.
      - А.12.5.3 - Обмеження на зміни пакетів програмного забезпечення - Необхідно запобігти внесенню змін до програмних пакетів, за винятком необхідних змін, і всі зміни повинні строго контролюватися.
      - A.12.5.4 - Витік інформації - Слід запобігати можливості витоку інформації.
      - A.12.5.5 - Аутсорсинг розробки програмного забезпечення - Аутсорсинг розробки програмного забезпечення повинен контролюватися і відслідковуватися організацією.
    - - A.12.6.1 - Контроль технічних вразливостей - Інформація про технічні вразливості інформаційних систем, що використовуються, повинна бути своєчасно повідомлена, вплив організації на ці вразливості повинен бути оцінений і необхідні заходи, вжиті для мінімізації пов'язаного з ними ризику.
  - - - A.13.1.1 - Інформування про події інформаційної безпеки - Інформування про події інформаційної безпеки має здійснюватися по відповідних каналах управління якомога швидше.
      - A.13.1.2 - Інформування про недоліки інформаційної безпеки - Усі працівники, підрядники та користувачі сторонніх інформаційних систем і служб повинні записувати та повідомляти про всі недоліки безпеки систем або послуг.
    - - A.13.2.1 - Відповідальність і процедури - Повинні бути встановлені відповідальність керівництва та процедури для забезпечення швидкої, ефективної і послідовної реакції на інциденти інформаційної безпеки.
      - A.13.2.2 - Тренінг з питань інформаційної безпеки - Повинні існувати механізми для кількісного представлення і відстеження типів, розмірів і вартості інцидентів інформаційної безпеки.
      - А.13.2.3 - Збір свідчень - У тих випадках, коли дії, що вживаються після інциденту інформаційної безпеки проти фізичної особи або організації, припускають юридичні санкції (цивільні або кримінальні), повинні здійснюватися збір, зберігання і надання свідчень для виконання правил, прийнятих у відповідній юрисдикції (ях).
  - - - А.14.1.1 - Включення інформаційної безпеки в процес управління безперервністю бізнесу - Для забезпечення безперервності бізнесу в усій організації слід розробити і підтримувати керований процес, що враховує вимоги інформаційної безпеки, необхідні для забезпечення безперервності бізнесу організації.
      - A.14.1.2 - Безперервність бізнесу та оцінка ризиків - Події, які можуть призвести до переривань бізнес процесів, повинні бути ідентифіковані поряд з ймовірністю і наслідками таких переривань і їх впливом на інформаційну безпеку.
      - А.14.1.3 - Розробка і реалізація планів забезпечення безперервності, включаючи інформаційну безпеку - Механізм управління
        Повинні бути розроблені та реалізовані плани, які дозволять продовжити або відновити операції і забезпечити необхідний рівень доступності інформації у встановлені терміни після переривання або збою критично важливих бізнес процесів.
      - А.14.1.4 - Загальна схема планування безперервності бізнесу - Необхідно підтримувати єдину структуру планів забезпечення безперервності бізнесу, що дозволить гарантувати несуперечність всіх планів, послідовно враховувати вимоги інформаційної безпеки, а також визначати пріоритети в області тестування і супроводу.
      - А.14.1.5 - Тестування, підтримка і перегляд планів забезпечення
        безперервності бізнесу - Плани забезпечення безперервності бізнесу необхідно регулярно тестувати і переглядати, щоб гарантувати їх ефективність і відповідність сучасному стану речей.
  - - - A.15.1.1 - Визначення законодавчої бази, яка застосовується до діяльності організації - Усі значимі вимоги, встановлені чинним законодавством, підзаконними актами і договірними відносинами, а також підхід організації до забезпечення відповідності цим вимогам повинні бути явно визначені, задокументовані і підтримуватися в актуальному стані для кожної інформаційної системи та організації.
      - А.15.1.2 - Право інтелектуальної власності - Повинні бути впроваджені відповідні процедури для забезпечення дотримання законодавчих обмежень, підзаконних актів і контрактних зобов'язань по використанню матеріалів, що охороняються правом інтелектуальної власності, а також по використанню ліцензійного програмного забезпечення.
      - А.15.1.3 - Захист документації організації - Важлива документація організації повинна бути захищена від втрати, знищення та фальсифікації відповідно до вимог законодавства, підзаконних актів, контрактних зобов'язань і бізнес вимогами.
      - А.15.1.4 - Захист особистих секретних даних - Захист особистих секретних даних повинен забезпечуватися відповідно до вимог чинного законодавства та нормативної бази, а також, якщо необхідно, положень контрактних зобов'язань.
      - А.15.1.5 - Запобігання випадків неналежного використання інструментів обробки інформації - Користувачі повинні утримуватися від використання засобів обробки інформації нецільовим чином.
      - А.15.1.6 - Правове регулювання в галузі використання криптографічних засобів - Криптографічні механізми повинні використовуватися у відповідності з усіма наявними угодами, законодавчими і нормативними актами.
    - - A.15.2.1 - Дотримання вимог політик і стандартів безпеки - Керівники повинні забезпечити коректне виконання всіх процедур щодо забезпечення безпеки в зоні своєї відповідальності з метою дотримання вимог політик і стандартів безпеки.
      - А.15.2.2 - Перевірка відповідності технічним вимогам - Інформаційні системи повинні регулярно перевірятися на відповідність стандартам в області реалізації механізмів безпеки.
    - - А.15.3.1 - Механізми аудиту інформаційних систем - Вимоги та заходи аудиту, що включають в себе проведення перевірок діючих систем, повинні бути ретельно сплановані та погоджені з метою зведення до мінімуму ризику переривання бізнес процесів.
      - А.15.3.2 - Захист засобів аудиту інформаційних систем - Доступ до засобів аудиту інформаційних систем повинен бути захищений з метою запобігання будь-якій можливості неналежного використання або компрометації.