Please enable JavaScript.

Coggle requires JavaScript to display documents.

ISO/ІЕС 27002 «ІНФОРМАЦІЙНІ ТЕХНОЛОГІЇ. МЕТОДИКИ БЕЗПЕКИ. ПРАКТИЧНІ…

- - - - a. Міра і засіб контролю і управління – визначається формулювання специфічних заходів і засобів контролю і управління для досягнення мети управління.
      - b. Рекомендація щодо реалізації – надається більш деталізована інформація для підтримки реалізації заходів і засоби контролю і управління та досягнення мети управління. Деякі з цих рекомендацій можуть бути неприйнятні для всіх випадків, тому інші способи реалізації заходів і засоби контролю і управління можуть бути більш доречними.
      - c. Додаткова інформація – надається додаткова інформація, яка може бути розглянута, наприклад правові питання і посилання на інші стандарти.
- - - - a. застосування відповідних заходів і засобів контролю та управління для зниження ризиків;
      - b. свідоме та об'єктивне прийняття ризиків в тому випадку, якщо вони, безсумнівно, задовольняють політиці і критеріям організації щодо прийняття ризиків;
      - c. запобігання ризикам шляхом недопущення дій, які можуть стати причиною виникнення ризиків;
      - d. перенесення взаємодіючих ризиків шляхом поділу їх з іншими сторонами, наприклад страховиками або постачальниками.
- - - - Міра і засіб контролю і управління: Політика інформаційної безпеки повинна бути затверджена керівництвом, видана і доведена до відома всіх співробітників організації і відповідних сторонніх організацій.
      - Рекомендація щодо реалізації: Політика інформаційної безпеки повинна встановлювати відповідальність керівництва, а також викладати підхід організації до менеджменту інформаційної безпеки, Документ, в якому викладається політика, повинен містити положення щодо:
    - - Міра і засіб контролю і управління:
        Політика інформаційної безпеки повинна переглядатися або через заплановані інтервали часу, або, якщо відбулися значні зміни, з метою забезпечення впевненості в її актуальності, адекватності та ефективності.
      - Вхідні дані для перегляду методів управління повинні включати інформацію про (о):
        
        a. відповідної реакції зацікавлених сторін;
        
        b. результати незалежних переглядів (см. 6.1.8);
        
        c. стані запобігають і коригувальних дій (див. 6.1.8 та 15.2.1);
        
        d. результати попередніх переглядів методів управління;
        
        e. виконання процесу і відповідно політиці інформаційної безпеки;
        
        f. зміни, які могли б вплинути на підхід організації до методів управління інформаційною безпекою, включаючи зміни, що стосуються організаційного середовища, обставин бізнесу, доступності ресурсів, контрактних, що регулюють і правових умов або технічного середовища;
        
        g. тенденції щодо загроз і вразливостей;
        
        h. доведених до відома інциденти інформаційної безпеки (див. 13.1);
        
        i. рекомендаціях, даних відповідними органами (див. 6.1.6).
        
        j. Вихідні дані перегляду методів управління повинні включати будь-які рішення і дії щодо:
        
        k. поліпшення підходу організації до менеджменту інформаційної безпеки та її процесів;
        
        l. поліпшення заходів і засобів контролю та управління і цілей їх застосування;
        
        m. поліпшення розподілу ресурсів і (або) обов'язків.