Please enable JavaScript.

Coggle requires JavaScript to display documents.

ISO/ІЕС 27002 «ІНФОРМАЦІЙНІ ТЕХНОЛОГІЇ. МЕТОДИКИ БЕЗПЕКИ. ПРАКТИЧНІ…

- - - - Інвентаризація активів
        
        Всі активи повинні бути чітко визначені, повинна складатися і
        підтримуватися опис всіх важливих активів.
        
        Рекомендація щодо реалізації
        
        Опис не повинна без необхідності
        дублювати інші описи, але слід забезпечувати впевненість у тому, що її зміст вивірено.
        
        Крім того, володіння і класифікація інформації повинні бути узгоджені і документально оформлені щодо кожного активу.
        
        В опис активів слід включити всю
        інформацію, необхідну для відновлення після лиха, в тому числі тип активу, формат, місце розташування, інформацію про резервних копіях, інформацію
        про ліцензування і цінності для бізнесу.
        
        Організація повинна ідентифікувати всі активи і документально
        оформляти значимість цих активів
      - Володіння активами
        
        Вся інформація і активи, пов'язані із засобами обробки інформації
        повинні знаходитися у власності
        
        Рекомендація щодо реалізації
        Власник активу повинен нести відповідальність за:
        
        забезпечення впевненості в тому, що інформація і активи,
        пов'язані із засобами обробки інформації, класифіковані відповідним чином;
        
        визначення та періодичний перегляд обмежень і класифікацій
        доступу, беручи до уваги застосовні політики управління доступом.
      - Прийнятне використання активів
        
        Слід визначати, документально оформляти і реалізовувати правила
        прийнятного використання інформації та активів, пов'язаних із засобами обробки інформації.
        
        Рекомендація щодо реалізації
        
        Всім службовцям, підрядникам та представникам третьої сторони
        рекомендується слідувати правилам прийнятного використання інформації та активів, пов'язаних із засобами обробки інформації, включаючи:
        
        правила використання електронної пошти та Інтернету
        
        рекомендації щодо використання мобільних пристроїв, особливо
        щодо використання їх за межами приміщень організації
  - - - Рекомендації по класифікації
        
        Інформацію слід класифікувати, виходячи з її цінності, законодавчих
        вимог, чутливості та критичності для організації.
        
        Рекомендація щодо реалізації
        
        При класифікації інформації та пов'язаних з нею захисних заходів і
        засобів контролю та управління необхідно враховувати вимоги бізнесу щодо спільного використання або обмеження доступу до інформації та наслідки для
        бізнесу, пов'язані з такими вимогами.
        
        Рекомендації по класифікації повинні включати настанови щодо
        початкової класифікації і подальшої класифікації після закінчення часу відповідно до якоїсь визначеної політикою управління доступом
        
        Предметом розгляду повинно стати кількість класифікаційних категорій
        і переваги, одержувані від їх використання.
      - Маркування та обробка інформації
        
        Відповідний набір процедур маркування та обробки інформації слід
        розробляти і реалізовувати відповідно до системи класифікації, прийнятої організацією.
        
        Рекомендація щодо реалізації
        
        Виведені з систем документи, що містять інформацію, яка
        класифікована як чутлива або критична, повинні містити відповідний маркувальний знак
        
        Для кожного рівня класифікації повинні бути визначені процедури
        обробки, що включають: безпечну обробку, зберігання, передачу, зняття грифа секретності і знищення
        
        Необхідно, щоб процедури маркування інформації охоплювали
        інформаційні активи, представлені як у фізичній, так і в електронній формі.
- - - - Технічне обслуговування обладнання
        
        Має проводитися належне технічне обслуговування обладнання для
        забезпечення його безперервної доступності і цілісності
      - Безпека обладнання поза приміщеннями організації
        
        При забезпеченні безпеки обладнання, що використовується поза місцем
        його постійної експлуатації, слід враховувати різні ризики, пов'язані з роботою поза приміщеннями організації.
      - Безпека кабельної мережі
        
        Силові та телекомунікаційні кабельні мережі, по яких передаються дані
        або підтримують інформаційні послуги, необхідно захищати від перехоплення інформації або руйнування
      - Безпечна утилізація або повторне використання обладнання
        
        Всі компоненти обладнання, які містять носії даних, слід перевіряти з
        метою забезпечення впевненості в тому, що будь-які чутливі дані і ліцензійне програмне забезпечення були видалені або перезаписані безпечним чином до
        їх утилізації
      - Послуги підтримки
        
        Устаткування необхідно захищати від перебоїв подачі електроенергії та
        інших збоїв, пов'язаних з перебоями в забезпеченні підтримують послуг.
      - Переміщення майна
        
        Устаткування, інформацію або програмне забезпечення можна
        використовувати поза приміщеннями організації тільки при наявності відповідного дозволу.
      - Розміщення та захист обладнання
        
        Обладнання повинно бути розміщено і захищено так, щоб зменшити
        ризики від загроз навколишнього середовища і можливості несанкціонованого доступу.
  - - - Заходи і засоби контролю і управління фізичним входом
        
        Зони безпеки необхідно захищати за допомогою відповідних заходів і
        засобів контролю та управління входу, щоб забезпечити впевненість у тому, що доступ дозволений тільки авторизованому персоналу.
      - Безпека будівель, виробничих приміщень і обладнання
        
        Необхідно розробити і реалізувати фізичний захист будівель,
        виробничих приміщень і обладнання
      - Периметр зони безпеки
        
        коли це доцільно, повинні бути побудовані фізичні бар`єри, що
        запобігають неавторизований фізичний доступ і забруднення навколишнього середовища;
        
        всі аварійні виходи на випадок пожежі в периметрі безпеки
        повинні бути обладнані аварійною сигналізацією, повинні піддаватися моніторингу та тестування разом зі стінами, щоб
        створити необхідний рівень стійкості відповідно до застосовних регіональними, національними і міжнародними стандартами;
        
        повинна бути виділена і укомплектована персоналом зона
        реєстрації відвідувачів, або повинні існувати інші заходи для контролю фізичного доступу в приміщення або будівлі; доступ в
        приміщення та будівлі повинен надаватися тільки авторизованому персоналу
        
        слід встановлювати необхідні системи виявлення вторгнення, що
        відповідають національним, регіональним або міжнародним стандартам, і регулярно тестувати їх на предмет охоплення всіх
        зовнішніх дверей і доступні вікон, вільні приміщення необхідно ставити на сигналізацію
        
        периметри будівлі або приміщень, де розташовані засоби обробки
        інформації, повинні бути фізично міцними;
        зовнішні стіни приміщень повинні мати
        тверду конструкцію, а все зовнішні двері повинні бути відповідним чином захищені від несанкціонованого доступу,
        наприклад оснащені шлагбаумом, сигналізацією, замками т. п.
        
        необхідно фізично ізолювати засоби обробки інформації,
        контрольовані організацією, від засобів, контрольованих сторонніми організаціями.
        
        периметри безпеки повинні бути чітко визначені, а розміщення і
        надійність кожного з периметрів повинні залежати від вимог безпеки активів, які перебувають у межах периметра, і від
        результатів оцінки ризику;
      - Захист від зовнішніх загроз і загроз з боку навколишнього
        середовища
        
        Необхідно розробити і реалізувати фізичний захист від нанесення
        шкоди, який може з'явитися результатом пожежі, повені, землетруси, вибуху, громадських заворушень та інших форм природних або антропогенних лих.
      - Робота в зонах безпеки
        
        Необхідно розробити і реалізувати фізичний захист і рекомендації по
        роботі в зонах безпеки.
      - Зони загального доступу, приймання та відвантаження
        
        Місця доступу, наприклад зони приймання та відвантаження, і інші
        місця, де неавторизовані особи можуть проникнути в приміщення, повинні перебувати під контролем і, по можливості, повинні бути ізольовані від засобів
        обробки інформації, щоб уникнути несанкціонованого доступу.
- - - - Поінформованість, навчання і тренінг в області інформаційної
        безпеки
        
        Постійне навчання повинно охоплювати вимоги безпеки, правову відповідальність, управління бізнесом, а також навчання правильномувикористанню засобів обробки інформації, наприклад процедурі початку сеансу, використання пакетів програм та інформації про дисциплінарне процесі
        
        Навчання, що забезпечує поінформованість, слід починати з
        формального вступного процесу, призначеного для ознайомлення з політиками і очікуваннями організації в області безпеки перш, ніж буде надано
        доступ до інформації або послуг
      - Дисциплінарний процес
        
        Формальний дисциплінарний процес покликаний забезпечити
        впевненість в коректному і справедливому розгляді справ співробітників, підозрюваних в скоєнні порушень безпеки.
        
        Формальний дисциплінарний процес слід забезпечувати для
        диференційованого реагування, що враховує такі фактори, як тип і тяжкість порушення і його негативний вплив на бізнес, чи вчинено порушення вперше або повторно, чи отримав порушник належну підготовку, відповідне законодавство, договори в сфері бізнесу та інші фактори, якщо в цьому є
        необхідність
        
        Не слід починати дисциплінарний процес, не отримавши попереднього підтвердження того, що порушення безпеки сталося
      - Обов'язки керівництва
        
        зацікавлені слідувати політикам безпеки організації;
        
        досягають рівня обізнаності щодо безпеки, відповідного їх ролям
        і обов'язків в організації
        
        забезпечені рекомендаціями щодо формулювання їх
        передбачуваних ролей щодо безпеки в рамках організації;
        
        слідують умовам зайнятості, які включають політику
        інформаційної безпеки організації і відповідні методи роботи;
        
        були проінформовані про свої ролі і обов'язки в області
        інформаційної безпеки перш, ніж їм було надано доступ до чутливої інформації або інформаційним системам;
        
        продовжують підтримувати відповідні навички та кваліфікацію.
  - - - Повернення активів
        
        Необхідно повертати також інші активи організації, наприклад мобільну обчислювальну техніку, кредитні картки, карти доступу, програмне забезпечення, керівництва та інформацію, що зберігається на електронних носіях.
        
        Процес припинення зайнятості повинен бути формалізований таким чином, щоб включати в себе повернення всього раніше виданого програмного забезпечення, корпоративних документів та обладнання.
      - Анулювання прав доступу
        
        Зміна зайнятості повинна супроводжуватися анулюванням всіх прав доступу, що не санкціоновані для нової зайнятості.
        
        Права доступу до інформаційних активів і засобів обробки інформації слід зменшуватиабо анулювати до припинення зайнятості або зміни місця зайнятості, в залежності від оцінки факторів ризику, наприклад:
        
        поточні обов'язки співробітника, підрядника або будь-якого
        іншого представника;
        
        значимість активів, доступних на даний момент
        
        було припинення зайнятості або зміна місця зайнятості ініційовані співробітником, підрядником або представником третьої сторони, або керівництвом, і причина припинення зайнятості;
        
        При припинення зайнятості, права доступу до активів, пов'язаних з інформаційними системами, і послуг необхідно переглядати. Це дозволить визначати, чи потрібно анулювати права доступу.
      - Припинення обов'язків
        
        Зміна обов'язків і зайнятості повинні управлятися також як і припинення відповідних обов'язків або зайнятості, а управління новим обов'язком або зайнятістю має здійснюватися так, як це описано в 8.1.
        
        Відповідальність і службові обов'язки, що продовжують залишатися дійсними після припинення зайнятості, повинні міститися в договорах з працівниками, підрядниками або представниками третьої сторони
        
        Інформування про припинення обов'язків має включати в себе актуальні вимоги безпеки і правову відповідальність, і, при необхідності, обов'язки, що містяться в угоді про конфіденційності, а також умови зайнятості , що продовжують діяти протягом певного періоду часу після припинення зайнятості співробітників, підрядників або представників третьої сторони
  - - - Попередня перевірка
        
        підтвердження заявленої освіти і професійної кваліфікації
        
        незалежну перевірку достовірності документів, що засвідчують особу (паспорта або його замінює)
        
        перевірку (на предмет повноти і точності) біографії претендента
        
        більш детальну перевірку, наприклад кредитоспроможності або на наявність судимості
        
        наявність позитивних рекомендацій, зокрема, щодо ділових та
        особистих якостей претендента
      - Умови зайнятості
        
        відповідальність співробітника, підрядника або представника
        третьої сторони за обробку інформації, одержуваної від інших фірм і сторонніх організацій
        
        відповідальність організації за обробку персональної інформації,
        включаючи персональну інформацію, отриману в результаті або в процесі роботи в організації
        
        обов'язки щодо класифікації інформації та менеджменту активів організації, пов'язаних з інформаційними системами та послугами, виконуються співробітником, підрядником або представником третьої сторони
        
        відповідальність, що поширюється також і на роботу поза
        приміщеннями організації і в неробочий час, наприклад в разівиконання роботи на дому
        
        правову відповідальність і права співробітників, підрядників і
        будь-яких інших клієнтів, наприклад, в частині законів про авторське право або законодавства про захист персональних даних
        
        дії, які повинні бути зроблені в разі, якщо співробітник, підрядник або представник третьої сторони ігнорує вимоги безпеки організаці
        
        що всі співробітники, підрядники та представники третьої
        сторони, які мають доступ до чутливої інформації, повинні підписувати угоду про конфіденційність або нерозголошення
        перш, ніж їм буде надано доступ до засобів обробки інформації
      - Ролі та обов'язки
        
        виконання певних процесів або діяльності, пов'язаних з безпекою
        
        забезпечення впевненості в тому, що на індивідуума покладається відповідальність за їхні дії
        
        захисту активів від несанкціонованого доступу, розголошення
        відомостей, модифікації, руйнувань або втручання;
        
        інформування про події або потенційних події, пов'язані з
        безпекою, або інші ризики безпеки для організації
        
        реалізації і дії відповідно до політиками інформаційної безпеки
        організації