Please enable JavaScript.

Coggle requires JavaScript to display documents.

ISO/ІЕС 27002 - Coggle Diagram

- - - - Міра і засіб контролю і управління: Всі активи повинні бути чітко визначені, повинна складатися і підтримуватися опис всіх важливих активів.
      - Рекомендація щодо реалізації
        Організація повинна ідентифікувати всі активи і документально оформляти значимість цих активів. В опис активів слід включити всю інформацію, необхідну для відновлення після лиха, в тому числі тип активу, формат, місце розташування, інформацію про резервних копіях, інформацію про ліцензування і цінності для бізнесу. Опис не повинна без необхідності дублювати інші описи, але слід забезпечувати впевненість у тому, що її зміст вивіреноРекомендація щодо реалізації Організація повинна ідентифікувати всі активи і документально оформляти значимість цих активів. В опис активів слід включити всю інформацію, необхідну для відновлення після лиха, в тому числі тип активу, формат, місце розташування, інформацію про резервних копіях, інформацію про ліцензування і цінності для бізнесу. Опис не повинна без необхідності дублювати інші описи, але слід забезпечувати впевненість у тому, що її зміст вивірено
      - Додаткова інформація
        Існує багато типів активів, що включають:
        
        c. фізичні активи: комп'ютерне обладнання, засоби зв'язку, знімні носії інформації та інше обладнання;
        
        d. послуги: обчислювальні послуги і послуги зв'язку, основні підтримують послуги, наприклад, опалення, освітлення, електроенергія і кондиціонування повітря;
        
        b. програмні активи: прикладні програмні засоби, системні програмні засоби, засоби розробки і утиліти;
        
        e. персонал, його кваліфікація, навички та досвід;
        
        a. інформацію: бази даних і файли даних, договори і угоди, системна документація, дослідницька інформація, керівництва користувача, навчальні матеріали, процедури експлуатації або підтримки, плани безперервності бізнесу, заходи по переходу на аварійний режим, контрольні записи і архівована інформація;
        
        f. нематеріальні цінності, наприклад репутація та імідж організації.
    - - Міра і засіб контролю і управління
        Вся інформація і активи, пов'язані із засобами обробки інформації повинні знаходитися у власності (Терміном «власник» визначається фізична або юридична особа, яка наділена адміністративною відповідальністю за керівництво виготовленням, розробкою, зберіганням, використанням та безпекою активів. Термін «власник» не означає, що дана людина фактично має право власності на цей актив) певної частини організації.
      - Рекомендація щодо реалізації
        
        Власник активу повинен
        нести відповідальність за:
        
        a. забезпечення впевненості в тому, що інформація і активи, пов'язані із засобами обробки інформації, класифіковані відповідним чином;
        
        b. визначення та періодичний перегляд обмежень і класифікацій доступу, беручи до уваги застосовні політики управління доступом.
        
        Володіння може поширюватися на:
        
        a. процес бізнесу;
        
        b. певний набір діяльностей;
        
        c. прикладні програми;
        
        d. певне безліч даних.
      - Додаткова інформація Повсякденні завдання можуть бути передані, наприклад посадовій особі, щодня працює з активом, але відповідальність зберігається за власником. У складних інформаційних системах рекомендується позначити групи активів, що діють разом, для забезпечення певної функції, такий як «послуга». В даному випадку власник послуг є відповідальним за постачання послуги і функціонування активів, які забезпечують дану послугу.
    - - Міра і засіб контролю і управління Слід визначати, документально оформляти і реалізовувати правила прийнятного використання інформації та активів, пов'язаних із засобами обробки інформації.
      - Рекомендація щодо реалізації Всім службовцям, підрядникам та представникам третьої сторони рекомендується слідувати правилам прийнятного використання інформації та активів, пов'язаних із засобами обробки інформації, включаючи:
        
        a. правила використання електронної пошти та Інтернету
        
        b. рекомендації щодо використання мобільних пристроїв, особливо щодо використання їх за межами приміщень організації
  - - - Міра і засіб контролю і управління
        Інформацію слід класифікувати, виходячи з її цінності, законодавчих вимог, чутливості та критичності для організації.
      - Рекомендація щодо реалізації
        При класифікації інформації та пов'язаних з нею захисних заходів і засобів контролю та управління необхідно враховувати вимоги бізнесу щодо спільного використання або обмеження доступу до інформації та наслідки для бізнесу, пов'язані з такими вимогами. Рекомендації по класифікації повинні включати настанови щодо початкової класифікації і подальшої класифікації після закінчення часу відповідно до якоїсь визначеної політикою управління доступом
      - Додаткова інформація
        Рівень захисту може оцінюватися за допомогою аналізу конфіденційності, цілісності і доступності, а також будь-яких інших вимог по відношенню до розглянутої інформації. Інформація часто перестає бути чутливою або критичною після закінчення деякого періоду часу, наприклад коли вона робиться загальнодоступною. Ці аспекти необхідно брати до уваги, оскільки присвоєння вищої категорії може привести до реалізації непотрібних заходів та засобів контролю і управління та, як наслідок, до додаткових витрат. При призначенні класифікаційних рівнів, спільний розгляд документів з аналогічними вимогами безпеки може спростити завдання по класифікації. Загалом, класифікація інформації - найкоротший шлях для визначення способу її обробки і захисту.
    - - Міра і засіб контролю і управління
        Відповідний набір процедур маркування та обробки інформації слід розробляти і реалізовувати відповідно до системи класифікації, прийнятої організацією.
      - Рекомендація щодо реалізації
        Необхідно, щоб процедури маркування інформації охоплювали інформаційні активи, представлені як у фізичній, так і в електронній формі. Виведені з систем документи, що містять інформацію, яка класифікована як чутлива або критична, повинні містити відповідний маркувальний знак. Маркування повинна відображати класифікацію згідно з правилами, встановленими в 7.2.1. Маркованими можуть бути надруковані звіти, екранні відображення, носії інформації (наприклад стрічки, диски, компакт-диски), електронні повідомлення і пересилаються файли. Для кожного рівня класифікації повинні бути визначені процедури обробки, що включають: безпечну обробку, зберігання, передачу, зняття грифа секретності і знищення. Сюди слід також віднести процедури щодо забезпечення збереження та реєстрації будь-якої події, що має значення для безпеки. Договори з іншими організаціями, що включають вимоги про спільне використання інформації, повинні містити процедури визначення класифікації цієї інформації і інтерпретації класифікаційних позначок інших організацій.
      - Додаткова інформація
        Маркування і безпечна обробка класифікованої інформації є ключовою вимогою для угод про спільне використання інформації. Фізичні мітки є найбільш поширеною формою маркування. Однак деякі інформаційні активи, наприклад документи в електронній формі, не можуть бути марковані фізично, і тому необхідно використовувати електронні аналоги маркування. Наприклад на екрані або може з'явитись яка повідомила мітка. Там, де маркування нездійсненна, застосовують інші засоби позначення класифікації інформації, наприклад за допомогою процедур або метаданих
- - - - Міра і засіб контролю і управління
        Ролі та обов'язки в галузі безпеки співробітників, підрядників і представників третьої сторони необхідно визначати і оформляти документально відповідно до політики інформаційної безпеки організації.
      - Рекомендація щодо реалізації
        Ролі та обов'язки в галузі безпеки повинні включати в себе вимоги щодо:
        
        b. захисту активів від несанкціонованого доступу, розголошення відомостей, модифікації, руйнувань або втручання;
        
        c. виконання певних процесів або діяльності, пов'язаних з безпекою;
        
        a. реалізації і дії відповідно до політиками інформаційної безпеки організації
        
        d. забезпечення впевненості в тому, що на індивідуума покладається відповідальність за їхні дії;
        
        e. інформування про події або потенційних події, пов'язані з безпекою, або інші ризики безпеки для організації.
      - Додаткова інформація
        Для документального оформлення ролей і обов'язків в області безпеки можуть використовуватися посадові інструкції. Ролі та обов'язки в галузі безпеки осіб, що надійшли на роботу не через процес працевлаштування, прийнятий в організації, а, наприклад за допомогою сторонньої організації, повинні бути також чітко визначені і доведені до відома.
    - - Міра і засіб контролю і управління
        Ретельна перевірка всіх кандидатів на постійну роботу, підрядників і представників третьої боку повинна проводитися згідно з відповідними законами, інструкціями і правилами етики, пропорційно вимогам бізнесу, класифікації інформації, до якої буде здійснюватися доступ, і передбачуваним ризикам
      - Рекомендація щодо реалізації
        При перевірці слід враховувати конфіденційність, захист персональних даних і (або) трудове законодавство. Така перевірка повинна включати наступні елементи:
        
        c. підтвердження заявленої освіти і професійної кваліфікації;
        
        d. незалежну перевірку достовірності документів, що засвідчують особу (паспорта або його замінює);
        
        b. перевірку (на предмет повноти і точності) біографії претендента;
        
        e. більш детальну перевірку, наприклад кредитоспроможності або на наявність судимості.
        
        a. наявність позитивних рекомендацій, зокрема, щодо ділових та особистих якостей претендента;
    - - Міра і засіб контролю і управління
        В рамках своїх договірних зобов'язань, співробітники, підрядники та представники третьої сторони повинні узгодити і підписати умови свого трудового договору, що встановлює їх відповідальність і відповідальність організації щодо інформаційної безпеки.
      - Рекомендація щодо реалізації
        Умови зайнятості повинні відображати політику безпеки організації і крім того роз'яснювати і констатувати:
        
        d. відповідальність співробітника, підрядника або представника третьої сторони за обробку інформації, одержуваної від інших фірм і сторонніх організацій;
        
        e. відповідальність організації за обробку персональної інформації, включаючи персональну інформацію, отриману в результаті або в процесі роботи в організації
        
        c. обов'язки щодо класифікації інформації та менеджменту активів організації, пов'язаних з інформаційними системами та послугами, виконуються співробітником, підрядником або представником третьої сторони
        
        f. відповідальність, що поширюється також і на роботу поза приміщеннями організації і в неробочий час, наприклад в разі виконання роботи на дому
        
        b. правову відповідальність і права співробітників, підрядників і будь-яких інших клієнтів, наприклад, в частині законів про авторське право або законодавства про захист персональних даних
        
        g. дії, які повинні бути зроблені в разі, якщо співробітник, підрядник або представник третьої сторони ігнорує вимоги безпеки організації
        
        a. що всі співробітники, підрядники та представники третьої сторони, які мають доступ до чутливої інформації, повинні підписувати угоду про конфіденційність або нерозголошення перш, ніж їм буде надано доступ до засобів обробки інформації;
      - Додаткова інформація
        Може бути використаний кодекс поведінки для поширення інформації, що стосується обов'язків співробітників, підрядників або представників третьої сторони щодо конфіденційності, захисту інформації, правил етики, відповідного використання устаткування і засобів організації, а також порядку діяльності. Підрядник або представники третьої сторони можуть бути пов'язані зі сторонньою організацією, з якою, в свою чергу, може знадобитися укласти договірні угоди від імені особи, яка підписала договір.
  - - - Міра і засіб контролю і управління
        Керівництво організації повинно вимагати, щоб співробітники, підрядники та представники третьої боку забезпечували безпеку відповідно до встановлених політиками і процедурами організації
      - Рекомендація щодо реалізації
        Керівництво зобов'язане забезпечити впевненість у тому, що співробітники, підрядники та представники третьої сторони:
        
        c. зацікавлені слідувати політикам безпеки організації;
        
        d. досягають рівня обізнаності щодо безпеки, відповідного їх ролям і обов'язків в організації
        
        b. забезпечені рекомендаціями щодо формулювання їх передбачуваних ролей щодо безпеки в рамках організації;
        
        e. слідують умовам зайнятості, які включають політику інформаційної безпеки організації і відповідні методи роботи;
        
        a. були проінформовані про свої ролі і обов'язки в області інформаційної безпеки перш, ніж їм було надано доступ до чутливої інформації або інформаційним системам;
        
        f. продовжують підтримувати відповідні навички та кваліфікацію
      - Додаткова інформація
        Якщо співробітники, підрядники та представники третьої сторони не були обізнані про свої обов'язки щодо безпеки, вони можуть завдати значної шкоди організації. Ознайомлення відповідного персоналу, ймовірно, буде більш надійним і викличе менше інцидентів інформаційної безпеки. Неефективний менеджмент може бути причиною того, що персонал буде відчувати себе недооціненим, що в подальшому може мати негативні наслідки для організації. Наприклад неефективний менеджмент може привести до ігнорування безпеки або можливого нецільового використання активів організації.
    - - Міра і засіб контролю і управління
        Всі співробітники організації і, де необхідно, підрядники та представники третьої сторони, повинні пройти відповідне навчання і отримувати на регулярній основі оновлені варіанти політик і процедур, прийнятих в організації та необхідних для виконання їх робочих функцій.
      - Рекомендація щодо реалізації
        Навчання, що забезпечує поінформованість, слід починати з формального вступного процесу, призначеного для ознайомлення з політиками і очікуваннями організації в області безпеки перш, ніж буде надано доступ до інформації або послуг. Постійне навчання повинно охоплювати вимоги безпеки, правову відповідальність, управління бізнесом, а також навчання правильному використанню засобів обробки інформації, наприклад процедурі початку сеансу, використання пакетів програм та інформації про дисциплінарне процесі
      - Додаткова інформація
        Діяльність, пов'язана із забезпеченням обізнаності, навчання і тренінгу щодо безпеки повинна бути адекватною і відповідати ролі, обов'язків і кваліфікації особи, і повинна включати інформацію про відомих загрози, про контактну особу для отримання додаткової консультації з безпеки, а також про відповідні каналах для повідомлення про інциденти інформаційної безпеки
    - - Міра і засіб контролю і управління
        Повинен існувати формальний дисциплінарний процес, застосовуваний щодо співробітників, які вчинили порушення безпеки.
      - Рекомендація щодо реалізації
        Не слід починати дисциплінарний процес, не отримавши попереднього підтвердження того, що порушення безпеки сталося. Формальний дисциплінарний процес покликаний забезпечити впевненість в коректному і справедливому розгляді справ співробітників, підозрюваних в скоєнні порушень безпеки
      - Додаткова інформація
        Дисциплінарний процес слід також використовувати як стримуючий засіб для запобігання вчиненню співробітниками, підрядниками та представниками третьої сторони порушень політик і процедур безпеки, прийнятих в організації, і будь-яких інших порушень безпеки.
  - - - Міра і засіб контролю і управління
        Обов'язки щодо припинення зайнятості або зміни зайнятості повинні бути чітко визначені і встановлені.
      - Рекомендація щодо реалізації
        Інформування про припинення обов'язків має включати в себе актуальні вимоги безпеки і правову відповідальність, і, при необхідності, обов'язки, що містяться в угоді про конфіденційності , а також умови зайнятості , що продовжують діяти протягом певного періоду часу після припинення зайнятості співробітників, підрядників або представників третьої сторони.
      - Додаткова інформація
        Відділ кадрів, як правило, відповідає за загальний процес припинення зайнятості та діє спільно з керівником якого звільняють особи, щоб забезпечити управління аспектами безпеки значущих процедур. Відносно підрядника даний процес може бути здійснений агентством, що несе відповідальність за підрядника, а відносно представника третьої сторони - його організацією.
    - - Міра і засіб контролю і управління
        Всі співробітники, підрядники та представники третьої сторони зобов'язані повернути організації всі активи, що знаходяться в їх користуванні, при припиненні їх зайнятості, договору або угоди.
      - Рекомендація щодо реалізації
        Процес припинення зайнятості повинен бути формалізований таким чином, щоб включати в себе повернення всього раніше виданого програмного забезпечення, корпоративних документів та обладнання. Необхідно повертати також інші активи організації, наприклад мобільну обчислювальну техніку, кредитні картки, карти доступу, програмне забезпечення, керівництва та інформацію, що зберігається на електронних носіях
    - - Міра і засіб контролю і управління
        Права доступу всіх службовців, підрядників і представників третьої сторони до інформації та засобів обробки інформації повинні бути анульовані у разі припинення зайнятості, договору або угоди, або скориговані при зміні зайнятості
      - Рекомендація щодо реалізації
        При припинення зайнятості, права доступу до активів, пов'язаних з інформаційними системами, і послуг необхідно переглядати. Це дозволить визначати, чи потрібно анулювати права доступу. Зміна зайнятості повинна супроводжуватися анулюванням всіх прав доступу, що не санкціоновані для нової зайнятості. Права доступу, які повинні бути анульовані або адаптовані, стосуються фізичного і логічного доступу, ключів, ідентифікаційних карт, засобів обробки інформації , підписок і видалення з будь-якої документації, в якій вони ідентифікуються як фактичні співробітники організації. Якщо звільняється співробітник, підрядник або представник третьої сторони знав паролі до облікових записів, що залишаються активними, то ці паролі повинні бути змінені після припинення зайнятості, договору або угоди, або при зміні зайнятості
      - Додаткова інформація
        При певних обставинах права доступу можуть розподілятися на основі доступності для більшої кількості людей, ніж тільки для співробітника, що звільняє, підрядника або представника третьої сторони, наприклад групові ідентифікатори. При таких обставинах звільнених осіб слід виключати з будьяких списків групового доступу, і слід вживати заходів, які рекомендують всім іншим пов'язаним з доступом співробітникам, підрядникам та представникам третьої сторони не здійснювати спільно з звільняються особою використання цієї інформації.
- - - - Міра і засіб контролю і управління
        Для захисту зон, що містять інформацію і засоби обробки інформації, слід використовувати периметри безпеки (бар'єри, наприклад стіни, керовані картами доступу ворота або турнікети, керовані особою)
      - Рекомендація щодо реалізації
        Відносно фізичних периметрів безпеки рекомендується розглядати і реалізовувати, при необхідності, такі рекомендації:
        
        c. повинна бути виділена і укомплектована персоналом зона реєстрації відвідувачів, або повинні існувати інші заходи для контролю фізичного доступу в приміщення або будівлі; доступ в приміщення та будівлі повинен надаватися тільки авторизованому персоналу;
        
        d. коли це доцільно, повинні бути побудовані фізичні бар`єри, що запобігають неавторизований фізичний доступ і забруднення навколишнього середовища;
        
        b. периметри будівлі або приміщень, де розташовані засоби обробки інформації, повинні бути фізично міцними (тобто не повинно бути ніяких проміжків в периметрі або місць, через які можна було б легко проникнути); зовнішні стіни приміщень повинні мати тверду конструкцію, а все зовнішні двері повинні бути відповідним чином захищені від несанкціонованого доступу, наприклад оснащені шлагбаумом, сигналізацією, замками т. п .; двері і вікна приміщень за відсутності співробітників повинні бути замкнені, і зовнішній захист повинна бути передбачена для вікон, особливо якщо вони знаходяться на рівні землі;
        
        e. всі аварійні виходи на випадок пожежі в периметрі безпеки повинні бути обладнані аварійною сигналізацією, повинні піддаватися моніторингу та тестування разом зі стінами, щоб створити необхідний рівень стійкості відповідно до застосовних регіональними, національними і міжнародними стандартами; вони повинні експлуатуватися відповідно до місцевої системою протипожежних правил безвідмовним чином;
        
        a. периметри безпеки повинні бути чітко визначені, а розміщення і надійність кожного з периметрів повинні залежати від вимог безпеки активів, які перебувають у межах периметра, і від результатів оцінки ризику;
        
        f. слід встановлювати необхідні системи виявлення вторгнення, що відповідають національним, регіональним або міжнародним стандартам, і регулярно тестувати їх на предмет охоплення всіх зовнішніх дверей і доступні вікон, вільні приміщення необхідно ставити на сигналізацію; аналогічно слід обладнати і інші зони, наприклад серверну кімнату або приміщення, де розташовані засоби комунікацій;
        
        g. необхідно фізично ізолювати засоби обробки інформації, контрольовані організацією, від засобів, контрольованих сторонніми організаціями.
      - Додаткова інформація
        Фізичний захист може бути забезпечена створенням одного або декількох фізичних бар'єрів навколо приміщень і засобів обробки інформації організації. Використання декількох бар'єрів дає додатковий захист, і пошкодження одного бар'єру не означає негайного порушення безпеки. Зоною безпеки може бути офіс, що замикається або кілька приміщень всередині фізичного бар'єру безпеки. Між зонами з різними вимогами безпеки, що знаходяться всередині периметра безпеки, можуть знадобитися додаткові бар'єри і периметри для контролю фізичного доступу.
    - - Міра і засіб контролю і управління
        Зони безпеки необхідно захищати за допомогою відповідних заходів і засобів контролю та управління входу, щоб забезпечити впевненість у тому, що доступ дозволений тільки авторизованому персоналу.
      - Рекомендація щодо реалізації
        Слід брати до уваги наступні рекомендації:
        
        c. необхідно вимагати, щоб всі співробітники, підрядники та представники третьої сторони носили ту чи іншу форму видимого ідентифікатора і негайно повідомляли співробітників служби безпеки про помічені без супроводу відвідувачів та осіб, що не носять видимого ідентифікатора;
        
        d. доступ в зони безпеки або до засобів обробки чутливої інформації персоналу допоміжних служб третьої сторони слід надавати тільки при необхідності; такий доступ повинен бути санкціонований і супроводжуватися відповідним контролем;
        
        b. доступ до зон, де обробляється або зберігається чутлива інформація, повинен контролюватися і надаватися тільки авторизованим особам; слід використовувати засоби аутентифікації, наприклад контрольну карту доступу з персональним ідентифікаційним номером (ПІН) для авторизації і перевірки всіх видів доступу; необхідно вести захищені контрольні записи реєстрації доступу;
        
        e. права доступу в зони безпеки слід регулярно аналізувати, переглядати, і анулювати при необхідності
        
        a. дату і час входу і виходу відвідувачів слід реєструвати, і всіх відвідувачів необхідно супроводжувати, чи вони повинні володіти відповідним допуском; доступ слід надавати тільки для виконання певних авторизованих завдань, а також необхідно інструктувати відвідувачів на предмет вимог безпеки, і дій в разі аварійних ситуацій;
    - - Міра і засіб контролю і управління
        Необхідно розробити і реалізувати фізичний захист будівель, виробничих приміщень і обладнання
      - Рекомендація щодо реалізації
        Відносно захисту будівель, виробничих приміщень і обладнання необхідно враховувати наступні рекомендації:
        
        b. основне обладнання повинно бути розташоване в місцях, де обмежений доступ стороннім особам;
        
        c. будівлі, де це може бути застосовано, повинні давати мінімальну інформацію щодо їх призначення, не повинні мати явних ознак зовні або всередині будівлі, що дозволяють встановити наявність діяльності по обробці інформації;
        
        a. слід брати до уваги відповідні правила і стандарти, що стосуються охорони здоров'я і безпеки праці;
        
        d. довідники та внутрішні телефонні книги, які вказують на місце розташування засобів обробки чутливої інформації, не повинні бути легкодоступними для сторонніх осіб
    - - Міра і засіб контролю і управління
        Необхідно розробити і реалізувати фізичний захист від нанесення шкоди, який може з'явитися результатом пожежі, повені, землетруси, вибуху, громадських заворушень та інших форм природних або антропогенних лих.
      - Рекомендація щодо реалізації
        Необхідно передбачити будь-які загрози безпеки, які виходять від сусідніх приміщень, наприклад пожежа в сусідній будівлі, воду, що тече з даху або затопила поверхи, що знаходяться нижче рівня землі, або вибух на вулиці. Для запобігання шкоди від пожежі, повені, землетруси, вибуху, громадських заворушень та інших форм природних або антропогенних лих, слід враховувати наступні рекомендації:
        
        b. резервне обладнання та носії даних слід розміщувати на безпечній відстані, щоб запобігти пошкодженню від наслідків стихійного лиха в основній будівлі;
        
        c. слід забезпечити і відповідним чином розмістити необхідні засоби пожежогасіння.
        
        a. забезпечити надійне зберігання небезпечних або горючих матеріалів на достатній відстані від зони, що охороняється; великі запаси, наприклад паперу для друкуючих пристроїв, не слід зберігати в межах зони безпеки;
    - - Міра і засіб контролю і управління
        Необхідно розробити і реалізувати фізичний захист і рекомендації по роботі в зонах безпеки.
      - Рекомендація щодо реалізації
        Необхідно розглянути наступні рекомендації:
        
        b. з міркувань безпеки і запобігання можливості зловмисних дій в зонах безпеки необхідно уникати виконання роботи без належного контролю з боку уповноваженого персоналу;
        
        c. порожні зони безпеки повинні бути фізично замкнені і їх стан необхідно періодично перевіряти;
        
        a. про існування зони безпеки і проводяться там роботах персонал повинен бути обізнаний з «принципом необхідного знання»;
        
        d. використання фото-, відео-, аудіо- та іншого обладнання для запису, наприклад камер, наявних в мобільних пристроях, має бути заборонено, якщо тільки на це не отримано спеціальний дозвіл.
    - - Міра і засіб контролю і управління
        Місця доступу, наприклад зони приймання та відвантаження, і інші місця, де неавторизовані особи можуть проникнути в приміщення, повинні перебувати під контролем і, по можливості, повинні бути ізольовані від засобів обробки інформації, щоб уникнути несанкціонованого доступу.
      - Рекомендація щодо реалізації
        Необхідно розглянути наступні рекомендації:
        
        c. повинна бути забезпечена безпека зовнішніх дверей зони приймання та відвантаження в той час, коли внутрішні двері відкриті;
        
        d. надходять матеріальні цінності повинні бути перевірені на предмет потенційних загроз перш, ніж вони будуть переміщені із зони приймання та відвантаження до місця використання;
        
        b. зона приймання та відвантаження повинна бути організована так, щоб надходять матеріальні цінності могли бути розвантажені без надання персоналу постачальника доступу до інших частин будівлі;
        
        e. при надходженні матеріальні цінності повинні реєструватися відповідно до процедур менеджменту активів
        
        a. доступ до зони приймання та відвантаження з зовнішньої сторони будівлі повинен бути дозволений тільки певному і авторизованому персоналу;
        
        f. там, де можливо, що ввозяться і вивозяться вантажі повинні бути фізично розділені.
  - - - Міра і засіб контролю управління
        Обладнання повинно бути розміщено і захищено так, щоб зменшити ризики від загроз навколишнього середовища і можливості несанкціонованого доступу.
      - Рекомендація щодо реалізації
        Необхідно розглянути наступні рекомендації
        щодо захисту обладнання:
        
        d. заходи і засоби контролю і управління повинні бути впроваджені таким чином, щоб звести до мінімуму ризик потенційних фізичних загроз
        
        e. необхідно встановлювати правила щодо прийому їжі, пиття і куріння поблизу коштів обробки інформації;
        
        c. окремі елементи обладнання, що вимагають спеціального захисту, слід ізолювати для зниження загального рівня необхідного захисту;
        
        f. слід проводити моніторинг стану навколишнього середовища по виявленню умов, наприклад температури і вологості, які могли б мати несприятливий вплив на функціонування засобів обробки інформації;
        
        b. засоби обробки інформації, що обробляють чутливі дані, слід розміщувати і обмежувати кут огляду таким чином, щоб зменшити ризик перегляду інформації неавторизованими особами під час їх використання, а кошти зберігання інформації слід захищати від несанкціонованого доступу;
        
        g. на всіх будівлях повинен бути встановлений захист від блискавки, а фільтри захисту від блискавки повинні бути встановлені на вході всіх ліній електропередачі та ліній комунікації;
        
        a. обладнання слід розміщувати таким чином, щоб звести до мінімуму зайвий доступ в робочі зони;
        
        h. щодо обладнання, розташованого в промисловому середовищі, слід використовувати спеціальні засоби захисту, наприклад захисні плівки для клавіатури;
        
        i. обладнання, обробляє чутливу інформацію, має бути захищене, щоб звести до мінімуму ризик витоку інформації внаслідок випромінювання.
    - - Міра і засіб контролю і управління
        Устаткування необхідно захищати від перебоїв подачі електроенергії та інших збоїв, пов'язаних з перебоями в забезпеченні підтримують послуг
      - Рекомендація щодо реалізації Всі підтримують послуги, наприклад електропостачання, водопостачання, каналізація, опалення / вентиляція і кондиціювання повітря, повинні бути адекватними для підтримуваних ними систем. Об'єкти підтримують послуг необхідно регулярно перевіряти і тестувати для забезпечення впевненості в їх належному функціонуванні та зменшення будьякого ризику, пов'язаного з їх несправної роботою або відмовою. Необхідно забезпечити належну подачу електроживлення, відповідну специфікаціям виробника обладнання.
      - Додаткова інформація
        Варіантом досягнення безперервності електроживлення буде наявність декількох джерел живлення, що дозволить уникнути єдиної точки відмови в електроживленні.
    - - Міра і засіб контролю і управління
        Силові та телекомунікаційні кабельні мережі, по яких передаються дані або підтримують інформаційні послуги, необхідно захищати від перехоплення інформації або руйнування.
      - Рекомендація щодо реалізації
        Відносно безпеки кабельної мережі слід розглянути наступні рекомендації:
        
        c. силові кабелі повинні бути відокремлені від комунікаційних, щоб запобігати перешкоди;
        
        d. слід використовувати кабель та обладнання з чіткою маркіровкою, щоб звести до мінімуму експлуатаційні помилки, наприклад випадкового внесення виправлень при ремонті мережевих кабелів;
        
        b. мережевий кабель повинен бути захищений від неавторизованих підключень або пошкодження, наприклад за допомогою використання спеціального кожуха або вибору маршрутів прокладки кабелю в обхід загальнодоступних ділянок;
        
        e. для зменшення ймовірності помилок слід використовувати документально оформлений перелік виправлень;
        
        a. силові та телекомунікаційні лінії, пов'язані із засобом обробки інформації, повинні, по можливості, розташовуватися під землею або мати адекватну альтернативну захист;
        
        f. додаткові заходи і засоби контролю і управління для чутливих або критичних систем включають:
        
        1) використання армованого кабельного каналу, а також закритих приміщень або шаф в контрольних і кінцевих точках;
        
        2) використання дублюючих маршрутів прокладки кабелю і (або) альтернативних способів передачі, що забезпечують відповідну безпеку;
        
        3) використання оптико-волоконних ліній зв'язку;
        
        5) проведення технічних оглядів і фізичних перевірок підключення неавторизованих пристроїв до кабельної мережі;
        
        4) використання електромагнітного екранування для захисту кабелів;
    - - Міра і засіб контролю управління
        Має проводитися належне технічне обслуговування обладнання для забезпечення його безперервної доступності і цілісності
      - Рекомендація щодо реалізації
        Відносно технічного обслуговування обладнання слід розглянути наступні рекомендації:
        
        c. слід зберігати записи про всіх передбачуваних або фактичних несправності і всіх видах профілактичного обслуговування;
        
        d. якщо заплановано технічне обслуговування обладнання, слід вживати відповідних заходів і засоби контролю і управління, при цьому необхідно враховувати, чи буде технічне обслуговування проводитися персоналом організації або за її межами; при необхідності, чутлива інформація з обладнання повинна бути видалена, або фахівці з технічного обслуговування і ремонту повинні мати відповідний допуск;
        
        b. технічне обслуговування та ремонт обладнання повинні проводитися тільки авторизованим персоналом;
        
        e. повинні дотримуватися всі вимоги, що встановлюються полісами страхування.
        
        a. обладнання повинно обслуговуватися відповідно до рекомендованими постачальником періодичністю і специфікаціями;