Please enable JavaScript.

Coggle requires JavaScript to display documents.

ISO/ІЕС 27002_3 - Coggle Diagram

- - - - Міра і засіб контролю і управління: Експлуатаційні процедури слід документально оформляти, дотримуватися і робити доступними для всіх, хто потребує них користувачів.
      - Рекомендація щодо реалізації: Документально оформлені процедури повинні бути підготовлені для дій системи, пов'язаних із засобами обробки інформації та зв'язку, таких як процедури запуску і завершення роботи комп'ютерів (серверів), процедури резервування, поточного обслуговування та ремонту обладнання, поводження з носіями інформації, управління роботою в машинному залі і роботи з поштою, а також процедури забезпечення безпеки.
    - - Міра і засіб контролю і управління: Зміни в конфігурації засобів обробки інформації та системах повинні контролюватися.
      - Рекомендація щодо реалізації: Експлуатовані системи і прикладне програмне забезпечення повинні бути предметом суворого контролю управління змінами.
        Зокрема, необхідно розглянути наступні аспекти:
        
        a) визначення та реєстрацію істотних змін;
        
        b) планування і тестування змін;
        
        c) оцінку можливих наслідків, включаючи наслідки для безпеки, таких змін;
        
        d) формалізовану процедуру затвердження передбачуваних змін;
        
        e) докладне інформування про зміни всіх зацікавлених осіб;
      - Додаткова інформація: Неадекватний контроль змін засобів і систем обробки інформації – поширена причина системних збоїв та інцидентів безпеки. Зміни експлуатаційної середовища, особливо при переході від стадії розробки до стадії експлуатації, можуть впливати на надійність прикладних програм
    - - Міра і засіб контролю і управління:
        Обов'язки та сфери відповідальності повинні бути розділені для зменшення можливостей неавторизованої або ненавмисної модифікації активів організації або їх нецільового використання.
      - Рекомендація щодо реалізації:
        Розподіл обов'язків - це спосіб зведення до мінімуму ризику нецільового використання систем внаслідок помилкових або зловмисних дій користувачів. Необхідно вжити певних запобіжних заходів, щоб жоден співробітник не міг здійснювати доступ, модифікувати або використовувати активи, не маючи авторизації або не будучи виявленим. Ініціювання події має бути відокремлене від його авторизації. При розробці заходів і засобів контролю та управління слід враховувати небезпеку змови.
    - - Міра і засіб контролю і управління Щоб знизити ризики несанкціонованого доступу або змін експлуатованої системи, слід забезпечувати розподіл коштів розробки, тестування та експлуатації.
      - Рекомендація щодо реалізації: Рівень поділу між середовищами експлуатації, тестування і розробки, необхідний для запобігання проблем експлуатації, повинен бути визначений і при цьому повинні бути реалізовані відповідні заходи і засоби контролю і управління
      - Додаткова інформація: Діяльність, пов'язана з розробкою і тестуванням, може бути причиною серйозних проблем, наприклад небажаних змін файлів або системної середовища, а також системних збоїв. В цьому випадку необхідно підтримувати відому і стабільне середовище для виконання комплексного тестування і запобігати несанкціонований доступ розробників
  - - - Міра і засіб контролю і управління: Необхідно забезпечувати впевненість в тому, що заходи і засоби контролю і управління безпеки, визначення послуг та рівні надання послуг, які підтверджують договір про надання послуг третьою стороною, реалізуються, функціонують і підтримуються третьою стороною.
      - Рекомендація щодо реалізації: Надання послуг третьою стороною має включати узгоджені заходи щодо забезпечення безпеки, визначенню послуг та аспекти менеджменту послуг. Що стосується договорів аутсорсингу, організація повинна планувати необхідні переміщення (інформації, засобів обробки інформації та ін., що повинно бути переміщено) і забезпечувати впевненість у тому, що безпека підтримується протягом усього періоду переміщення.
    - - Міра і засіб контролю і управління: Необхідно регулярно проводити моніторинг і аналіз послуг, звітів і записів, які забезпечуються третьою стороною, і регулярно проводити аудити
      - Рекомендація щодо реалізації: Моніторинг і аналіз послуг, що забезпечуються третьою стороною, повинні забезпечувати впевненість у тому, що умови, що стосуються інформаційної безпеки, і умови договорів дотримуються, і що менеджмент інцидентів і проблем інформаційної безпеки здійснюється належним чином.
      - Додаткова інформація: Організація повинна бути поінформована про те, що основна відповідальність за інформацію, оброблювану третьою стороною в рамках договорів аутсорсингу, залишається за організацією
    - - Міра і засіб контролю і управління: Зміни в наданні послуг, включаючи підтримку і поліпшення існуючих політик, процедур, заходів та засобів контролю і управління інформаційної безпеки, повинні здійснюватися з урахуванням критичності яких торкається систем і процесів бізнесу, а також переоцінки ризиків.
      - Рекомендація щодо реалізації: Процес управління змінами послуг третьої сторони, повинен враховувати:
        
        a. зміни, що проводяться організацією, для реалізації:
        
        1) поліпшення пропонованих поточних послуг;
        
        2) розробки будь-яких нових прикладних програм і систем;
        
        3) модифікацій або оновлень політик і процедур організації;
        
        4) нових заходів і засобів контролю та управління для усунення інцидентів інформаційної безпеки і підвищення безпеки;
        
        b. зміни в послугах третьої сторони, для реалізації:
        
        1) змін і поліпшень щодо мереж;
        
        2) використання нових технологій;
        
        3) використання нових продуктів або новітніх версій / випусків;
        
        4) нових інструментальних засобів і середовищ розробки;
        
        5) змін фізичного розташування засобів обслуговування;
        
        6) зміни постачальників.
  - - - Міра і засіб контролю і управління: Використання ресурсів необхідно прогнозувати, виходячи з майбутніх вимог до продуктивності, налаштовувати і контролювати, щоб забезпечити впевненість у досягненні необхідних експлуатаційних даних системи.
      - Рекомендація щодо реалізації: Для кожної нової і триваючої діяльності необхідно визначати вимоги до продуктивності. Слід проводити настройку і контроль систем для забезпечення, де необхідно, впевненості в підвищенні доступності та ефективності систем. Необхідно застосовувати виявляють заходи і засоби контролю і управління, своєчасно вказують на проблеми. Прогнозування вимог до продуктивності повинно враховувати нові вимоги бізнесу і нові системні вимоги, а також поточні та прогнозовані тенденції щодо можливостей обробки інформації організації
    - - Міра і засіб контролю і управління: Повинні бути визначені критерії приймання для нових інформаційних систем, оновлень і нових версій, окрім того, необхідно тестувати системи протягом їх розробки і перед їх прийманням.
      - Рекомендація щодо реалізації: Керівники повинні забезпечити впевненість у тому, що вимоги і критерії для прийняття нових систем чітко визначені, погоджені, документально оформлені і протестовані. Нові інформаційні системи, оновлення та нові версії повинні вводитися в експлуатацію тільки після проходження офіційної приймання
      - Додаткова інформація: Приймання може включати формальний процес сертифікації та акредитації для підтвердження того, що вимоги до безпеки були враховані належним чином.
  - - - Міра і засіб контролю і управління: Необхідно впровадити заходи і засоби контролю і управління, пов'язані з виявленням, попередженням та відновленням, з метою захисту від шкідливої програми, а також процедури, що забезпечують відповідну обізнаність користувачів.
      - Рекомендація щодо реалізації: Захист від шкідливої програми повинна грунтуватися: на виявленні шкідливої програми і відновленні програмного забезпечення; на розумінні вимог безпеки; на заходи та засоби контролю і управління відповідного доступу до системи і менеджменту змін.
      - Додаткова інформація: Використання двох або більше програмних продуктів, що забезпечують захист від шкідливої програми в середовищі обробки інформації, від різних постачальників може підвищити ефективність даної захисту. Для захисту від шкідливої програми може встановлюватися програмне забезпечення, що дозволяє проводити автоматичне оновлення певних файлів і сканування машин для підтвердження актуальності захисту. Крім того, таке програмне забезпечення може бути встановлено на кожному робочому столі для виконання автоматичних перевірок.
    - - Міра і засіб контролю і управління: Там, де дозволено використання мобільного програми, конфігурація повинна забезпечувати впевненість у тому, що дозволена мобільна програма функціонує відповідно до ясно сформульованої політикою безпеки, а виконання невирішеною мобільного програми буде заборонено.
      - Рекомендація щодо реалізації: Для запобігання виконання мобільного програмою недозволених дій необхідно вживати таких заходів:
        
        a. забезпечувати виконання мобільного програми в логічно ізольованому середовищі;
        
        b. блокувати будь-яке несанкціоноване використання мобільного програми;
        
        c. блокувати прийом мобільного програми;
        
        d. активізувати технічні заходи, доступні щодо певної системи, щоб забезпечити впевненість у керованості мобільного програми;
        
        e. контролювати ресурси, доступні мобільного програмі;
        
        f. застосовувати криптографічні заходи і засоби контролю і управління для однозначної аутентифікації мобільного програми.
  - - - Міра і засіб контролю управління: Створення резервних копій інформації та програмного забезпечення повинно виконуватися і тестуватися на регулярній основі відповідно до встановленої політики резервування.
      - Слід забезпечити адекватні засоби резервування для забезпечення впевненості в тому, що вся важлива інформація і програмне забезпечення можуть бути відновлені після лиха або збою обладнання. Відносно резервування інформації необхідно розглядати такі питання:
        
        a) необхідно визначити належний рівень резервної інформації;
        
        b) необхідно забезпечувати точні і повні записи резервних копій і документально оформлені процедури відновлення;
        
        c) обсяг і частота резервування повинні відображати вимоги бізнесу організації, вимоги до безпеки зачепленої інформації та критичність інформації для безперервної роботи організації;
        
        d) резервні копії повинні зберігатися в віддаленому місці, на надійному відстані, достатньому, щоб уникнути будь-якого пошкодження внаслідок аварійної ситуації в основній будівлі;
        
        e) стосовно резервної інформації повинен бути забезпечений відповідний рівень фізичного захисту і захисту від впливів навколишнього середовища , відповідно до стандартів, що застосовуються в основній будівлі; заходи і засоби контролю і управління, які застосовуються до носіїв інформації в основній будівлі, повинні також застосовуватися і на резервному майданчику;
        
        f) носії резервної інформації повинні регулярно тестуватися для забезпечення впевненості в тому, що в разі надзвичайних ситуацій вони можуть бути використані;
        
        g) процедури відновлення слід регулярно перевіряти і тестувати для забезпечення впевненості в їх ефективності, а також в тому, що для виконання цих процедур буде потрібно не більше часу, ніж це визначено;
        
        h) в ситуаціях, коли конфіденційність грає важливу роль, резервні копії необхідно захищати за допомогою шифрування.
  - - - Міра і засіб контролю і управління: Мережі повинні адекватно справлятися і контролюватися, щоб бути захищеними від загроз і забезпечити безпеку систем і прикладних програм, що використовують мережу, включаючи інформацію під час її передачі.
      - Рекомендація щодо реалізації: Керівники, що відповідають за підтримку мережевих ресурсів, повинні впроваджувати заходи і засоби контролю і управління для забезпечення впевненості в безпеці інформації в мережах і захисту підключених сервісів від несанкціонованого доступу. Зокрема, необхідно розглянути наступні питання:
        
        a) слід розділити, де це необхідно, відповідальність за підтримку мережевих ресурсів і за підтримку комп'ютерних операцій
        
        b) слід визначити обов'язки і процедури для управління віддаленим обладнанням, включаючи обладнання, встановлене у кінцевих користувачів;
        
        c) спеціальні заходи і засоби контролю і управління слід впровадити для забезпечення конфіденційності і цілісності даних, що передаються по загальнодоступних мереж, або по бездротових мереж
        
        d) відповідна реєстрація та моніторинг повинні застосовуватися з метою забезпечення можливості реєстрації дій, що мають значення для безпеки;
        
        e) дії керівництва повинні бути ретельно узгоджені як для оптимізації одержуваних організацією послуг
    - - Міра і засіб контролю і управління: Засоби забезпечення безпеки, рівні послуг і вимоги щодо менеджменту всіх мережевих послуг повинні бути визначені і включені в будь-який договір з мережних послуг, незалежно від того, чи будуть вони забезпечуватися силами організації або в рамках договорів аутсорсингу.
      - Рекомендація щодо реалізації: Здатність провайдера мережевих послуг безпечно здійснювати менеджмент встановлених послуг слід визначати і піддавати регулярному моніторингу, а право проведення аудиту повинно бути погоджено. Повинні бути визначені заходи безпеки, необхідні для тієї чи іншої послуги, наприклад засоби забезпечення безпеки, рівні послуг і вимоги щодо менеджменту.
  - - - Міра і засіб контролю і управління: Повинні існувати процедури щодо менеджменту змінних носіїв інформації.
      - Рекомендація щодо реалізації: Необхідно розглянути наступні рекомендації щодо менеджменту змінних носіїв інформації:
        
        a) якщо не передбачається повторно використовувати вміст носіїв інформації, які повинні бути переміщені за межі організації, то інформацію необхідно зробити неізвлекаемой;
        
        b) коли це доцільно і практично, має турбуватися дозвіл на винос носіїв інформації з організації та запис про таке переміщення слід зберігати як контрольну запис для аудиту;
        
        c) всі носії інформації повинні зберігатися в надійному, безпечному середовищі, відповідно зі специфікаціями виробників;
        
        d) інформацію, збережену на носіях, затребувану довше, ніж життєвий цикл носія , слід зберігати також і в іншому місці, щоб уникнути втрати інформації внаслідок зносу носіїв;
        
        e) для зменшення можливості втрати даних повинна бути передбачена реєстрація змінних носіїв інформації;
        
        f) змінні дискові накопичувачі дозволяється використовувати тільки в разі, обумовленому потребами бізнесу
    - - Міра і засіб контролю управління: Носії інформації, коли в них більше немає необхідності, слід надійно і безпечно утилізувати, використовуючи формальні процедури.
      - Рекомендація щодо реалізації: Формальні процедури для безпечної утилізації носіїв інформації повинні знижувати ризик витоку чутливої інформації неавторизованих особам. Процедури для безпечної утилізації носіїв, які містять чутливу інформацію, повинні відповідати чутливості тієї інформації. Необхідно розглянути наступні питання:
        
        a) носії, що містять чутливу інформацію, повинні зберігатися і утилізуватися надійно і безпечно, наприклад за допомогою спалювання або подрібнення; якщо носії планується використовувати в межах організації для інших прикладних програм, інформація на них повинна бути знищена;
        
        b) повинні існувати процедури щодо виявлення носіїв інформації, для яких може знадобитися безпечна утилізація;
        
        c) може виявитися простіше вживати заходів зі збору та безпечної утилізації по відношенню до всіх носіїв інформації, ніж намагатися виділити носії з чутливою інформацією;
        
        d) багато організацій пропонують послуги зі збирання та утилізації паперу, обладнання та носіїв інформації; слід ретельно вибирати відповідного підрядника з урахуванням наявного у нього досвіду і застосовуваних заходів і засобів контролю та управління;
        
        e) де можливо, утилізацію носіїв, які містять чутливу інформацію, слід фіксувати як контрольну запис для аудиту.
    - - Міра і засіб контролю і управління: З метою забезпечення захисту інформації від несанкціонованого розкриття або неправильного використання необхідно визначити процедури обробки та зберігання інформації.
      - Рекомендація щодо реалізації: Повинні бути розроблені процедури по ручній обробці інформації, обробки інформації з використанням комп'ютерів, зберігання і передачі інформації відповідно до її класифікацією. Необхідно розглянути наступні питання:
        
        a) обробку і маркування всіх носіїв інформації відповідно до її зазначеним рівнем класифікації;
        
        b) обмеження доступу з метою запобігання доступу неавторизованого персоналу;
        
        c) забезпечення формальної реєстрації авторизованих одержувачів даних;
        
        d) забезпечення впевненості в тому, що процес введення даних і обробки завершуються належним чином і що виконується перевірка вихідних даних;
        
        e) захист інформації, що знаходиться в буфері даних і чекає на виведення, відповідну ступеня чутливості цієї інформації;
        
        f) зберігання носіїв інформації у відповідності зі специфікаціями виробників;
        
        g) зведення поширення даних до мінімуму;
  - - - 10.8.1 Політики та процедури обміну інформацією
        
        Міра і засіб контролю і управління: Повинні існувати формальні політики, процедури та заходи і засоби контролю і управління в щодо обміну інформацією з метою захисту такого обміну, коли використовуються всі типи засобів зв'язку.
        
        Рекомендація щодо реалізації: Процедури, заходи і засоби контролю і управління, які необхідно дотримуватися при використанні електронних засобів зв'язку для обміну інформацією, повинні враховувати наступне:
        
        a) процедури, призначені для захисту обмінюваної інформації від перехоплення, копіювання, модифікації, помилкової маршрутизації і руйнування;
        
        b) процедури виявлення шкідливої програми, яка може передаватися при використанні електронних засобів зв'язку, і процедури захисту від неї
        
        c) процедури захисту переданої чутливої електронної інформації, що має форму додатка;
        
        d) політику або рекомендації, що визначають прийнятне використання електронних засобів зв'язку
        
        e) процедури використання бездротового зв'язку, враховуючи пов'язані з нею певні ризики;
        
        g) використання криптографічних методів, наприклад для захисту конфіденційності, цілісності та автентичності інформації
        
        Крім того, необхідно нагадувати співробітникам про те, що не слід вести конфіденційні бесіди в громадських місцях або відкритих офісах, а також в переговорних кімнатах, стіни яких не захищені звукоізоляцією
    - - Міра і засіб контролю і управління: Необхідно укладати угоди з обміну інформацією та програмним забезпеченням між організацією і сторонніми організаціями.
      - Рекомендація щодо реалізації: В угодах з обміну слід враховувати наступні умови безпеки:
        
        a) обов'язки керівництва щодо контролю та повідомлення про передачу, відправку та отримання;
        
        b) процедури повідомлення відправника, а також процедури передачі, відправки та отримання;
        
        c) процедури забезпечення простежуваності і неспростовності;
        
        d) мінімальні вимоги технічних стандартів щодо формування та передачі пакетів даних;
        
        e) угоди щодо передачі на зберігання вихідних пакетів даних;
        
        f) стандарти щодо кур'єрської служби;
        
        g) відповідальність і зобов'язання в разі інцидентів інформаційної безпеки, наприклад, в разі втрати даних;
    - - Міра і засіб контролю управління: Носії інформації повинні бути захищені від несанкціонованого доступу, неправильного використання або пошкодження під час їх транспортування за межами організації.
      - Рекомендація щодо реалізації: Для захисту носіїв інформації, які передаються між різними пунктами призначення, необхідно враховувати наступні рекомендації:
        
        a) необхідно користуватися послугами надійних перевізників або кур'єрів;
        
        b) список авторизованих кур'єрів необхідно узгоджувати з керівництвом;
        
        необхідно розробити процедури для перевірки ідентифікації
        кур'єрів;
        
        e) заходи і засоби контролю і управління слід застосовувати, де це необхідно, для захисту чутливої інформації від несанкціонованого розкриття або модифікації
        
        d) упаковка повинна бути досить міцною для захисту від будь-якого фізичного пошкодження, яке, ймовірно, може мати місце при транспортуванні, і відповідати будь-яким вимогам виробників (наприклад програмного забезпечення), необхідно забезпечувати захист від впливу будь-яких чинників навколишнього середовища, які можуть знизити ефективність відновлення , таких як тепловий ефект, вологість або електромагнітні поля;
      - Додаткова інформація: Інформація може бути вразливою внаслідок несанкціонованого доступу, неправильного використання або спотворення під час фізичної транспортування, наприклад при пересиланні носіїв інформації поштою або через кур'єра.
    - - Міра і засіб контролю і управління: Необхідно належним чином захищати інформацію, що включається в електронний обмін повідомленнями
      - Рекомендація щодо реалізації: Відносно електронного обміну повідомленнями, необхідно враховувати наступні питання, пов'язані із забезпеченням безпеки:
        
        b) забезпечення правильної адресації і передачі повідомлення;
        
        c) загальна надійність і доступність послуг;
        
        a) захист повідомлень від несанкціонованого доступу, модифікації або відмови в обслуговуванні;
        
        d) законодавчі питання, наприклад вимоги щодо використання
        електронних підписів;
        
        e) отримання схвалення до використання зовнішніх загальнодоступних послуг, таких як миттєвий обмін повідомленнями або поділ файлів;
        
        f) строгі рівні аутентифікації управління доступом з боку
        загальнодоступних мереж
      - Додаткова інформація: Електронний обмін повідомленнями, наприклад електронна пошта, обмін даними в електронному вигляді і миттєвий обмін повідомленнями, грає все більш важливу роль в комунікаціях бізнесу. Ризики, пов'язані з електронним обміном повідомленнями, відрізняються від ризиків, властивих передачі повідомлень на папері.
    - - Міра і засіб контролю і управління: Необхідно розробити і впровадити політики і процедури захисту інформації, пов'язаної з взаємодією інформаційних систем бізнесу.
      - Рекомендація щодо реалізації: Необхідно враховувати наслідки від взаємодії інформаційних систем для безпеки і бізнесу в цілому, такі як:
        
        a) відома вразливість, притаманна адміністративних систем та систем обліку і звітності, де інформація поділяється між різними частинами організації;
        
        b) вразливість інформації в системах зв'язку бізнесу, наприклад записи телефонних розмов або переговорів по конференц-зв'язку, конфіденційність дзвінків, зберігання факсів, розтин і розсилка електронних повідомлень;
        
        c) політика і відповідні заходи і засоби контролю і управління для менеджменту спільного використання інформації;
        
        d) заборона на використання чутливої інформації бізнесу і не підлягають оголошенню документів, якщо дані системи не забезпечують відповідний рівень захисту
        
        e) обмеження доступу до даних особистих щоденників окремих співробітників, наприклад працюють над чутливими проектами;
  - - - 10.9.1 Електронна торгівля
        
        Міра і засіб контролю і управління: Інформація, яка використовується в електронній торгівлі, що проходить по загальнодоступних мереж, повинна бути захищена від шахрайства, заперечування договорів, а також неавторизованого розкриття і модифікації.
        
        Рекомендація щодо реалізації: У випадку використання електронної торгівлі необхідно розглянути наступні питання в галузі безпеки:
        
        a) ступінь захищеності кожного боку при ідентифікації один одного, наприклад за допомогою аутентифікації;
        
        b) процеси авторизації щодо того, хто може встановлювати ціни, випускати або підписувати ключові комерційні документи;
        
        c) забезпечення впевненості в тому, що торгові партнери повністю проінформовані про свої авторизації;
        
        d) визначення та задоволення вимог щодо конфіденційності, цілісності, підтвердження відправки та отримання ключових документів, а також неможливості відмови від скоєних угод, наприклад пов'язаних з процесами укладання контрактів і проведення тендерів;
        
        e) рівень довіри, що вкладається в достовірність рекламованих прайслистів;
        
        f) конфіденційність будь-яких чутливих даних або інформації;
        
        g) конфіденційність і цілісність будь-якої інформації про угоди, пов'язаних із замовленням, умовах оплати і адресах поставки, а також підтвердження при його отриманні;
      - 10.9.2 Транзакції в режимі онлайн
        
        Міра і засіб контролю і управління: Інформацію, яку використовують в онлайн транзакції, слід захищати для запобігання неповній передачі, неправильній маршрутизації, неавторизованого зміни повідомлень, неавторизованого розкриття, неавторизованого дублювання або відтворення повідомлень.
        
        Рекомендація щодо реалізації: Питання безпеки транзакцій в режимі онлайн повинні включати:
        
        a) використання електронних підписів кожної зі сторін, що беруть участь в транзакції;
        
        b) всі аспекти транзакції, т. е. забезпечення впевненості в тому, що:
        
        1) призначені для користувача мандати всіх сторін дійсні і перевірені;
        
        2) транзакція залишається конфіденційною;
        
        3) приватність всіх сторін-учасниць зберігається;
        
        c) канал зв'язку між усіма сторонами-учасницями зашифрований;
        
        d) протоколи, які використовуються для встановлення зв'язку між усіма які беруть участь сторонами, захищені;
      - 10.9.3 Загальнодоступна інформація
        
        Міра і засіб контролю і управління: Цілісність інформації, яка доступна в загальнодоступній системі, слід захищати для запобігання неавторизованої модифікації.
        
        Рекомендація щодо реалізації: Програмне забезпечення, дані та інша інформація, для яких потрібен високий рівень цілісності і які доступні в загальнодоступній системі, необхідно захищати за допомогою відповідних механізмів, наприклад цифрових підписів . Загальнодоступна система повинна бути протестована на предмет недоліків і відмов перш, ніж інформація стане доступною. Повинен застосовуватися формальний процес затвердження перш, ніж інформація стане загальнодоступною. Крім того, всі матеріали, представлені в систему ззовні, повинні бути перевірені і затверджені.
  - - - 10.10.1 Контрольна реєстрація
        
        Міра і засіб контролю управління: Необхідно вести і зберігати протягом узгодженого періоду часу контрольні журнали, які реєструють дії користувачів, позаштатні ситуації і події інформаційної безпеки, щоб допомогти в майбутніх розслідуваннях і проведенні контролю управління доступом.
        
        Рекомендація щодо реалізації: Контрольні журнали повинні включати, при необхідності:
        
        a) ідентифікатори користувачів;
        
        b) дати, час і деталі ключових подій, наприклад початок сеансу і завершення сеансу;
        
        c) ідентичність та місце розташування терміналу, якщо це можливо;
        
        d) реєстрацію успішних та відхилених спроб доступу до системи;
        
        f) зміни конфігурації системи;
        
        g) використання привілеїв;
        
        h) використання системних утиліт і прикладних програм;
        
        i) файли, до яких був здійснений доступ і вид доступу;
        
        j) мережеві адреси і протоколи;
        
        k) сигнали тривоги, що подаються системою управління доступом;
- - - - 11.1.1 Політика управління доступом
        
        Міра і засіб контролю і управління: Політика управління доступом повинна створюватися, документально оформлятися і переглядатися з урахуванням вимог бізнесу і безпеки для доступу.
        
        Рекомендація щодо реалізації: Правила управління доступом і права кожного користувача або групи користувачів повинні бути чітко сформульовані в політиці управління доступом. Існує як логічне, так і фізичне управління доступом (див. 9), і їх слід розглядати спільно. Користувачам і постачальникам послуг повинні бути представлені чітко сформульовані вимоги бізнесу, що пред'являються до управління доступом.
  - - - 11.2.1 Реєстрація користувачів
        
        Міра і засіб контролю і управління: Необхідна формальна процедура реєстрації та зняття з обліку користувачів щодо надання та скасування доступу до всіх інформаційних систем і послуг.
        
        Рекомендація щодо реалізації: Процедура управління доступом щодо реєстрації та зняття з обліку користувачів повинна включати:
        
        a) використання унікальних ідентифікаторів користувачів, які дозволяють відстежувати дії користувачів, щоб вони несли відповідальність за свої дії; використання групових ідентифікаторів слід вирішувати тільки там, де це необхідно для бізнесу або за умовами експлуатації, все це повинно бути затверджено і документовано;
        
        b) перевірку того, що користувач має дозвіл власника системи на використання інформаційної системи або послуги; наявність окремого дозволу на право доступу від керівництва також може бути доречним;
        
        c) перевірку того, що рівень наданого доступу відповідає цілям бізнесу і узгоджується з політикою безпеки організації, например не порушує принципу розмежування обов'язків
        
        d) надання користувачам письмової заяви про їхні права доступу;
        
        e) вимога від користувачів підписати заяву про прийняття умов доступу;
        
        f) забезпечення впевненості в тому, що всі постачальники послуг дозволяють доступ, поки процедури авторизації не завершені;
      - 11.2.2 Управління привілеями
        
        Міра і засіб контролю і управління: Надання і використання привілеїв необхідно обмежувати і контролювати.
        
        Рекомендація щодо реалізації: Необхідно, щоб в багатокористувацьких системах, які вимагають захисту від несанкціонованого доступу, надання привілеїв контролювалося за допомогою формального процесу авторизації. Необхідно розглянути наступні заходи:
        
        a) визначення привілеїв доступу щодо кожного системного продукту, наприклад експлуатованої системи, системи управління базами даних, кожної програми і користувачів, яким ці привілеї повинні бути надані;
        
        b) привілеї повинні надаватися користувачам на підставі принципу необхідності і принципу «подія за подією» відповідно до політики управління доступом , тобто мінімальна вимога для їх функціональної ролі, тільки при необхідності;
        
        c) забезпечення процесу авторизації і реєстрації щодо всіх наданих привілеїв, привілеї не повинні надаватися до завершення процесу авторизації;
        
        d) проведення політики розробки і використання стандартних системних утиліт (скриптів), для того щоб уникнути необхідності надання привілеїв користувачам;
      - 11.2.3 Управління паролями користувачів
        
        Міра і засіб контролю і управління: Розподіл паролів необхідно контролювати за допомогою формального процесу управління.
        
        Рекомендація щодо реалізації: Процес повинен включати наступні вимоги:
        
        a) користувачів необхідно зобов'язати підписати заяву про збереження особистих паролів в таємниці і збереженні групових паролів виключно в межах членів даної групи; ця заява може бути включено в умови і положення зайнятості
        
        b) якщо користувачі самостійно управляють власними паролями, їм слід спочатку надати безпечний тимчасовий пароль який підлягає негайну примусову заміну після входу в систему;
        
        c) створення процедур перевірки особистості користувача, перш ніж йому буде надано новий, замінює або тимчасовий пароль;
        
        d) тимчасові паролі слід видавати користувачам безпечним способом, при цьому необхідно уникати використання третіх сторін або незахищеного (відкритого) тексту повідомлень електронної пошти;
        
        e) тимчасові паролі повинні бути унікальні для кожного користувача і не повинні бути легко вгадувати;
      - 11.2.4 Перегляд прав доступу користувачів
        
        Міра і засіб контролю управління: Керівництво повинно здійснювати формальний процес періодичного перегляду прав доступу користувачів.
        
        Рекомендація щодо реалізації: При перегляді прав доступу повинні враховуватися такі рекомендації:
        
        a) права доступу повинні переглядатися регулярно, наприклад через шість місяців, і після будь-яких змін, таких як підвищення / пониження в посаді, або звільнення
        
        b) права доступу користувачів повинні переглядатися і перепризначатися при переході з однієї роботи на іншу в межах однієї організації;
        
        c) дозволу щодо спеціальних привілейованих прав доступу повинні переглядатися через невеликі інтервали часу, наприклад через три місяці;
        
        d) надані привілеї повинні переглядатися через рівні інтервали часу для забезпечення впевненості в тому, що не було отримано неавторизовані привілеї;
        
        e) зміни привілейованих облікових записів повинні реєструватися для періодичного аналізу.
  - - - 11.3.1 Використання паролів
        
        Міра і засіб контролю і управління: Користувачі повинні дотримуватися загальноприйнятої практики в області безпеки при виборі і використанні паролів.
        
        Рекомендація щодо реалізації: Всім користувачам слід рекомендувати
        
        a) зберігати конфіденційність паролів;
        
        b) уникати записи паролів (наприклад на папері, у файлі програмного забезпечення або кишенькових пристроях), якщо не може бути забезпечено безпечне зберігання і спосіб зберігання не затверджений;
        
        c) змінювати паролі всякий раз, коли з'являється будь-яка ознака можливої компрометації системи або пароля;
        
        d) вибирати якісні паролі з досить мінімальною довжиною
        
        e) змінювати паролі через різні інтервали часу або після певного числа звернень до системи (паролі для привілейованих облікових записів слід міняти частіше, ніж звичайні паролі) і уникати повторного або циклічного використання старих паролів;
        
        f) змінювати тимчасові паролі при першому початку сеансу;
      - 11.3.2 Обладнання користувача, залишене без нагляду
        
        Міра і засіб контролю і управління: Користувачі повинні забезпечувати відповідний захист обладнання, залишеного без нагляду
        
        Рекомендація щодо реалізації: Всім користувачам необхідно знати вимоги безпеки і процедури щодо захисту залишеного без нагляду обладнання, а також їх обов'язки щодо забезпечення такого захисту. Користувачам рекомендується:
        
        a) завершувати активні сеанси по закінченні роботи, якщо відсутня відповідний механізм блокування, наприклад захищена паролем заставка;
        
        b) завершити сеанс на системах мейнфреймів, серверах і офісних персональних комп'ютерах, коли робота завершена
        
        c) забезпечувати безпеку персональних комп'ютерів або терміналів від несанкціонованого використання за допомогою блокування клавіатури або еквівалентних засобів контролю, наприклад доступу по паролю, коли обладнання не використовується
      - 11.3.3 Політика «чистого стола» та «чистого екрану»
        
        Міра і засіб контролю і управління: Необхідно прийняти політику «чистого стола» щодо паперових документів і змінних носіїв даних, а також політику «чистого екрану» щодо засобів обробки інформації.
        
        Рекомендація щодо реалізації:
        Необхідно розглянути наступні рекомендації:
        
        a) носії (паперові або електронні), які містять чутливу або критичну інформацію бізнесу, коли вони не використовуються, слід прибирати і замикати (найкраще, в вогнетривкий сейф або шафа), особливо, коли приміщення пустує;
        
        b) комп'ютери і термінали, коли їх залишають без нагляду, слід вимикати або захищати за допомогою механізму блокування екрану або клавіатури, контрольованого паролем, токеном або аналогічним механізмом аутентифікації користувача, а також необхідно застосовувати кодові замки, паролі або інші заходи та засоби контролю і управління в той час, коли ці пристрої не використовуються;
        
        c) необхідно забезпечити захист пунктів прийому / відправки кореспонденції, а також автоматичних факсимільних апаратів;
        
        d) необхідно запобігати несанкціонованому використанню фотокопіювальних пристроїв і іншиої відтворювальної техніки (сканерів, цифрових фотоапаратів);
  - - - 11.4.1 Політика використання мережевих послуг
        
        Міра і засіб контролю і управління: Користувачам слід надавати доступ тільки до тих послуг, на використання яких вони були спеціально уповноважені.
        
        Рекомендація щодо реалізації: Слід сформулювати політику щодо використання мереж і мережевих послуг. У політиці необхідно розглянути:
        
        a) мережі і мережеві послуги, до яких дозволений доступ;
        
        b) процедури авторизації для визначення того, кому і до яких мереж і онлайн-служб дозволений доступ;
        
        c) заходи і засоби контролю і управління, а також процедури менеджменту щодо захисту доступу до мережевим підключенням і послуг мережі;
        
        d) засоби, що використовуються для здійснення доступу до мереж та послуг мережі (наприклад умови, що забезпечують можливість доступу віддаленого підключення до провайдера Інтернетуслуг або віддаленій системі).
      - 11.4.2 Автентифікація користувача для зовнішніх з'єднань
        
        Міра і засіб контролю і управління: Для управління доступом віддалених користувачів слід застосовувати відповідні методи аутентифікації
        
        Рекомендація щодо реалізації: Аутентифікація віддалених користувачів може бути досягнута при використанні, наприклад методів, заснованих на застосуванні засобів криптографії, апаратних засобів захисту (токенов) або протоколів «запитвідповідь». Прикладом можливої реалізації таких методів можуть служити різні рішення щодо віртуальних приватних мереж. Виділені приватні лінії можуть також використовуватися для забезпечення довіри до джерела підключень.
      - 11.4.3 Ідентифікація обладнання в мережах
        
        Міра і засіб контролю і управління: Автоматичну ідентифікацію обладнання необхідно розглядати як засіб для аутентифікації для підключення згідно здійснюваних з певних місць або певного обладнання.
        
        Рекомендація щодо реалізації: Ідентифікацію обладнання можна застосовувати в тих випадках, коли важливо, щоб зв'язок могла бути ініційована тільки з певного місця або обладнання. Для того щоб показати, чи дозволено цьому обладнанню під'єднання до мережі, може бути використаний внутрішній або прикріплений до обладнання ідентифікатор. Такі ідентифікатори повинні чітко показувати, до якої мережі дозволено підключати обладнання, якщо ця мережа не єдина і, особливо, якщо ці мережі мають різну ступінь чутливості. Для забезпечення безпеки ідентифікатора обладнання може виникнути необхідність фізичного захисту обладнання.
      - 11.4.4 Захист портів дистанційної діагностики та конфігурації
        
        Міра і засіб контролю і управління: Фізичний і логічний доступ для портів дистанційної діагностики та конфігурації повинен бути контрольованим і керованим.
        
        Рекомендація щодо реалізації: Можливі заходи і засоби контролю і управління доступом до портів дистанційної діагностики та конфігурації включають в себе використання блокування клавіш і підтримують процедур для контролю фізичного доступу до порту. Прикладом такої підтримуючої процедури є забезпечення впевненості в тому, що доступ до портів дистанційної діагностики та конфігурації здійснюється тільки за умови взаємної домовленості між керівником, який відповідає за надання комп'ютерних послуг, і персоналом по підтримці апаратних / програмних засобів. Порти, сервіси та аналогічні засоби, встановлені на комп'ютері або мережевому обладнанні, які безумовно не потрібні для функціональності бізнесу, слід блокувати або видаляти.
    - - Міра і засіб контролю управління: Групи інформаційних послуг, користувачів та інформаційних систем в межах мережі повинні бути розділені.
      - Рекомендація щодо реалізації: Один з методів контролю безпеки великих мереж полягає в тому, щоб розділити їх на окремі логічні мережеві домени, наприклад на внутрішні мережеві домени організації і зовнішні мережеві домени, кожен з яких захищений певним периметром безпеки. Сукупність послідовних заходів і засобів контролю та управління може бути застосована в різних логічних мережевих доменах для подальшого поділу середовища мережевої безпеки, наприклад загальнодоступні системи, внутрішні мережі і критичні активи. Домени повинні визначатися на основі оцінки ризику і різних вимог щодо безпеки в межах кожного з доменів.
    - - Міра і засіб контролю управління: Приєднання користувачів до спільно використовуваних мереж, особливо тим, які виходять за рамки організації, необхідно обмежувати відповідно до політики управління доступом і вимогами прикладних програм бізнесу
      - Рекомендація щодо реалізації: Права користувачів стосовно мережевого доступу повинні підтримуватися і оновлюватися відповідно до вимог політики управління доступом. Можливість під'єднання користувачів може обмежуватися мережевими шлюзами, що фільтрують трафік за допомогою заздалегідь визначених таблиць або правил.
    - - Міра і засіб контролю і управління: Для мереж слід впроваджувати заходи і засоби контролю і управління маршрутизацією, щоб забезпечити впевненість у тому, що приєднання комп'ютерів і інформаційні потоки не порушують політику управління доступом до прикладних програм бізнесу.
      - Рекомендація щодо реалізації: Необхідно, щоб заходи та засоби контролю і управління маршрутизацією грунтувалися на механізмах перевірки реальних адрес джерела і одержувача. Шлюзи безпеки можуть використовуватися для підтвердження адрес джерела і одержувача на внутрішньої і зовнішньої точках управління мережею, якщо використовуються технології трансляції мережевих адрес і (або) проксі. Необхідно, щоб фахівці, що займаються впровадженням, були інформовані про переваги і недоліки різних використовуваних механізмів. Вимоги щодо заходів і засобів контролю та управління маршрутизацією мережі повинні ґрунтуватися на політиці управління доступом
  - - - 11.5.1 Безпечні процедури започаткування сеансу
        
        Міра і засіб контролю управління: Доступ до експлуатованих систем повинен контролюватися за допомогою безпечної процедури початку сеансу
        
        Рекомендація щодо реалізації: Процедура реєстрації в експлуатованої системі повинна бути спроектована так, щоб звести до мінімуму можливість несанкціонованого доступу. Тому необхідно, щоб процедура початку сеансу розкривала мінімум інформації про систему, щоб уникнути надання будь-якої непотрібної допомоги неавторизованого користувачеві.
      - 11.5.2 Ідентифікація та аутентифікація користувача
        
        Міра і засіб контролю і управління: Необхідно, щоб всі користувачі мали унікальний ідентифікатор (ідентифікатор користувача), призначений тільки для їх особистого використання, і повинен бути обраний відповідний спосіб перевірки для підтвердження заявленої автентичності користувача.
        
        Рекомендація щодо реалізації: Заходи і засоби контролю і управління повинна застосовуватися по відношенню до всіх типів користувачів (Включаючи персонал технічної підтримки, операторів, адміністраторів мережі, системних програмістів і адміністраторів баз даних). Ідентифікатори користувачів необхідно використовувати для відстеження дій підзвітної особи. Регулярні дії користувачів не повинні виконуватися з привілейованих облікових записів. За виняткових обставин, коли є очевидна вигода для бізнесу, може використовуватися загальний ідентифікатор для групи користувачів або для виконання певної роботи.
      - 11.5.3 Система управління паролями
        
        Міра і засіб контролю управління: Системи управління паролями повинні бути інтерактивними і повинні забезпечувати впевненість у як паролі.
        
        Рекомендація щодо реалізації:
        Система управління паролями повинна:
        
        a) наказувати використання індивідуальних користувальницьких ідентифікаторів і паролів з метою встановлення персональної відповідальності;
        
        b) дозволяти користувачам вибирати і змінювати свої паролі, і включати процедуру підтвердження помилок введення;
        
        c) наказувати використання якісних паролів
        
        d) примушувати до зміни паролів
        
        e) примушувати користувачів змінювати тимчасові паролі при
        першому початку сеансу
        
        f) вести облік попередніх призначених для користувача паролів і запобігати їх повторне використання;
        
        g) не відображати паролі на екрані при їх введенні;
      - 11.5.4 Використання системних утиліт
        
        Міра і засіб контролю і управління: Використання утиліт, які могли б обійти заходи і засоби контролю і управління експлуатованих систем і прикладних програм, слід обмежувати і строго контролювати.
        
        Рекомендація щодо реалізації: Необхідно розглянути наступні рекомендації по використанню системних утиліт:
        
        a) використання процедур ідентифікації, аутентифікації і авторизації для системних утиліт;
        
        b) відділення системних утиліт від прикладних програм;
        
        c) обмеження використання системних утиліт мінімальним числом довірених авторизованих користувачів
        
        d) авторизація на використання спеціальних системних утиліт;
        
        e) реєстрація використання всіх системних утиліт;
        
        f) визначення та документальне оформлення рівнів авторизації щодо системних утиліт;
      - 11.5.5 Ліміт часу сеансу зв'язку
        
        Міра і засіб контролю і управління: Неактивні сеанси повинні бути закриті після певного періоду бездіяльності.
        
        Рекомендація щодо реалізації: Необхідно, щоб механізм блокування за часом забезпечував очищення вікна сеансу, а також, можливо пізніше, після певного періоду бездіяльності закривав прикладну програму і мережеві сеанси. Затримка, пов'язана з блокуванням по часу, повинна відображати ризики безпеки цієї області, класифікацію оброблюваної інформації і використовуваних прикладних програм, а також ризики, пов'язані з користувачами обладнання. Для деяких систем може бути передбачена обмежена форма засобів блокування за часом, яка очищає екран і запобігає неавторизований доступ, але не закриває прикладні програми або мережеві сеанси
      - 11.5.6 Обмеження часу з'єднання
        
        Міра і засіб контролю і управління: Обмеження на час з'єднання повинні бути використані для забезпечення додаткової безпеки прикладних програм з високим ступенем ризику.
        
        Рекомендація щодо реалізації: Необхідно розглянути заходи і засоби контролю і управління щодо часу приєднання для чутливих комп'ютерних програм, особливо в місцях підвищеного ризику, наприклад загальнодоступних місцях або на зовнішній території, що знаходиться поза сферою дії менеджменту безпеки організації. Прикладами таких обмежень є:
        
        a) використання заздалегідь визначених відрізків часу, наприклад для пакетної передачі файлів або регулярних інтерактивних сеансів невеликої тривалості;
        
        b) обмеження часу підключення нормальними годинами роботи організації, якщо немає необхідності в понаднормової або більш тривалій роботі;
        
        c) проведення повторної аутентифікації через заплановані інтервали часу.