Please enable JavaScript.

Coggle requires JavaScript to display documents.

ІНФОРМАЦІЙНІ ТЕХНОЛОГІЇ. МЕТОДИКИ БЕЗПЕКИ. ПРАКТИЧНІ ПРАВИЛА УПРАВЛІННЯ…

- - - - Всі активи повинні бути чітко визначені, повинна складатися і підтримуватися опис всіх важливих активів.
    - - Організація повинна ідентифікувати всі активи і документально оформляти значимість цих активів. В опис активів слід включити всю інформацію, необхідну для відновлення після лиха, в тому числі тип активу, формат, місце розташування, інформацію про резервних копіях, інформацію про ліцензування і цінності для бізнесу.
- - - - a. реалізації і дії відповідно до політиками інформаційної безпеки організації
      - b. захисту активів від несанкціонованого доступу, розголошення відомостей, модифікації, руйнувань або втручання;
      - c. виконання певних процесів або діяльності, пов'язаних з безпекою;
      - d. забезпечення впевненості в тому, що на індивідуума покладається відповідальність за їхні дії;
      - e. інформування про події або потенційних події, пов'язані з безпекою, або інші ризики безпеки для організації.
  - - - Керівництво організації повинно вимагати, щоб співробітники, підрядники та представники третьої боку забезпечували безпеку відповідно до встановлених політиками і процедурами організації.
      - Керівництво зобов'язане забезпечити впевненість у тому, що співробітники, підрядники та представники третьої сторони
        
        a. були проінформовані про свої ролі і обов'язки в області інформаційної безпеки перш, ніж їм було надано доступ до чутливої інформації або інформаційним системам;
        
        b. забезпечені рекомендаціями щодо формулювання їх передбачуваних ролей щодо безпеки в рамках організації;
        
        c. зацікавлені слідувати політикам безпеки організації;
        
        d. досягають рівня обізнаності щодо безпеки, відповідного їх ролям і обов'язків в організації;
        
        e. слідують умовам зайнятості, які включають політику інформаційної безпеки організації і відповідні методи роботи;
        
        f. продовжують підтримувати відповідні навички та кваліфікацію
    - - Всі співробітники організації і, де необхідно, підрядники та представники третьої сторони, повинні пройти відповідне навчання і отримувати на регулярній основі оновлені варіанти політик і процедур, прийнятих в організації та необхідних для виконання їх робочих функцій.
      - Навчання, що забезпечує поінформованість, слід починати з формального вступного процесу, призначеного для ознайомлення з політиками і очікуваннями організації в області безпеки перш, ніж буде надано доступ до інформації або послуг.
    - - Повинен існувати формальний дисциплінарний процес, застосовуваний щодо співробітників, які вчинили порушення безпеки.
      - Формальний дисциплінарний процес покликаний забезпечити впевненість в коректному і справедливому розгляді справ співробітників, підозрюваних в скоєнні порушень безпеки.
      - исциплінарний процес слід також використовувати як стримуючий засіб для запобігання вчиненню співробітниками, підрядниками та представниками третьої сторони порушень політик і процедур безпеки, прийнятих в організації, і будь-яких інших порушень безпеки.
  - - - Обов'язки щодо припинення зайнятості або зміни зайнятості повинні бути чітко визначені і встановлені.
      - Інформування про припинення обов'язків має включати в себе актуальні вимоги безпеки і правову відповідальність, і, при необхідності, обов'язки, що містяться в угоді про конфіденційності (див. 6.1.5), а також умови зайнятості (див. 8.1.3)
      - Відділ кадрів, як правило, відповідає за загальний процес припинення зайнятості та діє спільно з керівником якого звільняють особи, щоб забезпечити управління аспектами безпеки значущих процедур.
    - - Всі співробітники, підрядники та представники третьої сторони зобов'язані повернути організації всі активи, що знаходяться в їх користуванні, при припиненні їх зайнятості, договору або угоди.
      - Процес припинення зайнятості повинен бути формалізований таким чином, щоб включати в себе повернення всього раніше виданого програмного забезпечення, корпоративних документів та обладнання
    - - Права доступу всіх службовців, підрядників і представників третьої сторони до інформації та засобів обробки інформації повинні бути анульовані у разі припинення зайнятості, договору або угоди, або скориговані при зміні зайнятості
      - При припинення зайнятості, права доступу до активів, пов'язаних з інформаційними системами, і послуг необхідно переглядати. Це дозволить визначати, чи потрібно анулювати права доступу
      - При певних обставинах права доступу можуть розподілятися на основі доступності для більшої кількості людей, ніж тільки для співробітника, що звільняє, підрядника або представника третьої сторони, наприклад групові ідентифікатори.
- - - - Для захисту зон, що містять інформацію і засоби обробки інформації, слід використовувати периметри безпеки (бар'єри, наприклад стіни, керовані картами доступу ворота або турнікети, керовані особою).
      - Відносно фізичних периметрів безпеки рекомендується розглядати і реалізовувати, при необхідності, такі рекомендації:
        
        a. периметри безпеки повинні бути чітко визначені, а розміщення і надійність кожного з периметрів повинні залежати від вимог безпеки активів, які перебувають у межах периметра, і від результатів оцінки ризику;
        
        b. периметри будівлі або приміщень, де розташовані засоби обробки інформації, повинні бути фізично міцними (тобто не повинно бути ніяких проміжків в периметрі або місць, через які можна було б легко проникнути); зовнішні стіни приміщень повинні мати тверду конструкцію, а все зовнішні двері повинні бути відповідним чином захищені від несанкціонованого доступу, наприклад оснащені шлагбаумом, сигналізацією, замками т. п .; двері і вікна приміщень за відсутності співробітників повинні бути замкнені, і зовнішній захист повинна бути передбачена для вікон, особливо якщо вони знаходяться на рівні землі;
        
        c. повинна бути виділена і укомплектована персоналом зона реєстрації відвідувачів, або повинні існувати інші заходи для контролю фізичного доступу в приміщення або будівлі; доступ в приміщення та будівлі повинен надаватися тільки авторизованому персоналу;
        
        d. коли це доцільно, повинні бути побудовані фізичні бар`єри, що запобігають неавторизований фізичний доступ і забруднення навколишнього середовища;
        
        e. всі аварійні виходи на випадок пожежі в периметрі безпеки повинні бути обладнані аварійною сигналізацією, повинні піддаватися моніторингу та тестування разом зі стінами, щоб створити необхідний рівень стійкості відповідно до застосовних регіональними, національними і міжнародними стандартами; вони повинні експлуатуватися відповідно до місцевої системою протипожежних правил безвідмовним чином;
        
        f. слід встановлювати необхідні системи виявлення вторгнення, що відповідають національним, регіональним або міжнародним стандартам, і регулярно тестувати їх на предмет охоплення всіх зовнішніх дверей і доступні вікон, вільні приміщення необхідно ставити на сигналізацію; аналогічно слід обладнати і інші зони, наприклад серверну кімнату або приміщення, де розташовані засоби комунікацій;
        
        g. необхідно фізично ізолювати засоби обробки інформації, контрольовані організацією, від засобів, контрольованих сторонніми організаціями.
    - - Зони безпеки необхідно захищати за допомогою відповідних заходів і засобів контролю та управління входу, щоб забезпечити впевненість у тому, що доступ дозволений тільки авторизованому персоналу
    - - Необхідно розробити і реалізувати фізичний захист будівель,
        виробничих приміщень і обладнання.
    - - Необхідно розробити і реалізувати фізичний захист від нанесення шкоди, який може з'явитися результатом пожежі, повені, землетруси, вибуху, громадських заворушень та інших форм природних або антропогенних лих.
      - Необхідно передбачити будь-які загрози безпеки, які виходять від сусідніх приміщень, наприклад пожежа в сусідній будівлі, воду, що тече з даху або затопила поверхи, що знаходяться нижче рівня землі, або вибух на вулиці.
    - - Необхідно розробити і реалізувати фізичний захист і рекомендації по
        роботі в зонах безпеки
    - - Місця доступу, наприклад зони приймання та відвантаження, і інші місця, де неавторизовані особи можуть проникнути в приміщення, повинні перебувати під контролем і, по можливості, повинні бути ізольовані від засобів обробки інформації, щоб уникнути несанкціонованого доступу
    - - Запобігти втраті, пошкодження, крадіжку або компрометацію активів і переривання діяльності організації. Устаткування необхідно захищати від фізичних погроз і впливу навколишнього середовища.
      - Розміщення та захист обладнання
        
        Обладнання повинно бути розміщено і захищено так, щоб зменшити ризики від загроз навколишнього середовища і можливості несанкціонованого доступу.
      - Послуги підтримки
        
        Устаткування необхідно захищати від перебоїв подачі електроенергії та інших збоїв, пов'язаних з перебоями в забезпеченні підтримують послуг.
        
        Всі підтримують послуги, наприклад електропостачання, водопостачання, каналізація, опалення / вентиляція і кондиціювання повітря, повинні бути адекватними для підтримуваних ними систем.
      - Безпека кабельної мережі
        
        Силові та телекомунікаційні кабельні мережі, по яких передаються дані або підтримують інформаційні послуги, необхідно захищати від перехоплення інформації або руйнування.
      - Технічне обслуговування обладнання
        
        Має проводитися належне технічне обслуговування обладнання для забезпечення його безперервної доступності і цілісності.
      - Безпека обладнання поза приміщеннями організації
        
        При забезпеченні безпеки обладнання, що використовується поза місцем його постійної експлуатації, слід враховувати різні ризики, пов'язані з роботою поза приміщеннями організації.
        
        Незалежно від права власності використання обладнання для обробки інформації поза приміщень організації повинно бути санкціоновано керівництвом.
      - Безпечна утилізація або повторне використання обладнання
        
        Всі компоненти обладнання, які містять носії даних, слід перевіряти з метою забезпечення впевненості в тому, що будь-які чутливі дані і ліцензійне програмне забезпечення були видалені або перезаписані безпечним чином до їх утилізації.
        
        Носії даних, що містять чутливу інформацію, необхідно фізично знищувати, або інформацію необхідно зруйнувати, видалити або перезаписати способами, що роблять вихідну інформації невідновні, а не використовувати стандартні функції видалення і форматування.
      - Переміщення майна
        
        Устаткування, інформацію або програмне забезпечення можна використовувати поза приміщеннями організації тільки при наявності відповідного дозволу.
        
        Вибіркові перевірки, що проводяться для виявлення несанкціонованого переміщення майна, також можуть проводитися для виявлення неавторизованих пристроїв реєстрації, зброї і т. д., і запобігання їх вносити в приміщення організації.