Please enable JavaScript.

Coggle requires JavaScript to display documents.

ISO/ІЕС 27002 «ІНФОРМАЦІЙНІ ТЕХНОЛОГІЇ. МЕТОДИКИБЕЗПЕКИ. ПРАКТИЧНІ…

- - - - Аналіз вимог безпеки і специфікація
        
        Необхідно, щоб у формулюваннях вимог бізнесу для нових інформаційних систем або при модернізації існуючих інформаційних систем були визначені вимоги до заходів і засобів контролю та управління безпеки
  - - - Управління внутрішньої обробкою
        
        Підтверджують перевірки повинні бути включені в прикладні програми з метою виявлення будь-якого спотворення інформації внаслідок помилок обробки або навмисних дій.
      - Цілісність повідомлень
        
        Необхідно визначити вимоги щодо забезпечення автентичності та захисту цілісності повідомлень в прикладних програмах, а також ідентифікувати і впровадити відповідні заходи і засоби контролю і управління
      - Підтвердження коректності вхідних даних
        
        Вхідні дані для прикладних програм повинні проходити процедуру підтвердження з метою забезпечення впевненості в їх коректності та відповідності.
      - Підтвердження вихідних даних
        
        Дані, що виводяться з прикладної програми, повинні бути перевірені з метою забезпечення впевненості в коректності обробки інформації, що зберігається і відповідності вимогам.
  - - - Політика використання криптографічних заходів і засобів контролю та управління
        
        З метою захисту інформації необхідно розробити і реалізувати політику щодо використання криптографічних заходів і засобів контролю та управління.
      - Управління ключами
        
        Для підтримки використання організацією криптографічних методів необхідно застосовувати управління ключами.
  - - - Захист тестових даних системи
        
        Дані тестування слід ретельно відбирати, захищати і контролювати.
      - Управління доступом до вихідних текстів програм
        
        Доступ до вихідних текстів програм необхідно обмежувати.
      - Управління експлуатаційним програмним забезпеченням
        
        Необхідно застосовувати процедури контролю установки програмного забезпечення в експлуатованих системах.
  - - - Обмеження на зміни пакетів програм
        
        Необхідно уникати модифікацій пакетів програм, обмежуватися необхідними змінами і строго контролювати всі зроблені зміни.
      - Витік інформації
        
        Можливість витоку інформації повинна бути відвернена.
      - Технічна перевірка прикладних програм після змін експлуатованої системи
        
        При внесенні змін до експлуатовані системи прикладні програми, що мають велике значення для бізнесу, слід аналізувати і тестувати з метою забезпечення впевненості в тому, що не надається несприятливого впливу на функціонування або безпеку організації.
      - Аутсорсинг розробки програмного забезпечення
        
        Аутсорсинг розробки програмного забезпечення повинен бути під наглядом і контролем організації.
      - Процедури управління змінами
        
        Внесення змін слід контролювати, використовуючи формальні процедури управління змінами.
  - - - Управління технічними уразливими
        
        Необхідно отримувати своєчасну інформацію про технічні вразливості використовуваних інформаційних систем, оцінювати незахищеність організації щодо таких вразливостей і вживати відповідних заходів для розгляду пов'язаного з ними ризику.
- - - - Оповіщення про події інформаційної безпеки
        
        Про події інформаційної безпеки необхідно негайно повідомляти через відповідні канали управління.
      - Оповіщення про уразливість безпеки
        
        Від усіх співробітників, підрядників і представників третьої сторони, що мають справу з інформаційними системами та послугами, необхідно вимагати, щоб вони звертали увагу і повідомляли про будь-які помічені або передбачуваних вразливості в області безпеки в відношенні систем або послуг.
  - - - Витяг уроків з інцидентів інформаційної безпеки
        
        Повинні бути створені механізми, що дозволяють встановити типи, обсяги і збитки, викликані інцидентами інформаційної безпеки, які повинні бути виміряні і проконтрольовані.
      - Збір доказів
        
        У тих випадках, коли наступні дії проти особи або організації після інциденту безпеки призводять до судового позову (як цивільного, так і кримінального), докази повинні бути зібрані, збережені і представлені відповідно до правил збору доказів, викладених у відповідних юрисдикціях.
      - Обов'язки та процедури
        
        Необхідно встановлювати обов'язки посадових осіб щодо здійснення менеджменту та процедури для забезпечення швидкого, ефективного та належного реагування на інциденти інформаційної безпеки.
- - - - Розробка і впровадження планів безперервності бізнесу, які враховують інформаційну безпеку
        
        Слід розробити і впровадити плани забезпечення безперервності бізнесу з метою підтримки або відновлення операцій і забезпечення доступності інформації на необхідному рівні та в потрібні терміни після переривання або збою критичних процесів бізнесу.
      - Основи планування безперервності бізнесу
        
        Слід підтримувати єдину структуру планів безперервності бізнесу, щоб забезпечити впевненість у тому, що всі плани узгоджені відповідно до розглянутими вимогами інформаційної безпеки і встановлених пріоритетів для тестування і обслуговування.
      - Безперервність бізнесу та оцінка ризику
        
        Події, які можуть стати причиною переривань процесів бізнесу, необхідно визначати разом з ймовірністю і впливом таких переривань, а також їх наслідками для інформаційної безпеки.
      - Тестування, підтримка і перегляд планів безперервності бізнесу
        
        Плани безперервності бізнесу необхідно регулярно тестувати та оновлювати з метою забезпечення впевненості в їх актуальності та ефективності.
      - Включення інформаційної безпеки в процес менеджменту безперервності бізнесу
        
        Слід розробляти та підтримувати керований процес для забезпечення безперервності бізнесу в усій організації, який враховує вимоги до інформаційної безпеки, необхідні для забезпечення безперервності бізнесу організації.
- - - - Відповідність політикам та стандартам безпеки
        
        Керівники повинні забезпечити впевненість у тому, що всі процедури безпеки в межах їх зони відповідальності виконуються правильно, для того щоб досягти відповідності політикам та стандартам безпеки.
      - Перевірка технічної відповідності
        
        Інформаційні системи слід регулярно перевіряти на відповідність стандартам безпеки безпеки.
  - - - Запобіжні і засоби контролю і управління аудиту інформаційних систем
        
        Вимоги і процедури аудиту, що включають перевірки експлуатованих систем, необхідно ретельно планувати і погоджувати, щоб звести до мінімуму ризик порушення процесів бізнесу.
      - Захист інструментальних засобів аудиту інформаційних систем
        
        Доступ до інструментальним кошти, що застосовуються при проведенні аудиту інформаційних систем, необхідно захищати, щоб запобігти будь-яке можливе їх неправильне використання або компрометацію.
  - - - Захист документів організації
        
        Важливі документи організації необхідно захищати від втрати, руйнування і фальсифікації в відповідно до законодавчих, нормативних та договірними вимогами, а також вимогами бізнесу.
      - Захист даних і конфіденційність персональних даних
        
        Повинна бути забезпечена впевненість у захисті даних та персональних даних відповідно до вимогами відповідних законодавчих і нормативних актів і, в разі необхідності, умов договорів.
      - Права на інтелектуальну власність
        
        Необхідно впровадити відповідні процедури для забезпечення впевненості в дотриманні законодавчих, нормативних та договірних вимог по використанню матеріалів, відносно яких можуть бути права на інтелектуальну власність, і по використанню пропрієтарних програмних продуктів.
      - Запобігання нецільового використання коштів обробки інформації
        
        Користувачів слід утримувати від застосування засобів обробки інформації для несанкціонованих цілей.
      - Визначення застосовного законодавства
        
        Все застосовні правові, нормативні та договірні вимоги та підхід організації до виконання цих вимог слід чітко визначити, документально оформити і підтримувати на актуальному рівні по відношенню до кожної інформаційної системи та організації.
      - Регулювання криптографічних заходів і засобів контролю та управління
        
        Криптографічні заходи і засоби контролю і управління повинні використовуватися з дотриманням всіх відповідних угод, законів і нормативних актів.