Please enable JavaScript.

Coggle requires JavaScript to display documents.

СТАНДАРТ ISO/IEC 27002 (Ч.3) - Coggle Diagram

- - - - Міра і засіб контролю і управління:
        Експлуатаційні процедури слід документально оформляти, дотримуватися і робити доступними для всіх, хто потребує них користувачів.
    - - Міра і засіб контролю і управління:
        Зміни в конфігурації засобів обробки інформації та системах повинні контролюватися.
    - - Міра і засіб контролю і управління:
        Обов'язки та сфери відповідальності повинні бути розділені для зменшення можливостей неавторизованої або ненавмисної модифікації активів організації або їх нецільового використання.
    - - Міра і засіб контролю і управління
        Щоб знизити ризики несанкціонованого доступу або змін експлуатованої системи, слід забезпечувати розподіл коштів розробки, тестування та експлуатації.
  - - - Міра і засіб контролю і управління:
        Необхідно забезпечувати впевненість в тому, що заходи і засоби контролю і управління безпеки, визначення послуг та рівні надання послуг, які підтверджують договір про надання послуг третьою стороною, реалізуються, функціонують і підтримуються третьою стороною.
    - - Міра і засіб контролю і управління:
        Необхідно регулярно проводити моніторинг і аналіз послуг, звітів і записів, які забезпечуються третьою стороною, і регулярно проводити аудити.
    - - Міра і засіб контролю і управління:
        Зміни в наданні послуг, включаючи підтримку і поліпшення існуючих політик, процедур, заходів та засобів контролю і управління інформаційної безпеки, повинні здійснюватися з урахуванням критичності яких торкається систем і процесів бізнесу, а також переоцінки ризиків.
  - - - Міра і засіб контролю і управління:
        Використання ресурсів необхідно прогнозувати, виходячи з майбутніх вимог до продуктивності, налаштовувати і контролювати, щоб забезпечити впевненість у досягненні необхідних експлуатаційних даних системи.
    - - Міра і засіб контролю і управління:
        Повинні бути визначені критерії приймання для нових інформаційних систем, оновлень і нових версій, окрім того, необхідно тестувати системи протягом їх розробки і перед їх прийманням.
  - - - Міра і засіб контролю і управління:
        Необхідно впровадити заходи і засоби контролю і управління, пов'язані з виявленням, попередженням та відновленням, з метою захисту від шкідливої програми, а також процедури, що забезпечують відповідну обізнаність користувачів.
    - - Міра і засіб контролю і управління:
        Там, де дозволено використання мобільного програми, конфігурація повинна забезпечувати впевненість у тому, що дозволена мобільна програма функціонує відповідно до ясно сформульованої політикою безпеки, а виконання невирішеною мобільного програми буде заборонено.
  - - - Міра і засіб контролю управління:
        Створення резервних копій інформації та програмного забезпечення повинно виконуватися і тестуватися на регулярній основі відповідно до встановленої політики резервування.
  - - - Міра і засіб контролю і управління:
        Мережі повинні адекватно справлятися і контролюватися, щоб бути захищеними від загроз і забезпечити безпеку систем і прикладних програм, що використовують мережу, включаючи інформацію під час її передачі.
    - - Міра і засіб контролю і управління:
        Засоби забезпечення безпеки, рівні послуг і вимоги щодо менеджменту всіх мережевих послуг повинні бути визначені і включені в будь-який договір з мережних послуг, незалежно від того, чи будуть вони забезпечуватися силами організації або в рамках договорів аутсорсингу.
  - - - Міра і засіб контролю і управління:
        Повинні існувати процедури щодо менеджменту змінних носіїв інформації.
    - - Міра і засіб контролю управління:
        Носії інформації, коли в них більше немає необхідності, слід надійно і безпечно утилізувати, використовуючи формальні процедури.
    - - Міра і засіб контролю і управління:
        З метою забезпечення захисту інформації від несанкціонованого розкриття або неправильного використання необхідно визначити процедури обробки та зберігання інформації.
    - - Міра і засіб контролю і управління:
        Системна документація повинна бути захищена від несанкціонованого доступу.
  - - - Міра і засіб контролю і управління:
        Повинні існувати формальні політики, процедури та заходи і засоби контролю і управління в щодо обміну інформацією з метою захисту такого обміну, коли використовуються всі типи засобів зв'язку.
    - - Міра і засіб контролю і управління:
        Необхідно укладати угоди з обміну інформацією та програмним забезпеченням між організацією і сторонніми організаціями.
    - - Міра і засіб контролю управління:
        Носії інформації повинні бути захищені від несанкціонованого доступу, неправильного використання або пошкодження під час їх транспортування за межами організації.
    - - Міра і засіб контролю і управління:
        Необхідно належним чином захищати інформацію, що включається в електронний обмін повідомленнями.
    - - Міра і засіб контролю і управління:
        Необхідно розробити і впровадити політики і процедури захисту інформації, пов'язаної з взаємодією інформаційних систем бізнесу.
  - - - Міра і засіб контролю і управління:
        Інформація, яка використовується в електронній торгівлі, що проходить по загальнодоступних мереж, повинна бути захищена від шахрайства, заперечування договорів, а також неавторизованого розкриття і модифікації.
    - - Міра і засіб контролю і управління:
        Інформацію, яку використовують в онлайн транзакції, слід захищати для запобігання неповній передачі, неправильній маршрутизації, неавторизованого зміни повідомлень, неавторизованого розкриття, неавторизованого дублювання або відтворення повідомлень.
    - - Міра і засіб контролю і управління:
        Цілісність інформації, яка доступна в загальнодоступній системі, слід захищати для запобігання неавторизованої модифікації.
  - - - Міра і засіб контролю управління:
        Необхідно вести і зберігати протягом узгодженого періоду часу контрольні журнали, які реєструють дії користувачів, позаштатні ситуації і події інформаційної безпеки, щоб допомогти в майбутніх розслідуваннях і проведенні контролю управління доступом.
    - - Міра і засіб контролю управління:
        Необхідно створити процедури для проведення моніторингу використання коштів обробки інформації і регулярно аналізувати результати діяльності, пов'язаної з моніторингом.
    - - Міра і засіб контролю управління:
        Засоби реєстрації та інформацію журналів реєстрації слід захищати від пошкодження та несанкціонованого доступу.
    - - Міра і засіб контролю і управління:
        Дії системного адміністратора і системного оператора слід реєструвати.
    - - Міра і засіб контролю і управління:
        Несправності слід реєструвати, аналізувати, і робити в їх відношенні необхідні дії.
    - - Міра і засіб контролю і управління:
        Годинники у всіх відповідних системах обробки інформації в межах організації або домену безпеки повинні бути синхронізовані з встановленим джерелом точного часу.
- - - - Міра і засіб контролю і управління:
        Політика управління доступом повинна створюватися, документально оформлятися і переглядатися з урахуванням вимог бізнесу і безпеки для доступу.
  - - - Міра і засіб контролю і управління:
        Необхідна формальна процедура реєстрації та зняття з обліку користувачів щодо надання та скасування доступу до всіх інформаційних систем і послуг.
    - - Міра і засіб контролю і управління:
        Надання і використання привілеїв необхідно обмежувати і контролювати.
    - - Міра і засіб контролю і управління:
        Розподіл паролів необхідно контролювати за допомогою формального процесу управління.
    - - Міра і засіб контролю управління:
        Керівництво повинно здійснювати формальний процес періодичного перегляду прав доступу користувачів.
  - - - Міра і засіб контролю і управління:
        Користувачі повинні дотримуватися загальноприйнятої практики в області безпеки при виборі і використанні паролів.
    - - Міра і засіб контролю і управління:
        Користувачі повинні забезпечувати відповідний захист обладнання, залишеного без нагляду
    - - Міра і засіб контролю і управління:
        Необхідно прийняти політику «чистого стола» щодо паперових документів і змінних носіїв даних, а також політику «чистого екрану» щодо засобів обробки інформації.
  - - - Міра і засіб контролю і управління:
        Користувачам слід надавати доступ тільки до тих послуг, на використання яких вони були спеціально уповноважені.
    - - Міра і засіб контролю і управління:
        Для управління доступом віддалених користувачів слід застосовувати відповідні методи аутентифікації.
    - - Міра і засіб контролю і управління:
        Автоматичну ідентифікацію обладнання необхідно розглядати як засіб для аутентифікації для підключення згідно здійснюваних з певних місць або певного обладнання.
    - - Міра і засіб контролю і управління:
        Фізичний і логічний доступ для портів дистанційної діагностики та конфігурації повинен бути контрольованим і керованим.
    - - Міра і засіб контролю управління:
        Групи інформаційних послуг, користувачів та інформаційних систем в межах мережі повинні бути розділені.
    - - Міра і засіб контролю управління:
        Приєднання користувачів до спільно використовуваних мереж, особливо тим, які виходять за рамки організації, необхідно обмежувати відповідно до політики управління доступом і вимогами прикладних програм бізнесу.
    - - Міра і засіб контролю і управління:
        Для мереж слід впроваджувати заходи і засоби контролю і управління маршрутизацією, щоб забезпечити впевненість у тому, що приєднання комп'ютерів і інформаційні потоки не порушують політику управління доступом до прикладних програм бізнесу.
  - - - Міра і засіб контролю управління:
        Доступ до експлуатованих систем повинен контролюватися за допомогою безпечної процедури початку сеансу.
    - - Міра і засіб контролю і управління:
        Необхідно, щоб всі користувачі мали унікальний ідентифікатор (ідентифікатор користувача), призначений тільки для їх особистого використання, і повинен бути обраний відповідний спосіб перевірки для підтвердження заявленої автентичності користувача.
    - - Міра і засіб контролю управління:
        Системи управління паролями повинні бути інтерактивними і повинні забезпечувати впевненість у як паролі.
    - - Міра і засіб контролю і управління:
        Використання утиліт, які могли б обійти заходи і засоби контролю і управління експлуатованих систем і прикладних програм, слід обмежувати і строго контролювати.
    - - Міра і засіб контролю і управління:
        Неактивні сеанси повинні бути закриті після певного періоду бездіяльності.
    - - Міра і засіб контролю і управління:
        Обмеження на час з'єднання повинні бути використані для забезпечення додаткової безпеки прикладних програм з високим ступенем ризику.
  - - - Міра і засіб контролю і управління:
        Доступ користувачів і персоналу підтримки до інформації і функцій прикладних систем повинен обмежуватися відповідно до певної політики щодо управління доступом.
    - - Міра і засіб контролю і управління:
        Чутливі системи повинні мати спеціалізовану (ізольовану) обчислювальну середу.
  - - - Міра і засіб контролю і управління:
        Необхідно прийняти формальну політику і забезпечити відповідні заходи безпеки для захисту від ризиків, пов'язаних з роботою із засобами мобільного обчислювальної техніки і зв'язку.
    - - Міра і засіб контролю і управління:
        Політика, плани і процедури експлуатації повинні бути розроблені і впроваджені для дистанційної роботи.