Please enable JavaScript.

Coggle requires JavaScript to display documents.

BS ISO/IEC 27005: 2011_4 - Coggle Diagram

- - - - • філіальна структура: кожен підрозділ працює під керівництвом менеджера підрозділу, відповідального за прийняття стратегічних, адміністративних і операційних рішень, що стосуються його підрозділу;
      - • функціональна структура: функціональне керівництво здійснюється щодо процедур, сутності роботи і, іноді, прийняття рішень або планування (наприклад, виробництво, ІТ, кадри, маркетинг і т.д.).
  - - - 1. Обмеження політичного характеру
        Вони можуть стосуватися урядових адміністрацій, громадських установ або, кажучи загалом, будь-яка організації, яка повинна застосовувати урядові рішення. Такими зазвичай є рішення, що стосуються стратегії або експлуатаційної орієнтації, прийняті урядовим підрозділом або організацією, яка приймає рішення, і які повинні бути застосовані. Наприклад, комп'ютеризація рахунків або адміністративних документів тягне за собою проблеми з інформаційною безпекою.
      - 2.Стратегічні обмеження
        Обмеження можуть виникати в результаті запланованих або можливих змін структури або орієнтації організації. Вони можуть відображатися в стратегічних або експлуатаційних генеральних планах організації. Наприклад, міжнародна співпраця в області спільного використання чутливої інформації може вимагати угод, що стосуються безпечного обміну.
      - 3. Територіальні обмеження
        Структура і/або мета організації можуть вводити певні обмеження, такі як розподіл робочих майданчиків по території своєї країни або за кордоном. Приклади включають в себе поштову службу, посольства, банки, філії великої промислової групи і т.д.
      - 4. Обмеження, на виникнення яких впливає стан економіки і політики
        Функціонування організації може сильно змінюватися внаслідок певних подій, таких як страйки або національні або міжнародні кризи.
        Наприклад, деякі сервіси можуть продовжувати функціонування навіть у час серйозних криз.
      - 5. Структурні обмеження
        Тип структури організації (філіальна, функціональна або інша) може мати наслідком певну політику інформаційної безпеки і організацію безпеки, адаптовану до структури. Наприклад, міжнародна структура повинна бути здатна погоджувати вимоги безпеки, притаманні кожній країні.
      - 6. Функціональні обмеження
        Функціональні обмеження виникають безпосередньо з головного або специфічного призначення організації. Наприклад, організація, що працює цілодобово, повинна безперервно забезпечувати доступність своїх ресурсів.
      - 7. Обмеження, що стосуються персоналу
        Природа цих обмежень значним чином варіюється. Вони пов'язані з рівнем відповідальності, наймом співробітників, кваліфікацією, навчанням, обізнаністю в питаннях безпеки, мотивацією, доступністю і т.д. Наприклад, весь персонал оборонної організації повинен мати допуск для обробки цілком таємної інформації.
  - - - 1. Обмеження, що виникають з раніше існуючих процесів
        Проекти додатків не обов'язково розробляються одночасно. деякі з них залежать від раніше існуючих процесів. Навіть якщо процес може бути розбитий на підпроцеси, не обов'язково, що на даний процес впливатимуть все підпроцеси іншого процесу.
      - 2. Технічні обмеження
        Технічні обмеження, пов'язані з інфраструктурі, в основному виникають в результаті експлуатації апаратних і програмних засобів, приміщень або майданчиків, де здійснюються процеси:
        
        • архіви (файли) (вимоги, що стосуються організації, менеджмент носіїв, менеджмент правил доступу і т.д.);
        
        • загальна архітектура (вимоги, що стосуються топології (Централізована, розподілена, клієнт-сервер), фізична архітектура і т.д.);
        
        • прикладне програмне забезпечення (вимоги, що стосуються проектування специфічного програмного забезпечення, ринкові стандарти і т.д.);
        
        • пакети програмного забезпечення (вимоги, що стосуються стандартів, рівня оцінювання, якості, відповідності нормам, безпеки і т.д.);
        
        • апаратні засоби (вимоги, що стосуються стандартів, якості, відповідності нормам і т.д.);
        
        • мережі зв'язку (вимоги, що стосуються покриття, стандартів, ємності, надійності і т.д.);
        
        • інфраструктура споруд та інженерних комунікацій (вимоги, що стосуються цивільного будівництва, конструкцій, високого напруги, низької напруги і т.д.).
      - 3. Фінансові обмеження
        Реалізація засобів управління безпекою часто обмежується тим бюджетом, який може виділити організація. Однак, фінансове обмеження має, як і раніше залишатися останнім, що підлягає розгляду, оскільки питання про виділення бюджету на безпеку може бути вирішене на основі аналізу безпеки.
      - 4. Обмеження, пов'язані з середовищем
        Обмеження, пов'язані з середовищем, виникають від географічного середовища або стану економіки, в якій процеси реалізуються: країна, клімат, природні ризики, географічна ситуація, стан економіки і т.д.
      - 5. Обмеження за часом
        Час, необхідний для реалізації засобів управління безпекою, має розглядатися щодо можливості модернізації інформаційних систем; якщо час реалізації дуже тривалий, то ризики, для яких розроблялося управління, змінюються. Час є визначальним фактором при виборі рішень і пріоритетів.
      - 6. Обмеження, що стосуються методів
        Методи, які підходять для секретів виробництва (ноу-хау) організації, повинні використовуватися щодо планування проекту, специфікації, розробки і т.д.
- - - - • первинні активи:
        
        бізнес-процеси і дії;
        
        інформація;
      - • активи підтримки всіх типів:
        
        апаратні засоби;
        
        програмне забезпечення;
        
        мережу;
        
        персонал;
        
        сайт;
        
        організаційна структура.
    - - Основні активи бувають двох типів:
        
        бізнес-процеси (або підпроцеси) і бізнес-діяльність, наприклад:
        • процеси, втрата або погіршення яких унеможливлює виконання цільової мети організації;
        • процеси, що включають в себе секретні процеси або процеси, створені з використанням високорівневої технології;
        • процеси, модифікація яких може значно вплинути на виконання призначення організації;
        • процеси, які необхідні організації для виконання договірних, правових або регулюючих вимог;
        
        інформація:
        Говорячи більш узагальнено, основна інформація, головним чином, включає в себе:
        • інформацію, необхідну для реалізації призначення або бізнесу організації;
        • інформацію особистого характеру, яка може бути визначена особливим чином, відповідним національним законам про недоторканність приватного життя;
        • стратегічну інформацію, необхідну для досягнення цілей, визначених стратегією діяльності організації;
        • інформацію з високою собівартістю, збір, зберігання, обробка і передача якої вимагають тривалого часу і/або пов'язані з великими витратами на її придбання.
    - - Сфера розгляду складається з активів, які повинні бути ідентифіковані та описані. Цим активам притаманні уразливості, які можуть бути використані загрозами, націленими на погіршення основних активів сфери розгляду (процесів та інформації). Вони можуть бути різних типів:
        
        Апаратні засоби
        Тип "апаратні засоби" включає в себе всі фізичні елементи, які підтримують процеси.
        
        Апаратура обробки даних (активна)
        Апаратура автоматизованої обробки інформації складається з елементів, які потрібні їй для незалежної роботи.
        
        Мобільна апаратура
        
        Стаціонарна апаратура
        
        Периферійне обладнання
        
        Операційна система
        
        Програмне забезпечення обслуговування, супроводу або адміністрування
        
        Пакетне програмне забезпечення або стандартне програмне забезпечення
    - - Типові терміни, використовувані для якісного визначення цінності активів, включають такі визначення, як: настільки мала, що можна знехтувати, дуже низька, низька, середня, висока, дуже висока, критична. Вибір і діапазон термінів, відповідних для організації, сильно залежать від потреби в безпеці організації, розміру організації та інших характерних для організації факторів.
        
        Критерії, що використовуються в якості основи для присвоєння цінності кожному активу, повинні бути записані в однозначних висловах. Це часто є одним з найбільш складних аспектів визначення цінності активів, оскільки цінність деяких активів, можливо, повинна визначатися суб'єктивно і оскільки багато різних людей, ймовірно, будуть приймати рішення. Можливі критерії, які використовуються для визначення цінності активу, включають його вихідну вартість, вартість його заміни або відтворення, або цінність, яка може бути абстрактною, наприклад, цінність репутації організації.
        
        Ще однією основою для визначення цінності активів є витрати, понесені через втрати конфіденційності, цілісності і доступності в результаті інциденту. Неспростовність, облік і надійність також повинні розглядатися відповідним чином. Таке визначення цінності повинно забезпечити зміни важливих елементів цінності активу на додаток до відновної вартості, заснованих на приблизних оцінках несприятливих наслідків для бізнесу, що випливають з інцидентів безпеки з передбачуваної сукупністю обставин. Слід підкреслити, що при цьому підході беруться до уваги наслідки, які необхідно включати в оцінку ризику.
        
        В остаточному підсумку, все визначення цінності активів повинно бути зведено до спільної основи. Це можна зробити за допомогою критеріїв, таких, як наведені нижче. Критерії, які можуть використовуватися для оцінки можливих наслідків, що випливають із втрати конфіденційності, цілісності, доступності, неспростовності, обліку, автентичності або надійності активів, включають:
        
        • порушення законодавства та/або розпоряджень;
        
        • погіршення функціонування бізнесу;
        
        • втрата "невловимого капіталу"/негативний вплив на репутацію;
        
        • порушення, пов'язані з особистою інформацією;
        
        • створення загрози особистій безпеці;
        
        • несприятливий вплив на забезпечення правопорядку;
        
        • порушення конфіденційності;
        
        • порушення громадського порядку;
        
        • фінансові втрати;
        
        • порушення бізнес-діяльності;
        
        • створення загрози для безпеки навколишнього середовища.
        
        Іншим підходом до оцінки наслідків може бути:
        
        • переривання сервісу:
        o неможливість забезпечення сервісу;
        
        • втрата довіри клієнта:
        o втрата довіри міжнародної інформаційної системи;
        o втрата репутації;
        
        • порушення внутрішнього функціонування:
        o безпосередньо в організації;
        o додаткові внутрішні витрати;
        
        • порушення функціонування третьої сторони:
        o перешкоди для третіх сторін, які ведуть справи з організацією;
        o різні види збитків;
        
        • порушення законів / приписів:
        o нездатність виконання правових зобов'язань;
        
        • порушення договору:
        o нездатність виконання договірних зобов'язань;
        
        • небезпека для персоналу / безпеку користувачів:
        o небезпеку для персоналу та / або користувачів організації;
        o вторгнення в приватне життя користувачів;
        o фінансові втрати;
        
        • фінансові втрати, пов'язані з непередбаченими випадками або ремонтом:
        o що стосуються персоналу;
        o що стосуються обладнання;
        o що стосуються досліджень, звітів експертів;
        
        • втрата товарів / грошових коштів / активів;
        
        • втрата клієнтів, втрата постачальників;
        
        • судові справи і штрафи;
        
        • втрата конкурентної переваги;
        
        • втрата технологічного / технічного лідерства;
        
        • втрата ефективності / надійності;
        
        • втрата технічної репутації;
        
        • зниження здатності до укладення угод;
        
        • промислова криза (страйки);
        
        • урядова криза;
        
        • звільнення;
        
        • матеріальні збитки.
      - Шкала
        Після встановлення критеріїв для розгляду організація повинна узгодити шкалу, яка буде використовуватися в масштабах організації. Першим кроком є ухвалення рішення про кількість використовуваних рівнів. Не існує правил, які стосуються того, яке число рівнів є найбільш доречним. Велика кількість рівнів забезпечує більший рівень деталізації, але іноді занадто тонке розмежування ускладнює привласнення узгоджених оцінок в масштабі організації. Зазвичай може використовуватися будь-яке число рівнів від 3 (наприклад, низький, середній і високий) до 10 відповідно до підходів, які використовуються організацією для всього процесу оцінки ризику.
      - Залежності
        Чим більш значимі і численні бізнес-процеси підтримуються активом, тим більше цінність цього активу. Повинна бути також ідентифікована залежність активів від інших активів, оскільки це може впливати на цінність активів. Наприклад, конфіденційність даних повинна зберігатися протягом всього їх життєвого циклу, на всіх стадіях, включаючи зберігання і обробку, тобто потреби безпеки зберігання даних і програм обробки даних повинні бути безпосередньо пов'язані з цінністю, яка представляє конфіденційність даних, що зберігаються і оброблюються.
      - Результат
        Остаточним результатом цього кроку буде список активів і їх цінності по відношенню до розкриття (збереження конфіденційності), модифікації (збереження цілісності, автентичності, неспростовності і обліку), недоступності і руйнування (збереження доступності та надійності) і відновної вартості.
  - - - Прямий:
        
        a. фінансова відновна вартість втраченого активу (частини активу);
        
        b. вартість придбання, конфігурації і установки нового активу або повна резервна копія;
        
        c. вартість призупинених через інцидент операцій, поки послуга, яка надається активом (активами), очікує відновленння;
        
        d. вплив призводить до порушення інформаційної безпеки.
      - Непряме:
        
        a. витрати втрачених можливостей (фінансові ресурси, необхідні для заміни або відновлення активу, який використовувався б десь в іншому місці);
        
        b. вартість перерваних операцій;
        
        c. можливе зловживання інформацією, отриманою в результаті порушення безпеки;
        
        d. порушення встановлених законом або регулятивних зобов'язань;
        
        e. порушення етичних норм поведінки.
- - - - Вогонь
      - Пошкодження водою
      - Забруднення
      - Значний інцидент
      - Знищення обладнання або носіїв
      - Пил, корозія і обмерзання
    - - Кліматичні явища
      - Сейсмічне явище
      - Вулканічне явище
      - Метеорологічне явище
      - Повінь
    - - Відмова кондиціонування або системи водопостачання (A,D)
      - Втрата електроживлення (A,D,E)
      - Відмова телекомунікаційного обладнання (A,D)
    - - Електромагнітне випромінювання
      - Теплове випромінювання
      - Електромагнітний імпульс
    - - Перехоплення і відправка компрометувати сигналу (D)
      - Дистанційний шпигунство (D)
      - Підслуховування (D)
      - Крадіжка носіїв або документів (D)
      - Крадіжка обладнання (D)
      - Відновлення інформації на носіях, відправлених на переробку або бракованих (D)
      - Виявлення (розкриття) (D, A)
      - Дані з ненадійних джерел (D, A)
      - Втручання в апаратні засоби (D)
      - Втручання в програмні засоби (D)
    - - Несанкціоноване використання обладнання
      - Шахрайське копіювання програмного забезпечення
      - Використання контрафактного або скопійованого програмного забезпечення
      - Спотворення даних
      - Незаконна обробка даних
    - - Помилка у використанні
      - Зловживання правами
      - Фальсифікація прав
      - Заперечення дій
      - Порушення працездатності персоналу
  - - - Мотивація:
        
        Повстання
        
        Его (зарозумілість)
        
        Виклик (бунтарство)
        
        Статус
        
        Гроші
      - Можливі наслідки
        
        • Хакерство
        
        • Соціальна інженерія
        
        • Вторгнення в систему,
        
        • Несанкціонований доступ в систему
    - - Мотивація:
        
        Руйнування інформації
        
        Незаконне розкриття інформації
        
        Грошово-кредитна вигода
        
        Несанкціонована зміна даних
      - Можливі наслідки
        
        • комп'ютерне злочин наприклад, кібер-переслідування)
        
        • шахрайське дію наприклад, відтворення, наслідування, перехоплення)
        
        • інформаційний підкуп
        
        • імітація
        
        • вторгнення в систему
    - - Мотивація:
        
        Помста
        
        Розвідка
        
        Руйнування
        
        Шантаж
        
        Політичні вигоди
        
        Освітлення в пресі
      - Можливі наслідки
        
        • вибух / тероризм
        
        • інформаційна війна
        
        • системна атака (наприклад, розподілене відмову в обслуговуванні)
        
        • проникнення в систему
        
        • втручання в систему
    - - Мотивація:
        Конкурентна перевага
        Економічне шпигунство
      - Можливі наслідки
        
        • Економічна розвідка
        
        • Інформаційна крадіжка
        
        • Розкрадання персональних даних
        
        • Соціальна розробка замах на недоторканність особистого життя)
        
        • Проникнення в систему
        
        • Несанкціонований доступ в систему (доступ до секретної, приватної, і / або пов'язаної з технологією інформації)
    - - Мотивація:
        
        Розвідка
        
        Его
        
        Цікавість
        
        Грошова вигода
        
        Помста
        
        Ненавмисні помилки та упущення (наприклад, помилка введення даних, помилка програмування)
      - Можливі наслідки
        
        • Напад на службовця
        
        • Шантаж
        
        • Перегляд секрету фірми
        
        • Неправильне використання комп'ютера
        
        • Шахрайство і розкрадання
        
        • Інформаційний підкуп
        
        • Введення фальсифікованих даних, руйнування (спотворення) даних
        
        • Перехоплення
        
        • Шкідливий код (наприклад, вірус, логічна бомба, троянський кінь)
        
        • Продаж персональної інформації
        
        • Системні помилки
        
        • Вторгнення в систему
        
        • Системний саботаж
        
        • Несанкціонований доступ в систему
- - - - Недостатнє обслуговування / дефектна інсталяція з носіїв даних
      - Вади схем для періодичних замін
      - Сприйнятливість до вологості, пилу, забруднення
      - Чутливість до електромагнітної радіації
      - Вади ефективного контролю внесення змін конфігурації
      - Сприйнятливість до змін напруги
      - Сприйнятливість до температурних змін
      - Незахищене зберігання
    - - Відсутність або недостатня програмне тестування
      - Відомі недоліки програмному забезпеченні
      - Відсутній 'вихід з системи' при залишенні робочої станції
      - Передача або багаторазове використання носіїв даних без належного стирання
      - Мале число ревізій
      - Неправильний розподіл прав доступу
      - Широко поширене програмне забезпечення
      - Застосування прикладних програм до фальшивих даними в термінах часу
      - Складний призначений для користувача інтерфейс
      - Вади в документуванні
      - Встановлено неправильний параметр
      - Некоректні дати
    - - Вади ідентифікуючих розпізнавальних механізмів для користувальницької аутентифікації
      - Незахищені таблиці паролів
      - Поганий менеджмент паролями
      - Запущені непотрібні служби
      - Недоработанное або нове програмне забезпечення
      - Неясні або неповні специфікації розробників
      - Вади ефективного контролю внесення змін
      - Неконтрольована завантаження використання програмного забезпечення
      - Вади в процедурі резервного копіювання
      - Вади фізичного захисту будівлі, дверей і вікон
      - Відмова менеджменту від перевірки звітів
      - Брак докази посилки або одержання повідомлення
      - Незахищені лінії зв'язку
      - Незахищений чутливий трафік
      - Погана спільна проводка
      - Єдина точка відмови
      - Вади ідентифікації аутентифікація відправника / одержувача
      - Небезпечна мережева архітектура
      - Передача паролів у відкритому вигляді
      - Неадекватний менеджмент мережею (здатність системи протистояти помилок маршрутизації)
    - - Відсутність персоналу
      - Неадекватні процедури вербування
      - Недостатнє навчання безпеки
      - Неправильне використання програмного забезпечення і устаткування
      - Вади розуміння безпеки
      - Брак механізмів моніторингу
    - - Неадекватне і недбале використання фізичного контролю доступу до будівлі та приміщень
      - Місцезнаходження в області, сприйнятливою до затоплення Повінь
      - Брак фізичного захисту будівлі, дверей і вікон
      - Вади формальної процедури для користувальницької реєстрації і де-реєстрації
      - Вади формального процесу для перегляду права доступу (диспетчерський менеджмент)
      - Дефіцит або недостатні умови (щодо безпеки) в контрактах з клієнтами і / або третіми особами
      - Вади в процедурі для контролю над засобами обробки інформації
      - Вади регулярних ревізій (диспетчерський менеджмент)
      - Брак процедур виявлення ризику і оцінки
      - Недостатність інформації в записах звітів про несправності журналах адміністратора і користувача
      - Неадекватна відповідь обслуговуючого сервісу
      - Вади або недостатнє угоду сервісного обслуговування
      - Вади процедури контролю внесення змін
      - Вади формальної процедури для менеджменту документацією СМІБ
      - Вади формальних процедур записів для СМІБ, які робить диспетчерський менеджмент
      - Вади формального дозволу для процесу загального доступу інформації
      - Вади належного розподілу обов'язків інформаційної безпеки
      - Вади планів безперервності
      - Вади політики використання поштової
      - Брак процедур для того, щоб ввести програмне забезпечення в експлуатовані системи
      - Брак звітів в файлахрегістраціі адміністратора оператора
      - Брак процедур обробки секретних даних
      - Вади обов'язків інформаційної безпеки в описах завдань
      - Вади або недостатні умови (щодо інформаційної безпеки) в контрактах зі службовцями
      - Брак певного дисциплінарного процесу випадку інформаційного інциденту безпеки
      - Брак формальної політики з використання мобільного комп'ютерної техніки
      - Брак менеджменту активами дистанційного резервування
      - Брак або недостатня політика «чистого стола чистого екрану»
      - Брак санкцій на засоби обробки інформації
      - Брак встановлених контрольних механізмів разі порушень правил безпеки
      - Брак регулярних переглядів контролів
      - Брак процедур для того, щоб повідомити про уразливість безпеки
      - Брак процедур узгодження умов з інтелектуальною власністю
  - - - • автоматизовані інструментальні засоби пошуку вразливостей;
      - • тестування та оцінювання безпеки;
      - • тестування на проникнення;
      - • перевірка кодів.
- - - - • Високорівнева оцінка ризику може мати справу з більш глобальним розглядом організації та її інформаційних систем, коли технологічні аспекти розглядаються як незалежні від питань, пов'язаних з бізнесом. В результаті цього аналіз контексту більше зосереджується на бізнес і експлуатаційної середовищі, ніж на технологічних компонентах;
      - • при використанні високорівневою оцінки ризику може розглядатися більш обмежений перелік загроз і вразливостей, розподілених по певних сфер, або для прискорення процесу вона може зосереджуватися на сценаріях ризику або нападів замість їх елементів;
      - • ризики, представлені в високорівневою оцінці ризику, часто є більш загальними сферами ризику, ніж конкретно були ідентифіковані ризиками. Коли сценарії або загрози розподіляються за сферами, обробка ризику пропонує списки засобів контролю для кожної сфери. Заходи, пов'язані з обробкою ризику, потім намагаються, перш за все, запропонувати і вибрати загальні засоби контролю, які є дієвими у всій системі;
      - • однак через те, що при використанні високорівневою оцінки ризику рідко розглядаються технологічні деталі, вона більш доречна для забезпечення організаційних і нетехнічних засобів контролю, а також загальних аспектів менеджменту технічних засобів контролю або основних і поширених технічних захисних заходів, таких як резервне копіювання та антивірусні програми.
    - - 1 включення початкового простого підходу, ймовірно, повинно отримати схвалення програми оцінки ризику;
      - 2 повинна з'явитися можливість побудови стратегічної картини програми забезпечення безпеки організації, тобто вона буде діяти як хороша допомога в плануванні;
      - 3 ресурси і засоби можуть бути застосовані там, де вони найбільш корисні, і системи, ймовірно, найбільше потребують захисту, будуть розглянуті першими.
    - - • бізнес-цілі, які повинні бути досягнуті за допомогою використання різних інформаційних активів;
      - • ступінь залежності бізнесу організації від кожного інформаційного активу, тобто, чи є функції, які організація вважає критичними для свого виживання або ефективного ведення бізнесу, залежними від кожного активу або від конфіденційності, цілісності, доступності, неспростовності, вченості, автентичності та надійності інформації, що зберігається і оброблюваної в даному активі;
      - • рівень інвестицій в кожен інформаційний актив, з точки зору розробки, підтримки або заміни активу;
      - • інформаційні активи, якими організація безпосередньо привласнює цінність.
  - - - • привабливість активу або можливий вплив - може бути застосовано при розгляді умисної загрози з боку персоналу;
      - • простота перетворення, що використовує уразливість, активу в винагороду - може бути застосовано при розгляді умисної загрози з боку персоналу;
      - • технічні можливості чинного фактора загрози - може бути застосовано при розгляді умисної загрози з боку персоналу;
      - • чутливість уразливості до використання - можна застосувати до технічним і нетехнічних вразливостей.
    - - • особиста безпека;
      - • особиста інформація;
      - • юридичні та регулятивні зобов'язання;
      - • правозастосування;
      - • комерційні та економічні інтереси;
      - • фінансові втрати / порушення діяльності;
      - • громадський порядок;
      - • політика і операції бізнесу;
      - • втрата "невловимого капіталу";
      - • договір або угоду з клієнтом.