Please enable JavaScript.
Coggle requires JavaScript to display documents.
Міжнародний стандарт ISO/IEC 27001 - Coggle Diagram
Міжнародний стандарт ISO/IEC 27001
Загальна характеристика стандарту
Призначення стандарту ISO/IEC 27001 установлює вимоги до створення, впровадження, підтримання та постійного вдосконалення системи управління інформаційною безпекою організації.
Сфера застосування Стандарт можуть застосовувати організації будь-якого розміру та виду діяльності. СУІБ будують з урахуванням їхніх потреб, процесів і ризиків.
Комплексний підхід Захист інформації охоплює людей, робочі процеси й технології. Технічні засоби доповнюються зрозумілими правилами та відповідальністю працівників.
Об’єкт сертифікації За ISO/IEC 27001 оцінюють відповідність СУІБ у визначеній сфері її застосування. Сертифікат не гарантує відсутності всіх можливих інцидентів.
Основні цілі інформаційної безпеки
Конфіденційність Інформацію отримують лише особи з відповідними правами. Навчальний приклад: студент бачить власні персональні дані, а дані всієї групи доступні лише уповноваженим працівникам.
Цілісність Інформацію захищають від неправомірного змінення або знищення. Навчальний приклад: змінювати оцінки в електронному журналі може лише викладач із відповідними повноваженнями.
Доступність Уповноважені користувачі мають доступ до інформації та сервісів тоді, коли це потрібно. Навчальний приклад: навчальна платформа доступна під час занять і подання робіт.
Пов’язані міжнародні стандарти
ISO/IEC 27000 — загальний огляд Пояснює основні поняття і принципи СУІБ та зв’язки між стандартами сімейства. Допомагає зрозуміти місце ISO/IEC 27001 серед інших документів.
ISO/IEC 27002 — заходи захисту Надає рекомендації щодо заходів інформаційної безпеки: керування доступом, криптографії, безпеки персоналу та реагування на інциденти.
ISO/IEC 27003 — рекомендації щодо СУІБ Містить пояснення та рекомендації щодо вимог до СУІБ. Редакція ISO/IEC 27003:2017 підготовлена для пояснення ISO/IEC 27001:2013.
ISO/IEC 27004 — оцінювання результатів Присвячений моніторингу, вимірюванню, аналізу й оцінюванню інформаційної безпеки та результативності СУІБ. Допомагає перевіряти роботу процесів і заходів.
ISO/IEC 27005 — управління ризиками Надає рекомендації з управління ризиками інформаційної безпеки. Допомагає виконувати пов’язані з ризиками вимоги ISO/IEC 27001 та обґрунтовувати рішення щодо захисту.
Історія та розвиток стандарту
2005 рік — перше видання Опубліковано перше видання ISO/IEC 27001. Воно встановило вимоги до документованої СУІБ та добору заходів відповідно до ризиків організації.
2013 рік — друге видання Редакція ISO/IEC 27001:2013 замінила видання 2005 року. Надалі вона також була переглянута й замінена новішою редакцією.
2022 рік — третє видання ISO/IEC 27001:2022 замінив редакцію 2013 року. Зміни узгодили документ зі структурою стандартів систем управління та ISO/IEC 27002:2022.
2024 рік — поправка Опубліковано ISO/IEC 27001:2022/Amd 1:2024 щодо врахування питань зміни клімату в контексті системи управління.
Основні вимоги ISO/IEC 27001
Розділ 4 — контекст організації Визначення умов роботи організації, потреб зацікавлених сторін та сфери застосування СУІБ.
Розділ 5 — лідерство Участь керівництва, затвердження політики інформаційної безпеки та розподіл повноважень і відповідальності.
Розділ 6 — планування Оцінювання й оброблення ризиків, установлення цілей інформаційної безпеки та планування їх досягнення.
Розділ 7 — підтримка Забезпечення ресурсів, компетентності й обізнаності персоналу, комунікації та керування документацією.
Розділ 8 — функціонування Виконання запланованих процесів, проведення оцінювання ризиків і реалізація плану їх оброблення.
Розділ 9 — оцінювання результативності Моніторинг і вимірювання результатів, внутрішні аудити та аналіз СУІБ з боку керівництва.
Розділ 10 — поліпшення Усунення невідповідностей і їхніх причин, виконання коригувальних дій та постійне вдосконалення СУІБ.
Управління ризиками інформаційної безпеки
Виявлення ризиків Визначають, що може загрожувати інформації та за яких умов. Ураховують джерела загроз, слабкі місця й наслідки порушення безпеки.
Аналіз та оцінювання Розглядають імовірність виникнення ризиків та можливі наслідки. Результати допомагають визначити, які ризики потребують першочергової уваги.
Оброблення ризиків Обирають спосіб реагування на ризики та відповідні заходи. Рішення враховують потреби організації й очікуваний результат захисту.
Моніторинг і перегляд Ризики переглядають зі зміною технологій, умов роботи та загроз. За потреби проводять повторне оцінювання і коригують заходи.
Навчальний приклад Ризик: викрадення облікового запису викладача. Наслідки: розголошення даних і зміна матеріалів. Заходи: багатофакторна автентифікація та навчання розпізнаванню фішингу.
Практичне застосування в навчальній установі — приклади
Організація роботи
Розподіл відповідальності Установа визначає, хто створює облікові записи, погоджує доступ до даних і приймає повідомлення про підозрілі події.
Внутрішні правила Установлюють порядок використання службової пошти, роботи з персональними даними та передавання навчальних документів.
Захист облікових записів і даних
Керування доступом Студент, викладач та адміністратор отримують різні права відповідно до своїх завдань. Після зміни ролі права доступу переглядають.
Збереження інформації Для важливих навчальних матеріалів створюють резервні копії. Можливість відновлення перевіряють, щоб копії були корисними в разі збою.
Навчання та перевірка
Підготовка користувачів Працівникам і студентам пояснюють ознаки фішингу, правила захисту паролів та порядок повідомлення про підозрілу активність.
Перевірка виконання правил Перевіряють, чи немає зайвих прав доступу, чи працює відновлення даних і чи знають користувачі, кому повідомляти про інцидент.
Значення та переваги застосування
Системність захисту Організація поєднує правила, відповідальність і технічні заходи в єдину систему та регулярно перевіряє її роботу.
Обґрунтований вибір заходів Оцінювання ризиків допомагає спрямовувати ресурси на найбільш важливі проблеми й визначати пріоритети захисту.
Спільний підхід Стандарти сімейства створюють спільну основу для розуміння інформаційної безпеки та вибору взаємопов’язаних документів.
Перехід до локальних правил — приклад Загальне завдання захистити доступ конкретизується у внутрішніх правилах: хто погоджує доступ, які права отримує користувач і коли їх потрібно скасувати.