Iso IEC 27001 Плюсы и минусы

Проверка личных данных всех кандидатов на работу в штате, по договору подряда либо в качестве сторонней организации должна проводиться в соответствии с соответствующими законами, положениями и нормами этики, пропорционально бизнес-требованиям, уровню доступа и осознаваемым рискам.

Неотъемлемая часть договорного обязательства – принятие условий приёма на работу, и подписание трудового контракта, устанавливающего обязанности сотрудников, работающих в штате, по договору подряда либо в сторонних организациях, а также самой организации по обеспечению информационной  безопасности.

Цель: Обеспечить осведомлённость всех штатных сотрудников, подрядных и сторонних организаций об угрозах и уязвимостях безопасности информации, их обязанностях и обязательствах; достаточность знаний для поддержки безопасности и сокращения риска ошибки человека.

Руководство должно требовать от штатных сотрудников, подрядных и сторонних организаций осуществления функций защиты в соответствии с политиками и положениями, определёнными в организации.

Все штатные сотрудники организации, а в некоторых случаях и подрядные и сторонние организации должны постоянно повышать свою квалификацию, укреплять знания, иметь возможность своевременно ознакомиться с изменениями в политиках, методах, имеющих непосредственное отношение к их работе.

Необходимо предусмотреть строгую дисциплинарную процедуру за нарушение сотрудником безопасности.

Цель: Обеспечить соблюдение определённого порядка при увольнении и переводе на другую должность штатных сотрудников, подрядных и сторонних организаций.

Должны быть чётко прописаны обязанности сотрудников при окончании срока работы либо при переводе на другую должность.

После окончания срока  действия трудового контракта либо соглашения все штатные сотрудники организации, подрядные и сторонние организации обязаны вернуть все активы организации, находившиеся в их распоряжении.

После окончания срока  действия трудового контракта или  соглашения права доступа всех штатных сотрудников, подрядных и сторонних организаций к информации и средствам обработки информации должны быть ликвидированы либо настроены в соответствии с новой должностью.

Цель: Предотвратить несанкционированный физический доступ, повреждение и проникновение в помещение организации, вмешательство в работу с информацией.

Для защиты участков хранения информации и средств её обработки необходимо использовать периметры безопасности (барьеры, такие как стены, таблетки, вахта).

Для защиты зон безопасности необходимо контролировать доступ в помещение, обеспечив свободный вход лишь уполномоченным сотрудникам.

Необходимо разработать и применить план физической защиты офисов, кабинетов, оборудования.

Необходимо разработать и применить план физической защиты от пожара, потопа, землетрясения, взрыва, беспорядков среди граждан и других форм природных и искусственных катастроф.

Необходимо разработать и применить план и принципы физической защиты при работе в зонах безопасности.

В точках доступа, таких как зона доставки и погрузки и других, куда могут проникнуть посторонние лица, необходимо контролировать помещение, а по возможности и очистить его от средств обработки информации, чтобы предотвратить несанкционированный доступ.

Цель: Предотвратить потерю, повреждение, воровство или рассекречивание активов и задержки в работе организации.

Необходимо так размещать оборудование и организовывать его защиту, чтобы сократить последствия стихийных бедствий, а также предотвратить возможность несанкционированного доступа.

Оборудование необходимо защищать от сильных повреждений и поломок, обусловленных сбоями в работе коммунальных служб.

Важные данные, передаваемые по линиям связи или информационные службы поддержки, должны быть защищены от перехвата или повреждения.

Для обеспечения пригодности и целостности оборудования необходимо правильно его эксплуатировать.

Необходимо обеспечить защиту выносного оборудования с учётом различных рисков его эксплуатации вне помещения организации.

Необходимо проверять все комплектующие оборудования, содержащие средства хранения информации, чтобы убедиться в том, что засекреченные данные и лицензионное программное обеспечение были удалены либо безопасным образом переписаны до ликвидации/передачи оборудования.

Оборудование, информация или ПО не должно уничтожаться без разрешения руководства.

Цель: Обеспечить корректное и безопасное использование средств обработки информации.

Техника эксплуатация должна быть документально оформлена, храниться и быть доступна всем нуждающимся в ней пользователям.

Необходимо контролировать модификации в средствах обработки информации и системах.

Должны быть разделены  обязанности и сферы ответственности, чтобы сократить вероятность  несанкционированной или непреднамеренной модификации или некорректного использования активов организации.

Необходимо разделять разрабатываемые, тестируемые и рабочие средства, чтобы сократить риски несанкционированного доступа или модификации в рабочей системе.

Цель: Установить и поддерживать соответствующий уровень информационной безопасности и поставки услуг при заключении договоров об оказании услуг поставки с третьими лицами.

Необходимо обеспечить достижение, осуществление и поддержку третьими лицами включённых в договор об оказании услуг уровней безопасности средств управления, описания задания и поставки.

Работы, отчёты и записи, выполняемые третьими лицами должны постоянно контролироваться и проверяться, необходимо регулярно проводить аудиты.

Изменениями в условиях работы, включая поддержку и совершенствование существующих политик информационной безопасности, методах и средствах управления, необходимо управлять с учётом критичности вовлечённых в работу бизнес- систем и процессов, а также оценок рисков.

Цель: Минимизировать риск отказа систем.

Необходимо контролировать и регулировать использование ресурсов, оценивать требования будущих способностей, чтобы обеспечить требуемые  характеристики системы.

Должны быть установлены критерии приёмки новых информационных систем, обновлённых и новых версий, произведены необходимые испытания системы во время её разработки и до прёмки.

Цель: Защитить целостность ПО и информации.

Необходимо внедрить средства обнаружения, предотвращения и восстановления, чтобы обезопасить код от умышленных ошибок и знания пользователем соответствующих процедур.

В случае разрешения использования простого кода необходимо убедиться в том, что разрешённый простой код выполняется в соответствии с чётко определённой политикой безопасности, в противном случае необходимо предотвратить выполнение простого кода.

Цель: Поддерживать целостность и доступность информации и средств обработки информации.

В соответствии с политикой  резервного копирования необходимо регулярно делать и тестировать резервные копии информации и ПО.

Цель: Обеспечить защиту информации в сетях и защиту поддерживающей инфраструктуры.

Необходимо соответствующим образом контролировать и управлять работой сети, чтобы обеспечить защиту от угроз, и поддержать безопасность систем и приложений, использующих сеть, а также безопасность передающейся информации.

Необходимо определить особенности защиты, уровни безопасности и требования менеджмента для всех сетевых служб, а также включать их в любые договоры оказания услуг связи, независимо от того, обеспечена работа этих служб силами организации либо внешними источниками.

Цель: Предотвратить несанкционированное раскрытие, изменение, удаление или разрушение активов, предотвратить задержки в работе организации.

Необходимо предусмотреть  процедуры работы с данными на съёмных носителях.

Необходимо предусмотреть строгие процедуры  проведения безопасного уничтожения данных, когда отпадает в них необходимость.

Чтобы защитить информацию от несанкционированного раскрытия или некорректного использования необходимо предусмотреть процедуры работы с данными и их хранения.

Необходимо обезопасить  системную документацию от несанкционированного доступа.

Цель: Обеспечить безопасность информации и ПО при обмене ими в пределах организации или со сторонними организациями.

Необходимо предусмотреть политики, строгие процедуры и средства управления обменом информации, чтобы защитить данные при использовании различных средств связи.

Необходимо заключить договоры по обмену информацией и ПО между организацией и внешними организациями.

Необходимо защищать носители информации от несанкционированного доступа, некорректного использования или порчи во время перевозки вне стен организации.