Iso IEC 27001 Плюсы и минусы

Необходимо соответствующим  образом защищать передаваемую в  электронных сообщениях информацию.

Необходимо разработать  и привести в действие политики и  процедуры для обеспечения защиты информации, использующейся при взаимодействии информационных бизнес-систем.

Цель: Обеспечить безопасность электронных коммерческих служб и их безопасного использования.

Необходимо защищать связанную с электронной коммерцией информацию, проходящую через сеть общего пользования, от мошенничества, споров по контракту и несанкционированного раскрытия и модификации.

Необходимо защищать передающуюся в режиме онлайн информацию, чтобы предотвратить незавершённую передачу, неправильное направление, несанкционированное изменение сообщений, раскрытие, копирование или воспроизведение информации.

Необходимо защищать от несанкционированной модификации информацию, доступную для общего использования.

Цель: Обнаружить несанкционированные попытки обработки информации.

Необходимо вести и хранить до установленного срока контрольные журналы, регистрирующие действия пользователей, исключительные события и инциденты в информационной безопасности, помогающие в будущем при расследованиях и мониторинге доступа.

Необходимо разработать процедуры мониторинга использования средств обработки информации, регулярно просматривать результаты мониторинга действий.

Средства регистрации  и журналы регистрации должны быть защищены от несанкционированного доступа и использования.

Необходимо регистрировать все действия системного администратора и системных операторов.

Необходимо регистрировать и анализировать ошибки, предпринимать соответствующие меры.

По установленному источнику точного времени необходимо синхронизировать время всех систем обработки информации в пределах организации либо области безопасности.

Цель: Осуществлять управление доступом к информации.

Политика управления доступом должна  быть разработана, документирована, и должна пересматриваться исходя из бизнес-требований и требований безопасности для доступа.

Цель: Обеспечить доступ авторизованных пользователей и предотвратить неавторизованный доступ к информационным системам.

Должна иметь место формальная процедура регистрации и отмены регистрации пользователей для предоставления и отмены доступа ко всем информационным системам и сервисам.

Необходимо ограничивать и контролировать распределение и использование привилегий.

Необходимо предусмотреть  строгую процедуру управления назначением паролей.

Руководство должно регулярно пересматривать права доступа пользователей, следуя формальной процедуре.

Цель: Предотвратить доступ неавторизированных пользователей, а также компрометацию или хищение информации и средств обработки информации.

При выборе и использовании паролей пользователи обязаны следовать инструкциям по безопасности.

Пользователи должны обеспечить соответствующую защиту оборудованию, оставленному без присмотра.

Должна быть принята политика чистого рабочего места для бумаг и съемных носителей и политика чистого экрана для средств обработки информации.

Цель: Предотвратить неавторизованный доступ к сетевым сервисам.

Пользователям должен предоставляться доступ только к тем сервисам, которые им разрешено использовать.

Для управления доступом удаленных пользователей должны использоваться соответствующие методы аутентификации.

Автоматическая идентификация оборудования должна рассматриваться как средство аутентификации соединений из определенных мест и оборудования.

Необходимо управлять  физическим и логическим доступом к  диагностическим и конфигурационным портам.

Группы информационных сервисов, пользователей и информационные системы должны быть сегрегированны в сетях.

Для общих сетей, особенно тех, которые выходят за границы организации, должны быть ограничены возможности подсоединения пользователей к сети, наряду с политикой контроля доступа и требованиями бизнес-приложений (см. 11.1).

Необходимо внедрять средства управления маршрутизацией в сетях, чтобы обеспечить, что компьютерные соединения и информационные потоки не противоречат политике управления доступом бизнес-приложений.

Цель: Предотвратить неавторизованный доступ к операционным системам.

Управление доступом к операционным системам должно осуществляться с помощью процедуры защищенного входа в систему.

Все пользователи должны иметь уникальный идентификатор (ID пользователя) только для их личного пользования, а также должна быть выбрана подходящая техника аутентификации для подтверждения заявленной личности пользователя.

Системы управления паролями должны быть интерактивны и должны обеспечивать качество паролей.

Использование утилит, которые могут быть допущены к важнейшим средствам управления системой и приложениями, должно быть ограничено и  полностью контролироваться.

Неактивные сессии должны завершаться по прошествии определенного времени бездействия.

Необходимо использовать ограничения на время соединения для обеспечения дополнительной защиты для приложений с высоким уровнем риска.

Цель: Предотвратить неавторизованный доступ к информации, содержащейся в системах приложений.

Доступ пользователей и обслуживающего персонала к информации и функциям системы приложений должен быть ограничен shall be restricted в соответствии с определенной политикой управления доступом.

Чувствительные участки  систем должны иметь выделенную (изолированную) вычислительную среду.

Цель: Обеспечить защиту информации во время использования средств мобильной вычислительной техники и телефонии.

Необходимо предусмотреть  строгую политику безопасности, а также принять соответствующие мероприятия по безопасности для защиты от рисков, связанных с использованием средств мобильной вычислительной техники и коммуникации.

Должны быть разработаны и внедрены политика, операционные планы и процедуры для работы по телефону.

Цель: обеспечить, чтобы безопасность являлась важной составляющей частью информационных систем.

Положения бизнес-требований для новых информационных систем или усовершенствований существующих информационных систем должны устанавливать требования для средств управления безопасностью.

Цель: Предотвратить ошибки, потери, неавторизованное изменение или неправильное использование информации в приложениях.

Необходимо производить проверку достоверности входных данных приложений, чтобы гарантировать правильность и соответствие данных.

Проверки правильности должны быть  встроены в приложения для обнаружения какого-либо искажения информации из-за ошибок обработки или предумышленных действий.

Необходимо идентифицировать требования для  обеспечения достоверности и защиты целостности сообщений в приложениях, а также идентифицировать и внедрить соответствующие средства управления.

Необходимо производить проверку достоверности входных данных приложений, чтобы гарантировать, что обработка хранимой информации является правильной и соответствующей обстоятельствам.

Цель: Защитить конфиденциальность, подлинность или целостность информации с помощью криптографических средств.

Для защиты информации необходимо разработать и внедрить политику использования средств криптографии.

Необходимо наличие  управления ключами для поддержки  используемых в организации криптографических технологий.

Цель: Обеспечить защиту системных файлов.

Должны иметься процедуры для управления установкой программного обеспечения в операционных системах.

Тестовые данные должны быть выбраны тщательным образом, а также защищены и проверены.

Необходимо ограничить доступ к исходным кодам программ.