Iso IEC 27001 Плюсы и минусы

Цель: Поддерживать безопасность программного обеспечения прикладных систем и информации.

Необходимо контролировать внесение изменений, используя формальные процедуры контроля изменений.

После внесения изменений в операционные системы необходимо пересмотреть и протестировать критичные для бизнеса приложения, чтобы убедиться, что не было оказано неблагоприятного воздействия на деятельность или безопасность организации.

Изменения пакетов программного обеспечения нужно избегать, ограничиться самыми необходимыми изменениями, а также все изменения должны строго контролироваться.

Необходимо предотвратить  возможности для утечки информации.

Организация должна заведовать и следить за аутсорцинговой разработкой программного обеспечения.

Цель: Снизить риски, возникающие в результате использования опубликованных технических уязвимостей.

Необходимо получать своевременную информацию о технических уязвимостях используемых информационных систем, оценить подверженность организации воздействию данных угроз, а также принять соответствующие меры по сокращению связанных с ними рисков.

Цель: Обеспечить своевременное оповещение о событиях и уязвимостях информационной безопасности для принятия соответствующих корректирующих мер.

Необходимо максимально быстро по соответствующим каналам передавать руководству информацию о событиях в информационной безопасности.

Необходимо требовать от всех штатных сотрудников, подрядных и сторонних организаций, работающих с информационными системами и службами, отслеживания и уведомления о наблюдаемой или подозрительной неустойчивости безопасности в информационных системах, службах.

Цель: Обеспечить использование непротиворечивой и эффективной методики менеджмента инцидентов информационной безопасности.

Должны быть определены обязанности и механизмы работы руководства, чтобы обеспечить быструю, эффективную и спокойную реакцию на инциденты информационной безопасности.

Должны быть предусмотрены механизмы оценки и мониторинга типов, масштабов и ущерба от инцидентов информационной безопасности.

В случаях, когда наказание индивида либо организации за случившийся инцидент безопасности требует правового вмешательства (либо привлечения к административной или уголовной ответственности), необходимо произвести сбор улик, сохранение их и представление их в соответствии с правилами сбора доказательств, установленными в соответствующих органах правосудия.

Цель: Нейтрализовать заминки при осуществлении бизнес-операций, защитить критичные бизнес-процессы от последствий крупных повреждений или аварий в информационных системах, обеспечить их своевременное восстановление.

Необходимо начать и поддерживать управляемый процесс обеспечения непрерывности бизнеса во всей организации, удовлетворяющий требованиям информационной безопасности, необходимым для обеспечения бесперебойной работы организации.

Необходимо выявлять события, способные вызвать заминки в деловой деятельности организации, вероятность и ущерб таких промедлений, и их влияние на информационную безопасность.

Необходимо разрабатывать и обеспечивать выполнение планов поддержки и восстановления операций, обеспечивать требуемый уровень доступности информации после перебоев в работе или повреждений, критичных для осуществления деловых операций.

Должна поддерживаться единая схема планирования непрерывности бизнеса, способная обеспечить непротиворечивость планов, последовательную обработку требований информационной безопасности, правильного определения первостепенных задач тестирования и поддержки.

Необходимо регулярно тестировать и обновлять планы непрерывности бизнеса, чтобы быть уверенными в их актуальности и эффективности.

Objective: Избежать нарушения каких-либо законов, предписаний, регулятивных или договорных обязательств, а также каких-либо требований безопасности.

Все соответствующие предписания, регулятивные и договорные требования и подход организации к удовлетворению этих требований должны быть подробно определены, документированы и поддерживаться актуальными для каждой информационной системы и организации.

Необходимо выполнять соответствующие процедуры, гарантирующие соответствие законодательству, регулятивным и договорным требованиям при использовании материалов, на которые могут иметься права интеллектуальной собственности, а также  при использовании запатентованного программного обеспечения.

Важные документы должны быть защищены от утери, уничтожения и фальсификации, в соответствии с предписаниями, регулятивными, договорными, и бизнес-требованиями.

Защита данных и конфиденциальность должны обеспечиваться в соответствии с требованиями соответствующего законодательства, инструкций, а также договорных статей.

Пользователи должны быть отстранены от использования средств обработки информации не по назначению.

Средства криптографии должны использоваться в соответствии со всеми соответствующими соглашениями, законами и  инструкциями.

Цель: Обеспечить соответствие систем политике безопасности организации и стандартам.

Для достижения соответствия политике безопасности и стандартам руководство должно  гарантировать, что все процедуры безопасности  на участке, за который оно ответственно, выполняются правильно.

Необходимо регулярно проверять информационные системы на соответствие стандартам по внедрению безопасности.

Цель: Максимизировать эффективность и минимизировать взаимное влияние между процессом аудита и информационными системами.

Требования и аудиторская деятельность, включающая  проверку операционных систем, должны быть тщательно спланированы и согласованы, чтобы минимизировать риск  нарушения бизнес-процессов.

Доступ к инструментам аудита информационных систем должен быть защищен во избежание любого злоупотребления или компрометации.

Участники должны быть ознакомлены с нуждами безопасности информационных систем и сетей и знать, что они могут сделать для повышения безопасности.

Все участники ответственны за безопасность информационных систем и сетей.

Участники должны действовать своевременно и сообща, чтобы предотвращать, выявлять и реагировать на инциденты в безопасности.

Участники должны проводить оценку рисков.

Участники должны рассматривать безопасность как весьма важный элемент информационных систем и сетей.

Участники должны использовать всеобъемлющую концепцию менеджмента безопасности.

Участники должны пересматривать и проводить переоценку безопасности информационных систем и сетей, и в соответствии с этим модифицировать политики безопасности, технологии, методы оценок и процедуры.