Розподіл обов’язків
Обов’язки стосовно інформаційної безпеки організації, повинні бути чітко задокументовані та розподілені відповідно до корпоративної політики інформаційної безпеки та політики безпеки інформаційної системи.
Організація інформаційної безпеки
Всі ділові процеси, що можуть підтримати інформаційну безпеку (наприклад, закупки, співробітництво з іншими організаціями) повинні бути організовані так, щоб надійно забезпечити цю підтримку.
Визначення і оцінка цінностей
Мають бути визначені всі цінності в організації та в IT системі і оцінене їх значення для ведення бізнесу.
Затвердження інформаційних систем
Затвердження інформаційних систем повинне відбуватися відповідно до політики інформаційної безпеки. Процес затвердження має метою виявити, чи реалізовані засоби безпеки дійсно забезпечують відповідний рівень захисту. Треба брати до уваги, що інформаційна система може охоплювати мережі та основні засоби зв’язку.
.1.2 Перевіряння узгодженості безпеки
Важливо, щоб підтримувалась узгодженість зі всіма необхідними засобами захисту, важливими законами, правилами та нормами, оскільки будь-який засіб захисту, правило чи політика можуть працювати до тих пір, поки користувачі їх застосовують, а системи узгоджуються з ними. Засоби захисту в цій сфері наведено нижче.
Узгодженість з політикой інформаційної безпеки та засобами захисту
Треба проводити регулярні перевіряння для гарантування того, що всі засоби захисту, впроваджені на місці, як зазначено в корпоративній політиці безпеки та інших важливих документах, наприклад документах чинних процедур безпеки та надзвичайних планах, реалізовані коректно і використовуються коректно та ефективно (кінцевими користувачами також), і за необхідності, проведено тестування.
Узгодженість з правовими та регуляторними вимогами
Перевіряння узгодженості, згадані вище, повинні підтвердити, що виконуються всі правові та регуляторні вимоги, чинні в країні, чи країнах, де задіяна інформаційна система. Там, де це законодавство чинне, воно охоплює і законодавство відносно захисту та недоторканності даних, копіювання програмного забезпечення, захисту записів, що ведуться в організації, зловмисного використання інформаційних систем чи криптографії.
.1.3 Реагування на порушення
Кожен в організації має бути обізнаним з необхідністю звітувати про порушення безпеки, в тому числі і збої програмного забезпечення та виявлену недосконалість так швидко, як це можливо. Організація повинна забезпечити схему звітування, яка зробить це можливим. Реагування на порушення містить:
Звітування про порушення безпеки.
Кожен працівник повинен усвідомлювати, що він зобов’язаний звітувати про порушення безпеки. Інструментальні засоби також можуть визначати порушення та звітувати про них. Для полегшення ефективного реагування на порушення, організація повинна впровадити схему звітування та точки контакту в організації.
Звітування про недосконалість безпеки.
Якщо користувачі помічають будь-яку недосконалість системи, що стосується безпеки, вони повинні повідомити про неї відповідальній особі так швидко, наскільки це можливо.
Звітування про збої програмного забезпечення.
Якщо користувачі помічають будь-які збої програмного забезпечення, що стосуються безпеки, вони повинні звітувати про них відповідальній особі так швидко, наскільки це можливо.
Керування інцидентами.
Має бути процес керування, що забезпечує захист від інцидентів, їх виявлення та звітування, та відповідне реагування на інцидент. Інформація про порушення повинна збиратися і оцінюватись щоб унеможливити інциденти в майбутньому та зменшити збитки від них.
.1.4 Персонал
Засоби захисту в цій категорії повинні зменшувати ризики безпеки, що виникають від помилок або зловмисного чи незловмисного порушення правил безпеки персоналом (який працює постійно чи тимчасово). Засоби захисту в цій сфері наведено нижче.
Засоби захисту для постійного та тимчасового штату.
Всі працівники мають знати про свої обов’язки стосовно безпеки. Усі процедури стосовно безпеки, яких слід дотримуватись персоналу, мають бути сформульовані у документі. Працівників треба перевіряти перед влаштуванням на роботу, та, за потреби, підписувати договір про нерозголо- шення інформації.
Засоби захисту для договірного персоналу
Договірний персонал (наприклад прибиральники чи обслуговувальний персонал) треба контролювати так само, як інших відвідувачів. Договірний, звичайно довгостроковий, персонал повинен підписувати договір про нерозголошення перед тим, як отримає доступ (фізичний чи логічний) до комп’ютерного обладнання організації.
Обізнаність у питаннях безпеки та навчання
Для підтримання поінформованості весь персонал, що використовує, розробляє, підтримує чи має доступ до комп’ютерного обладнання, повинен отримувати регулярні інструкції та інші матеріали. Це має забезпечити персоналу розуміння важливості для бізнесу оброблюваної інформації, пов’язаних з нею загроз, ризиків тощо, і, отже, розуміння того, для чого потрібні засоби захисту. Користувачі також мають бути навчені використовувати комп'ютерне обладнання коректно, щоб унеможливити помилки. Для вибраного персоналу, наприклад, керівників інформаційної безпеки, адміністраторів безпеки, можливо необхідно більш специфічне навчання безпеці.
Дисциплінарний процес.
Всі працівники повинні знати про наслідки (зловмисних чи незловмисних) порушень політики безпеки організації в цілому та політик безпеки окремих інформаційних систем, або будь-яких інших задокументованих домовленостей, пов’язаних з безпекою.
.1.5 Питання експлуатації
Засоби захисту в цій сфері охоплюють процедури підтримування безпечного, правильного та надійного функціонування комп’ютерного обладнання та пов’язаних з ним систем. Більшість цих засобів захисту може бути реалізована шляхом запровадження організаційних процедур. Експлуатаційні засоби захисту треба запроваджувати в поєднанні з іншими, наприклад, фізичними та технічними засобами. Засоби захисту в сфері питань експлуатації наведено нижче.
Керування конфігурацією та змінами
Керування конфігурацією — це процес відстежування змін інформаційних систем. Основна його мета щодо безпеки — переконатися, що ці зміни в IT системах не зменшують ефективність засобів захисту та безпеки в цілому. Керування змінами може сприяти визначенню нових включень засобів захисту безпеки, коли трапляються зміни в IT системах.
Керування навантаженнями
Керування навантаженнями треба використовувати, щоб уникнути збоїв через неадекватні потужності. Коли оцінюються необхідні навантаження для інформаційної системи, треба брати до уваги майбутні навантаження та поточні тенденції.
Документація
Всі аспекти конфігурацій та діяльності IT систем повинні документуватися для забезпечення неперервності та стабільності. Безпеку інформаційної системи також треба документувати в частині політики безпеки інформаційної системи, в документах чинних процедур безпеки, та звітах і планах, що стосуються стратегії забезпечення неперервності бізнесу. Документація має бути актуалізованою та доступною.
Обслуговування
Комп'ютерне обладнання потрібно правильно обслуговувати для забезпечення постійної надійності, доступності та цілісності. Всі вимоги безпеки, що мають задовольнятись постачальниками обслуговування, повинні бути повністю задокументовані в договорах на обслуговування. Обслуговування треба виконувати відповідно до договору з постачальником та тільки уповноваженим персоналом.
Відстежування змін, що стосуються безпеки.
Зміни впливів, загроз, вразливостей та ризиків, а також їхніх характеристик треба відстежу- вати. Відстежування має охоплювати як нові, так і старі аспекти. Навколишнє середовище, в якому розташована система, також треба відстежувати.
Результати аудиту та ведення журналів.
Можливості аудиту та ведення журналів серверів (наприклад, записування результатів аудиту та засоби аналізування), мереж (наприклад, засоби аудиту брандмауерів та маршрутизаторів) і програмного забезпечення (наприклад, засоби аудиту програм обміну повідомленнями чи програм оброблення транзакцій) треба використовувати для запису деталей подій, що стосуються безпеки. Вони охоплюють деталі подій, визнаних неповноваженими чи помилковими, а також деталі звичайних подій, що мають бути проаналізовані пізніше. Результати аудиту та журнали треба регулярно переглядати для виявлення неповноважних дій, що дозволить приймати відповідні корегувальні заходи. Події, записані в журналах, треба аналізувати також з метою виявлення повторення схожих подій, що можуть вказувати наявність вразливостей чи загроз, засоби захисту від яких є неадекватними. Такий аналіз може також виявити закономірності в непов’язаних, на перший погляд, подіях, що може дозволити ідентифікувати людей, що виконують неповноважні дії, чи кореневу причину проблеми з безпекою.
Примітка. В цьому тексті «можливості аудиту» систем та програмного забезпечення, а також «можливості ведення журналів» використовують для позначення одного й того ж. Доки такі можливості можна використовувати для підтримування аудиту фінансової цілісності, вони задовольняють тільки частині вимог для такої діяльності, і читач повинен усвідомлювати використання цієї термінології.
Тестування безпеки
Тестування безпеки треба використовувати, щоб все комп’ютерне обладнання та всі пов’язані програмні компоненти працювали безпечно. Тестування безпеки здійснюють, щоб перевірити на відповідність вимогам безпеки, визначеним у політиці безпеки інформаційної системи та планах проведення тестування, а також має бути встановлено критерій прийняття для демонстрування того, що необхідний рівень безпеки досягнуто.
Контроль носіїв інформації.
Контроль носіїв інформації охоплює низку засобів захисту для забезпечення фізичного захисту та захисту, що стосується навколишнього середовища, і також обліку стрічок, дисків, роздру- ківок та інших носіїв інформації. Вони містять марковання, ведення журналів, перевіряння цілісності, захист від фізичного доступу, від навколишнього середовища, передавання та безпечне знищення.
Гарантоване вилучення інформації
Конфіденційність інформації, попередньо записаної на запам’ятовувальний пристрій, має бути збереженою, якщо ця інформація більше не потрібна. Треба забезпечити, щоб файли, які містять конфіденційні матеріали, були стерті та фізично перезаписані, або ж знищені іншим способом — активація функцій вилучення не завжди це робить. Засоби, схвалені відповідальним персоналом (наприклад, керівником інформаційної безпеки) мають бути доступні всім користувачам для повного та безпечного вилучення даних.
Розподіл обов’язків
Для мінімізації ризиків та можливостей зловживання правами треба запроваджувати розподіл обов’язків там, де це потрібно та можливо. Зокрема, обов’язки та функції, що в поєднанні можуть призвести до обминання засобів захисту чи аудиту, або надмірних привілеїв для працівника, потрібно тримати роздільно.
Правильне використання програмного забезпечення
Щоб матеріал не копіювався, треба забезпечити захист авторського права, через виконання ліцензійної угоди для використовування комерційного програмного забезпечення.
Контроль змін програмного забезпечення
Контроль змін може бути запроваджений для підтримування цілісності програмного забезпечення, коли вносять зміни (контроль змін програмного забезпечення застосовується тільки до програм, оскільки керування конфігурацією та змінами розглянуто в позиції переліку 1 цього пункту, застосовується до інформаційних систем та їх оточення як цілого). Треба встановити процедури контролю змін до програмного забезпечення, що керують всіма змінами та гарантують, що безпека підтримується протягом всього процесу. Вони охоплюють авторизацію змін, розгляд безпеки проміжних рішень та перевіряння безпеки остаточного рішення.
1.6 Планування неперервності бізнесу
Для захисту бізнесу, особливо критичних ділових процесів, від наслідків великих збоїв чи катастроф та для мінімізації пошкоджень, спричинених такими подіями, має існувати чинник ефективної неперервності бізнесу, охоплюючи планування непередбачуваних обставин/відновлення після катастроф, стратегію і план(и). Він містить такі засоби захисту.Стратегія неперервності бізнесу
Стратегія неперервності бізнесу, охоплюючи планування непередбачуваних обставин/відновлення після катастроф, повинна бути сформульована та задокументована відповідно до інформаційної системи, що розглядається, на основі визначених потенційних ударів спричинених недоступністю, модифікаціями та знищенням, нанесених недружнім бізнесом.
План неперервності бізнесу
На основі стратегії неперервності бізнесу, треба розробити та задокументувати план(и) неперервності бізнесу, охоплюючи плани непередбачуваних обставин та відновлення після катастроф.
Тестування та оновлення плану неперервності бізнесу
