Страница 3: ДСТУ ISO/IEC 27001:2010. Інформаційні технології. Методи та засоби досягнення інформаційної безпеки. Системи керування інформаційною безпекою. Вимоги (62319)

5. провадити внутрішні аудити СУІБ у заплановані терміни (див. розділ 6);

Примітка. Внутрішні аудити, що інколи називають аудитами першої сторони, проводить сама органзіція (або зовнішня організація за дсрученням) для внутрішніх цілей.

6. регулярно провадити керівництвом організації аналіз СУІБ з боку керівництва, для підтвер­дження адекЕіатності її функціювання та визначення напрямків удосконалення (див. 7.1);

д) оновгювати плани інформаційної безпеки з урахуванням результатів аналізу та моніто­рингу;

h) реєструвати дії та події, здатні вчиняти негативний вплив на ефективність чи продук­тивність СУІЕ> (див. 4.3.3).

4.2.4 Підтримка та поліпшення СУІБ

Організація має регулярно виконувати таке:

1. впроваджувати визначені поліпшення в СУІБ;

2. здійснювати необхідні коригувальні та запобіжні дії згідно з 8.2, 8.3, застосовувати уроки, отримані з досвіду забезпечення інформаційної безпеки як у власній організації, так і в інших орга­нізаціях;

3. повідомляти інформацію щодо дій та вдосконалення СУІБ усім зацікавленим сторонам, при цьому ступінь її деталізації має відповідати обставинам та, за потреби, погоджувати подальші дії;

4. забезпечувати впровадження поліпшення СУІБ для досягнення запланованих цілей.

4.3 Вимоги до документації

Докумен гація має містити записи про рішення керівництва, які забезпечать контроль за ви­конанням ріаень керівництва і політики організації, а також відтворюваність задокументованих результатів.

Важливо мати зворотний зв’язок вибраних заходів управління з результатами процесів оці­нювання й обробки ризику, а також з політикою та цілями СУІБ.

Докумен гація СУІБ має містити:

1. документально оформлені положення політики та цілей СУІБ (див. 4.2.1b));

2. сфери функціювання СУІБ (див.4.2.1а));

3. процедури та заходи управління, що підтримують СУІБ;

4. опис методології оцінювання ризиків (див. 4.2.1с));

5. звіт про оцінку ризиків (див. 4.2.1с)—4.2.1g));

6. план оброблення ризиків (див. 4.2.2b));

7. задокументовані процедури, необхідні організації для забезпечення ефективного плану­вання, впровадження процесів у сфері інформаційної безпеки та управління цими процесами, а також опису шляхів оцінювання результативності заходів управління (див. 4.2.3с));

8. записи, які потребує цей стандарт (див. 4.3.3);

9. положення про застосовність

Примітка 1, Термін «задокументовані процедури» в цьому стандарті означає, що ця процедура є установленою, доку­ментально оформленою, впровадженою та підтримується на належному рівні.

Примітка 2 Обсяги документації СУІБ можуть бути різними для кожної конкретної організації залежно від:

• розміру с рганізації та видів її діяльності;

• сфери згістосування і складності вимог щодо безпеки та від керованої системи.

Примітка 3 Документи та записи можуть існувати в будь-якій формі та на будь-якому носії.

4.3.2 Управління документами

Для розроблення, актуалізації, використання, зберігання та знищення документів СУІБ, а також їх захисту в організації має існувати задокументована процедура, що визначає дії керів­ництва щодо

1. ухвалення документів СУІБ перед їх виданням;

2. переглядання та оновлення, за потреби, документів, а також повторного їх ухвалення;

3. забезпечення ідентифікації внесенних змін та поточного статусу документів;

4. забезпечення наявності відповідних версій документів, застосовуваних у місцях їх вико­ристання;

5. визначення порядку перегляду документів та їхньої ідентифікації;

6. забезпечення доступу до документів авторизованим особам, а також передавання, збері­гання та знищення відповідно до процедур, які застосовують до ступеня їхньої конфіденційності;

д) забезпечення ідентифікації документів зовнішнього походження;

8. забезпечення контролювання за розповсюдженням документів;

9. запобігання ненавмисному використанню застарілих документів;

10. використання відповідної ідентифікації застарілих документів у разі їх подальшого зберігання для деяких цілей.

4.3.3 Управління записами

Для надання свідоцтв відповідності вимогам та ефективності функціювання СУІБ необхідно вести і підтримувати в робочому стані записи. Записи необхідно контролювати і захищати. СУІБ повинна брати до уваги всі нормативно-правові вимоги та договірні зобов’язання, що мають відношення до інформаційної безпеки. Записи мають залишатися чіткими, легко ідентифікованими та відновлюваними. Контролювання, потрібне для ідентифікації, зберігання, захисту, відновлення, термін зберігання та знищення записів має бути задокументовано та впроваджено.

Крім того, треба вести і зберігати записи щодо виконання процесів, наведених у 4.2, і про всі значні інциденти інформаційної безпеки, що стосуються СУІБ.

Приклад.

Прикладами записів можуть бути: журнал реєстрації відвідувачів, звіти про результати аудитів і заповнені форми авторизації доступу.

5 ВІДПОВІДАЛЬНІСТЬ КЕРІВНИЦТВА

Керівництво організації повинно надати докази виконання своїх зобов’язань відносно розроб­лення, впровадження, експлуатації, забезпечення функціювання, моніторингу, аналізування, підтримки й поліпшення СУІБ здійсненням таких заходів:

1. розроблення політики СУІБ;

2. забезпечення розроблення цілей і планів СУІБ;

3. визначення функцій та відповідальностей з інформаційної безпеки;

4. доведення до всіх співробітників організації важливості досягнення цілей інформаційної безпеки та ї відповідності вимогам політики безпеки, їх відповідальність перед законом, а також необхідність безперервного вдосконалення;

5. виділення достатніх ресурсів для розроблення, впровадження, забезпечення функціювання, моніторингу аналізу, підтримки й поліпшення СУІБ (див. 5.2.1);

6. установлення критеріїв прийняття ризиків і рівнів їхньої прийнятності;

д) забезпечення проведення внутрішніх аудитів СУІБ (див. розділ 6);

h) проведення аналізу СУІБ з боку керівництва (див. розділ 7).

5.2 Управління ресурсами

Організація повинна визначити та надати ресурси, необхідні для

1. розроблення, впровадження, забезпечення функціювання, моніторингу, аналізування, підтримки та поліпшення СУІБ;

2. підтримки вимог бізнесу процедурами інформаційної безпеки;

3. виявлення та забезпечення виконання вимог відповідних законів, нормативних актів і до­говірних зобов’язань у сфері інформаційної безпеки;

4. підтримки адекватної безпеки шляхом правильного застосування всіх впроваджених заходів управління;

5. проведення, за потреби, аналізу та прийняття відповідних заходів за його результатами;

Організація повинна забезпечити, щоб весь персонал, для якого встановлено визначені в СУІБ відпоізідальності, був компетентним для виконання необхідних завдань шляхом:

1. визначення необхідної компетентності для персоналу, залученого до роботи, що впливає на СУІБ;

2. організації навчання персоналу або вживання інших дій (наприклад, наймання компетент­ного персоналу) для задоволення вказаних потреб;

3. оцінювання ефективністі вжитих дій;

4. ведення записів про освіту, навчання, навики, кваліфікацію та досвід персоналу (див. 4.3.3). Організація повинна також забезпечити розуміння всіма відповідними співробітниками зна­чущості та важливості діяльності в галузі інформаційної безпеки, і їх вкладу в досягнення цілі СУІБ.

6. ВНУТРІШНІ АУДИТИ СУІБ

Організсіція повинна відповідно до затвердженого графіка провадити внутрішні аудити СУІБ для встановг ення, що цілі контролювання, заходи, процеси та процедури СУІБ:

1. відповідають вимогам цього стандарту та відповідним законам чи нормативним документам;

2. відпоінідають установленим вимогам щодо інформаційної безпеки;

3. ефективно впроваджуються та підтримуються в робочому стані;

4. функціюють належним чином.

Програму аудиту має бути сплановано з урахуванням статусу та важливості процесів і зон, що їх перевіряють, які підлягають аудиту, а також результатів попередніх аудитів. Мають бути визначені критерії, сфера, частота й методи аудиту. Відбір аудиторів і процедура аудиту мають забезпечувати його об’єктивність і неупередженість. Аудитори не повинні провадити перевірку своєї власної роботи.

Обов’язки та вимоги, що належать до планування, проведення аудиту, звітування про його результати і підтримування в робочому стані записів (див. 4.3.3), мають бути визначені в задо­кументованій процедурі.

Керівництво, відповідальне за сферу, що підлягає аудиту, повинно забезпечити, щоб дії для усунення виявлених невідповідностей та їхніх причин виконували без недоречних затримок. По­дальша діяльність має містити верифікацію виконаних дій і звітування про результати верифікації (див. розділ £;).

Примітка. У ISO 19011:2002 «Guidelines for quality and/or environmental management systems auditing» наведено необхідні рекомендації щодо проведення внутрішніх аудитів СУІБ.

НАЦІОНАЛЬНЕ ПОЯСНЕННЯ

ISO 19011:2002 Керівні настанови щодо аудиту систем управління якістю і/або навколишнім середовищем.

6. АНАЛ ЗУВАННЯ СУІБ З БОКУ КЕРІВНИЦТВА

   1. Загальні положення

Керівництво має відповідно до затвердженого графіка періодичності (не менше одного разу на рік) провадити аналіз СУІБ організації для забезпечення її постійної придатності, адекватності та результаті вності. Результати аналізу мають містити пропозиції щодо зміни СУІБ та оцінку їхньої реалізації в інтересах забезпечення виконання вимог політики і цілей інформаційної без­пеки. Результати таких перевірок мають бути зафіксовані документально, а облікові записи мають бути збережені (див. 4.3.3).

Вхідні дані для аналізування з боку керівництва повинні містити:

1. результати попередніх аудитів та аналізування СУІБ;

2. результати взаємодії із зацікавленими сторонами;

3. методи, засоби чи процедури, які можуть бути використані організацією для вдосконалення функціюванн? та поліпшення ефективності СУІБ;

4. правов е забезпечення запобіжних та коригувальних дій;

5. уразливість чи загрози, які не було адекватно враховано в процесі попереднього оціню­вання ризиків;

6. результати вимірів ефективності СУІБ;

д) подальші дії за результатами попереднього аналізування з боку керівництва;

8. будь-які зміни, які можуть вплинути на СУІБ;

9. рекомендації щодо поліпшення.

7.3 Вихідні дані для перегляду

Вихідні дані аналізу СУІБ з боку керівництва повинні містити всі рішення та дії, спрямовані на:

1. підвищення ефективності СУІБ;

2. оновлення оцінки ризиків (див. 3.12) та плану оброблення ризиків;

3. модифікацію процедур і заходів управління та контролювання, що впливають на інфор­маційну безпеку, для реагування на внутрішні або зовнішні події, які можуть впливати на СУІБ, охоплюючи зміни:

1. у бізнес-вимогах;

2. у вимогах щодо безпеки;

1. '/ бізнес-процесах, які впливають на чинні бізнес-вимоги;

2. у нормативних та законодавчих вимогах;

5. у договірних зобов’язаннях;

6. у рівнях ризику та/чи критеріїв прийняття ризиків;

4. потреби в ресурсах;

5. поліпшення способів вимірювання ефективності заходів.

8 ПОЛІПШЕННЯ СУІБ

Організація повинна постійно підвищувати ефективність СУІБ за допомогою використання політики та цілей інформаційної безпеки, результатів аудитів, аналізу подій, що підлягають моні­торингу, коригувальних та запобіжних дій, аналізування з боку керівництва (див. розділ 7).

Організація повина провадити заходи щодо усунення причин невідповідностей вимогам СУІБ для запобігання їхньому повторному виникненню.

Задок/ментована процедура коригувальних дій має встановлювати вимоги до

1. ідентифікування невідповідностей;

2. визначення причин невідповідностей;

3. оцінювання необхідності дій, щоб уникнути повторення невідповідностей;

б)визгачення та впровадження необхідних коригувальних дій;

5. реєстрування результатів виконаних дій (див. 4.3.3);

6. аналізування результатів виконаних коригувальних дій.

8.3 Запобіжні дії

Орган зація повинна визначати дії, необхідні для усунення причини потенційних невідповід­ностей вимогам СУІБ, щоб запобігти їхній повторній появі. Здійснені запобіжні дії мають відпові­дати наслідкам потенційних проблем.

Задокументована процедура здійснених запобіжних дій має встановлювати вимоги до

1. визначення потенційних невідповідностей та їх причин;

2. оцінювання потреб у діях для запобігання виникненню невідповідностей;

3. визначення та впровадження необхідних запобіжних дій;

4. реєстрації результатів виконаних дій (див. 4.3.3);

5. ана лізування результатів виконаних запобіжних дій.