09. Свод правил СУИБ (ISO/IEC 27002-2013). Часть 5

11. Взаимоотношения с поставщиками

Взаимоотношения с поставщиками определяют следующие составляющие:
- ИБ в отношениях с поставщиками;
- управление оказанием услуг.

11.1. ИБ в отношениях с поставщиками

Цель: Обеспечить защиту активов организации, доступных поставщикам.

ИБ при взаимоотношении с поставщиками определяют следующие составляющие:
- политика ИБ в отношениях с поставщиками;
- включение ИБ в договор с поставщиками;
- ИКТ цепочки поставок.

Политика ИБ в отношениях с поставщиками

Меры и средства: для уменьшения рисков, связанных с доступом поставщика к активам организации, должны быть согласованы с поставщиком и задокументированы требования ИБ.

Рекомендации по реализации: организация должна в политике определить и обозначить меры ИБ конкретного доступа поставщика к информации организации.

Эти меры предусматривают внедрение как организацией, так и поставщиком, процессов и процедур, включающих:

- определение и документирование типов поставщиков, например, ИТ сервисы, программы логистики, финансовые сервисы, компоненты ИТ инфраструктуры, которым организация предоставит доступ к своей информации;

- стандартный процесс и жизненный цикл управления отношениями с поставщиком;

- определение типов информационного доступа, который получат разные типы поставщиков, и мониторинг и контроль доступа;

- минимум требований ИБ к каждому типу информации и типу доступа в качестве базы для индивидуальных соглашений с поставщиком на основании бизнес-требований организации и их профиля риска;

- процессы и процедуры мониторинга соблюдения установленных требований ИБ для каждого типа поставщика и типа доступа, включая третью сторону анализа и проверки продукта;

- точность и полнота мер защиты, дающая гарантию целостности информации или ее обработки другим участником;

- типы обязательств, применимых к поставщикам для защиты информации организации;

- обработка инцидентов и непредвиденных обстоятельств, связанных с доступом поставщика, включая обязанности как организации, так и поставщиков;

- устойчивость и, при необходимости, восстановление и резервные механизмы обеспечения доступности информации или ее обработки другой стороной;

- обучение персонала организации, занимающегося покупками, применяемым политикам, процессам и процедурам;

- обучение персонала организации, взаимодействующего с персоналом поставщика, правилам сотрудничества и поведения с учетом типа поставщика и уровня его доступа к системам и информации организации;

- условия, при которых требования и меры ИБ должны быть прописаны в соглашении, подписываемом обеими сторонами;

- управление необходимыми перемещениями информации, средств ее обработки и т.п. и гарантия того, что ИБ обеспечивается на протяжении перемещения.

Информация может быть подвержена риску поставщиком при неадекватном управлении ИБ. Следует определить и применить меры защиты для администрирования доступа поставщика к средствам обработки информации. Например, если специально требуется конфиденциальность информации, то могут заключаться соглашения о неразглашении.

Другим примером являются риски защиты данных, если соглашение с поставщиком содержит передачу информации за пределы организации или удаленный доступ к ней. Организация должна быть уверена, что правовая или договорная ответственность за защиту информации остается в организации.

Включение ИБ в договор с поставщиками

Меры и средства: все соответствующие требования ИБ должны быть установлены и согласованы с каждым поставщиком, который может иметь доступ, обрабатывать, хранить, передавать информацию организации или предоставлять компоненты ИТ инфраструктуры.

Рекомендации по реализации: договоренности с поставщиком должны быть оформлены и задокументированы для гарантии того, что между организацией и поставщиком нет недопонимания своих обязательств по выполнению соответствующих требований ИБ.

Следующие условия должны быть рассмотрены на предмет включения в договор для удовлетворения определенных требований ИБ:

- описание предоставляемой или доступной информации и методов предоставления или доступа к информации;

- классификация информации в соответствии со схемой классификации организации; при необходимости, сопоставление схем классификации организации и поставщика;

- правовые и нормативные требования, включая защиту данных, интелектуальную собственность, авторские права, и описание того, как в этом удостовериться;

- обязательство каждой стороны договора по внедрению согласованного пакета мер защиты, включая контроль доступа, анализ производительности, мониторинг, уведомление и аудит;

- правила допустимого использования информации, включая, при необходимости, недопустимое использование;

- подробный список персонала поставщика, имеющего право либо доступа или получения информации организации или процедур или условий авторизации, либо удаления прав доступа или получения информации организации персоналом поставщика;

- политики ИБ, соответствующие специфике договора;

- требования и процедуры управления инцидентами (особенно уведомление и сотрудничество при реагировании на инцидент);

- осведомленность и обучение требованиям специальных процедур и требованиям ИБ, например, реагирования на инцидент или процедур авторизации;

- соответствующие нормативы для субподряда, включая внедрение необходимых мер защиты;

- договорные партнеры, включая контактное лицо для решения вопросов ИБ;

- требования по отбору персонала поставщика, включая ответственности за проведение процедур отбора и уведомления, если отбор не завершен или результаты вызвали сомнение или беспокойство;

- право аудита мер защиты и процессов поставщика, вытекающих из договора;

- процессы устранения дефекта и решения конфликта;

- обязательство поставщика периодически предоставлять независимый отчет по эффективности мер защиты и договор на своевременную коррекцию соответствующих проблем, указанных в отчете;

- обязательства поставщика выполнять требования ИБ организации.

Договора могут значительно отличаться для разных организаций и разных типов поставщика. Тем не менее, они должны содержать все соответствующие риски и требования ИБ. Договора с поставщиком могут также предусматривать наличие других сторон (например, субподрядчиков).

Процедуры продолжения работы на случай неспособности поставщика поддерживать свои продукты или сервисы в договоре следует предусмотреть для предотвращения любой задержки в организации замены продуктов или сервисов.

ИКТ цепочки поставок

Меры и средства: договора с поставщиками должны включать требования по устранению рисков ИБ, связанных с цепочками поставок продуктов и сервисов информационно-коммуникационной технологии (ИКТ).

Рекомендации по реализации. Необходимо рассмотреть следующие темы для включения в договора с поставщиком в отношении безопасности цепочки поставок:

- определить требования ИБ для покупки ИКТ продуктов или сервисов в дополнение к общим требованиям ИБ в отношениях с поставщиками;

- для ИКТ сервисов - поставщики должны распространять требования ИБ по всей цепочке поставок, даже если части предоставляемого организации сервиса обеспечиваются субподрядчиком;

- для ИКТ продуктов - поставщики должны распространять требования ИБ по всей цепочке поставок, даже если эти продукты содержат компоненты, купленные у других поставщиков;

- внедрение процесса мониторинга и допустимых методов проверки поставляемых ИКТ продуктов и сервисов на соответствие установленным требованиям безопасности;

- внедрение процесса идентификации создаваемых за пределами организации компонентов продукта или сервиса, критичных для поддержки функциональности и поэтому требующих повышенного внимания и изучения, особенно если основной поставщик передает аспекты компонентов продукта или сервиса другим поставщикам;

- уверенность в том, что критичные компоненты и их происхождение может быть отслежено по цепочке поставок;

- уверенность в том, что поставляемые ИКТ продукты функционируют как ожидалось и без каких-либо неожиданных или нежелательных особенностей;

- определение правил распространения информации о цепочке поставок и любых возможных проблемах и компромиссах среди организации и поставщиков;

- внедрение специальных процессов управления жизненным циклом ИКТ компонента и доступностью и связанными рисками безопасности. Сюда входит управление рисками компонентов, которые больше не будут доступными из-за поставщиков, больше не будут в бизнесе или у поставщиков, больше не будут предоставлять эти компоненты из-за технических достижений.

Специальные методики управления риском ИКТ цепочки поставок создаются на базе общей ИБ, качества, управления проектом и методик разработки системы, но не заменяют их. Организациям следует работать с поставщиками для понимания ИКТ цепочки поставок и других вопросов, имеющих важное влияние на предоставляемые продукты и сервисы.

Организации могут повлиять на практики ИБ ИКТ цепочки поставок путем изъятия из договоров со своими поставщиками вопросов, которые должны рассматриваться другими поставщиками в ИКТ цепочке поставок. Рассматриваемая ИКТ цепочка поставок включает в себя «облачный» компьютерный сервис.

11.2. Управление оказанием услуг

Цель: Поддерживать согласованный уровень ИБ и оказания услуг согласно договоров с поставщиками.

Управление оказанием услуг обеспечивают следующие меры:
- мониторинг и пересмотр услуг;
- управление изменениями услуг.

Мониторинг и пересмотр услуг

Меры и средства: организация должна регулярно мониторить, пересматривать и проводить аудит оказания поставщиком услуг.

Рекомендации по реализации: мониторинг и пересмотр услуг поставщика должен гарантировать, что требования ИБ и договорные условия соблюдаются, а инциденты и проблемы ИБ управляются надлежащим образом.

Это включает процесс взаимосвязи управления услугами организации и поставщика для:
- мониторинга уровней оказания услуг для проверки соблюдения договоров;
- анализа отчетов поставщика об оказании услуг и проведения регулярных рабочих встреч согласно договоров;
- проведения аудитов поставщиков в соответствии с отчетами независимых аудиторов, по возможности, и принятия мер по указанным в них вопросам;
- обеспечения информации об инцидентах ИБ и анализа этой информации в соответствии с договорами и соответствующими руководствами и процедурами;
- анализа результатов аудита поставщика и записей о событиях ИБ, эксплуатационных проблемах, отказах и отслеживаниях недостатков, относящихся к оказывемым услугам;
- решения всех выявленных проблем и управления ими;
- пересмотра аспектов ИБ в отношениях со своими поставщиками;
- гарантии того, что поставщик обеспечивает достаточную дееспособность сервиса с учетом рабочих планов, разработанных для поддержки согласованных уровней непрерывности услуг в случае сбоя или отказа основного сервиса.

Обязанность по управлению отношениями с поставщиками следует возложить на назначенное лицо или группу по управлению услугами. В дополнение, организации следует удостовериться, что на поставщиков возложены обязанности по соблюдению и выполнению требований договоров.

Следует задействовать достаточные технические навыки и ресурсы для действенного контроля выполнения требований договоров, особенно требований ИБ. Следует предпринимать соответствующие действия при выявлении недостатков в оказании услуг.

Организация должна сохранить достаточный общий контроль и наблюдение за всеми аспектами безопасности чувствительных или критичных данных или средств их обработки, доступных, используемых или управляемых поставщиком. Организация должна сохранить наблюдение за действиями безопасности, такими как управление изменением, выявление уязвимостей и оповещение и реагирование на инцидент ИБ в течение определенного процесса оповещения.

Управление изменениями услуг

Меры и средства: изменения в оказании поставщиками услуг, включая поддержку и улучшение существующих политик ИБ, процедур и мер защиты, должны управляться с учетом критичности бизнес информации, связанных систем и процессов и повторной оценки рисков.

Рекомендации по реализации. Следующие аспекты должны быть рассмотрены:
- изменения в договорах с поставщиками;

- изменения, сделанные организацией для:
  • усовершенствования действующих услуг;
  • разработки новых приложений и систем;
  • модификации или обновления процессов и процедур организации;
  • новых или изменения мер по решению инцидентов ИБ и улучшению безопасности;

- изменения услуг поставщика для:
  • изменения или усовершенствования сетей;
  • использования новых технологий;
  • выбора новых продуктов или новых версий/релизов;
  • новых инструментов и сред разработки;
  • изменения места расположения средств оказания услуг;
  • замены поставщиков;
  • субподряда другого поставщика.

12. Управление инцидентами ИБ

12.1. Управление инцидентами ИБ и улучшение

Цель: Обеспечить бесперебойное и результативное выявление инцидентов ИБ, включая оповещение о событиях безопасности и уязвимости, и управление ими.

Управление инцидентами ИБ обеспечивают следующие меры:
- ответственность и процедуры;
- оповещение о событиях;
- оповещение о недостатках;
- оценка событий и решения;
- реагирование на инциденты;
- извлечение уроков из инцидентов;
- сбор правовых доказательств.

Ответственность и процедуры

Меры и средства: должна быть установлена ответственность и процедуры для обеспечения быстрой, эффективной и правильной реакции на инциденты ИБ.

Рекомендации по реализации. Необходимо учитывать следующие рекомендации:

- ответственные лица должны гарантировать, что следующие процедуры разработаны и адекватно функционируют внутри организации:
  • процедуры планирования и подготовки реагирования на инцидент;
  • процедуры мониторинга, выявления, анализа и оповещения о событиях и инцидентах;
  • процедуры регистрации действий по управлению инцидентами;
  • процедуры сбора правовых доказательств;
  • процедуры оценки событий, уязвимостей и решения событий;
  • процедуры реагирования, включая эскалацию, восстановление и оповещение всех заинтересованных сторон (внутренних и внешних);

- процедуры должны обеспечивать уверенность того, что:
  • компетентный персонал решит проблему инцидента внутри организации;
  • контактные лица для выявления инцидентов и оповещения о них определены;
  • соответствующие контакы со специальными группами или форумами специалистов, которые способны решить проблему инцидента, поддерживаются;

- процедуры отчетов должны содержать:
  • подготовку формы отчета о событиии ИБ, соответствующей проводимым действиям и помогающей тому, кто заполняет отчет, запомнить все необходимые действия в случае события ИБ;
  • процедуру, принятую в случае события ИБ, например, немедленная запись всех деталей события таких типов, как несоответствие или брешь, происходящий сбой, уведомление на экране, немедленное оповещение контактного лица и осуществление только координированных действий;
  • ссылку на формальный дисциплинарный процесс в отношении сотрудников, допустивших бреши ИБ;
  • соответствующие процессы обратной связи, обеспечивающие информирование тех, кто оповестил о событии ИБ, о результатах решения и закрытии проблемы.

Цели управления инцидентами ИБ должны быть согласованы с общим управлением и гарантировать, что ответственность за управление инцидентами ИБ является приоритетом организации для обработки инцидентов ИБ.

Оповещение о событиях ИБ

Меры и средства: события ИБ должны быть сообщены по соответствующим управляемым каналам, как можно быстрее.

Рекомендации по реализации: все сотрудники должны знать о своей обязанности оповещения о событиях ИБ как можно быстрее. Они должны быть ознакомлены с процедурой оповещения о событиях ИБ и контактным лицом, кого надо оповестить.

Ситуации, относящиеся к событиям ИБ, включают:
- неэффективную меру защиты;
- брешь в целостности, конфиденциальности и доступности информации;
- человеческие ошибки;
- несоответствие политике и правилам;
- бреши в мерах физической безопасности;
- неконтролируемые системные изменения;
- сбои системного или прикладного ПО;
- нарушения доступа.

Сбои или другое аномальное поведение системы могут быть индикатором тайной атаки или существующей бреши в безопасности, и об этом надо сообщать как о событии ИБ.

Оповещение о недостатках ИБ

Меры и средства: сотрудники и подрядчики, использующие ИС и сервисы организации обязаны сообщать о любых наблюдаемых или предполагаемых недостатках ИБ в системах или сервисах.

Рекомендации по реализации: все сотрудники и представители сторонних организаций должны, как можно быстрее, сообщать о недостатках ИБ своему руководству или непосредственно поставщику услуг, чтобы предотвратить инциденты ИБ. Механизм сообщения должен быть, насколько возможно, простым, доступным и применимым.

Оценка событий и решения

Меры и средства: события ИБ должны быть оценены и по ним должно быть принято решение, если они классифицированы как инциденты ИБ.

Рекомендации по реализации: контактное лицо должно оценить каждую информацию о событии ИБ, используя согласованную шкалу классификации событий и инцидентов ИБ, и решить, является ли событие инцидентом ИБ. Классификация и приоритетность инцидентов может помочь идентифицировать влияние и масштаб инцидента.

Если организация имеет свою группу реагирования на инциденты ИБ (далее - ГРИИБ), оценка и решения могут быть переданы в ГРИИБ для повторной оценки и утверждения результатов. Результаты оценки и решения должны быть детально зафиксированы для дальнейшего изучения и анализа.

Реагирование на инциденты ИБ

Меры и средства: на инциденты ИБ надо реагировать в соответствии с документированными процедурами.

Рекомендации по реализации: на инциденты ИБ должны реагировать ответственный за это сотрудник и другие специалисты организации или сторонние специализированные группы.

Реагирование должно содержать следующее:
- сбор доказательств сразу после появления инцидента;
- проведение, при необходимости, правового анализа инцидента;
- эскалацию, при необходимости;
- уверенность, что все предпринятые действия правильно зафиксированы для дальнейшего анализа;
- передача информации об инциденте и его деталях всем заинтересованным сторонам (внутренним и внешним);
- выявление уязвимости ИБ, которая привела или способствовала инциденту;
- формальное завершение инцидента и фиксация всех данных сразу после успешного его решения.

Первой задачей реагирования на инцидент является возобновление нормального уровня безопасности, а затем инициация необходимого восстановления.

Извлечение уроков из инцидентов ИБ

Меры и средства: знания, полученные в результате анализа и решения инцидентов ИБ, должны использоваться, чтобы уменьшить вероятность или воздействие будущих инцидентов.

Рекомендации по реализации: на месте должны быть механизмы, способные осуществить мониторинг и количественную оценку типа, уровня и значимости инцидентов ИБ. Информация, полученная в результате оценки инцидентов, должна быть использована для определения повторяющихся и серьезных инцидентов.

Оценка инцидентов ИБ может привести к необходимости задействования улучшенных или дополнительных мер защиты для ограничения частоты, ущерба и цены будущих событий или должна быть учтена при пересмотре политики ИБ. С учетом аспектов конфиденциальности эпизоды актуальных инцидентов ИБ могут быть использованы для обучения персонала как примеры того, что могло случиться, как реагировать на эти инциденты и как избежать их в дальнейшем.

Сбор правовых доказательств

Меры и средства: организация должна определить и применять процедуры для идентификации, сбора, приобретения и сохранения информации, которые могут служить в качестве доказательств.

Рекомендации по реализации: внутренние процедуры должны быть разработаны и применены в случае необходимости доказательств для дисциплинарных и законных действий.

В общем, эти процедуры должны обеспечить идентификацию, сбор, приобретение и сохранение доказательств с учетом разнотипности носителей, устройств, их состояния, например, включено или выключено.

Процедуры должны учитывать:
- цепочки поставок;
- безопасность доказательства;
- безопасность персонала;
- роли и ответственности задействованного персонала;
- компетентность персонала;
- документацию;
- инструктаж.

По возможности, сертификаты и другие соответствующие значения квалификации персонала и инструменты должны быть найдены, чтоб усилить значимость сохраняемого доказательства. Правовые доказательства могут изменить организационные и юридические рамки. В таких случаях очень важно, чтобы организация возглавила сбор необходимой информации как правовых доказательств. Требования разных юрисдикций также должны рассматриваться для увеличения шансов допуска к соответствующим юрисдикциям.

Идентификация является процессом изучения, распознавания и документирования потенциального доказательства. Сбор является процессом собирания физических предметов и деталей, содержащих потенциальное доказательство. Приобретение является процессом копирования данных в определенной совокупности и конфигурации. Сохранение является процессом поддержания и защиты неприкосновенности и естественных условий правового доказательства.

Когда событие ИБ появляется впервые, нельзя сразу определить понадобится ли судебное разбирательство. Следовательно, существует опасность того, что необходимое доказательство будет случайно или преднамеренно разрушено до того, как будет определена серьезность инцидента. Целесообразно привлечь адвоката или полицию к любому предусмотренному законному действию и получить соответствующую консультацию по требуемому докуазательству.

13. Аспекты ИБ при управлении непрерывности бизнеса

Аспекты ИБ при управлении непрерывности бизнеса определяют следующие составляющие:
- непрерывность ИБ;
- избыточность средств.

13.1. Непрерывность ИБ

Цель: Непрерывность ИБ должна быть неотъемлемой частью систем управления непрерывностью бизнеса организации.

Непрерывность ИБ обеспечивают следующие меры:<
- планирование;
- внедрение;
- проверку, пересмотр и оценку.

Планирование непрерывности

Меры и средства: организация должна определить свои требования ИБ и непрерывности управления ИБ при неблагоприятных ситуациях, например, во время кризиса или аварии.

Рекомендации по реализации: организация должна определить, будет ли непрерывность ИБ охвачена процессом управления непрерывностью бизнеса или процессом управления аварийным восстановлением. Требования ИБ должны обусловить планирование непрерывности бизнеса и аварийного восстановления.

При недостатке планирования непрерывности бизнеса и аварийного восстановления управление ИБ должно предположить, что требования ИБ в неблагоприятной ситуации остаются такими же, как и в нормальных операционных условиях. В альтернативном случае организация могла провести анализ влияния на аспекты ИБ бизнеса для определения требований ИБ, подходящих для неблагоприятных ситуаций.

Для снижения времени и усилий на «дополнительный» анализ влияния на ИБ бизнеса следует учитывать аспекты ИБ при анализе влияния на бизнес обычного управления непрерывностью бизнеса или управления аварийным восстановлением. Это значит, что требования непрерывности ИБ четко формулируются процессами управления непрерывностью бизнеса или управления аварийным восстановлением.

Внедрение непрерывности

Меры и средства: организация должна установить, документировать, внедрить и поддерживать процессы, процедуры и меры защиты для обеспечения требуемого уровня непрерывности ИБ во время неблагоприятной ситуации.

Рекомендации по реализации. Организация должна быть уверена, что:

- имеется адекватная структура управления по подготовке к уменьшению и реагированию на разрушительное событие с использованием персонала с необходимым авторитетом, опытом и компетентностью;

- назначен персонал по реагированию на инцидент с необходимой ответственностью, авторитетом и компетентностью для управления инцидентом и обеспечения ИБ;

- разработаны и внедрены документальные процедуры планирования, реагирования и восстановления, детально описывающие, как организация будет управлять разрушительным событием и поддерживать свою ИБ на заданном уровне, который базируется на утвержденных руководством целях непрерывности ИБ.

В соответствии с требованиями непрерывности ИБ организация должна установить, документировать, внедрить и поддерживать:
- меры ИБ процессов, процедур и поддерживающих систем и инструментов непрерывности бизнеса и аварийного восстановления;
- процессы, процедуры и реализованные изменения для поддержки существующих мер ИБ во время неблагоприятной ситуации;
- компенсацию мер ИБ, которые не могут поддерживаться во время неблагоприятной ситуации.

В контексте непрерывности бизнеса и аварийного восстановления следует определить специальные процессы и процедуры. Информация, обрабатываемая этими процессами и процедурами или поддерживающими их ИС, должна быть защищена. Поэтому организация должна привлекать специалистов ИБ при создании, внедрении и сопровождении процессов и процедур непрерывности бизнеса и аварийного восстановления.

Внедренные меры ИБ должны продолжать работу и во время неблагоприятной ситуации. Если они не способны продолжать защищать информацию, следует создавать, внедрять и сопровождать другие меры безопасности для поддержки приемлемого уровня ИБ.

Проверка, пересмотр и оценка непрерывности

Меры и средства: организация должна проверять созданные и внедренные меры защиты непрерывности ИБ на регулярной основе для гарантии их актуальности и эффективности во время неблагоприятных ситуаций.

Рекомендации по реализации: организационные, технические, процедурные и процессные изменения (в контексте оперативности или непрерывности) могут привести к изменениям требований непрерывности ИБ. В этих случаях непрерывность процессов, процедур и мер ИБ следует пересмотреть в соответствии с измененными требованиями.

Организация должна проверять непрерывность управления ИБ следующим:
- тренировка и тестирование функциональности процессов, процедур и мер защиты непрерывности ИБ для гарантии их соответствия целям непрерывности ИБ;
- тренировка и тестирование знаний и навыков работы с процессами, процедурами и мерами защиты непрерывности ИБ для гарантии их соответствия целям непрерывности ИБ;
- пересмотр актуальности и эффективности мер непрерывности ИБ при изменении ИС, процессов, процедур и мер ИБ или процессов и решений управления непрерывностью бизнеса / управления аварийным восстановлением.

Проверка мер защиты непрерывности ИБ отличается от общей проверки и тестирования ИБ и должна выполняться вне тестирования изменений. По возможности, следует интегрировать проверку мер защиты непрерывности ИБ в тесты непрерывности бизнеса и аварийного восстановления.

13.2. Избыточности средств

Цель: Обеспечить доступность средств обработки информации.

Доступность средств обработки информации

Меры и средства: количество средств обработки информации должно быть избыточным для удовлетворения требований доступности.

Рекомендации по реализации: организации следует определить бизнес-требования для ИС. Если существующая системная архитектура не может гарантировать доступность, следует применить избыточные компоненты и архитектуры.

По возможности, избыточные ИС следует тестировать для гарантии того, что каждый компонент отказоустойчив и работает как намечено. Внедрение избыточностей может снизить риски для целостности и конфиденциальности информации и ИС, которые следует рассмотреть при создании ИС.

14. Соответствие требованиям

Соответствие требованиям обеспечивают следующие меры:
- выполнение требований;
- пересмотр (аудит) ИБ.

14.1. Выполнение требований

Цель: Избежать нарушения правовых, нормативных или договорных обязательств, связанных с ИБ, и любых требований безопасности.

Выполнение требований определяют следующие составляющие:
- определение требований;
- интеллектуальная собственность;
- защита записей;
- конфиденциальность;
- криптографические средства.

Определение требований

Меры и средства: все соответствующие требования должны быть четко определены, задокументированы и поддерживаться в актуальном состоянии для каждой ИС и организации.

Рекомендации по реализации: специальные меры защиты и индивидуальные обязанности по выполнению законодательных, нормативных и договорных требований следует также определить и задокументировать.

Менеджеры должны идентифицировать все законодательство, применяемое в организации, для определения соответствия бизнеса его требованиям. Если организация осуществляет бизнес в других странах, менеджеры должны рассмотреть его соответствие требованиям этих стран.

Интеллектуальная собственность

Меры и средства: должны быть внедрены соответствующие процедуры для обеспечения соответствия требованиям, связанным с правами интеллектуальной собственности и использованием лицензионного ПО.

Рекомендация по реализации. Следующие рекомендации следует учитывать в отношении защиты любого материала, который может содержать интеллектуальную собственность:
- публикация политики соблюдения прав интеллектуальной собственности, определяющей законное использование ПО и информационных продуктов;
- покупка ПО у заслуживающих доверия поставщиков для гарантии того, что авторское право не нарушается;
- поддержка осведомленности сотрудников о политиках по защите прав интеллектуальной собственности и уведомление о намерении применить дисциплинарные санкции в отношении нарушителей;
- поддержка соответствующих реестров активов и выявление всех активов, к которым применимы требования по защите прав интеллектуальной собственности;
- хранение подтверждений и доказательств прав собственности на лицензии, мастер-диски, руководства по эксплуатации и т.п.;
- внедрение контроля, что максимальное число разрешенных пользователей не превышено;
- проведение проверок установки только разрешенного ПО и лицензированных продуктов;
- внедрение политики поддержки соответствующих лицензионных условий;
- внедрение политики утилизации или передачи ПО сторонним организациям;
- соблюдение сроков и условий применения ПО и информации, полученной из общедоступных сетей;
- запрет дублирования, конвертации в другой формат или извлечения из коммерческих записей (фильм, аудио), если другое не разрешено законом об авторском праве;
- запрет копирования полностью или частично книг, статей, отчетов и других документов, если другое не разрешено законом об авторском праве.

Права интеллектуальной собственности включают авторство ПО и документа, права оформления, торговые знаки, патенты и лицензии.

Фирменное ПО обычно поставляется в соответствии с лицензионным соглашением, которое определяет лицензионные сроки и условия, например, ограничение использования ПО на других машинах или ограничение копирования кроме резервного. Важность и осознание прав интеллектуальной собственности должно быть доведено до сотрудников,  разрабатывающих в организации ПО.

Законодательные, нормативно-правовые и договорные требования могут ограничивать копирование приватных материалов. В частности, они могут требовать использования только тех материалов, которые разработаны организацией или внедрены в организации разработчиком. Нарушение прав собственности ведет к законному действию, содержащему процедуры штрафования и криминального преследования.

Защита записей

Меры и средства: записи должны быть защищены от потери, уничтожения, фальсификации, несанкционированного доступа в соответствии с законодательными, нормативными, договорными и бизнес-требованиями.

Рекомендации по реализации: после принятия решения о защите определенных организационных записей должна быть продумана соответствующая классификация на базе шкалы классификации организации.

Записи должны быть категоризированы по типам, например, бухгалтерия, базы данных, транзакции, аудит и операционные процедуры, с указанием сроков хранения и типа их носителей, например, бумажный, микрофиша, магнитный, оптический. Любые криптографические ключи, имеющие отношение к зашифрованным архивам и цифровым подписям, должны храниться для дешифровки записей, пока они сохраняются.

Рассмотрению следует подвергнуть возможность износа носителей, на которых хранятся записи. Процедуры обращения и хранения носителей должны быть внедрены в соответствии с рекомендациями изготовителя. При выборе электронных носителей процедуры контроля доступа к данным (читаемости носителя) в течение срока хранения носителей должны быть обеспечены для защиты от потери из-за какого-либо технологического изменения.

Системы хранения данных должны выбираться такие, чтобы требуемые данные могли быть восстановлены в течение допустимого срока и приемлемом формате в зависимости от выполненных требований. Система хранения и обработки должны обеспечить идентификацию записей и срока их хранения в соответствии с национальным или региональным законодательством или правилами. Эта система разрешит уничтожение записей по окончани этого срока, если они не нужны организации.

Для соответствия целям защиты записей организация должна предпринять следующее:
- разработать рекомендации в отношении сроков, порядка хранения и обработки, а также уничтожения записей;
- составить график хранения с указанием записей и периода, в течение которого их необходимо хранить;
- поддерживать ведение учета источников получения записей.

Некоторые записи следует хранить для соблюдения законодательных, нормативных или договорных требований, а также для поддержки важной бизнес-деятельности. К ним относятся записи, которые могут потребоваться как доказательство, что организация работает по законодательным и нормативным правилам для гарантии защиты от возможного гражданского или уголовного дела или подтверждения финансового статуса организации для аукционеров, сторонних организаций и аудиторов. Национальный закон или норматив может устанавливать период времени и содержание данных для хранения информации.

Конфиденциальность

Меры и средства: конфиденциальность и защита персональных данных должна быть обеспечена, как того требует соответствующее законодательство и нормативы.

Рекомендации по реализации: политика данных организации по конфиденциальности и защите персональных данных должна быть разработана и внедрена. Эта политика должна быть доведена до сведения всех лиц, участвующих в обработке персональных данных.

Соблюдение этой политики и всех применимых требований законодательных и нормативных актов по защите персональных данных требует наличие соответствующей структуры управления и контроля.

Как правило, это достигается путем назначения должностного лица, отвечающего за защиту персональных данных, которое должно предоставить инструкции менеджерам, пользователям и поставщикам услуг в отношении их персональной ответственности и специальных процедур, обязательных для выполнения.

Обеспечение ответственности за обработку персональных данных и осведомленности о принципах их защиты должно осуществляться в соответствии с законодательством и нормативами. Надлежащие технические и организационные меры по защите персональных данных должны быть внедрены.

Криптографические средства

Меры и средства: криптографические средства должны использоваться согласно всех соответствующих договоров, законов и нормативов.

Рекомендации по реализации. Следующие вопросы необходимо рассматривать по соблюдению соответствующих договоров, законов и нормативов:
- ограничения на импорт или экспорт компьютерных аппаратных и программных средств, предоставляющих криптографические функции;
- ограничения на импорт или экспорт компьютерных аппаратных и программных средств, созданных с применением криптографических функций как дополнительных;
- ограничения на применение шифрования данных;
- принудительные и произвольные методы доступа органов власти к информации, зашифрованной с помощью аппаратных и программных средств для обеспечения конфиденциальности содержания.

14.2. Проверки ИБ

Цель: Убедиться, что ИБ внедрена и управляется в соответствии с организационными политиками и процедурами.

Проверки ИБ обеспечивают следующие меры:
- независимая проверка ИБ;
- соответствие политикам и стандартам;
- проверка технического соответствия.

Независимая проверка ИБ

Меры и средства: подход организации к управлению ИБ и ее внедрению (т.е. цели и элементы управления, политики, процессы и процедуры ИБ) должен независимо проверяться через запланированные интервалы или когда происходят значительные изменения.

Рекомендации по реализации: независимая проверка должна инициироваться руководством. Она необходима для обеспечения уверенности в сохраняющейся работоспособности, адекватности и эффективности подхода организации к управлению ИБ.

Проверка должна включать в себя оценку возможностей улучшения и необходимость изменений подхода к безопасности, в том числе политику и цели управления. Такая проверка должна осуществляться специалистами, не зависимыми от проверяемой сферы, например, службой внутреннего аудита, независимым менеджером или сторонней организацией, специализирующейся на таких проверках.

Специалисты, привлекаемые к таким проверкам, должны обладать соответствующими навыками и опытом. Результаты независимой проверки должны записываться и сообщаться руководству, инициировавшему проверку. Эти записи следует хранить. Если в результате независимой проверки устанавлено, что подходы организации к управлению ИБ и ее внедрению неадекватны, например, задокументированные цели и требования не соблюдаются или не соответствуют направлению ИБ, изложенному политиках ИБ, руководству следует рассмотреть корректирующие действия.

Соответствие политикам и стандартам

Меры и средства: менеджеры должны регулярно проверять в пределах своей ответственности соответствие информационных процессов и процедур политикам, стандартам и другим требованиям безопасности.

Рекомендации по реализации: менеджеры должны определить, как проверять то, что требования ИБ, предусмотренные политиками, стандартами и другими применимыми правилами, соблюдены. Для эффективной регулярной проверки следует использовать инструменты автоматического измерения и оповещения.

Если в результате проверки было выявлено какое-либо несоответствие, менеджерам следует:
- определить причины несоответствия;
- оценить необходимость действий для достижения соответствия;
- реализовать соответствующее корректирующее действие;
- проверить эффективность предпринятого корректирующего действия и выявить любые недостатки и слабые места.

Результаты проверок и корректирующих действий, предпринятых менеджерами, следует записывать и эти записи хранить. Менеджеры должны доложить о результатах независимому аудитору при проведении такого аудита в сфере их ответственности.

Проверка технического соответствия

Меры и средства: ИС должны регулярно проверяться на соответствие политикам и стандартам ИБ организации.

Рекомендации по реализации: проверка соответствия ИС техническим требованиям должна осуществляться, как правило, с помощью автоматических инструментальных средств, которые генерируют технические отчеты для последующего анализа техническим специалистом.

В альтернативном случае, ручные отчеты (при необходимости, поддерживаемые соответствущими программными инструментами) оформляются опытным системным инженером. Если проводится тестирование на проникновение или оценка уязвимостей, следует соблюдать осторожность, поскольку такие действия могут привести к компрометации безопасности системы. Такие тесты должны планироваться, документироваться и повторяться.

Любая проверка технического соответствия должна проводиться компетентным, уполномоченным персоналом или под руководством такого персонала. Проверки технического соответствия должны включать испытания ОС для гарантии того, что аппаратные и программные средства установлены правильно. Этот тип проверки требует специальной технической экспертизы.

Проверки соответствия также содержат, например, тестирование на проникновение и оценку уязвимостей, которые могут провести независимые эксперты, специально привлеченные для этой цели по контракту. Это может быть использовано для выявления уязвимостей в ИС и проверки эффективности мер и средств защиты в предотвращении несанкционированного доступа к этим уязвимостям.

Тестирование на проникновение и оценка уязвимостей обеспечивает фиксацию специфического состояния ИС в определенный момент. Эта фиксация ограничена теми частями ИС, которые тестируются в момент попытки проникновения. Тестирование на проникновение и оценка уязвимостей не заменяет оценки риска.

----------------------------------------------------------------------------------------------------

Книга | Автор | Статьи | Фильмы | Фото | Ссылки | Отзывы

Контакт | Студентам | Ветеранам | Астрология | Карта сайта



Рейтинг@Mail.ru Яндекс.Метрика