12 Резюме

В настоящем стандарте рассмотрено несколько методов, важных для управления информационной безопасностью. Эти методы основаны на концепциях и моделях, представленных в ИСО/МЭК 13335-1. В настоящем стандарте рассмотрены преимущества и недостатки четырех возможных стратегий анализа риска. Подробно описаны объединенный подход и несколько методов, полезных для практического внедрения. Некоторые организации, особенно небольшие, не могут применить все методы, приведенные в настоящем стандарте. Важно подчеркнуть, что каждый из этих методов должен быть проанализирован и применен в подходящей для организации форме.

Приложение a

(справочное)

Примерный перечень вопросов, входящих в состав политики безопасности информационных технологий организации

Содержание

1 Введение

1.1 Общий обзор

1.2 Область применения и цель политики обеспечения безопасности информационных технологий

2 Цели и принципы обеспечения безопасности

2.1 Цели

2.2 Принципы

3 Организация и инфраструктура безопасности

3.1 Ответственность

3.2 Основные направления политики обеспечения безопасности

3.3 Регистрация инцидентов нарушения безопасности

4 Анализ риска и стратегия менеджмента в области обеспечения безопасности ИТ

4.1 Введение

4.2 Менеджмент и анализ риска

4.3 Проверка соответствия мер обеспечения безопасности предъявляемым требованиям

5 Чувствительность информации и риски

5.1 Введение

5.2 Схема маркировки информации

5.3 Общий обзор информации в организации

5.4 Уровни ценности и чувствительности информации в организации

5.5 Общий обзор угроз, уязвимых мест и рисков

6 Безопасность аппаратно-программного обеспечения

6.1 Идентификация и аутентификация

6.2 Контроль доступа

6.3 Журнал учета использования ресурсов и аудит

6.4 Полное стирание

6.5 Программное обеспечение, нарушающее нормальную работу системы

6.6 Безопасность ПК

6.7 Безопасность компактных портативных компьютеров

7 Безопасность связи

7.1 Введение

7.2 Инфраструктура сетей

7.3 Интернет

7.4 Криптографическая аутентификация и аутентификация сообщений

8 Физическая безопасность

8.1 Введение

8.2 Размещение оборудования

8.3 Безопасность и защита зданий

8.4 Защита коммуникаций и систем обеспечения энергоносителями в зданиях

8.5 Защита вспомогательных служб

8.6 Несанкционированное проникновение в помещения

8.7 Доступность ПК и рабочих станций

8.8 Доступ к магнитным носителям информации

8.9 Защита персонала

8.10 Противопожарная защита

8.11 Защита от воды (жидкой среды)

8.12 Обнаружение опасностей и сообщение о них

8.13 Защита системы освещения

8.14 Защита оборудования от кражи

8.15 Защита окружающей среды

8.16 Управление услугами и техническим обслуживанием

9 Безопасность персонала

9.1 Введение

9.2 Условия найма персонала

9.3 Осведомленность и обучение персонала в области безопасности

9.4 Служащие

9.5 Контракты с лицами, проводящими самостоятельную работу

9.6 Привлечение третьих сторон

10 Безопасность документов и носителей информации

10.1 Введение

10.2 Безопасность документов

10.3 Хранение носителей информации

10.4 Ликвидация носителей информации

11 Обеспечение непрерывности деловой деятельности, включая планирование действий при чрезвычайных ситуациях и восстановлении после аварий, стратегии и план (планы)

11.1 Введение

11.2 Запасные варианты

11.3 Стратегия обеспечения бесперебойной работы организации

11.4 План (планы) обеспечения бесперебойной работы организации

12 Надомная работа

13 Политика аутсортинга

13.1 Введение

13.2 Требования безопасности

14 Управление изменениями

14.1 Обратная связь

14.2 Изменения в политике обеспечения безопасности

14.3 Статус документа

Приложение А Список руководств (рекомендаций) по обеспечению безопасности

Приложение В Обязательные требования (законы и подзаконные акты)

Приложение С Вопросы, относящиеся к компетенции должностного лица из числа руководящего состава в области безопасности ИТ организации

Приложение D Вопросы, относящиеся к компетенции международных форумов с комитетов по обеспечению безопасности информационных технологий

Приложение Е Содержание политики обеспечения безопасности систем информационных технологий