2.5 Iso/iec 17799:2000 Информационные технологии – Код практики для управления информационной безопасностью. Information technology -- Code of practice for information security management

ISO 17799 - наиболее признанный стандарт безопасности. Он основан на стандарте BS 7799, который в последний раз опубликовывался в мае 1999, издании, которое само включало многие дополнения и улучшения предшествующих версий. Первая версия ISO 17799 была опубликована в декабре 2000. 

Стандарт ISO17799 исчерпывающее охватывает круг вопросов безопасности. Он содержит значительное количество управляющих требований, некоторые из них чрезвычайно сложные. Он разделен на десять основных секций, каждая охватывает отдельную тему или область: 

Планирование Непрерывности Дела 

Цели этой секции: противодействие нарушениям деятельности торговой фирмы и критических деловых процессов воздействиями существенных неисправностей или бедствий.

Управление Доступом к Системе 

Цели этой секции:

1. управление доступом к информации;

1. предотвращение несанкционированного доступа к информационным системам;

1. гарантирование защиты сетевых услуг (служб);

1. предотвращение несанкционированного доступа к компьютеру;

1. обнаружение несанкционированной деятельности;

1. гарантирование информационной безопасности при использовании мобильной обработки и теле-сетевых средств.

Разработка и Эксплуатация Системы 

Цели этой секции:

1. гарантирование, что безопаcность заложена в операционные системы;

2. предотвращение потери, модификации или неправильного употребления данных пользователя в прикладных системах;

3. защита конфиденциальности, достоверности и целостности информации;

4. гарантирование, что IT проекты и поддерживающие мероприятия проводятся безопасным способом;

5. поддержание безопасности системы прикладного программного обеспечения и данных.

Физическая Безопасность и Безопасность Окружающей среды 

Цели этой секции:

1. предотвращение несанкционированного доступа, ущерба и влияния на недвижимость торговой фирмы и информации;

2. предотвращение убытка, ущерба или компрометации фондов и нарушения деятельности торговой фирмы;

3. предотвращение компроментации или кражи информации и средств обработки информации.

Согласие 

Цели этой секции:

1. избегание нарушений любых уголовных или гражданских законов, уставных, регулирующих или договорных обязательств и любых требований безопасности;

2. гарантирование согласия систем с организационными политиками безопасности и стандартами;

3. расширение эффективности и минимизация влияния на процесс аудита системы.

Безопасность Персонала 

Цели этой секции:

1. уменьшение риска человеческой ошибки, кражи, мошенничества или неправильного употребления средств;

2. проверка, что пользователи отдают себе отчет об угрозах информационной безопасности и касаются, и оснащаются, чтобы поддержать корпоративную политику безопасности в ходе их нормальной работы;

3. минимизация ущерба от инцидентов безопасности и сбоев и узнавание о таких инцидентах.

Безопасность Организации 

Цели этой секции:

1. управление информационной безопасностью в пределах Компании;

2. поддержание безопасности средств обработки организационной информации, и информационных фондов, доступных третьим сторонам;

3. поддержание безопасности информации, когда ответственность за обработку информации передается в другую организацию.

Компьютерное и Сетевое Управление 

Цели этой секции:

1. гарантирование правильной и безопасной работы средств обработки информации;

2. минимизация риска отказов системы;

3. защита целостности программного обеспечения и информации;

4. поддержание целостности и доступности информационной обработки и связи;

5. гарантирование охраны информации в сетях и защиты поддерживающей инфраструктуры;

6. предотвращение ущерба фондам и нарушений деятельности торговой фирмы;

7. предотвращение потери, модификации или неправильного употребления информации, обмениваемой между организациями.

Классификация Актива и Управление 

Цели этой секции:

1. поддержание соответствующей защиты корпоративных фондов и гарантирование, что информационные фонды получают соответствующий уровень защиты.

Политики Безопасности 

Цели этой секции:

1. обеспечение направления управления и поддержки информационной безопасности.

В каждой секции подробные утверждения образуют стандарт.