ГОСТы / ГОСТ Р ИСО МЭК 27001-2006

A.10.9.2

Трансакции в режи-

Информация, используемая в трансакциях в режиме реального

ме реального времени

времени (on-line), должна быть защищена для предотвращения

(on-line)

неполной передачи, неправильной маршрутизации, несанкциониро-

ванного изменения сообщений, несанкционированного разглашения,

несанкционированного копирования или повторного воспроизведения

сообщений

A.10.9.3

Общедоступная ин-

Информация, предоставляемая через общедоступную систему,

формация

должна быть защищена от несанкционированной модификации

A.10.10.1

Ведение

журналов

Должны быть обеспечены ведение и хранение в течение опреде-

аудита

ленного периода времени журналов аудита, регистрирующих дейст-

вия пользователей, нештатные ситуации и события информационной

безопасности, в целях помощи в будущих расследованиях и прове-

дении мониторинга контроля доступа

A.10.10.2

Мониторинг исполь-

Должны быть установлены процедуры, позволяющие вести мони-

зования средств обра-

торинг и регулярный анализ результатов мониторинга использования

ботки информации

средств обработки информации

A.10.10.3

Защита

информа-

Средства регистрации и информация журналов регистрации долж-

ции журналов регистра-

ны быть защищены от вмешательства и несанкционированного дос-

öèè

òóïà

A.10.10.4

Журналы

регистра-

Действия системного администратора и системного оператора

ции действий

àäìè-

должны быть регистрируемыми

нистратора

è

опера-

òîðà

A.10.10.5

Регистрация

íåèñ-

Неисправности должны быть зарегистрированы, проанализиро-

правностей

ваны и устранены

A.10.10.6

Синхронизация ча-

Часы всех соответствующих систем обработки информации в

ñîâ

пределах организации или охраняемой зоны должны быть синхрони-

зированы с помощью единого источника точного времени

A.11 Контроль доступа

A.11.1.1

Политика контроля

Политика контроля доступа должна быть установлена и докумен-

доступа

тирована с учетом потребностей бизнеса и безопасности информации

A.11.2.1

Регистрация

ïîëü-

Должна быть установлена формализованная процедура регист-

зователей

рации и снятия с регистрации пользователей для предоставления и

отмены доступа ко всем информационным системам и услугам

A.11.2.2

Управление

приви-

Предоставление и использование привилегий должно быть огра-

легиями

ниченным и контролируемым

A.11.2.3

Управление пароля-

Предоставление паролей должно быть контролируемым посредст-

ми пользователей

вом формализованного процесса управления

A.11.2.4

Пересмотр

ïðàâ

Руководство должно периодически осуществлять пересмотр прав

доступа пользователей

доступа пользователей, используя формализованный процесс

A.11.3.1

Использование па-

Пользователи должны соблюдать правила безопасности при вы-

ролей

боре и использовании паролей

ÃÎÑÒ Ð ÈÑÎ/ÌÝÊ 27001—2006

Продолжение таблицы А.1

A.11.3.2

Оборудование,

îñ-

Пользователи должны обеспечивать соответствующую защиту

тавленное пользовате-

оборудования, оставленного без присмотра

лем без присмотра

A.11.3.3

Правила

«чистого

Должны быть приняты правила «чистого стола» для документов на

стола» и «чистого экра-

бумажных носителях и сменных носителей данных, а также правила

íà»

«чистого экрана» для средств обработки информации

A.11.4 Контроль сетевого доступа

Цель: Предотвратить несанкционированный доступ к сетевым сервисам

A.11.4.1

Политика в отноше-

Пользователям следует предоставлять доступ только к тем услу-

нии использования се-

гам, по отношению к которым они специально были авторизованы

тевых услуг

A.11.4.2

Аутентификация

Для контроля доступа удаленных пользователей должны быть

пользователей для

применены соответствующие методы аутентификации

внешних соединений

A.11.4.3

Идентификация

Автоматическая идентификация оборудования должна рассмат-

оборудования в сетях

риваться как средство аутентификации соединений, осуществляемых

с определенных мест и с определенным оборудованием

A.11.4.4

Защита

диагности-

Физический и логический доступ к портам конфигурации и диаг-

ческих и

конфигура-

ностики должен быть контролируемым

ционных

портов

ïðè

удаленном доступе

A.11.4.5

Принцип

разделе-

В сетях должны быть применены принципы разделения групп

ния в сетях

информационных услуг, пользователей и информационных систем

A.11.4.6

Контроль

сетевых

Подключение пользователей к совместно используемым сетям,

соединений

особенно к тем, которые выходят за территорию организации, необ-

ходимо ограничивать в соответствии с политикой контроля доступа и

требованиями бизнес-приложений (см. А.11.1)

A.11.4.7

Контроль маршрути-

Должны быть внедрены средства управления и контроля маршру-

зации в сети

тизации в сети с целью исключить нарушения правил контроля досту-

па для бизнес-приложений, вызываемые соединениями и потоками

информации

A.11.5 Контроль доступа к операционной системе

Цель: Предотвратить несанкционированный доступ к операционным системам

A.11.5.1

Безопасные

проце-

Контроль доступа к операционным системам должен быть обеспе-

дуры регистрации

чен безопасной процедурой регистрации

A.11.5.2

Идентификация

è

Все пользователи должны иметь уникальные идентификаторы (ID)

аутентификация

ïîëü-

только для персонального использования, а для подтверждения заяв-

зователя

ленной личности пользователя должны быть выбраны подходящие

методы аутентификации

A.11.5.3

Система

управле-

Системы управления паролями должны быть интерактивными и

ния паролями

обеспечивать высокое качество паролей

A.11.5.4

Использование сис-

Использование системных утилит, которые могут преодолеть

темных утилит

средства контроля операционных систем и приложений, необходимо

ограничивать и строго контролировать

A.11.5.5

Периоды

бездейст-

Необходимо обеспечить завершение сеансов связи после опре-

вия в сеансах связи

деленного периода бездействия

A.11.5.6

Ограничение

âðå-

Ограничение времени соединения должно быть использовано для

мени соединения

обеспечения дополнительной безопасности

A.11.6 Контроль доступа к прикладным системам и информации

Цель: Предотвратить несанкционированный доступ к прикладным системам и информации

A.11.6.1

Ограничения досту-

Доступ к информации и функциям прикладных систем пользо-

па к информации

вателей и обслуживающего персонала должен быть предоставлен

только в соответствии с определенными политиками контроля дос-

òóïà

A.11.6.2

Изоляция систем,

Системы, обрабатывающие важную информацию, должны иметь

обрабатывающих

âàæ-

выделенную (изолированную) вычислительную среду

ную информацию

A.11.7.1

Работа

ñ

перенос-

Необходимо иметь в наличии формализованную политику для за-

ными устройствами

щиты от рисков при использовании переносных устройств

A.11.7.2

Работа

â

дистан-

Для работы в дистанционном режиме необходимо разработать и

ционном режиме

реализовать политику, оперативные планы и процедуры

A.12.1.1

Анализ и детализа-

В формулировках требований бизнеса для новых информацион-

ция требований безо-

ных систем или совершенствования существующих должны быть

пасности

детализированы требования безопасности

A.12.2.1

Проверка достовер-

Входные данные для приложений должны быть подвергнуты про-

ности входных данных

цедуре подтверждения с целью установления их достоверности

A.12.2.2

Контроль обработки

Для обнаружения искажений (ошибок или преднамеренных дейст-

данных в приложениях

вий) при обработке информации в требования к функциям прило-

жений должны быть включены требования по выполнению контроль-

ных проверок

A.12.2.3

Целостность сооб-

Должны быть определены требования для обеспечения аутен-

щений

тичности и защиты целостности сообщений в приложениях, а также

реализованы соответствующие средства контроля

A.12.2.4

Подтверждение до-

Данные, выводимые из приложения, необходимо подвергать про-

стоверности выходных

верке на корректность, чтобы обеспечить уверенность в том, что обра-

данных

ботка информации выполнена правильно

A.12.3.1

Политика использо-

Должны быть разработаны и внедрены правила использования

вания криптографиче-

криптографических средств защиты информации

ских средств защиты

A.12.3.2

Управление ключа-

Для реализации организацией криптографических методов защи-

ìè

ты должна быть использована система управления ключами

A.12.4.1

Контроль програм-

Необходимо обеспечить контроль за процессом внедрения про-

много обеспечения, на-

граммного обеспечения в промышленную эксплуатацию

ходящегося в промыш-

ленной эксплуатации

A.12.4.2

Защита данных тес-

Данные тестирования следует тщательно отбирать, защищать и

тирования системы

контролировать

A.12.4.3

Контроль доступа к

Доступ к исходным кодам должен быть ограничен

исходным кодам

A.12.5.1

Процедуры

контро-

Внесение изменений должно быть проверено с использованием

ля изменений

соответствующих формализованных процедур контроля изменений

A.12.5.2

Технический анализ

При внесении изменений в операционные системы необходимо

прикладных

систем

провести анализ и тестирование критичных бизнес-приложений с

после внесения

èçìå-

целью удостовериться в отсутствии негативного влияния на работу и

нений в операционные

безопасность организации

системы

A.12.5.3

Ограничения

íà

Необходимо избегать модификаций пакетов программ, а все тре-

внесение изменений в

буемые изменения должны подлежать строгому контролю

пакеты программ

A.12.5.4

Утечка информации

Возможности для утечки информации должны быть предотвра-

ùåíû

A.12.5.5

Разработка

ïðî-

Разработка программного обеспечения с привлечением сторонних

граммного обеспечения

организаций должна проводиться под контролем и при мониторинге

ñ

привлечением

ñòî-

организации

ронних организаций

A.12.6.1

Управление техни-

Необходимо получать своевременную информацию о технических

ческими уязвимостями

уязвимостях используемых информационных систем, оценивать опас-

ность таких уязвимостей и принимать соответствующие меры по

устранению связанного с ними риска

A.13.1.1

Оповещение о слу-

О случаях нарушения информационной безопасности следует

чаях нарушения инфор-

сообщать по соответствующим каналам управления незамедли-

мационной

безопас-

тельно, насколько это возможно

ности

A.13.1.2

Оповещение о не-

Все сотрудники, подрядчики и пользователи сторонних органи-

достатках

безопаснос-

заций, пользующиеся информационными системами и услугами,

òè

должны незамедлительно сообщать о любых замеченных или пред-

полагаемых нарушениях безопасности в системах или услугах

A.13.2.1

Ответственность и

Должны быть установлены ответственность руководства и проце-

процедуры

дуры, позволяющие обеспечить быстрое, эффективное и последо-

вательное реагирование на инциденты информационной безопас-

ности

A.13.2.2

Извлечение

уроков

Должны быть определены механизмы, позволяющие вести мони-

èç

инцидентов

инфор-

торинг и регистрацию инцидентов информационной безопасности по

мационной

безопас-

типам, объемам и стоимостям

ности

A.13.2.3

Сбор доказательств

На случай, если инцидент информационной безопасности может

привести к судебному разбирательству (гражданскому или уголов-

ному) против лица или организации, информация должна быть

собрана, сохранена и представлена согласно правилам оформления

доказательств, изложенным в соответствующих документах

A.14.1.1

Включение

инфор-

Должен быть разработан и поддержан управляемый процесс

мационной

безопас-

обеспечения непрерывности бизнеса во всей организации с учетом

ности в процесс управ-

требований информационной безопасности, необходимых для обес-

ления непрерывностью

печения непрерывности бизнеса организации

бизнеса

A.14.1.2

Непрерывность биз-

События, которые могут стать причиной прерывания бизнес-

неса и оценка риска

процессов, должны быть связаны с оценками вероятности и степени

воздействия таких прерываний, а также с их последствиями для ин-

формационной безопасности

A.14.1.3

Разработка и внед-

Должны быть разработаны и внедрены планы для поддержки или

рение

планов

непре-

восстановления работы и обеспечения доступности информации на

рывности

бизнеса,

требуемом уровне и в требуемые сроки после прерывания или отказа

включающих

â

ñåáÿ

критических бизнес-процессов

информационную безо-

пасность

A.14.1.4

Структура

плана

Должна быть создана единая структура планов непрерывности

обеспечения непрерыв-

бизнеса, позволяющая обеспечить непротиворечивость всех планов

ности бизнеса

для последовательного выполнения всех требований к информа-

ционной безопасности и для расстановки приоритетов при тести-

ровании и обслуживании

A.14.1.5

Тестирование,

ïîä-

Планы по обеспечению непрерывности бизнеса должны подле-

держка

и пересмотр

жать регулярному пересмотру и обновлению с целью обеспечить их

планов по обеспечению

актуальность и эффективность

непрерывности

áèç-

íåñà

A.15.1.1

Определение при-

Все применимые нормы, установленные законодательством и

менимых норм

исполнительными органами власти, требования договорных обяза-

тельств и порядок их выполнения следует четко определить, доку-

ментировать и поддерживать на актуальном уровне для каждой

информационной системы и организации

A.15.1.2

Права на интеллек-

Должны быть внедрены соответствующие процедуры для приме-

туальную

собствен-

нения законодательных, регулирующих и контрактных требований к

ность

используемым материалам с учетом прав на интеллектуальную

собственность, а также прав на использование программных про-

дуктов, являющихся предметом частной собственности

A.15.1.3

Защита учетных за-

Важные учетные записи организации должны быть защищены от

писей организации

утраты, разрушения и фальсификации в соответствии с требо-

ваниями, установленными законами, документами органов исполни-

тельной власти, контрактами и требованиями бизнеса

A.15.1.4

Защита данных и

Защита данных и конфиденциальность персональной информа-

конфиденциальность

ции должны быть обеспечены в соответствии с требованиями зако-

персональной инфор-

нов, нормативных актов и, где это применимо, в соответствии с

мации

положениями контрактов

ÃÎÑÒ Ð ÈÑÎ/ÌÝÊ 27001—2006

Окончание таблицы А.1

A.15.1.5

Предотвращение

Должны быть применены меры контроля для предотвращения

нецелевого

использо-

нецелевого использования средств обработки информации

вания средств обработ-

ки информации

A.15.1.6

Регулирование

èñ-

Средства криптографической защиты должны быть использованы

пользования средств

в соответствии с законами, нормативными актами и соответст-

криптографической

çà-

вующими соглашениями

ùèòû

A.15.2 Соответствие политикам и стандартам безопасности и техническое соответствие требо-

ваниям безопасности

Цель: Обеспечить соответствие систем организационным политикам и стандартам безопасности

A.15.2.1

Соответствие поли-

Руководители должны обеспечить, чтобы все процедуры безопас-

тикам и

стандартам

ности в их сфере ответственности были выполнены правильно и

безопасности

соответствовали политикам и стандартам безопасности

A.15.2.2

Проверка техничес-

Информационные системы следует регулярно проверять на соот-

кого соответствия тре-

ветствие требованиям стандартов безопасности

бованиям безопасности

A.15.3 Вопросы аудита информационных систем

Цель: Повышение эффективности процесса аудита информационных систем и снижение негативного влия-

ния, связанного с данным процессом

A.15.3.1

Ìåðû

управления

Требования и процедуры аудита, включающие в себя проверки

аудитом информацион-

операционных систем, необходимо тщательно планировать и согла-

ных систем

совывать, чтобы свести к минимуму риск прерывания бизнес-

процессов

A.15.3.2

Защита

инструмен-

Доступ к инструментальным средствам аудита информационных

тальных средств ауди-

систем необходимо защищать для предотвращения любой воз-

òà

информационных

можности их неправильного использования или компрометации

систем

Принцип ОЭСР

Соответствующий процесс СМИБ и стадия PDCA

Осведомленность

Данные мероприятия являются частью стадии «Осу-

Участники должны быть осведомлены о

ществление» (см. 4.2.2 и 5.2)

необходимости обеспечения безопасности ин-

формационных систем и сетей и о том, что они

могут сделать для повышения уровня безо-

пасности

Ответственность

Данные мероприятия являются частью стадии «Осу-

Все участники являются ответственными за

ществление» (см. 4.2.2 и 5.1)

безопасность информационных систем и сетей

Реагирование

Является частью стадии «Проверка» деятельности по

Участники должны действовать совместно и

мониторингу (см. 4.2.3, раздел 6 и 7.3) и мероприятий по

реагированию стадии «Действие» (см. 4.2.4, 8.1, 8.2 и 8.3).

своевременно, чтобы предотвращать, обнару-

Данные мероприятия могут быть также охвачены неко-

живать инциденты безопасности и реагировать

торыми элементами стадий «Планирование» и «Проверка»

íà íèõ

Оценка риска

Этот вид деятельности является частью стадии «Плани-

Участники должны проводить оценку рисков

рование» (см. 4.2.1), а повторная оценка (переоценка) риска

является частью стадии «Проверка» (см. 4.2.3, раздел 6 и

7.3)

Разработка и внедрение безопасности

После выполнения оценки рисков выбирают меры управ-

Участники должны внедрить безопасность

ления для обработки рисков как часть стадии «Плани-

рование» (см. 4.2.1). Стадия «Осуществление» (см. 4.2.2 и

как важный элемент информационных систем и

5.2) охватывает затем внедрение и обеспечение функцио-

сетей

нирования этих мер управления

Менеджмент безопасности

Менеджмент рисков представляет собой процесс, вклю-

Участники должны применять всесторонний

чающий в себя предотвращение, обнаружение инцидентов и

реагирование на них, сопровождение, анализ и аудит. Все

подход к менеджменту безопасности

эти вопросы решают на стадиях «Планирование», «Осу-

ществление», «Проверка» и «Действие»

Повторная оценка

Переоценка (повторная оценка) информационной безо-

Участники должны анализировать и повтор-

пасности является частью стадии «Проверка» (см. 4.2.3,

раздел 6 и 7.3), на которой должны быть предприняты

но оценивать состояние безопасности информа-

регулярные анализы эффективности системы менеджмента

ционных систем и сетей, и вносить соответст-

информационной безопасности, а повышение уровня безо-

вующие изменения в политику, практику, меры и

пасности является частью стадии «Действие» (см. 4.2.4, 8.1,

процедуры безопасности

8.2 è 8.3)

Настоящий стандарт

ÈÑÎ 9001: 2000

ÈÑÎ 14001:2004

Введение

Введение

Введение

Общие положения

Общие положения

Процессный подход

Процессный подход

Связь с ИСО 9004 [9]

Возможность совместного исполь-

Совместимость с другими сис-

зования с другими системами управ-

темами менеджмента

ления

1 Область применения

1 Область применения

1 Область применения

1.1 Общие положения

1.1

Общие положения

1.2 Применение

1.2

Применение

2 Нормативные ссылки

2 Нормативные ссылки

2 Нормативные ссылки

3 Термины и определения

3 Термины и определения

3 Термины и определения

4 Система менеджмента инфор-

4 Система менеджмента качест-

4 Требования системы уп-

мационной безопасности

âà

равления в области охраны

окружающей среды

4.1 Общие требования

4.1

Общие требования

4.1 Общие требования

4.2 Разработка СМИБ. Управ-

ление СМИБ

4.2.1 Разработка СМИБ

4.2.2 Внедрение и функциониро-

4.4 Внедрение и эксплуа-

вание СМИБ

тация

4.2.3 Проведение мониторинга и

8.2.3 Мониторинг

è

измерение

4.5.1 Мониторинг и изме-

анализа СМИБ

процессов

рение

8.2.4 Мониторинг

è

измерение

продукции

4.2.4 Поддержка и улучшение

—

—

ÑÌÈÁ

4.3 Требования к документации

4.2

Требования к документации

4.3.1 Общие положения

4.2.1 Общие положения

—

4.2.2 Руководство по качеству

4.3.2 Управление документами

4.3.2 Управление документацией

4.4.5 Меры контроля доку-

ментации

4.3.3 Управление записями

4.2.4 Управление записями

4.5.4 Меры контроля в отно-

шении учетных записей

5 Ответственность руководства

5 Ответственность руководства

5.1 Обязательства руководства

5.1

Обязательства руководства

5.2

Ориентация на потребителя

5.3

Политика в области качества

4.2 Политика в области ох-

раны окружающей среды

5.4

Планирование

4.3 Планирование

5.5

Ответственность,

полномо-

чия и обмен информацией

Настоящий стандарт

ÈÑÎ 9001: 2000

ÈÑÎ 14001:2004

5.2 Управление ресурсами

6 Управление ресурсами

5.2.1 Обеспечение ресурсами

6.1 Обеспечение ресурсами

6.2 Человеческие ресурсы

5.2.2

Подготовка,

осведомлен-

6.2.2 Компетентность, осведом-

4.4.2

Обучение, осведом-

ность и квалификация персонала

ленность и подготовка

ленность и компетентность

6.3 Инфраструктура

6.4 Производственная среда

6 Внутренние аудиты СМИБ

8.2.2 Внутренние аудиты (про-

4.5.5 Внутренний аудит

верки)

7 Анализ СМИБ со стороны ру-

5.6 Анализ со стороны руко-

4.6 Контрольный анализ со

ководства

водства

стороны руководства

7.1 Общие положения

5.6.1 Общие положения

7.2 Входные данные для анализа

5.6.2 Входные данные для про-

ÑÌÈÁ

ведения контрольного анализа

7.3

Выходные данные анализа

5.6.3 Выходные данные конт-

ÑÌÈÁ

рольного анализа

8 Улучшение СМИБ

8.5 Совершенствование

8.1 Постоянное улучшение

8.5.2 Непрерывное совершенст-

вование

8.2 Корректирующие действия

8.5.3 Корректирующие действия

4.5.3

Несоответствие, кор-

рективные и превентивные

действия

8.3 Предупреждающие действия

8.5.4 Превентивные действия

Приложение А Цели и меры управ-

—

Приложение А Руководство

ления

по использованию этого стан-

дарта

Приложение В Принципы ОЭСР и

—

—

настоящий стандарт

Приложение С Сравнение струк-

Приложение А Соответствие

Соответствие между

туры настоящего стандарта со струк-

ÈÑÎ 9001:2000 è ÈÑÎ 14001:2004

ÈÑÎ 14001:2004 è

турами

международных

стандартов

ÈÑÎ 9001:2000

ÈÑÎ 9001:2000, ÈÑÎ 14001:2004

Приложение D Сведения о соот-

—

—

ветствии национальных

стандартов

Российской Федерации

ссылочным

международным стандартам

Обозначение ссылочного

Обозначение и наименования соответствующего национального стандарта

международного стандарта

ÈÑÎ/ÌÝÊ 17799:2005

ÃÎÑÒ Ð ÈÑÎ/ÌÝÊ 17799—2005

Информационная технология. Практические правила управления информа-

ционной безопасностью

[2] ÈÑÎ 9001—2000

Система менеджмента качества. Требования (Quality management systems —

Requirements)

[3] ÈÑÎ 14001:2004

Системы управления окружающей средой. Требования и руководство по при-

менению (Environmental management systems — Requirements with guidance

for use)

[4] ÈÑÎ/ÌÝÊ 13335-1:2004

Информационная технология. Методы обеспечения безопасности. Управле-

ние безопасностью информационных и телекоммуникационных технологий.

Часть 1. Концепция и модели управления безопасностью информационных и

телекоммуникационных технологий (Information technology — Security techni-

ques — Management of information and communications technology security —

Part 1: Concepts and models for information and communications technology

security management)

[5] ÈÑÎ/ÌÝÊ ÒÎ 18044:2004

Информационная технология. Методы обеспечения безопасности. Управле-

ние инцидентами информационной безопасности (Information technology —

Security techniques — Information security incident management)

[6] Руководство

Управление риском. Словарь. Руководящие указания по использованию в

ÈÑÎ/ÌÝÊ 73:2002

стандартах (Risk management — Vocabulary — Guidelines for use in standards)

[7] ÈÑÎ/ÌÝÊ ÒÎ 13335-3:1998

Информационная технология. Рекомендации по управлению безопасностью

информационных технологий. Часть 3. Методы управления безопасностью

информационных технологий (Information technology — Guidelines for the

management of IT Security — Part 3: Techniques for the management of IT

security)

[8] ÈÑÎ 19011:2002

Руководящие указания по аудиту систем менеджмента качества и/или систем

экологического менеджмента (Guidelines for quality and/or environmental mana-

gement systems auditing)

[9] ÈÑÎ 9004:2000

Системы менеджмента качества. Рекомендации по улучшению деятельности

(Quality management systems — Guidelines for performance improvements)