Управление информационной безопасностью. Стандарты СУИБ
Шрифт:
– должна быть отдельная авторизация на каждый случай копирования операционной информации в среду тестирования;
– после завершения тестирования всю операционную информацию следует немедленно удалить из среды тестирования;
– копирование и использование операционной информации должно протоколироваться для дальнейшего аудита.
Системное и приемное испытание, как правило, требуют значительных объемов тестовых данных, которые должны быть как можно более закрыты для попадания в них операционных данных.
11.
Взаимоотношения с поставщиками определяют следующие составляющие:
– ИБ в отношениях с поставщиками;
– управление оказанием услуг.
11.1. ИБ в отношениях с поставщиками
Цель: Обеспечить защиту активов организации, доступных поставщикам.
ИБ при взаимоотношении с поставщиками определяют следующие составляющие:
– политика ИБ в отношениях с поставщиками;
– включение ИБ в договор с поставщиками;
– ИКТ цепочки поставок.
Политика ИБ в отношениях с поставщиками
Меры и средства
Для уменьшения рисков, связанных с доступом поставщика к активам организации, должны быть согласованы с поставщиком и задокументированы требования ИБ.
Рекомендации по реализации
Организация должна в политике определить и обозначить меры ИБ конкретного доступа поставщика к информации организации. Эти меры предусматривают внедрение как организацией, так и поставщиком, процессов и процедур, включающих:
– определение и документирование типов поставщиков, например, ИТ сервисы, программы логистики, финансовые сервисы, компоненты ИТ инфраструктуры, которым организация предоставит доступ к своей информации;
– стандартный процесс и жизненный цикл управления отношениями с поставщиком;
– определение типов информационного доступа, который получат разные типы поставщиков, и мониторинг и контроль доступа;
– минимум требований ИБ к каждому типу информации и типу доступа в качестве базы для индивидуальных соглашений с поставщиком на основании бизнес-требований организации и их профиля риска;
– процессы и процедуры мониторинга соблюдения установленных требований ИБ для каждого типа поставщика и типа доступа, включая третью сторону анализа и проверки продукта;
– точность и полнота мер защиты, дающая гарантию целостности информации или ее обработки другим участником;
– типы обязательств, применимых к поставщикам для защиты информации организации;
– обработка инцидентов и непредвиденных обстоятельств, связанных с доступом поставщика, включая обязанности как организации, так и поставщиков;
– устойчивость и, при необходимости, восстановление и резервные механизмы обеспечения доступности информации или ее обработки другой стороной;
– обучение персонала организации, занимающегося покупками, применяемым политикам,
– обучение персонала организации, взаимодействующего с персоналом поставщика, правилам сотрудничества и поведения с учетом типа поставщика и уровня его доступа к системам и информации организации;
– условия, при которых требования и меры ИБ должны быть прописаны в соглашении, подписываемом обеими сторонами;
– управление необходимыми перемещениями информации, средств ее обработки и т. п. и гарантия того, что ИБ обеспечивается на протяжении перемещения.
Информация может быть подвержена риску поставщиком при неадекватном управлении ИБ. Следует определить и применить меры защиты для администрирования доступа поставщика к средствам обработки информации. Например, если специально требуется конфиденциальность информации, то могут заключаться соглашения о неразглашении.
Другим примером являются риски защиты данных, если соглашение с поставщиком содержит передачу информации за пределы организации или удаленный доступ к ней. Организация должна быть уверена, что правовая или договорная ответственность за защиту информации остается в организации.
Включение ИБ в договор с поставщиками
Меры и средства
Все соответствующие требования ИБ должны быть установлены и согласованы с каждым поставщиком, который может иметь доступ, обрабатывать, хранить, передавать информацию организации или предоставлять компоненты ИТ инфраструктуры.
Рекомендации по реализации
Договоренности с поставщиком должны быть оформлены и задокументированы для гарантии того, что между организацией и поставщиком нет недопонимания своих обязательств по выполнению соответствующих требований ИБ.
Следующие условия должны быть рассмотрены на предмет включения в договор для удовлетворения определенных требований ИБ:
– описание предоставляемой или доступной информации и методов предоставления или доступа к информации;
– классификация информации в соответствии со схемой классификации организации; при необходимости, сопоставление схем классификации организации и поставщика;
– правовые и нормативные требования, включая защиту данных, интелектуальную собственность, авторские права, и описание того, как в этом удостовериться;
– обязательство каждой стороны договора по внедрению согласованного пакета мер защиты, включая контроль доступа, анализ производительности, мониторинг, уведомление и аудит;
– правила допустимого использования информации, включая, при необходимости, недопустимое использование;
– подробный список персонала поставщика, имеющего право либо доступа или получения информации организации или процедур или условий авторизации, либо удаления прав доступа или получения информации организации персоналом поставщика;