міжнародні

відомчі

континентальні

національні

регіональні

розуміння, необхідне для управління цілями, задачами, ризиками й проблемами

одна подія чи серія небажаних або непердбачуваних подій інформаційної безпеки, що мають значну ймовірність компрометації функціонування бізнесу та загрози інформаційної безпеки

прикладна система, сервіси, засоби інформаційних технологій або інші компоненти для оброблення інформації

ідентифікований стан системи, служби чи мережі, який вказує на можливе порушення політики інформаційної безпеки чи відмови засобів безпеки, або раніше невідому ситуацію, яка може мати відношення до безпеки

процеси для виявлення, реєстрації, оцінювання, реагування, оброблення й дослідження інцидентів інформаційної безпеки.

посилання, на основі яких можна оцінити важливість ризику

загальний процес ідентифікації ризику, аналізування ризику та зіставлення ризику

обізнане рішення залишити певний визначений ризик

процес виявлення, розпізнавання та описування ризику

процес осмислення природи ризику та визначення рівня ризику

високорівневі поняття безпеки та їх взаємозв'язок згідно стандарту ISO/IEC 15408

цілі безпеки для об’єкта оцінки згідно стандарту ISO/IEC 15408

структура стандарту ISO / IEC 15408

цілі безпеки для середовища функціонування згідно стандарту ISO/IEC 15408

основні ідеї стандарту ISO / IEC 15408

об'єднує ІС, в яких реалізована чітко визначена і задокументована формалізована модель забезпечення безпеки, а меточного механізм поділу і контролю доступу, реалізований в системах класу В1, поширений на всіх користувачів, всі дані і всі види доступу

об'єднує ІС з поділом користувачів і даних

об'єднує ІС, щоб забезпечити більш тонкі засоби захисту в порівнянні з ІС класу С1, що роблять користувачів індивідуально помітними в їх діях за допомогою процедур контролю входу та контролю за подіями, які стосуються безпеки ІС і ізоляцію даних

об'єднує ІС, які мають спеціальні комплекси безпеки. В ІС цього класу повинен бути механізм реєстрації всіх видів доступу будь-якого суб'єкта до будь-якого об'єкту. Повинна бути повністю виключена можливість несанкціонованого доступу. Система безпеки повинна мати невеликий обсяг і прийнятну складність для того, щоб користувач міг у будь-який момент протестувати механізм безпеки

об'єднує ІС, які відповідають всім вимогам класу С2, додатково реалізують заздалегідь визначену модель безпеки, що підтримують мітки суб'єктів і об'єктів, повний контроль доступу. Вся інформація реєструється, всі виявлені при тестуванні недоліки повинні бути усунені

процес модифікації ризику

особа чи організація, яка має повноваження та владу управління ризиками

слабкість ресурсу СУІБ або заходів безпеки, якою можуть скористатись одна чи більше загроз

потенційна причина небажаного інциденту, який може спричинити шкоду для системи чи організації

підтвердження наданням об’єктивних доказів, що встановлені вимоги виконано

забезпечити гарантію того, що права доступу не будуть активовані (наприклад, провайдером послуг) до завершення процедур авторизації

періодичний перегляд прав доступу разом з власниками ІС і сервісів

зміна прав доступу користувачів, у яких змінилася роль або робота, і негайне скасування або блокування прав доступу користувачів після їх звільнення

ведення централізованих записів прав доступу, наданих кодів користувача для доступу до ІС і сервісів

забезпечення спеціальних процедур для запобігання несанкціонованому використанню універсальних адміністративних ідентифікаторів з урахуванням особливостей системної конфігурації

мати захист від шкідливого ПЗ

підтверджувати інформацію початку сеансу тільки по завершенні введення всіх вихідних даних, а в разі помилкового введення не показувати, яка частина даних є правильною або неправильною

забезпечувати резервне копіювання

використовувати веб-сервіси і веб-додатки

використовувати дистанційне виключення, видалення або блокування

необхідно вимагати, щоб всі співробітники, підрядники та представники сторонніх організацій носили ту чи іншу форму видимого ідентифікатора і негайно повідомляли співробітників служби безпеки про помічені без супроводу відвідувачів та осіб, що не носять видимого ідентифікатора

необхідно фізично ізолювати засоби обробки інформації, керовані організацією, від таких же засобів, керованих сторонніми організаціями

повинні бути встановлені фізичні бар'єри для запобігання несанкціонованого фізичного доступу та екологічного забруднення

повинні бути встановлені необхідні системи виявлення вторгнення, що відповідають чинним стандартам, і регулярно тестуватись на предмет охоплення всіх зовнішніх дверей і доступних вікон, неохоплені зони необхідно ставити на цілодобову сигналізацію; охоплені повинні бути також і такі зони, як комп'ютерний кабінет або кімнати зв'язку

всі пожежні виходи в периметрі безпеки повинні бути обладнані аварійною сигналізацією, моніторитись і тестуватись разом зі стінами, щоб створити необхідний рівень стійкості відповідно до діючих стандартів

спроможність надати докази заявленої події або дії та їх джерела

управління технічними уразливими

управління засобами криптографії

захист від шкідливого ПЗ

безпека комунікацій