визначення відповідальності різних ролей з урахуванням специфіки управління ІБ

визначення ІБ, її цілей і принципів для керівництва діями щодо забезпечення ІБ

особистої відповідальність за кожен актив і процес ІБ

можливості отримання консультацій фахівців з питань ІБ особистої відповідальність за кожен актив і процес ІБ

перевірки достовірності документів про освіту і професійну кваліфікацію

контрольовану зону розповсюдження сигналу

особистої відповідальність за кожен мобільний пристрій

існуючу фізичну безпеку місця віддаленої роботи, включаючи фізичну безпеку будівлі і навколишнього середовища

визначення відповідальності різних ролей з урахуванням специфіки управління віддаленим робочим столом

захист від технічних каналів витоку інформації

безпека активів поза територією організації

процедури безпечного входу

безпека обладнання без нагляду

безпечне знищення активів

політика чистого робочого столу і екрану

забезпечення конфіденційності при спільному використанні пароля універсальних адміністративних ідентифікаторів (наприклад, часта зміна паролів, особливо при звільненні або зміні роботи, їх передача за допомогою спеціальних механізмів)

визначення і документування рівнів повноважень щодо системного ПЗ

ідентифікатор користувача з правами привілейованого доступу повинен відрізнятися від ідентифікаторів, що виконують звичайну роботу, і не повинен її виконувати

забезпечення спеціальних процедур для запобігання несанкціонованому використанню універсальних адміністративних ідентифікаторів з урахуванням особливостей системної конфігурації

повноваження користувачів з правами привілейованого доступу повинні регулярно переглядатися на предмет відповідності їх обов'язків

наявність позитивних рекомендацій, зокрема, щодо ділових та особистих якостей претендента

перевірку біографії кандидата (на предмет повноти і точності

перевірка достовірності документів про освіту і професійну кваліфікацію

активи і процеси ІБ повинні бути ідентифіковані та визначено

незалежна перевірка достовірності документів, що засвідчують особу (паспорта або документа, що його замінює)

контроль прав доступу користувачів, наприклад, читання, запис, видалення, зміна

оновлення бібліотек вихідного коду програм і пов'язаних з ним елементів, а також надання вихідного коду програмістам повинні здійснюватися тільки після отримання ними відповідних повноважень

створення пунктів меню управління доступом до прикладних функцій системи

контроль прав доступу інших прикладних програм

контроль, до яких даних може отримати доступ конкретний користувач

фізична та екологічна безпека

класифікація активів

управління доступом

передача інформації

контакт зі спеціальними групами

визначення відповідальності різних ролей з урахуванням специфіки управління ІБ

контрольовану зону розповсюдження сигналу

особистої відповідальність за кожен мобільний пристрій

захист від технічних каналів витоку інформації мобільних пристроїв

вимоги до версій ПЗ мобільних пристроїв і застосування патчів

необхідно уникати неконтрольованої роботи в зонах безпеки з міркувань безпеки і запобігання можливості зловмисних дій

використання фото-, відео-, аудіо- та іншого обладнання для запису, такого як камери мобільних пристроїв, має бути заборонено, якщо тільки на це не отримано спеціальний дозвіл

необхідно фізично ізолювати засоби обробки інформації, керовані організацією, від таких же засобів, керованих сторонніми організаціями

про існування зон безпеки і проводимих там роботах персонал повинен бути обізнаний тільки в разі потреби

порожні зони безпеки необхідно фізично замикати і періодично переглядати

мати захист від шкідливого ПЗ

обмежувати час з'єднання для забезпечення додаткової безпеки для прикладних програм підвищеного ризику і зменшення тимчасових можливостей неавторизованого користувача

забезпечувати резервне копіювання

використовувати веб-сервіси і веб-додатки

використовувати дистанційне виключення, видалення або блокування