ISO/IEC 27001:2005
Information Security Management Systems
Information technology - Security techniques - Information
security management systems - Requirements
Překlad a interpretace pro české prostředí
Předmluva
ISO (Mezinárodní organizace pro normalizaci) a IEC (Mezinárodní elektrotechnická komise)
tvoří specializovaný systém celosvětové normalizace. Národní orgány, které jsou členy ISO
nebo IEC, se podílejí na vypracování mezinárodních norem prostřednictvím technických komisí
zřízených příslušnou organizací k tomu, aby se zabývaly určitou oblastí technické činnosti.
V oblastech společného zájmu technické komise ISO a IEC spolupracují. Práce se zúčastňují
i jiné mezinárodní organizace, vládní i nevládní, s nimiž ISO a IEC navázaly pracovní styk.
V oblasti informačních technologií zřídily ISO a IEC společnou technickou komisi ISO/IEC JTC
1.
Návrhy mezinárodních norem jsou zpracovány v souladu s pravidly uvedenými v části 2 Směrnic
ISO/IEC.
Hlavním úkolem společné technické komise je připravovat mezinárodní normy. Návrhy
mezinárodních norem přijaté společnou technickou komisí se rozesílají národním orgánům
k hlasování. Vydání mezinárodní normy vyžaduje souhlas alespoň 75 % hlasujících členů.
Pozornost je třeba věnovat možnosti, že některé prvky tohoto dokumentu mohou být
předmětem patentových práv. ISO a IEC nenesou odpovědnost za identifikaci všech patentových
práv nebo kteréhokoliv z nich.
Mezinárodní norma ISO/IEC 27001 byla připravena společnou technickou komisí ISO/IEC JTC
1, Information technology, subkomise SC 27, IT Security techniques.
0 Úvod
1.1 Všeobecně
Tato mezinárodní norma byla připravena proto, aby poskytla podporu pro ustavení, zavedení,
provozování, monitorování, udržování a zlepšování systému řízení bezpečnosti informací
(Information Security Management Systems nebo ISMS). Přijetí ISMS by mělo být strategickým
rozhodnutím organizace. Návrh a zavedení ISMS v organizaci je podmíněno potřebami a cíli
činností (business) organizace a z toho vyplývajících požadavků na bezpečnost, dále pak
používanými procesy a velikostí a strukturou organizace. Všechny tyto a jejich podpůrné
systémy podléhají změnám v čase. Předpokládá se, že jednoduché situace vyžadují
jednoduchá řešení ISMS.
Tuto normu mohou využívat interní i externí subjekty, včetně certifikačních orgánů, k hodnocení
schopnosti organizace splnit vlastní požadavky, stejně jako požadavky dané zákonem nebo
požadavky zákazníků.
1.2 Procesní přístup
Tato mezinárodní norma prosazuje přijetí procesního přístupu pro ustavení, zavedení,
provozování, monitorování, udržování a zlepšování efektivnosti ISMS v organizaci.
Aby organizace fungovala efektivně, musí pojmenovat a řídit mnoho vzájemně propojených
činností. Činnost, která využívá zdroje a je řízena za účelem přeměny vstupů na výstupy, může
být považována za proces. Výstup z jednoho procesu často přímo tvoří vstup pro následující
proces.
Aplikace systému procesů v organizaci, spolu s identifikací těchto procesů, jejich vzájemným
působením a řízením může být označováno jako “procesní přístup”.
Při použití procesního přístupu tak, jak je prezentován v této normě, je kladen důraz na:
a) pochopení požadavků na bezpečnost informací a potřebu stanovení politiky a cílů
bezpečnosti informací;
b) zavedení a provádění kontrol v kontextu s řízením celkových rizik činností organizace;
c) monitorování a přezkoumání funkčnosti a efektivnosti ISMS;
d) neustálé zlepšování založené na objektivním měření.
Model známý jako “Plánuj-Dělej-Kontroluj-Jednej“ (Plan-Do-Check-Act nebo PDCA) může být
aplikován na všechny procesy ISMS tak, jak jsou zavedeny touto normou. Obrázek 1
znázorňuje, jak ISMS přijímá požadavky bezpečnosti informací a očekávání zainteresovaných
stran jako vstup, a jak pomocí nezbytných činností a procesů vytváří výstupy bezpečnosti
informací (např. řízenou bezpečnost informací), které splňují tyto požadavky a očekávání.
Obrázek 1 také znázorňuje propojení procesů uvedených v kapitolách 4, 5, 6, 7 a 8.
Zavedení modelu PDCA bude také odrážet principy, které jsou definovány ve směrnici OECD
(2002)1 pro řízení bezpečnosti informačních systémů a sítí. Norma ISO/IEC 27001 poskytuje
celistvý model pro zavedení principů definovaných v této směrnici, které upravují hodnocení
rizik, návrh a zavedení bezpečnosti, řízení bezpečnosti a opětovné hodnocení bezpečnosti.
PŘÍKLAD 1
Může být například požadováno, aby v případě narušení bezpečnosti nebyly způsobeny
organizaci vážné finanční škody ani jiné těžkosti (např. ztráta image).
PŘÍKLAD 2
Vyskytne-li se závažný incident, například napadení (hacking) eBusiness systému organizace
(web site) očekává se, že pro minimalizaci dopadů incidentu budou k dispozici dostatečně
vyškolení zaměstnanci.
1.3 Kompatibilita s jinými systémy řízení
Tato mezinárodní norma je propojena s normami ISO 9001:2000 a ISO 14001:2004 tak, aby
bylo podpořeno jejich konzistentní a jednotné zavedení a provoz. Jeden vhodně navržený
systém řízení tak může naplnit požadavky všech tří norem. Tabulka C.1 znázorňuje vztah mezi
kapitolami ISO 27001:2005, ISO 9001:2000 a ISO 14001:2004.
Tato norma je navržena tak, aby organizaci umožnila propojit nebo integrovat ISMS
s odpovídajícími požadavky systémů řízení.
Informační technologie – Bezpečnostní techniky – Sytém řízení
bezpečnosti informací – Požadavky
Důležité upozornění
Tato publikace nemůže obsáhnout všechna opatření z oblasti jejího určení. Uživatelé
jsou sami odpovědni za její správné použití. Shoda s normou sama o sobě nezbavuje
organizaci odpovědnosti za splnění závazků vyplývajících ze zákona.
1 Působnost
1.1 Všeobecně
Tato mezinárodní norma je použitelná pro všechny typy organizací (např. komerční organizace,
státní organizace a úřady, neziskové organizace). Norma specifikuje požadavky na ustavení,
zavedení, provoz, monitorování, přezkoumání, udržování a zlepšování dokumentovaného ISMS
v kontextu celkových rizik činností organizace. Specifikuje požadavky na zavedení
bezpečnostních opatření, upravených podle potřeb jednotlivých organizací nebo jejich částí.
ISMS je navržen tak, aby zajistil odpovídající a přiměřená bezpečnostní opatření, adekvátně
chránící informační aktiva a poskytující odpovídající jistotu klientům a dalším zainteresovaným
stranám2.
POZNÁMKA 1
Slovo „business“ je v textu normy překládáno jako „činnost organizace“, v kontextu celé normy
jsou činnostmi organizace myšleny veškeré aktivity, které jsou důležité pro existenci organizace
a naplňování jejích cílů.
POZNÁMKA 2
ISO/IEC 17799 poskytuje doporučení, která mohou být použita při návrhu a realizaci
jednotlivých opatření.
1.2 Použití
Požadavky této normy jsou obecně použitelné a jsou aplikovatelné ve všech organizacích bez
ohledu na jejich typ, velikost a povahu činností. Vyřazení jakýchkoli požadavků
specifikovaných v odstavcích 4, 5, 6, 7 a 8 je v případě, že chce organizace dosáhnout
souladu s touto normou, nepřijatelné.
Jakékoliv vyřazení opatření, která byla identifikována jako nezbytná pro snížení rizik na
akceptovatelnou úroveň3, musí být opodstatněno a musí být doloženo, že rizika s tím spojená
byla akceptována odpovědnými osobami. Tam, kde se tato vyřazení provedou, lze akceptovat
nároky na soulad s touto normou, jedině pokud tato vyřazení neovlivní schopnost a/nebo
odpovědnost organizace zajistit bezpečnost informací v souladu s bezpečnostními požadavky
stanovenými analýzou rizik a odpovídajícími zákonnými a regulatorními požadavky.
POZNÁMKA
V případech, kdy má organizace již zaveden systém řízení (např. podle ISO 9001 nebo ISO
14001), je ve většině případů vhodné implementovat požadavky této normy v rámci existujícího
systému.
2 Normativní odkazy
Pro použití tohoto dokumentu jsou nezbytné odkazy na následující dokumenty. U datovaných
odkazů připadají v úvahu pouze uvedená vydání. U nedatovaných odkazů je myšleno jejich
poslední vydání.
ISO/IEC 17799:2005, Information technology – Security techniques – Code of practice for
information security management
(Informační technologie – Bezpečnostní techniky – Soubor postupů pro řízení bezpečnosti
informací.)
3 Termíny a definice
Pro účely tohoto dokumentu jsou platné následující definice.
3.1
aktivum (asset)
cokoliv, co má pro organizaci nějakou hodnotu
[ISO/IEC 13335-1:2004]
3.2
dostupnost (availability)
zajištění, že informace je pro oprávněné uživatele přístupná v okamžiku její potřeby
[ISO/IEC 13335-1:2004]
3.3
důvěrnost (confidentiality)
zajištění, že informace jsou přístupné nebo sděleny pouze těm, kteří jsou k tomu oprávněni
[ISO/IEC 13335-1:2004]
3.4
bezpečnost informací (information security)
zachování důvěrnosti, integrity a dostupnosti informací a s nimi spojené priority např.
autentičnost, odpovědnost, nepopiratelnost a hodnověrnost
[ISO/IEC 17799:2005]
3.5
bezpečnostní událost (information security event)
bezpečnostní událost je identifikovaný stav systému, služby nebo sítě, ukazující na možné
porušení bezpečnostní politiky, nebo selhání bezpečnostních opatření. Může se také jednat
o jinou předtím nenastalou situaci, která může být důležitá z pohledu bezpečnosti informací
[ISO/IEC TR 18044:2004]
3.6
bezpečnostní incident (information security incident)
bezpečnostní incident je jedna nebo více nechtěných nebo neočekávaných bezpečnostních
událostí, u kterých existuje vysoká pravděpodobnost kompromitace činností organizace
a ohrožení bezpečnosti informací
3.7
systém řízení bezpečnosti informací ISMS (information security management
system)
část celkového systému řízení organizace, založená na přístupu (organizace) k rizikům činností,
která je zaměřena na ustavení, zavádění, provoz, monitorování, přezkoumání, udržování
a zlepšování bezpečnosti informací
POZNÁMKA
Systém řízení zahrnuje organizační strukturu, politiky, plánovací činnosti, odpovědnosti,
praktiky, postupy, procesy a zdroje.
3.8
integrita (integrity)
zajištění správnosti a úplnosti informací
[ISO/IEC 13335-1:2004]
3.9
zbytkové riziko (residual risk)
riziko, které zůstane po implementaci bezpečnostních opatření
[ISO/IEC Guide 73:2002]
3.10
akceptace rizika (risk acceptance)
rozhodnutí přijmout riziko
[ISO/IEC Guide 73:2002]
3.11
analýza rizik (risk analysis)
systematické používání informací k odhadu rizika a k určení jeho zdrojů
[ISO/IEC Guide 73:2002]
3.12
hodnocení rizik (risk assessment)
celkový proces analýzy a vyhodnocení rizik
[ISO/IEC Guide 73:2002]
3.13
vyhodnocení rizik (risk evaluation)
proces porovnávání odhadnutého rizika vůči daným kritériím pro určení jeho významu
[ISO/IEC Guide 73:2002]
3.14
řízení rizik (risk management)
koordinované činnosti sloužící k řízení a kontrole organizace s ohledem na rizika
[ISO/IEC Guide 73:2002]
POZNÁMKA
Řízení rizik zpravidla zahrnuje hodnocení rizik, zvládání rizik, akceptaci a seznámení s rizikem
3.15
zvládání rizik (risk treatment)
proces výběru a přijímání opatření pro změnu rizika
[ISO/IEC Guide 73:2002]
3.16
prohlášení o aplikovatelnosti (statement of applicability)
dokumentované prohlášení popisující cíle opatření a jednotlivá bezpečnostní opatření, která
jsou relevantní a aplikovatelná v rámci ISMS organizace
POZNÁMKA
Cíle opatření a jednotlivá bezpečnostní opatření jsou založena na výsledcích a závěrech
procesů hodnocení a zvládání rizik, legislativních a regulatorních požadavcích, smluvních
závazcích a požadavcích organizace na bezpečnost informací.
4 Systém řízení bezpečnosti informací
4.1 Všeobecné požadavky
Organizace musí ustavit, zavést, provozovat, monitorovat, přezkoumávat, udržovat a soustavně
zlepšovat dokumentovaný ISMS organizace, a to v kontextu všech činností a rizik. Použitý
proces je, pro účely této normy, založen na modelu PDCA znázorněném na obrázku č.1.
4.2 Ustavení a řízení ISMS
4.2.1 Ustavení ISMS
Organizace musí provést následující.
a) Definovat rozsah a hranice ISMS na základě posouzení specifických rysů činností
organizace, jejího uspořádání, struktury, umístění (lokality), aktiv a technologií,
včetně důvodů pro vyjmutí z rozsahu ISMS (viz 1.2).
b) Definovat politiku ISMS na základě posouzení specifických rysů činností
organizace, její struktury, umístění aktiv a technologií, která:
1. zahrnuje rámec pro stanovení jejích cílů a ustavuje celkový směr řízení a rámec
zásad činností týkající se bezpečnosti informací;
2. bere v úvahu požadavky vyplývající z činností organizace a legislativní nebo
regulatorní požadavky a smluvní bezpečnostní závazky;
3. pro vybudování a údržbu ISMS vytváří potřebné vazby na prostředí, tedy na
strategii organizace, její organizační strukturu a proces řízení rizik;
4. stanovuje kritéria, kterými bude hodnoceno riziko [viz 4.2.1 c)];
5. byla schválena vedením.
POZNÁMKA
Pro účely této normy je politika ISMS považována za nadřazenou bezpečnostní
politice organizace. Obě politiky mohou být součástí jednoho dokumentu.
c) Definovat systematický přístup k hodnocení rizik.
1. Určit metodiku hodnocení rizik, která vyhovuje ISMS a stanovené bezpečnosti
informací, legislativním a regulatorním požadavkům.
2. Určit kritéria pro akceptaci rizik a pro definování jejich akceptační úrovně [viz
5.1 f)].
Vybraná metodika hodnocení rizik musí zajistit, že jsou výsledky hodnocení rizik
porovnatelné a reprodukovatelné.
POZNÁMKA
Pro hodnocení rizik existuje řada různých metodik. Příklady metodik pro hodnocení
rizik lze nalézt v normě ISO/IEC TR 13335-34, Information technology -- Guidelines
for the management of IT Security -- Part 3: Techniques for the management of IT
Security.
d) Identifikovat rizika.
1. Identifikovat aktiva v rámci rozsahu ISMS a jejich vlastníky5.
2. Identifikovat hrozby pro tato aktiva.
3. Identifikovat zranitelnosti, které by mohly být hrozbami využity.
4. Identifikovat, jaké dopady na aktiva by mohla mít ztráta důvěrnosti, integrity
a dostupnosti.
e) Analyzovat a vyhodnocovat rizika.
1. Ohodnotit dopady na činnost organizace, které by mohly vyplynout ze selhání
bezpečnosti s tím, že vezme v úvahu případné následky ztráty důvěrnosti,
integrity nebo dostupnosti aktiv.
2. Ohodnotit reálnou pravděpodobnost selhání bezpečnosti, které by se mohlo
vyskytnout působením existujících hrozeb a zranitelností a dopady na
konkrétní aktiva s přihlédnutím k aktuálně zavedeným opatřením.
3. Odhadnout úrovně rizik.
4. Určit, zda je riziko akceptovatelné nebo vyžaduje zvládání podle kritérií
stanovených v 4.2.1c)2).
f) Identifikovat a vyhodnotit varianty pro zvládání rizik.
Možné činnosti zahrnují:
1. aplikování vhodných opatření;
2. vědomé a objektivní akceptování rizik za předpokladu, že naplňují politiku
organizace a kritéria pro akceptaci rizik [viz 4.2.1c)2)];
3. vyhnutí se rizikům;
4. přenesení rizik spojených s činností organizace na třetí strany, např. na
pojišťovny, dodavatele.
g) Vybrat cíle opatření a jednotlivá bezpečnostní opatření pro zvládání rizik.
Z přílohy A této normy musí být vybrány a implementovány vhodné cíle opatření a
jednotlivá bezpečnostní opatření a tento výběr musí být zdůvodněn na základě
výsledků procesů hodnocení a zvládání rizik. Při výběru musí být zohledněna
kritéria pro akceptaci rizik [viz 4.2.1c)], stejně tak jako legislativní, regulatorní a
smluvní požadavky.
Cíle opatření a jednotlivá bezpečnostní opatření uvedená v příloze A nejsou
vyčerpávající, mohou tedy být vybrány i další cíle opatření a jednotlivá opatření.
POZNÁMKA
Příloha A obsahuje ucelený seznam cílů opatření a jednotlivých bezpečnostních
opatření, které byly shledány jako obecně použitelné pro všechny typy organizací.
Seznam poskytuje uživatelům důležité vodítko pro zajištění toho, aby nebyla
opomenuta nebo přehlédnuta žádná z důležitých opatření.
h) Získat souhlas vedení organizace s navrhovanými zbytkovými riziky.
i) Získat povolení ze strany vedení organizace k zavedení a provozu ISMS.
j) Připravit Prohlášení o aplikovatelnosti.
Prohlášení o aplikovatelnosti musí obsahovat následující:
1. cíle opatření a jednotlivá bezpečnostní opatření vybrané v 4.2.1g) a důvody pro
jejich výběr;
2. cíle opatření a jednotlivá bezpečnostní opatření, která jsou již v organizaci
implementována [viz 4.2.1e)2)];
3. vyřazené cíle opatření a jednotlivá vyřazená bezpečnostní opatření uvedená
v příloze A, včetně zdůvodnění pro jejich vyřazení.
POZNÁMKA
Prohlášení o aplikovatelnosti poskytuje souhrn rozhodnutí jakým způsobem bude
naloženo s identifikovanými riziky. Zdůvodnění pro vyřazení cílů a jednotlivých
opatření poskytuje zpětnou kontrolu zda nebyly vyřazeny omylem.
4.2.2 Zavádění a provozování ISMS
Organizace musí provést následující:
a) Formulovat plán zvládání rizik, který vymezí odpovídající řídící činnosti, zdroje,
odpovědnosti a priority pro řízení rizik bezpečnosti informací (viz kapitola 5).
b) Zavést plán zvládání rizik tak, aby dosáhla určených cílů opatření, přičemž vezme
v úvahu finanční a lidské zdroje a přiřazení rolí a odpovědností.
c) Zavést bezpečnostní opatření vybraná v 4.2.1 g) pro dosažení (naplnění) cílů těchto
opatření.
d) Určit jakým způsobem bude měřit účinnost vybraných opatření nebo skupin opatření
a stanovit jakým způsobem budou tato měření použita k vyhodnocení účinnosti opatření
tak, aby závěry hodnocení byly porovnatelné a opakovatelné [viz 4.2.3c)].
POZNÁMKA
Měření účinnosti opatření poskytuje vedení organizace a zaměstnancům informaci
o tom, jak jednotlivá opatření naplňují plánované cíle.
e) Zavést programy školení a programy zvyšování bezpečnostního povědomí (viz 5.2.2).
f) Řídit provoz ISMS.
g) Řídit zdroje ISMS (viz 5.2).
h) Zavést postupy a další opatření pro rychlou detekci a reakci na bezpečnostní události
a postupy reakce na bezpečnostní incidenty [viz 4.2.3a)].
4.2.3 Monitorování a přezkoumání ISMS
Organizace musí provést následující:
a) Monitorovat, přezkoumávat a zavést další opatření:
1. pro včasnou detekci chyb zpracování;
2. pro včasnou detekci úspěšných i neúspěšných pokusů o narušení bezpečnosti
a detekci bezpečnostních incidentů;
3. umožňující vedení organizace určit, zda bezpečnostní aktivity, prováděné
pověřenými osobami nebo pro které byly implementovány technologie, fungují
dle očekávání;
4. umožňující detekci bezpečnostních událostí a zabránění tak vzniku
bezpečnostních incidentů;
5. umožňující vyhodnocení účinnosti činností podniknutých při narušení
bezpečnosti.
b) Pravidelně přehodnocovat účinnost ISMS (včetně splnění politiky ISMS, cílů
a analýzy bezpečnostních opatření) s ohledem na výsledky bezpečnostních auditů,
incidentů, výsledků měření účinnosti opatření, návrhů a podnětů všech
zainteresovaných stran.
c) Měřit účinnost zavedených opatření pro ověření toho, zda byly naplněny
požadavky na bezpečnost.
d) V plánovaných intervalech provádět přezkoumání hodnocení rizik
a přehodnocování úrovně zbytkového a akceptovatelného rizika s ohledem na
změny:
1. organizace;
2. technologií;
3. cílů činností organizace a procesů;
4. identifikovaných hrozeb;
5. účinnosti zavedených opatření;
6. regulatorního a právního prostředí, změny vyplývající ze smluvních závazků,
změny sociálního klima.
e) Provádět interní audity ISMS v plánovaných intervalech (viz kapitola 6).
POZNÁMKA
Interní audity jsou prováděny přímo organizací nebo externími auditory. Jejich
cílem může být například prověření systému řízení před samotným certifikačním
auditem.
f) Na úrovni vedení organizace pravidelně přehodnocovat ISMS, aby se zajistilo, že jeho
rozsah je i nadále odpovídající, a že se daří nacházet možnosti zlepšení (viz 7.1).
g) Aktualizovat bezpečnostní plány s ohledem na nálezy zjištěné v rámci
monitorování a přezkoumání.
h) Zaznamenávat všechny činnosti a události, které by mohly mít dopad na účinnost
nebo výkon ISMS (viz 4.3.3).
4.2.4 Udržování a zlepšování ISMS
Organizace musí pravidelně provádět následující:
a) Zavádět identifikované možnosti vylepšení ISMS.
b) Provádět odpovídající nápravné a preventivní činnosti v souladu s 8.2 a 8.3 s
využitím jak vlastních zkušeností v oblasti bezpečnosti, tak i zkušeností jiných
organizací.
c) Projednávat činnosti a návrhy na zlepšení na požadované úrovni detailu se všemi
zainteresovanými stranami a domluvit další postup.
d) Zaručit, že zlepšení dosáhnou předpokládaných cílů.
4.3 Požadavky na dokumentaci
4.3.1 Všeobecně
Dokumentace musí obsahovat záznamy o rozhodnutích učiněných vedením organizace.
Veškeré činnosti musí být zpětně identifikovatelné v politikách a dohledatelné záznamech o
rozhodnutí vedením. Veškeré činnosti musí být zaznamenány, aby se zajistila jejich
opakovatelnost.
Je důležité mít zdokumentován, a na požádání doložit, vztah mezi vybranými opatřeními
a závěry z procesů hodnocení a zvládání rizik a následně vazbu zpět na politiku a cíle ISMS.
Dokumentace ISMS musí obsahovat následující:
a) dokumentovaná prohlášení politiky a cílů ISMS [viz 4.2.1 b)];
b) rozsah ISMS [viz 4.2.1 a)];
c) postupy a opatření podporující ISMS;
d) popis použitých metodik hodnocení rizik [viz 4.2.1c)];
e) zprávu o hodnocení rizik [viz 4.2.1 c) až 4.2.1 g)];
f) plán zvládání rizik [viz 4.2.2 b)];
g) dokumentované postupy nezbytné pro zajištění efektivního plánování, provozu a řízení
procesů bezpečnosti informací organizace a popis toho jakým způsobem je měřena
účinnost zavedených opatření [viz 4.2.3c)];
h) záznamy vyžadované touto normou (viz 4.3.3);
i) prohlášení o aplikovatelnosti.
POZNÁMKA 1
Termín “dokumentovaný postup” v této normě znamená, že je tento postup vytvořen,
dokumentován, zaveden a udržován.
POZNÁMKA 2
Rozsah dokumentace ISMS se může pro jednotlivé organizace lišit, závisí na:
- velikosti organizace a typu její činnosti;
- rozsahu a složitost systému jenž je řízen a požadavcích na bezpečnost.
POZNÁMKA 3
Dokumenty a záznamy mohou být v jakékoliv formě a na jakémkoliv nosiči.
4.3.2 Řízení dokumentů
Dokumenty požadované ISMS musí být chráněny a řízeny. Musí být vytvořen dokumentovaný
postup tak, aby vymezil řídící činnosti potřebné k:
a) schvalování obsahu dokumentů před jejich vydáním;
b) přezkoumání dokumentů, popřípadě jejich aktualizaci a opakovanému schvalování;
c) zajištění identifikace změn dokumentů a aktuálního stavu revize dokumentů;
d) zajištění dostupnosti příslušných verzí aplikovatelných dokumentů v místech jejich
používání;
e) zajištění čitelnosti a snadné identifikovatelnosti dokumentů;
f) zajištění dostupnosti dokumentů pro všechny, kteří je potřebují, zajištění přenášení,
ukládání a likvidace dokumentů v souladu s postupy odpovídající jejich klasifikaci;
g) zajištění identifikace dokumentů externího původu;
h) zajištění řízené distribuce dokumentů;
i) zabránění neúmyslného použití zastaralých dokumentů;
j) aplikování jejich vhodné identifikace pro případ dalšího použití.
4.3.3 Řízení záznamů
Záznamy musí být vytvořeny a udržovány tak, aby poskytovaly důkaz o shodě s požadavky
a o efektivním fungování ISMS. Záznamy musí být chráněny a řízeny. ISMS musí zohlednit
všechny příslušné právní nebo regulatorní požadavky a smluvní závazky. Záznamy musí zůstat
čitelné, snadno identifikovatelné a musí být možné je snadno vyhledat. Opatření potřebná
k identifikaci, uložení, ochraně, vyhledání, době platnosti a uspořádání záznamů musí být
dokumentována.
Musí být udržovány záznamy o fungování a efektivnosti procesu budování a řízení ISMS, jak je
popsáno v kapitole 4.2. Dále musí být udržovány záznamy o všech výskytech bezpečnostních
incidentů, vztahujících se k ISMS.
PŘÍKLAD
Příklady záznamů jsou návštěvní kniha, záznamy z auditu a záznam o autorizaci přístupu.
5 Odpovědnost vedení
5.1 Závazek vedení
Vedení organizace musí deklarovat svoji vůli k ustavení, zavedení, provozu, monitorování,
přezkoumání, udržování a zlepšování ISMS tak, že:
a) ustanoví politiku ISMS;
b) zajistí stanovení cílů ISMS a plánu jejich dosažení;
c) stanoví role, povinnosti a odpovědnosti v oblasti bezpečnosti informací;
d) propaguje v rámci organizace význam plnění cílů bezpečnosti informací, jejich souladu
s politikou bezpečnosti informací, plnění povinností vyplývajících ze zákona a potřebu
soustavného zlepšování;
e) zajistí dostatečné zdroje pro ustavení, zavedení, provoz, monitorování, přezkoumání,
údržbu a zlepšování ISMS (viz 5.2.1);
f) stanoví svým rozhodnutím akceptovatelnou úroveň rizika;
g) zajistí provádění interních auditů ISMS (viz kapitola 6);
h) provede přezkoumání ISMS (viz kapitola 7).
5.2 Řízení zdrojů
5.2.1 Zajištění zdrojů
Organizace musí určit a zajistit zdroje potřebné pro:
a) ustavení, zavedení, provoz, monitorování, přezkoumání, udržování a zlepšování ISMS;
b) zajištění podpory cílů činností organizace postupy bezpečnosti informací;
c) určení a věnování náležité pozornosti zákonným a regulatorním požadavkům a
smluvním bezpečnostním závazkům;
d) udržování odpovídající úrovně bezpečnosti správnou aplikací všech zavedených
opatření;
e) provedení přezkoumání podle potřeby a zajištění odpovídajících reakcí na jejich
výsledky;
f) zlepšení efektivnosti ISMS podle potřeby.
5.2.2 Školení, vědomí závažnosti a odborná způsobilost
Organizace musí zajistit, aby zaměstnanci, kterých se týkají povinnosti určené v ISMS, byli
kompetentní k výkonu požadovaných úkolů. Zajišťuje to pomocí:
a) určení nezbytných kompetencí personálu vykonávajícího práci ovlivňující ISMS;
b) zajištění odpovídajícího školení nebo podniknutí jiných kroků (např. zaměstnání
kvalifikovaného personálu);
c) vyhodnocení efektivnosti zajištěného školení a provedených činností;
d) udržování záznamů o vzdělávání, školení, dovednostech, zkušenostech a kvalifikačních
předpokladech (viz 4.3.3).
Organizace musí také zajistit, aby si byl veškerý příslušný personál vědom závažnosti
a významu svých činností v rámci bezpečnosti informací a svého přínosu k dosažení cílů ISMS.
6 Interní audity ISMS
Organizace musí provádět interní audity ISMS v naplánovaných intervalech, aby zjistila, zda
cíle opatření, jednotlivá bezpečnostní opatření, procesy a postupy ISMS:
a) vyhovují požadavkům této normy a odpovídající legislativě nebo regulatorním
požadavkům;
b) vyhovují stanoveným požadavkům na bezpečnost informací;
c) jsou zavedeny a udržovány efektivně;
d) fungují tak, jak se očekává.
Program auditu musí být naplánován s ohledem na stav a význam auditovaných procesů
a oblastí a s ohledem na výsledky předchozích auditů. Musí být definována kritéria auditů, jejich
rozsah, četnost a metody. Výběr auditorů a vlastní provedení auditů musí zajistit objektivitu
a nestrannost procesu auditu. Auditoři nesmí prověřovat svou vlastní práci.
Odpovědnosti a požadavky na plánování a provedení auditů, na hlášení výsledků a udržování
záznamů (viz 4.3.3) musí být určeny dokumentovaným postupem.
Vedoucí zaměstnanci odpovědní za oblast, která je předmětem auditu musí zajistit, že kroky na
odstranění zjištěných nedostatků jsou prováděny bez zbytečného odkladu. Tyto kroky musí
obsahovat zpětnou kontrolu a hlášení o výsledcích této kontroly (viz kapitola 8).
POZNÁMKA
Norma ISO 190011:20026, Guidelines for duality and/or environmental management systems
auditing, může být dobrým zdrojem doporučení jak provádět interní audity ISMS.
7 Přezkoumání ISMS vedením organizace
7.1 Všeobecně
Vedení organizace musí provádět přezkoumání ISMS organizace v naplánovaných intervalech
(alespoň jednou za rok), aby zajistilo jeho permanentní účelnost, adekvátnost a efektivnost.
Tato přezkoumání musí také hodnotit možnosti zlepšení a potřebu změn v ISMS, včetně
bezpečnostní politiky a cílů bezpečnosti. Výsledky přezkoumání musí být jasně
zdokumentovány a musí být o nich udržovány záznamy (viz 4.3.3).
7.2 Vstup pro přezkoumání
Vstupy pro přezkoumání vedením organizace musí zahrnovat informace o:
a) výsledcích auditů a přezkoumání ISMS;
b) zpětné vazbě od zainteresovaných stran;
c) technikách, produktech nebo postupech, které by mohly být použity v organizaci ke
zlepšení výkonu a efektivnosti ISMS;
d) stavu preventivních opatření a stavu opatření k nápravě;
e) slabinách nebo hrozbách, jimž nebyla v rámci předchozích přezkoumání rizik věnována
náležitá pozornost;
f) závěrech měření účinnosti zavedených opatření;
g) činnostech, které následovaly po předchozích přezkoumání vedením organizace (tj.
vyplývaly z jeho závěrů);
h) změnách, které by mohly ovlivnit ISMS;
i) doporučeních pro zlepšování.
7.3 Výstup z přezkoumání
Výstupy přezkoumání prováděného vedením organizace musí zahrnovat jakákoli rozhodnutí a
činnosti vztahující se k:
a) zvyšování efektivnosti ISMS;
b) aktualizaci hodnocení rizik a plánu zvládání rizik;
c) nezbytným změnám postupů bezpečnosti informací, v reakci na vnitřní nebo vnější
události, které by mohly mít vliv na ISMS. Změny se mohou týkat:
1) požadavků spojených s činností organizace;
2) bezpečnostních požadavků;
3) procesů organizace ovlivňujících existující požadavky spojené s činností
organizace;
4) regulatorních nebo zákonných požadavků;
5) smluvních závazků;
6) úrovní rizika a/nebo úrovní akceptovatelnosti rizika.
d) potřebě zdrojů;
e) zlepšování postupů měření účinnosti opatření.
8 Zlepšování ISMS
8.1 Soustavné zlepšování
Organizace musí neustále zvyšovat efektivnost ISMS s využitím politiky bezpečnosti informací,
cílů bezpečnosti, výsledků auditu, analýz monitorovaných událostí, nápravných a preventivních
akcí a přezkoumání prováděných vedením organizace (viz kapitola 7).
8.2 Opatření k nápravě
Organizace musí provést příslušné činnosti pro odstranění nedostatků spojených
s implementací a provozem ISMS, aby zabránila jejich opětovnému výskytu. Zdokumentované
postupy nápravných činností musí určit požadavky na:
a) identifikaci neshod v zavedení a/nebo provozu ISMS;
b) určení příčin neshod;
c) vyhodnocení potřeby opatření, kterým se zajistí, že se neshody znovu nevyskytnou;
d) určení a zavedení potřebných opatření k nápravě;
e) zaznamenání výsledků zavedených opatření (viz 4.3.3);
f) přezkoumání provedených nápravných opatření.
8.3 Preventivní opatření
Organizace musí určit opatření, která zabrání opakovanému výskytu neshod. Preventivní
opatření musí být přiměřená závažnosti možných problémů. Zdokumentovaný postup aplikace
preventivních činností musí definovat požadavky na:
a) identifikaci potenciálních neshod a jejich příčin;
b) vyhodnocení potřeby provedení činností k zamezení opětovnému výskytu neshod;
c) určení a zavedení potřebných preventivních opatření;
d) zaznamenání výsledků podniknutých opatření (viz 4.3.3);
e) přezkoumání provedených preventivních opatření;
Organizace musí identifikovat změny rizik a určit požadavky na nápravná opatření, zejména pak
u těch rizik jejichž změna byla významná.
Priorita preventivních opatření bude určena na základě výsledků hodnocení rizik.
POZNÁMKA
Opatření pro prevenci vzniku neshod jsou většinou finančně méně náročná než opatření
nápravná.
Příloha A
(normativní)
Cíle opatření a jednotlivá bezpečnostní opatření
Cíle opatření a jednotlivá bezpečnostní opatření v tabulce A.1 jsou přímo odvozeny a propojeny
s těmi, které jsou uvedeny v ISO/IEC 17799:2005 kapitola 5 až 15. Seznam opatření uvedených
v tabulce A.1 není vyčerpávající a organizace může považovat za potřebné přidat dodatečné
cíle opatření a jednotlivá opatření. Cíle opatření a jednotlivá opatření z těchto tabulek musí být
vybrány v rámci procesu zavádění ISMS, specifikovaném v kapitole 4.2.1.
ISO/IEC 17799:2005 kapitoly 5 až 15 poskytují doporučení a návod pro zavedení nejlepších
praktik pro podporu opatření uvedených v A.5 až A.15.
Tabulka A.1 – Cíle opatření a jednotlivá bezpečnostní opatření
A.5 Bezpečnostní politika
A.5.1 Bezpečnostní politika informací
Cíl: Definovat směr a vyjádřit podporu bezpečnosti informací ze strany vedení v souladu s požadavky
organice, příslušnými zákony a regulatorními požadavky.
A.5.1.1 Dokument bezpečnostní
politiky informací
A.5.1.2 Přezkoumání a
aktualizace bezpečnostní
politiky informací
Opatření
Dokument bezpečnostní politiky informací by měl být
schválen vedením organizace, vydán a být dán na
vědomí všem zaměstnancům a relevantním třetím
stranám.
Opatření
Pro zajištění její neustálé použitelnosti, přiměřenosti a
účinnosti by bezpečnostní politika informací měla být
přezkoumávána v plánovaných intervalech a vždy když
nastane významná změna.
A.6 Organizace bezpečnosti
A.6.1 Interní organizace
Cíl: Řídit bezpečnost informací v organizaci.
A.6.1.1 Závazek vedení Opatření
Vedení organizace by mělo stanovit jasný směr a
aktivně podporovat bezpečnost v rámci organizace.
Mělo by demonstrovat svůj závazek a jednoznačně
přiřadit a vymezit role v oblasti bezpečnosti informací.
A.6.1.2 Koordinace bezpečnosti
informací
A.6.1.3 Přidělení odpovědností
v oblasti bezpečnosti
informací
Opatření
Činnosti v oblasti bezpečnosti informací by měly být
koordinovány prostřednictvím zástupců různých útvarů
z celé organizace.
Opatření
Měly by být jednoznačně určeny odpovědnosti v oblasti
bezpečnosti informací.
A.6.1.4 Schvalovací proces zařízení
pro zpracování informací
A.6.1.5 Dohody o ochraně
důvěrných informací
A.6.1.6 Kontakt s orgány veřejné
správy
A.6.1.7 Kontakt se zájmovými
skupinami
A.6.1.8 Nezávislá přezkoumání
bezpečnosti informací
A.6.2 Externí subjekty
Opatření
Měl by být ustaven a zaveden postup schvalování
(vedoucími zaměstnanci) nových zařízení pro
zpracování informací.
Opatření
Měly by být určeny a v pravidelných intervalech
přezkoumávány dohody obsahující požadavky na
ochranu důvěrnosti nebo povinnost zachovávat
mlčenlivost, reflektující potřeby organizace na ochranu
informací.
Opatření
Měly by být udržovány přiměřené vztahy s orgány
veřejné správy.
Opatření
Měly by být udržovány přiměřené vztahy se zájmovými
skupinami nebo speciálními fóry na bezpečnost a
profesními sdruženími.
Opatření
Přístup organizace k řízení a implementaci bezpečnosti
informací (tj. cíle opatření, jednotlivá opatření, politiky,
směrnice a postupy) by měly být v pravidelných
intervalech (a nebo v případě jakékoliv významné
změny ve vztahu k bezpečnosti) nezávisle
přezkoumávány.
Cíl: Zachovat bezpečnost informací organizace a zařízení pro zpracování informací, které jsou přístupné,
zpracovávané, sdělované nebo spravované externími subjekty.
A.6.2.1 Identifikace rizik plynoucích
z přístupu externích subjektů
A.6.2.2 Bezpečnostní požadavky pro
přístup klientů
A.6.2.3 Bezpečnostní požadavky
v dohodách se třetí stranou
Opatření
Předtím, než je externím subjektům povolen přístup
k informacím organizace a zařízením pro zpracování
informací, by měla být identifikována rizika a
implementována vhodná opatření na jejich pokrytí.
Opatření
Předtím, než je klientům umožněn přístup k informací a
aktivům organizace by měly být zjištěny veškeré
požadavky na bezpečnost.
Opatření
Dohody, uzavřené s třetími stranami zahrnující přístup,
zpracování, šíření nebo správu informací organizace
nebo správu zařízení pro zpracování informací
(případně dodávku produktů nebo služeb k zařízení pro
zpracování informací), by měly pokrývat veškeré
relevantní bezpečnostní požadavky.
A.7 Klasifikace a řízení aktiv
A.7.1 Odpovědnost za aktiva
Cíl: Udržovat přiměřenou ochranu aktiv organizace.
A.7.1.1 Evidence aktiv Opatření
Měla by být identifikována všechna aktiva organizace,
všechna důležitá aktiva by měla být evidována a
seznam udržován aktuální.
A.7.1.2 Vlastnictví aktiv Opatření
Veškeré informace a aktiva související se zařízením pro
zpracování informací by měly mít určeného vlastníka7.
A.7.1.3 Přípustné použití aktiv Opatření
Měla by být ustavena, zdokumentována a do praxe
zavedena pravidla pro přípustné použití informací a
aktiv souvisejících se zařízením pro zpracování
informací.
A.7.2 Klasifikace informací
Cíl: Zajištění přiměřenosti ochrany informačních aktiv.
A.7.2.1 Doporučení pro klasifikaci Opatření
Informace by měly být klasifikovány a to ohledem na
jejich hodnotu, právní požadavky, citlivost a kritičnost.
A.7.2.2 Označování a nakládání
s informacemi
Opatření
Pro značení informací a zacházení s nimi by měly být
vytvořeny a do praxe zavedeny postupy, které jsou
v souladu s klasifikačním schématem přijatým organizací.
A.8 Bezpečnost lidských zdrojů
A.8.1 Před vznikem pracovního vztahu8
Cíl: Zajistit, aby zaměstnanci, smluvní a třetí strany byli srozuměni se svými povinnostmi, aby pro
jednotlivé role byli vybráni vhodní kandidáti a snížit riziko lidské chyby, krádeže, podvodu nebo zneužití
prostředků organizace.
A.8.1.1 Role a odpovědnosti Opatření
Role a odpovědnosti zaměstnanců, smluvních a třetích
stran v oblasti bezpečnosti informací by měly být
stanoveny a zdokumentovány v souladu
s bezpečnostní politikou organizace.
A.8.1.2 Prověrka Opatření
Všichni uchazeči o zaměstnání, smluvní a třetí strany by
měly být prověřeni dle platných zákonů, předpisů a
v souladu s etikou. Prověření by měla být prováděna na
základě požadavků stanovených organizací, dále
s ohledem na klasifikaci informací, ke kterým by měli
získat přístup, ale také z hlediska jejich spolehlivosti9 a
potenciálních rizik.
7 Pojmem „vlastník“ je myšlen jedinec nebo entita, který má vedením organizace přidělenou odpovědnost za výrobu,
vývoj, údržbu, použití a bezpečnost aktiv. Pojmem „vlastník“ není myšleno skutečné vlastnictví aktiva.
8 Pracovním vztahem je myšleno: zaměstnání lidí (pracovní poměr na dobu určitou nebo neurčitou), přidělení pracovní
role, změna pracovní role, dohoda o pracovní činnosti, dohoda o provedení práce a nebo ukončení jakéhokoliv z těchto
vazeb.
9 V případech, které se týkají ochrany utajovaných skutečností, tj. v případech stanovených zákonem, musí mít
odpovídající prověrku.
A.8.1.3 Podmínky výkonu pracovní
činnosti
A.8.2 Během pracovního vztahu
Opatření
Pracovní smlouvy uzavřené se zaměstnanci, smluvními a
třetími stranami by měly obsahovat ustanovení o jejich
odpovědnostech za bezpečnost informací.
Cíl: Zajistit, aby si zaměstnanci, smluvní a třetí strany byli vědomi bezpečnostních hrozeb a problémů
s nimi spjatých, svých odpovědností a povinností a byli připraveni podílet se na dodržování politiky
bezpečnosti informací během své běžné práce a na snižování rizika lidské chyby.
A.8.2.1 Odpovědnosti vedoucích
zaměstnanců
A.8.2.2 Povědomí, vzdělávání a
školení v oblasti
bezpečnosti informací
Opatření
Vedoucí zaměstnanci by měly po uživatelích, smluvních
a třetích stranách, požadovat dodržování bezpečnosti
v souladu se zavedenými politikami a směrnicemi.
Opatření
Všichni zaměstnanci organizace, a je-li to důležité
i pracovníci smluvních a třetích stran, by měli s ohledem
na svoji pracovní náplň, projít odpovídajícím a
pravidelně se opakujícím školením v oblasti bezpečnosti
informací, bezpečnostní politiky a směrnicím
organizace.
A.8.2.3 Disciplinární řízení Opatření
Mělo by existovat formalizované disciplinární řízení vůči
zaměstnancům, kteří se dopustili narušení bezpečnosti.
A.8.3 Ukončení nebo změna pracovního vztahu
Cíl: Zajistit, aby ukončení nebo změna pracovního vztahu zaměstnanců, smluvních a třetích stran
proběhla řádným způsobem.
A.8.3.1 Odpovědnosti za ukončení
pracovního vztahu
A.8.3.2 Navrácení zapůjčených
předmětů
Opatření
Měly by být jasně definovány a přiděleny odpovědnosti
pro případ ukončení nebo změny pracovního vztahu.
Opatření
Při ukončení pracovního vztahu by měli zaměstnanci,
pracovníci smluvních a třetích stran odevzdat veškeré
jim svěřené předměty, které jsou majetkem organizace.
A.8.3.3 Odebrání přístupových práv Opatření
Při ukončení pracovního vztahu by měla být uživatelům,
smluvním a třetím stranám odejmuta nebo pozměněna
přístupová práva k informacím a zařízení pro
zpracování informací.
A.9 Fyzická bezpečnost a bezpečnost prostředí
A.9.1 Zabezpečené oblasti
Cíl: Předcházet neautorizovanému přístupu do vymezených prostor, předcházet poškození a zásahům do
provozních budov a informací organizace.
A.9.1.1 Fyzický bezpečnostní
perimetr
Opatření
Při ochraně prostor ve kterých se nachází informace
nebo zařízení pro zpracování informací by měly být
používány bezpečnostní perimetry (bariéry jako například
zdi, vstupní turniket na karty nebo recepce).
A.9.1.2 Kontroly vstupu osob Opatření
Aby bylo zajištěno, že je přístup do zabezpečených
oblastí povolen pouze oprávněným osobám, měly by
být tyto oblasti chráněny vhodným systémem kontrol
vstupu.
A.9.1.3 Zabezpečení kanceláří,
místností a zařízení
A.9.1.4 Ochrana před hrozbami
vnějšího prostředí
A.9.1.5 Práce v zabezpečených
oblastech
A.9.1.6 Veřejný přístup, prostory pro
nakládku a vykládku
A.9.2 Bezpečnost zařízení
Opatření
Mělo by být navrženo a aplikováno fyzické zabezpečení
kanceláří, místností a zařízení.
Opatření
Na ochranu proti škodám způsobeným požárem,
povodní, zemětřesením, výbuchem, civilními nepokoji a
jinými přírodními nebo lidmi zapříčiněnými katastrofami
by měly být navrženy a aplikovány prvky fyzické
ochrany.
Opatření
Pro práci v zabezpečených oblastech by měly být
navrženy a aplikovány prvky fyzické ochrany.
Opatření
Prostory pro nakládku a vykládku a další místa, kudy se
mohou neoprávněné osoby dostat do prostor
organizace, by měla být kontrolována a pokud možno
by měla být izolována od zařízení pro zpracování
informací tak, aby se zabránilo neoprávněnému
přístupu.
Cíl: Předcházet ztrátě, poškození nebo kompromitaci aktiv a přerušení činnosti organizace.
A.9.2.1 Umístění zařízení a jeho
ochrana
Opatření
Zařízení by měla být umístěna a chráněna tak, aby se
snížila rizika hrozeb a nebezpečí daná prostředím a aby
se omezily příležitosti pro neoprávněný přístup.
A.9.2.2 Podpůrná zařízení Opatření
Zařízení by mělo být chráněno před selháním napájení
a před dalšími výpadky způsobenými selháním
podpůrných služeb.
A.9.2.3 Bezpečnost kabelových
rozvodů
Opatření
Silové a telekomunikační kabelové rozvody, které jsou
určeny pro přenos dat a podporu informačních služeb,
by měly být chráněny před poškozením či odposlechem.
A.9.2.4 Údržba zařízení Opatření
Zařízení by mělo být správně udržováno pro zajištění
jeho stálé dostupnosti a integrity.
A.9.2.5 Bezpečnost zařízení mimo
prostory organizace
A.9.2.6 Bezpečná likvidace nebo
opakované použití zařízení
Opatření
Zařízení používané mimo prostory organizace by mělo být
zabezpečeno s přihlédnutím k různým rizikům
vyplývajících z jejich použití mimo organizaci.
Opatření
Všechna zařízení obsahující paměťová média by měla
být kontrolována tak, aby bylo možné zajistit, že před
jejich likvidací nebo opakovaným použitím budou citlivá
data a licencované programové vybavení odstraněna
nebo přepsána.
A.9.2.7 Přemístění majetku Opatření
Zařízení, informace nebo programové vybavení by bez
schválení nemělo být přemisťováno.
A.10 Řízení komunikací a řízení provozu
A.10.1 Provozní postupy a odpovědnosti
Cíl: Zajistit správný a bezpečný provoz zařízení pro zpracování informací.
A.10.1.1 Dokumentace provozních
postupů
Opatření
Provozní postupy by měly být zdokumentovány
a udržovány a měly by být dostupné všem uživatelům dle
potřeby.
A.10.1.2 Řízení změn Opatření
Změny ve vybavení a zařízení pro zpracování informací
by měly být řízeny.
A.10.1.3 Oddělení povinností Opatření
Pro snížení příležitostí k neoprávněné modifikaci nebo
zneužití aktiv organizace by mělo být zváženo oddělení
jednotlivých povinností a odpovědností.
A.10.1.4 Oddělení vývoje, testování a
provozu
A.10.2 Řízení dodávek třetích stran
Opatření
Pro snížení rizika neoprávněného přístupu k provoznímu
systému a nebo jeho změn by mělo být zváženo oddělení
procesů vývoje, testování a provozu.
Cíl: Zavést a udržovat přiměřenou úroveň bezpečnosti informací a úroveň dodávky služeb ve shodě
s uzavřenými dohodami.
A.10.2.1 Dodávky služeb Opatření
Zajistit, aby úroveň služeb týkajících se bezpečnosti
informací poskytovaných třetí stranou byla v souladu se
smluvními podmínkami.
A.10.2.2 Monitorování a
přezkoumávání služeb
třetích stran
A.10.2.3 Řízení změn služeb
poskytovaných třetími
stranami
Opatření
Služby, zprávy a záznamy poskytované třetí stranou by
měly být monitorovány a pravidelně přezkoumávány,
audity by měly být opakovány v pravidelných
intervalech.
Opatření
Změny v poskytování služeb, včetně udržování a
zlepšování existujících bezpečnostních politik, směrnic
a bezpečnostních opatření, by měly být řízeny
s ohledem na kritičnost systémů a procesů organizace,
které jsou součástí opakovaného hodnocení rizik.
A.10.3 Plánování a přejímání informačních systémů
Cíl: Minimalizovat riziko selhání informačních systémů.
A.10.3.1 Řízení kapacit Opatření
Pro zajištění požadovaného výkonu informačního
systému, s ohledem na budoucí kapacitní požadavky,
by mělo být monitorováno, nastaveno a projektováno
využití zdrojů.
A.10.3.2 Přejímání systémů Opatření
Měla by být určena kritéria pro přejímání nových
informačních systémů, jejich aktualizaci a zavádění
nových verzí a vhodný způsob testování systému
v průběhu vývoje a před zavedením do ostrého provozu.
A.10.4 Ochrana proti škodlivým programům a mobilním kódům
Cíl: Chránit integritu programů a dat.
A.10.4.1 Opatření na ochranu proti
škodlivým programům
A.10.4.2 Opatření na ochranu proti
mobilním kódům
A.10.5 Zálohování
Opatření
Na ochranu proti škodlivým programům a nepovoleným
mobilním kódům by měla být implementována opatření
na jejich detekci, prevenci a nápravu a zvyšováno
odpovídající bezpečnostní povědomí uživatelů.
Opatření
Použití povolených mobilních kódů by mělo být
nastaveno v souladu s bezpečnostní politikou, mělo by
být zabráněno spuštění nepovolených mobilních kódů.
Cíl: Udržovat integritu a dostupnost informací a zařízení pro jejich zpracování.
A.10.5.1 Zálohování informací Opatření
Záložní kopie důležitých informací a programového
vybavení organizace by měly být pořizovány a
testovány v pravidelných intervalech.
A.10.6 Správa sítě
Cíl: Zajistit ochranu informací v počítačových sítích a ochranu jejich infrastruktury.
A.10.6.1 Síťová opatření Opatření
Pro zajištění ochrany před možnými hrozbami, pro
zaručení bezpečnosti systémů a aplikací využívajících
sítí a pro zajištění bezpečnosti informací při přenosu by
počítačové sítě měly být vhodným způsobem
spravovány a kontrolovány.
A.10.6.2 Bezpečnost síťových služeb Opatření
Měly by být identifikovány a do dohod o poskytování
síťových služeb zahrnuty bezpečnostní prvky, úroveň
poskytovaných služeb a požadavky na správu všech
síťových služeb a to jak v případech, kdy jsou tyto
služby zajišťovány interně, tak i v případech, kdy jsou
zajišťovány cestou outsourcingu.
A.10.7 Bezpečnost při zacházení s médii
Cíl: Předcházet neoprávněnému prozrazení, modifikaci, ztrátě nebo poškození aktiv a přerušení činnosti
organizace.
A.10.7.1 Správa vyměnitelných
počítačových médií
Opatření
Měly by být vytvořeny postupy pro správu
vyměnitelných počítačových médií.
A.10.7.2 Likvidace médií Opatření
Jestliže jsou média dále provozně neupotřebitelná, měla
by být bezpečně a spolehlivě zlikvidována.
A.10.7.3 Postupy pro manipulaci
s informacemi
Opatření
Pro zabránění neautorizovanému přístupu nebo zneužití
informací by měla být stanovena pravidla pro manipulaci
s nimi a pro jejich ukládání.
A.10.7.4 Bezpečnost systémové
dokumentace
A.10.8 Výměny informací
Opatření
Systémová dokumentace by měla být chráněna proti
neoprávněnému přístupu.
Cíl: Zajistit bezpečnost informací a programů při jejich výměně v rámci organizace a při jejich výměně
s externími subjekty.
A.10.8.1 Postupy při výměně
informací a programů
A.10.8.2 Dohody o výměně informací
a programů
A.10.8.3 Bezpečnost médií při
přepravě
Opatření
Měly by být ustaveny a do praxe zavedeny formální
postupy, politiky a opatření na ochranu informací při
jejich výměně pro všechny typy používaných
komunikačních zařízení.
Opatření
Výměna informací a programů by měla být založena na
dohodách uzavřených mezi organizací a externími
subjekty.
Opatření
Média obsahující informace by měla být během
přepravy mimo organizaci chráněna proti
neoprávněného přístupu, zneužití nebo narušení.
A.10.8.4 Elektronické zasílání zpráv Opatření
Elektronicky přenášené informace by měly být vhodným
způsobem chráněny.
A.10.8.5 Podnikové informační
systémy
A.10.9 Služby elektronického obchodu
Opatření
Na ochranu informací v propojených podnikových
informačních systémech by měla být vytvořena a do
praxe zavedena politika a odpovídající směrnice.
Cíl: Zajistit bezpečnost služeb elektronického obchodu a jejich bezpečné použití.
A.10.9.1 Elektronický obchod Opatření
Informace přenášené ve veřejných sítích v rámci
elektronického obchodování by měly být chráněny před
podvodnými aktivitami, před zpochybňováním smluv,
prozrazením či modifikací.
A.10.9.2 On-line transakce Opatření
Měla by být zajištěna ochrana informací přenášených
při on-line transakcích tak, aby byl zajištěn úplný přenos
informací a zamezilo se špatnému směrování,
neoprávněné změně zpráv, neoprávněnému prozrazení,
neoprávněné duplikaci nebo opakování zpráv.
A.10.9.3 Veřejně přístupné informace Opatření
Informace publikované na veřejně přístupných
systémech by měly být chráněny proti neoprávněné
modifikaci.
A.10.10 Monitorování
Cíl: Detekovat neoprávněné zpracování informací.
A.10.10.1 Zaznamenávání událostí Opatření
Auditní záznamy, obsahující chybová hlášení a jiné
bezpečnostně významné události, byměly být pořizovány
a uchovány po stanovené období tak, aby byly se daly
použít pro budoucí vyšetřování a pro účely monitorování
řízení přístupu.
A.10.10.2 Monitorování používání
systému
A.10.10.3 Ochrana vytvořených
záznamů
A.10.10.4 Administrátorský a
operátorský deník
Opatření
Měla by být stanovena pravidla pro monitorování použití
zařízení pro zpracování informací, výsledky těchto
monitorování by měly být pravidelně přezkoumávány.
Opatření
Zařízení pro zaznamenávání informací a vytvořené
záznamy by měly být vhodným způsobem chráněny
proti neoprávněnému přístupu a zfalšování.
Opatření
Aktivity správce systému a systémového operátora by
měly být zaznamenávány.
A.10.10.5 Záznam selhání Opatření
Měly by být zaznamenány a analyzovány chyby
a provedena opatření k nápravě.
A.10.10.6 Synchronizace času Opatření
Hodiny všech důležitých systémů pro zpracování
informací by měly být v rámci organizace nebo domény
synchronizovány se schváleným zdrojem přesného
času.
A.11 Řízení přístupu
A.11.1 Požadavky na řízení přístupu
Cíl: Řídit přístup k informacím.
A.11.1.1 Politika řízení přístupu Opatření
Měla by být vytvořena, dokumentována a v závislosti na
aktuálních bezpečnostních požadavcích
přezkoumávána politika řízení přístupu.
A.11.2 Řízení přístupu uživatelů
Cíl: Zajistit oprávněný přístup uživatelů a předcházet neoprávněnému přístupu k informačním systémům.
A.11.2.1 Registrace uživatele Opatření
Měl by existovat postup pro formální registraci uživatele
včetně jejího zrušení, který zajistí autorizovaný přístup
ke všem víceuživatelským informačním systémům
a službám.
A.11.2.2 Řízení privilegovaného
přístupu
Opatření
Přidělování a používání privilegií by mělo být omezeno
a řízeno.
A.11.2.3 Správa uživatelských hesel Opatření
Přidělování hesel by mělo být řízeno formálním
procesem.
A.11.2.4 Přezkoumání přístupových
práv uživatelů
Opatření
Vedení organizace by mělo v pravidelných intervalech
provádět formální přezkoumání přístupových práv
uživatelů.
A.11.3 Odpovědnosti uživatelů
Cíl: Předcházet neoprávněnému uživatelskému přístupu, prozrazení nebo krádeži informací a zařízení
pro zpracování informací.
A.11.3.1 Používání hesel Opatření
Při výběru a používání hesel by mělo být po uživatelích
požadováno, aby dodržovali stanovené bezpečnostní
postupy.
A.11.3.2 Neobsluhovaná uživatelská
zařízení
A.11.3.3 Zásada prázdného stolu
a prázdné obrazovky
monitoru
A.11.4 Řízení přístupu k síti
Opatření
Uživatelé by měli zajistit přiměřenou ochranu
neobsluhovaných zařízení.
Opatření
Měla by být přijata zásada prázdného stolu ve vztahu
k dokumentům a vyměnitelným médiím a zásada
prázdné obrazovky monitoru u zařízení pro zpracování
informací.
Cíl: Předcházet neautorizovanému přístupu k síťovým službám.
A.11.4.1 Politika užívání síťových
služeb
A.11.4.2 Autentizace uživatele
externího připojení
Opatření
Uživatelé by měli mít přímý přístup pouze k těm síťovým
službám, pro jejichž použití byli zvlášť oprávněni.
Opatření
Přístup vzdálených uživatelů měl být autentizován.
A.11.4.3 Identifikace zařízení v sítích Opatření
Pro autentizaci připojení z vybraných lokalit a přenosných
zařízení by se měla zvážit automatická identifikace
zařízení.
A.11.4.4 Ochrana portů pro vzdálenou
diagnostiku a konfiguraci
Opatření
Fyzický i logický přístup k diagnostickým a
konfiguračním portům by měl být bezpečně řízen.
A.11.4.5 Princip oddělení v sítích Opatření
Skupiny informačních služeb, uživatelů a informačních
systémů by měly být v sítích odděleny.
A.11.4.6 Řízení síťových spojení Opatření
U sdílených sítí, zejména těch, které přesahují hranice
organizace, by měly být omezeny možnosti připojení
uživatelů. Omezení by měla být v souladu s politikou
řízení přístupu a s požadavky aplikací (viz 11.1).
A.11.4.7 Řízení směrování sítě Opatření
Pro zajištění toho, aby počítačová spojení
a informační toky nenarušovaly politiku řízení
přístupu aplikací organizace, by mělo být zavedeno
řízení směrování sítě.
A.11.5 Řízení přístupu k operačnímu systému
Cíl: Předcházet neautorizovanému přístupu k operačním systémům.
A.11.5.1 Bezpečné postupy přihlášení Opatření
Přístup k operačnímu systému by měl být řízen postupy
bezpečného přihlášení.
A.11.5.2 Identifikace a autentizace
uživatelů
Opatření
Všichni uživatelé by měli mít pro výhradní osobní použití
jedinečný identifikátor (uživatelské ID), měl by být také
zvolen vhodný způsob autentizace k ověření jejich identity.
A.11.5.3 Systém správy hesel Opatření
Systém správy hesel by měl být interaktivní a měl by
zajišťovat použití kvalitních hesel.
A.11.5.4 Použití systémových nástrojů Opatření
Použití systémových nástrojů, které jsou schopné
překonat systémové nebo aplikační kontroly by mělo být
omezeno a přísně kontrolováno.
A.11.5.5 Časové omezení relace Opatření
Neaktivní relace by měly se po stanovené době
nečinnosti ukončit.
A.11.5.6 Časové omezení spojení Opatření
U vysoce rizikových aplikací by pro zajištění dodatečné
bezpečnosti mělo být zváženo použití omezení doby
spojení.
A.11.6 Řízení přístupu k aplikacím a informacím
Cíl: Předcházet neoprávněnému přístupu k informacím uloženým v počítačových systémech.
A.11.6.1 Omezení přístupu
k informacím
Opatření
Uživatelé aplikačních systémů, včetně pracovníků
podpory, by měli mít přístup k informacím a funkcím
aplikačních systémů omezen v souladu s definovanou
politikou řízení přístupu.
A.11.6.2 Oddělení citlivých systémů Opatření
Citlivé aplikační systémy by měly mít oddělené (izolované)
počítačové prostředí.
A.11.7 Mobilní výpočetní zařízení a práce na dálku
Cíl: Zajistit bezpečnost informací při použití mobilní výpočetní techniky a při využití zařízení pro práci na
dálku.
A.11.7.1 Mobilní výpočetní zařízení a
sdělovací technika
Opatření
Měla by být ustavena formální pravidla a přijata opatření
na ochranu proti rizikům použití mobilních výpočetních a
komunikačních zařízení.
A.11.7.2 Práce na dálku Opatření
Organizace by měla vytvořit a do praxe zavést zásady,
operativní plány a postupy pro práci na dálku.
A.12 Nákup, vývoj a údržba informačního systému
A.12.1 Bezpečnostní požadavky systémů
Cíl: Zajistit, aby se bezpečnost stala neodlučitelnou součástí informačních systémů.
A.12.1.1 Analýza a specifikace
bezpečnostních požadavků
Opatření
Požadavky organizace na nové informační systémy
nebo na rozšíření existujících systémů by měly
obsahovat také požadavky na bezpečnostní opatření. A.12.2 Správné zpracování v aplikacích
Cíl: Předcházet chybám, ztrátě, modifikaci nebo zneužití uživatelských dat v aplikacích.
A.12.2.1 Kontrola vstupních dat Opatření
Vstupní data aplikací by měla být kontrolována z hlediska
správnosti a adekvátnosti.
A.12.2.2 Kontrola vnitřního
zpracování
Opatření
Pro detekci jakéhokoliv poškození nebo modifikace
informací vzniklého chybami při zpracování nebo
úmyslnými zásahy, by mělo být zváženo začlenění
kontroly platnosti dat.
A.12.2.3 Integrita zprávy Opatření
U jednotlivých aplikací by měly být stanoveny
bezpečnostní požadavky na zajištění autentizace a
integrity zpráv, dle potřeby určena, a zavedena vhodná
opatření.
A.12.2.4 Kontrola výstupních dat Opatření
Pro zajištění toho, že zpracování uložených informací je
bezchybné a odpovídající dané situaci, by mělo být
provedeno ověření platnosti výstupních dat.
A.12.3 Kryptografická opatření
Cíl: Ochránit důvěrnost, autentičnost a integritu informací s pomocí kryptografických prostředků.
A.12.3.1 Politika pro použití
kryptografických opatření
Opatření
Měla by být vytvořena a zavedena pravidla pro používání
kryptografických opatření na ochranu informací.
A.12.3.2 Správa klíčů Opatření
Na podporu používání kryptografických technik
v organizaci by měl existovat systém jejich správy.
A.12.4 Bezpečnost systémových souborů
Cíl: Zajistit bezpečnost systémových souborů
A.12.4.1 Správa provozního
programového vybavení
A.12.4.2 Ochrana systémových
testovacích údajů
A.12.4.3 Řízení přístupu ke knihovně
zdrojových kódů
Opatření
Měly by být zavedeny postupy kontroly instalace
programového vybavení na provozních systémech.
Opatření
Testovací data by měla být pečlivě vybrána, chráněna
a kontrolována.
Opatření
Přístup ke knihovně zdrojových kódů by měl být
omezen.
A.12.5 Bezpečnost procesů vývoje a podpory
Cíl: Udržovat bezpečnost programů a informací aplikačních systémů.
A.12.5.1 Postupy řízení změn Opatření
Měly by být zavedeny formální postupy řízení změn.
A.12.5.2 Technické přezkoumání
aplikací po změnách
operačního systému
Opatření
V případě změny operačního systému by měly být
přezkoumány a otestovány kritické aplikace, aby bylo
zajištěno, že změny nemají nepříznivý dopad na provoz
nebo bezpečnost organizace. A.12.5.3 Omezení změn
programových balíků
Opatření
Modifikace programových balíků by měly být omezeny
pouze na nezbytné změny, veškeré prováděné změny
musí být řízeny.
A.12.5.4 Únik informací Opatření
Mělo by být zabráněno úniku informací.
A.12.5.5 Programové vybavení
vyvíjené externím
dodavatelem
A.12.6 Řízení technických zranitelností
Opatření
Vývoj programového vybavení externím dodavatelem
by měl být organizací dohlížen a monitorován.
Cíl: Snížit rizika vyplývající ze zneužití veřejně publikovaných technických zranitelností.
A.12.6.1 Řízení, správa a kontrola
technických zranitelností
Opatření
Mělo by být zajištěno včasné získání informace o
existenci technické zranitelnosti v provozovaném
informačním systému, vyhodnocena úroveň ohrožení
organizace vůči této zranitelnosti a přijata příslušná
opatření na pokrytí souvisejících rizik.
A.13 Zvládání bezpečnostních incidentů
A.13.1 Hlášení bezpečnostních událostí a slabin
Cíl: Zajistit nahlášení bezpečnostních událostí a slabin informačního systému způsobem, který umožní
včasné zahájení kroků vedoucích k nápravě.
A.13.1.1 Hlášení bezpečnostních
událostí
A.13.1.2 Hlášení bezpečnostních
slabin
Opatření
Bezpečnostní události by měly být hlášeny příslušnými
řídícími cestami tak rychle, jak je to jen možné.
Opatření
Všichni zaměstnanci, smluvní strany a další
nespecifikovaní uživatelé informačního systému a
služeb by měli být povinni zaznamenat a hlásit jakékoliv
bezpečnostní slabiny nebo podezření na bezpečnostní
slabiny v systémech nebo službách.
A.13.2 Zvládání bezpečnostních incidentů a kroky k nápravě
Cíl: Zajistit odpovídající a účinný přístup ke zvládání bezpečnostních incidentů.
A.13.2.1 Odpovědnosti a postupy Opatření
Pro zajištění rychlé, účinné a systematické reakce na
bezpečnostní incidenty by měly být zavedeny
odpovědnosti a postupy pro zvládání bezpečnostních
incidentů.
A.13.2.2 Ponaučení z
bezpečnostních incidentů
Opatření
Měly by existovat mechanizmy, které by umožňovaly
kvantifikovat a monitorovat typy, rozsah a náklady
bezpečnostních incidentů.
A.13.2.3 Shromaždování důkazů Opatření
V případech, kdy vyústění bezpečnostního incidentu
směřuje k právnímu řízení (dle práva občanského nebo
trestního) vůči osobě a nebo organizaci, by měly být
sbírány, uchovávány a soudu předkládány důkazy
v souladu s pravidly příslušné jurisdikce, kde se bude
případ projednávat.
A.14 Řízení kontinuity činností organizace
A.14.1 Aspekty řízení kontinuity činností organizace z hlediska bezpečnosti informací
Cíl: Bránit přerušení provozních činností a chránit kritické procesy organizace před následky závažných
selhání informačních systémů nebo katastrof a zajistit jejich včasnou obnovu.
A.14.1.1 Zahrnutí bezpečnosti
informací do procesu řízení
kontinuity činností
organizace
A.14.1.2 Kontinuita činností
organizace a hodnocení rizik
A.14.1.3 Vytváření a implementace
plánů kontinuity
A.14.1.4 Systém plánování kontinuity
činností organizace
A.14.1.5 Testování, udržování
a přezkoumání plánů
kontinuity
Opatření
V rámci organizace by měl existovat řízený proces pro
rozvoj a udržování kontinuity činností organizace.
Opatření
Měly by být identifikovány možné příčiny přerušení
činností organizace, včetně jejich pravděpodobnosti,
velikosti dopadu a možných následků na bezpečnost
informací.
Opatření
Pro udržení nebo obnovení provozních činností
organizace po přerušení nebo selhání kritických
procesů a pro zajištění dostupnosti informací
v požadovaném čase a na požadovanou úroveň by
měly být vytvořeny plány.
Opatření
Pro zajištění konzistentnosti plánů a pro určení priorit
testování a údržby by měl být k dispozici jednotný
systém plánů kontinuity činností organizace.
Opatření
Plány kontinuity činností by měly být pravidelně
testovány a aktualizovány, aby se zajistila jejich
aktuálnost a efektivnost.
A.15 Soulad s požadavky
A.15.1 Soulad s právními normami
Cíl: Vyvarovat se porušení norem trestního nebo občanského práva, zákonných nebo smluvních
povinností a bezpečnostních požadavků.
A.15.1.1 Určení relevantní legislativy Opatření
Pro každý informační systém by měly být jednoznačně
definovány, zdokumentovány a udržovány aktuální
veškeré relevantní zákonné, podzákonné a smluvní
požadavky a způsob jakým je organizace dodržuje.
A.15.1.2 Zákony na ochranu
duševního vlastnictví
A.15.1.3 Ochrana záznamů
organizace
A.15.1.4 Ochrana osobních údajů a
soukromí
Opatření
Pro zajištění souladu se zákonnými, podzákonnými a
smluvními požadavky na použití materiálů a aplikačního
programového vybavení, které mohou být chráněny
zákony na ochranu duševního vlastnictví by měly být
zavedeny vhodné postupy.
Opatření
Důležité záznamy organizace by měly být chráněny
proti ztrátě, zničení a padělání a to v souladu se
zákonnými, podzákonnými a smluvními požadavky a
požadavky organizace.
Opatření
Ochrana osobních údajů a soukromí by měla být
zajištěna v souladu s odpovídající legislativou, předpisy,
a pokud je to relevantní, se smlouvami. A.15.1.5 Prevence zneužití zařízení
pro zpracování informací
A.15.1.6 Regulace kryptografických
opatření
Opatření
Mělo by být zakázáno používat zařízení pro zpracování
informací jiným než autorizovaným způsobem.
Opatření
Kryptografická opatření by měla být používána
v souladu s příslušnými úmluvami, zákony a předpisy.
A.15.2 Soulad s bezpečnostními politikami, normami a technická shoda
Cíl: Zajistit shodu systémů s bezpečnostními politikami organizace a normami.
A.15.2.1 Shoda s bezpečnostními
politikami a normami
Opatření
Vedoucí zaměstnanci by měli zajistit, aby všechny
bezpečnostní postupy v rozsahu jejich odpovědnosti byly
prováděny správně, v souladu s bezpečnostními
politikami a normami.
A.15.2.2 Kontrola technické shody Opatření
Informační systémy by měly být pravidelně
kontrolovány, zda jsou v souladu s bezpečnostními
politikami a standardy.
A.15.3 Hlediska auditu informačních systémů
Cíl: Maximalizovat účinnost auditu a minimalizovat zásahy do informačních systémů.
A.15.3.1 Opatření k auditu
informačních systémů
A.15.3.2 Ochrana nástrojů pro audit
informačních systémů
Opatření
Požadavky auditu a činnosti zahrnující kontrolu
provozních systémů by měly být pečlivě naplánovány
a schváleny, aby se minimalizovalo riziko narušení
činností organizace.
Opatření
Přístup k nástrojům určeným pro audit informačních
systémů by měl být chráněn, aby se předešlo jejich
možnému zneužití nebo ohrožení.
Příloha B
(informativní)
Principy směrnice OECD a normy BS ISO/IEC 27001
Principy dané směrnicí OECD pro bezpečnost informačních systémů a sítí se vztahují jak na
úroveň politik, tak na provozní úroveň, která řídí bezpečnost informačních systémů a sítí.
Tato norma poskytuje rámec systému řízení bezpečnosti informací pro zavedení některých
z principů OECD využitím modelu PDCA a procesů popsaných v odstavcích 4, 5, 6, 7 a 8, tak
jak naznačuje tabulka B.1.
Tabulka B.1 – principy OECD a model PDCA
Principy OECD Odpovídající procesu ISMS a fázi PDCA
Informovanost
Účastníci by měli být informováni o potřebě
bezpečnosti informačních systémů a sítí, a o tom,
co mohou udělat ke zvýšení bezpečnosti.
Odpovědnost
Všichni účastníci jsou odpovědní za bezpečnost
informačních systémů a sítí.
Reakce
Účastníci by měli jednat včas a vzájemně
spolupracovat při předcházení bezpečnostním
incidentům, při reakci a jejich odhalování.
Hodnocení rizik
Účastníci by měli provádět hodnocení rizik.
Návrh a implementace bezpečnosti
Účastníci by měli bezpečnost zahrnout mezi
základní prvky informačních systémů a sítí.
Řízení bezpečnosti
Účastníci by měli přijmout komplexní přístup k
řízení bezpečnosti.
Opětovné hodnocení
Účastníci by měli přezkoumávat a opětovně
hodnotit bezpečnost informačních systémů a sítí a
provádět příslušné úpravy bezpečnostní politiky,
praxe, opatření a postupů.
Tato činnost je součástí fáze Dělej (viz 4.2.2
a 5.2.2).
Tato činnost je součástí fáze Dělej (viz 4.2.2 a
5.1).
Toto je část monitorovací fáze Kontroluj (viz 4.2.3
a 6 až 7.3) a činnosti reakční fáze Jednej (viz 4.2.4
a 8.1 to 8.3). Součástí mohou být některé aspekty
fází Plánuj a Kontroluj.
Tato činnost je součástí fáze Plánuj (viz 4.2.1) a
opětovné hodnocení rizik je část fáze Kontroluj
(viz 4.2.3 a 6.1 až 6.4).
Jakmile je dokončeno hodnocení rizika, vyberou se
opatření pro zvládání rizik jako součást fáze
Plánuj (viz 4.2.1). Fáze Dělej (viz 4.2.2 a 5.2)
potom pokrývá implementaci a provozní využití
těchto opatření.
Řízení rizik je proces, který zahrnuje prevenci,
detekci a reakci na incidenty, probíhající údržbu,
přezkoumání a audit. Všechny tyto aspekty jsou
zahrnuty ve fázích Plánuj, Dělej, Kontroluj a
Jednej.
Opětovné hodnocení bezpečnosti informací je část
fáze Kontroluj (viz 4.2.3 a 6 až 7.3), kde by měla
být prováděna pravidelná přezkoumání za účelem
kontroly efektivnosti systému řízení bezpečnosti
informací a zlepšování bezpečnosti jako součást
fáze Jednej (viz 4.2.4 a 8.1 až 8.3).
Příloha C
(informativní)
Vztah mezi ISO 9001:2000, ISO 14001:2004 a ISO 27001:2005
Tabulka C.1 ukazuje vztah mezi ISO 9001:2000, ISO 14001:2004 a ISO 27001:2005
Tabulka C.1 - vztah mezi ISO 9001:2000, ISO 14001:2004 a ISO 27001:2005
ISO 27001:2005 ISO 9001:2000 ISO 14001:2004
0 Úvod
1.1 Všeobecně
1.2 Procesní přístup
1.3 Kompatibilita s jinými
systémy řízení
1 Působnost
1.1 Všeobecně
1.2 Použití
0 Úvod
1.1 Všeobecně
1.2 Procesní přístup
1.3 Vztah k ISO 9004
1.4 Kompatibilita s jinými
systémy managementu
1 Předmět normy
1.1 Všeobecně
1.2 Aplikace
0 Úvod
1 Předmět normy
2 Normativní odkazy 2 Normativní odkazy 2 Normativní odkazy
3 Termíny a definice 3 Termíny a definice 3 Definice
4 Systém řízení bezpečnosti
informací
4.1 Všeobecné požadavky
4.2. Ustavení a řízení ISMS
4.2.1 Ustavení ISMS
4.2.2 Zavádění a provozování
ISMS
4.2.3 Monitorování a
přezkoumání ISMS
4.2.4 Udržování a zlepšování
ISMS
4.3. Požadavky na dokumentaci
4.3.1 Všeobecně
4.3.2 Řízení dokumentů
4.3.3 Řízení záznamů
4 Systém managementu
jakosti
4.1 Všeobecné požadavky
8.2.3 Monitorování a měření
procesů
8.2.4 Monitorování a měření
produktu
4.2 Požadavky na dokumentaci
4.2.1 Všeobecně
4.2.2 Příručka jakosti
4.2.3 Řízení dokumentů
4.2.4 Řízení záznamů
4 Požadavky na systém
environmentálního
managementu
4.1 Všeobecné požadavky
4.4 Zavedení a provoz
4.5.1 Monitorování a měření
4.4.5 Řízení dokumentů
4.5.4 Záznamy
ISO 27001:2005 ISO 9001:2000 ISO 14001:2004
5. Odpovědnost vedení
5.1 Závazek vedení
5.2 Řízení zdrojů
5.2.1 Zajištění zdrojů
5.2.2 Školení, vědomí závažnosti
a odborná způsobilost
5 Odpovědnost managementu
5.1 Osobní angažovanost a
aktivita managementu
5.2 Zaměření na zákazníka
5.3 Politika jakosti
5.4 Plánování
5.5 Odpovědnost, pravomoc a
komunikace
6 Management zdrojů
6.1 Poskytování zdrojů
6.2 Lidské zdroje
6.2.2 Odborná způsobilost,
vědomí závažnosti a výcvik
6.3 Infrastruktura
6.4 Pracovní prostředí
4.2 Environmentální politika
4.3 Plánování
4.4.2 Výcvik, povědomí a
odborná způsobilost
6 Interní audity ISMS 8.2.2 Interní audit 4.5.4 Audit systému
environmentálního
managementu
7. Přezkoumání ISMS vedením
organizace
7.1 Všeobecně
7.2 Vstup pro přezkoumání
7.3 Výstup z přezkoumání
5.6 Přezkoumání systému
managementu
5.6.1 Všeobecně
5.6.2 Vstup pro přezkoumání
5.6.3 Výstup z přezkoumání
4.6 Přezkoumání vedením
organizace
8 Zlepšování ISMS
8.1 Soustavné zlepšování
8.2 Opatření k nápravě
8.3 Preventivní opatření
Příloha A Cíle opatření a
jednotlivá bezpečnostní
opatření
Příloha B Principy směrnice
OECD a normy BS ISO/IEC
27001
Příloha C Vztah mezi ISO
9001:2000, ISO 14001:2004 a
ISO 27001:2005
8 Měření analýza a zlepšování
8.5.1 Neustálé zlepšování
8.5.2 Opatření k nápravě
8.5.3 Preventivní opatření
Příloha A Soulad mezi ISO
9001:2000 a 14001:1996
4.5.2 Neshoda, nápravná a
preventivní opatření
Příloha A Návod k použití
normy
Příloha B Souvislosti mezi ISO
14001:2004 a 9001:2000