IT-Security Step-by-step

🍓PECB добровільно вийшла з акредитації Cofrac

2025-11-20T23:46:50Z

Починаючи з 11 серпня 2025 року, компанія PECB добровільно відкликала свою акредитацію Cofrac (Французький орган з акредитації) для сертифікацій PECB ISO/IEC 27005 Lead Risk Manager та Risk Manager. Це рішення є частиною стратегічного коригування партнерств PECB з акредитації, спрямованого на підвищення гнучкості та ефективності надання сертифікаційних послуг PECB. У межах цього переходу PECB й надалі дотримуватиметься найвищх стандартів сертифікації через акредитацію IAS (International Accreditation Service) для сертифікацій ISO/IEC 27005 Lead Risk Manager та Risk Manager.

Ключові оновлення для сертифікату PECB Certified ISO/IEC 27005 Risk Manager:

• Форма підтвердження відповідності (Eligibility Form) скасована і більше не потрібна для сертифікації.
• З назви сертифікату буде вилучено посилання на рік версії стандарту (2022). Тепер він матиме назву PECB Certified ISO/IEC 27005 Risk Manager.
• Позначка IAS відображатися у сертифікаті буде.

Нагадування про поновлення сертифікації:

Щоб зберегти чинність сертифікації, необхідно переконатися у:
• Поданнях годин підвищення кваліфікації — безперервного професійного розвитку (CPD).
• Сплаті щорічного внеску за обслуговування сертифікату (AMF).

Якщо сертифікацію не підтримувати протягом 3-річного циклу, буде застосовано 12-місячний період призупинення, протягом якого сертифіковані фахівці можуть погасити прострочені AMF та подати відсутні CPD. Якщо протягом періоду призупинення не буде вжито жодних дій, сертифікацію буде анульовано, і вона не буде понижена до Тимчасового рівня (Provisional). Для повторного отримання сертифікату необхідно буде скласти іспит заново та подати нову заявку на сертифікацію.

Примітка: Сертифікація Data Protection Officer (DPO) — CNIL залишається акредитованою Cofrac.

🪟 На стартову сторінку

comments

CSA — Гібридна хмара та пов'язані з нею ризики

2025-11-10T04:09:36Z

Гібридна хмара та пов'язані з нею ризики

Дата виходу: 13.07.2020

Робоча група: Гібридна хмарна безпека

Хмарні обчислення процвітають. Гібридні хмари, зокрема, набирають обертів, оскільки клієнти хмарних технологій дедалі більше розуміють, що використання лише публічних або приватних хмар має певні обмеження. Гібридна хмара часто є відправною точкою для організацій, щоб розпочати шлях до хмари, і цей документ має на меті описати концепцію та цінність гібридних хмар, виділити ключові сценарії застосування та вказати на ризики безпеки в гібридній хмарі.

Пов'язані дослідження | Робоча група

Джерело:
→ https://cloudsecurityalliance.org/artifacts/hybrid-clouds-and-its-associated-risks/

🪟 На стартову сторінку

comments

Ризики ШІ

2025-09-16T23:59:03Z

інструменти, які можуть допомогти вашій організації зіставляти, вимірювати та контролювати ризики ШІ протягом усього циклу розробки, щоб зменшити ризик заподіяння шкоди.

→ Посібник з оцінки впливу ШІ
Ознайомтеся з внутрішнім довідником Майкрософт щодо оцінки впливу ШІ.
Дізнатися більше — https://go.microsoft.com/fwlink/?linkid=2272454&clcid=0x422&culture=uk-ua&country=ua

→ Шаблон оцінки впливу ШІ
Отримайте шаблон Microsoft для оцінки впливу ШІ.
Дізнайтеся більше — https://go.microsoft.com/fwlink/?linkid=2272455&clcid=0x422&culture=uk-ua&country=ua

→ Набір інструментів для роботи з ШІ
Використовуйте цей набір інструментів для планування та розробки орієнтованих на людей систем штучного інтелекту.
Дізнайтеся більше — https://go.microsoft.com/fwlink/?linkid=2272805&clcid=0x422&culture=uk-ua&country=ua

→ Набір інструментів для відповідального ШІ
Ознайомтеся з інтерфейсами та бібліотеками з відкритим кодом, які допомагають розробникам краще розуміти й відстежувати системи штучного інтелекту.
Дізнатися більше — https://go.microsoft.com/fwlink/?linkid=2272456&clcid=0x422&culture=uk-ua&country=ua

→ Безпека вмісту ШІ Azure
Автоматично виявляйте та блокуйте небезпечний вміст у підказках і результатах генеративного ШІ для вашої програми.
Дізнатися більше — https://azure.microsoft.com/en-us/products/ai-services/ai-content-safety/

→ Microsoft Purview
Захистіть усі дані й керуйте їх відповідністю для інструментів і систем ШІ.
Дізнатися більше — https://www.microsoft.com/uk-ua/security/business/microsoft-purview

🪟 На стартову сторінку

comments

𝗥𝗶𝘀𝗸 𝗔𝘀𝘀𝗲𝘀𝘀𝗺𝗲𝗻𝘁

2025-09-15T10:28:00Z

Original:
https://www.linkedin.com/posts/the-tech-talks_cybersecurity-riskmanagement-riskassessment-activity-7373030293143748609-ef-6

⚠️ 𝗥𝗶𝘀𝗸 𝗔𝘀𝘀𝗲𝘀𝘀𝗺𝗲𝗻𝘁: 𝗧𝗵𝗲 𝗙𝗼𝘂𝗻𝗱𝗮𝘁𝗶𝗼𝗻 𝗼𝗳 𝗖𝘆𝗯𝗲𝗿𝘀𝗲𝗰𝘂𝗿𝗶𝘁𝘆 ⚠️

Every strong cybersecurity strategy starts with one critical process: Risk Assessment. Without it, organizations are blind to where their true vulnerabilities lie.

Here’s the step-by-step process:
1️⃣ Identify Assets & Data – List hardware, software, networks, and applications that need protection.
2️⃣ Identify Threats – Brainstorm possible cyber threats targeting those assets.
3️⃣ Identify Vulnerabilities – Map out weaknesses that could be exploited.
4️⃣ Determine Likelihood – Assess the chances of an attack based on motives & attacker capabilities.
5️⃣ Determine Impact – Estimate the potential business damage if a threat is successful.
6️⃣ Determine Risk Score – Multiply likelihood × impact to calculate risk levels.
7️⃣ Compare With Risk Appetite – Decide if the risk is acceptable or requires treatment.
8️⃣ Risk Treatment – Apply security controls to mitigate unacceptable risks.
9️⃣ Document & Monitor – Continuously track, update, and refine risk assessments.

🔐 A well-executed risk assessment doesn’t just check compliance boxes—it enables smarter decision-making, prioritization, and proactive defense.

👉 How often does your organization perform risk assessments—quarterly, annually, or continuously?

🔔 Follow Tech Talks for expert tips and updates on top tech courses like Cybersecurity, BigData, DevOps, AI, ML, Development, Testing, Marketing & more!

🪟 На стартову сторінку

comments

Термін framework

2025-04-11T17:10:42Z

У контексті інформаційної безпеки (ІБ) слово "framework" українською найчастіше перекладається як:

🔹 Фреймворк — транслітерований варіант, часто вживається у професійному ІТ-середовищі (наприклад, NIST Cybersecurity Framework — Фреймворк кібербезпеки NIST).
🔸 Рамкова модель або рамкова структура — офіційно вживаний переклад у нормативних документах (наприклад, рамкова структура управління ризиками).
🔹 Концептуальна модель — якщо йдеться про абстрактну, методологічну основу.
🔸 Методологія — коли фреймворк описує процеси та принципи роботи.
🔹 Система (управління/захисту/оцінки) — у вільному перекладі, щоб зробити текст доступнішим.

Приклади перекладу:

Англійський термін	Український переклад
NIST Cybersecurity Framework	Фреймворк кібербезпеки NIST
Risk Management Framework (RMF)	Рамкова модель управління ризиками
ISO/IEC 27001 Framework	Фреймворк ISO/IEC 27001
Cloud Security Framework	Хмарний фреймворк безпеки / Рамкова модель хмарної ІБ
Governance Framework	Фреймворк управління / Модель управління

🪟 На стартову сторінку

comments

Калькулятор завершення підтримки Microsoft Windows 10

2025-03-01T07:10:08Z

Джерело:

https://tei.forrester.com/go/microsoft/windows10eos

Методологія

Тло

Цей інструмент базується на дослідженнях Forrester Consulting під назвою: Нова технологія: прогнозований загальний економічний вплив™ Windows 11, липень 2022 року; Загальний економічний вплив™ пристроїв Windows 11 Pro, грудень 2022 року; і загальний економічний вплив™ Windows 11 Enterprise, лютий 2024 року. Працюючи з представниками організацій, що використовують Microsoft Windows 11, компанія Forrester визначила та кількісно оцінила ключові переваги інвестування в оновлення до Windows 11, зокрема:

Покращений профіль безпеки.
Продуктивність кінцевого користувача.
Економія коштів на ІТ.
Продуктивність ІТ.

Вхідні значення за замовчуванням базуються на даних з тематичних досліджень.

Наступні представники організацій, які використовують Microsoft Windows 11, були опитані для тематичного дослідження «Нова технологія: прогнозований загальний економічний вплив™ Windows 11», липень 2022 року.

Роль	Індустрія	Область	Всього співробітників
Директор з інформаційних технологій	Управління інвестиціями	Глобального	750
Директор з інформаційних технологій	Електронна комерція	НАС	5,000
• Керівник відділу IT • Менеджер з безпекових операцій (SecOps) • Технічний керівник	Страхування	Глобального	750
CISO	IT-послуги	Глобального	3,200
Старший директор з IT-архітектури	Фінансовий трейдинг	Глобального	4,000
Директор з інформаційних технологій	Управління інвестиціями	НАС	900

Наступні представники організацій, які використовують Microsoft Windows 11, були опитані для тематичного дослідження «Загальний економічний вплив™ пристроїв Windows 11 Pro» у грудні 2022 року.

Роль	Індустрія	Область	Всього співробітників
Головний технологічний керівник	Технології	Штаб-квартира в Північній Америці, глобальні операції	170,000+
Директор з інформаційної безпеки	IT-послуги	Штаб-квартира в Північній Америці, глобальні операції	5,500+
Директор з корпоративних IT-операцій	Виробництва	Штаб-квартира в Північній Америці, глобальні операції	45,000+
Керівник відділу інформаційних систем	Виробництва	Штаб-квартира в Азіатсько-Тихоокеанському регіоні	2,000+
Головний технічний директор	Виробництва	Штаб-квартира в Північній Америці, глобальні операції	60,000+

Наступні представники організацій, які використовують Microsoft Windows 11, були опитані для тематичного дослідження «Загальний економічний вплив™ Windows 11 Enterprise», лютий 2024 року.

Роль	Індустрія	Область	Цільові пристрої
• Заступник директора з інформаційних технологій• Системний адміністратор	Уряд	• Штаб-квартира в США• Регіональні операції	2,000
Архітектор рішень	Інжинірингові послуги	• Штаб-квартира в Швеції• Глобальні операції	30,000
Глобальний керівник відділу послуг для кінцевих користувачів	Товари народного споживання	• Штаб-квартира у Великій Британії• Глобальні операції	30,000
Керівник відділу дизайну робочого місця	Виробництва	• Штаб-квартира в Німеччині• Регіональні операції	20,000
IT-менеджер	Гірничо	• Штаб-квартира в Австралії• Глобальні операції	8,500
Старший інженерний менеджер сучасного робочого місця	Ланцюжок поставок	• Штаб-квартира в Данії• Глобальні операції	30,000

Методологія роботи з інструментом

Для розробки цього інструменту Форрестер використовував наступну методологію:

Компанія Forrester зібрала дані з існуючих досліджень Forrester щодо Microsoft Windows 11 і ринку в цілому.
Компанія Forrester провела інтерв'ю з маркетинговим і стратегічним персоналом Microsoft, щоб повністю зрозуміти ціннісну пропозицію Microsoft Windows 11.
Forrester опитав представників організацій, які використовують Microsoft Windows 11 як основу для даних у цій моделі.
Форрестер сконструював фінансову модель.
Форрестер побудував цей калькулятор на основі моделей у відповідних дослідженнях і відповідно до стандартів Forrester і TEI. Мета Форрестера полягає в тому, щоб наочно показати всі розрахунки і припущення, що використовуються в аналізі.

Застереження

У жовтні 2024 року Microsoft доручила Forrester Consulting розробити цю модель бізнес-кейсу, використовуючи власну методологію Total Economic Impact™. Мета полягає в тому, щоб корпорація Майкрософт провела потенційних клієнтів через опитувальник, щоб отримати інформацію, характерну для їхнього бізнесу. Корпорації Майкрософт заборонено змінювати обчислення або рівняння. Forrester вважає, що цей аналіз є репрезентативним для того, чого компанії можуть досягти на основі наданих даних даних даних даних і будь-яких зроблених припущень. Компанія Forrester не підтримує корпорацію Майкрософт або її пропозиції.

Незважаючи на те, що було докладено значних зусиль для забезпечення точності та повноти цієї моделі, корпорація Майкрософт і Forrester Research не можуть взяти на себе будь-яку юридичну відповідальність за будь-які дії, вжиті на основі інформації, що міститься в цьому документі. Інструмент надається «ЯК Є», і компанії Forrester і Microsoft не надають жодних гарантій.

Розкриття

Читач повинен знати про наступне:

Цей інтерактивний інструмент створено на замовлення корпорації Майкрософт і надано групою Forrester Consulting.
Корпорація Майкрософт розглянула і надала відгук Форрестеру, але Форрестер зберігає редакційний контроль над калькулятором і його рівняннями і не прийняв зміни, які суперечили висновкам Форрестера або приховували значення розрахунків.
Імена клієнтів для інтерв'ю у відповідному дослідженні були надані Microsoft.
Форрестер не робить жодних припущень щодо потенційної віддачі від інвестицій, яку отримають організації. Дивіться розділ «Відмова від відповідальності».
Цей інтерактивний інструмент не призначений для використання в якості конкурентного аналізу продукту.

Методологія TEI

TEI не тільки вимірює витрати та скорочення витрат (сфери, які зазвичай враховуються в ІТ), але й зважує сприятливу цінність технології для підвищення ефективності загальних бізнес-процесів. Для цього калькулятора Форрестер використав чотири основні елементи TEI при моделюванні фінансового впливу від проведення дослідження TEI: 1) зниження витрат і витрат, 2) вигоди для всієї організації, 3) ризик і 4) гнучкість. З огляду на зростаючу складність аналізу витрат на інвестиції в ІТ, методологія TEI компанії Forrester служить надзвичайно корисній меті, надаючи повну картину загального економічного ефекту від рішень про покупку.

Глосарій

Фінансова ставка дисконту	Процентна ставка, яка використовується в аналізі грошових потоків для врахування вартості грошей у часі. Компанії встановлюють облікову ставку залежно від свого бізнесу та інвестиційного середовища. Forrester припускає щорічну ставку дисконту в розмірі 10% для цього аналізу. Організації зазвичай використовують ставки дисконтування від 8% до 16% залежно від поточного середовища. Читачам рекомендується проконсультуватися зі своєю відповідною організацією, щоб визначити найбільш підходящу ставку знижки для використання у власному середовищі.
Чиста приведена вартість (NPV)	Поточна або поточна вартість (дисконтована) майбутніх чистих грошових потоків за умови процентної ставки (ставки дисконтування). Позитивний NPV проекту зазвичай вказує на те, що інвестиції повинні бути зроблені, якщо інші проекти не мають більш високих NPV.
Теперішня вартість (PV)	Поточна або поточна вартість (дисконтована) оцінки витрат і вигод, надана за процентною ставкою (ставка дисконтування). ПВ витрат і вигод вливаються в загальну чисту приведену вартість грошових потоків.
Рентабельність інвестицій (ROI)	Показник очікуваної прибутковості проекту у відсотковому вираженні. ROI розраховується шляхом ділення чистих вигод (вигоди мінус витрати) на витрати.
З поправкою на ризик	Forrester коригує оцінки витрат і вигод, щоб краще відобразити рівень невизначеності, який існує в реальних бізнес-сценаріях, але не обов'язково враховується в традиційних бізнес-кейсах. Якщо рентабельність інвестицій з поправкою на ризик все ще демонструє переконливе бізнес-обґрунтування, це підвищує впевненість у тому, що інвестиції, швидше за все, будуть успішними, оскільки ризики, які загрожують проекту, були враховані та кількісно оцінені. Як правило, ризики впливають на витрати, підвищуючи початкові кошториси, і вони впливають на вигоди за рахунок зменшення початкових оцінок.
Термін окупності	Точка беззбитковості для інвестицій. Момент часу, в якому чисті вигоди (вигоди мінус витрати) дорівнюють початковим інвестиціям або витратам.

Див.також:

🪟 На стартову сторінку

comments

Терміни і визначення, які використовуються у ISO 27001:2022

2024-08-28T17:49:37Z

Терміни і визначення, які використовуються у ISO 27001:2022

У стандарті ISO/IEC 27001:2022 використовується низка термінів і визначень, які є ключовими для розуміння і впровадження системи управління інформаційною безпекою (СУІБ).

Стандарт ISO/IEC 27001:2022 містить детальний перелік термінів і визначень, які є критично важливими для розуміння вимог і ефективного впровадження системи управління інформаційною безпекою (СУІБ). Нижче наведено основні терміни та визначення, що використовуються у цьому стандарті:

Основні терміни та визначення в ISO/IEC 27001:2022:

Актив (Asset): Ресурс або інформація, що має цінність для організації.
Загроза (Threat): Потенційне джерело небезпеки для активу, яке може спричинити порушення інформаційної безпеки.
Уразливість (Vulnerability): Слабке місце або недолік, яке може бути використане для реалізації загрози.
Інцидент інформаційної безпеки (Information security incident): Подія або серія подій, які можуть призвести до порушення конфіденційності, цілісності або доступності активів.
Ризик інформаційної безпеки (Information security risk): Поєднання ймовірності реалізації загрози та її наслідків для організації.
Контроль (Control): Міра або механізм, що застосовується для зменшення ризиків або досягнення цілей інформаційної безпеки.
Система управління інформаційною безпекою (СУІБ) (Information Security Management System, ISMS): Частина загальної системи управління, яка включає політики, процеси, процедури, рекомендації та ресурси, що використовуються для досягнення та підтримання інформаційної безпеки.
Політика інформаційної безпеки (Information security policy): Документ, що визначає зобов’язання організації щодо інформаційної безпеки, її цілі та підходи до управління інформаційними активами.
Актор загрози (Threat actor): Особа або організація, яка може здійснити загрозу, наприклад, зловмисник або природний фактор.
Ризик (Risk): Вплив невизначеності на цілі, що може мати як позитивні, так і негативні наслідки.
Захист даних (Data protection): Засоби та заходи, які організація застосовує для захисту інформаційних активів від несанкціонованого доступу, використання, розголошення, зміни або знищення.
Конфіденційність (Confidentiality): Властивість забезпечення доступу до інформації лише тим особам, які мають на це право.
Цілісність (Integrity): Властивість забезпечення точності, повноти та достовірності інформації.
Доступність (Availability): Властивість інформаційних активів бути доступними для використання авторизованими особами у потрібний момент.
Інформаційний актив (Information asset): Будь-яка інформація або ресурс, що має цінність для організації, включаючи електронні та паперові дані, програмне забезпечення, бази даних, системи та мережі.
Оцінка ризиків (Risk assessment): Процес виявлення, аналізу і оцінки ризиків для інформаційних активів.
Управління ризиками (Risk management): Процес визначення та застосування заходів для мінімізації, контролю або перенесення ризиків інформаційної безпеки.
Залишковий ризик (Residual risk): Ризик, який залишається після застосування заходів контролю.
Стороння організація (External party): Організація або особа, що не входить до структури компанії, але може взаємодіяти з її інформаційними активами.
Аудит інформаційної безпеки (Information security audit): Незалежна перевірка та оцінка відповідності процесів і заходів інформаційної безпеки вимогам стандарту.
Інформаційна безпека (Information security): Захист інформаційних активів від загроз, спрямованих на порушення їхньої конфіденційності, цілісності або доступності.
Інформаційна система (Information system): Сукупність взаємозалежних компонентів, що використовуються для збору, обробки, зберігання та поширення інформації.
Безперервність бізнесу (Business continuity): Здатність організації забезпечувати продовження критично важливих бізнес-функцій під час інцидентів.
Шифрування (Encryption): Процес перетворення інформації у форму, недоступну для несанкціонованих користувачів.
Управління доступом (Access control): Процедури і технології, які забезпечують доступ до інформаційних активів лише авторизованим користувачам.

Ці терміни є фундаментальними для розуміння підходів до управління інформаційною безпекою та забезпечення відповідності вимогам стандарту ISO/IEC 27001:2022.

💻 На стартову сторінку

comments

Лист опитування під час інвентаризації ІА

2024-08-28T16:50:32Z

Яку інформацію треба зібрати під час інвентаризації інформаційних активів (ІА) згідно з рекомендаціями стандарту ISO 27001:2022

Під час підготовки листа опитування завжди постає питання: що треба відобразити у листі опитування для визначення переліку інформаційних активів?

Для визначення переліку інформаційних активів за допомогою опитування, варто включити такі питання, щоб отримати повну інформацію про активи, які є в розпорядженні підрозділів або окремих співробітників:

Основні дані про актив
- Назва активу: Яке найменування чи ідентифікатор використовується для цього активу?
- Тип активу: До якого типу належить актив (апаратне забезпечення, програмне забезпечення, дані, документи, люди, мережеві ресурси тощо)?
- Короткий опис активу: Яка основна функція або призначення цього активу?
- Місцезнаходження активу: Де фізично або віртуально розташований цей актив?
Власність та відповідальність
- Власник активу: Хто відповідальний за управління цим активом?
- Користувачі активу: Хто має доступ або використовує цей актив?
Цінність та критичність
- Важливість активу: Наскільки критичним є цей актив для виконання бізнес-процесів або підтримки операцій організації?
- Інформаційна класифікація: До якої категорії конфіденційності або важливості належить інформація, що міститься в цьому активі (конфіденційна, внутрішня, публічна)?
Безпека та захист
- Існуючі заходи захисту: Які заходи безпеки використовуються для захисту цього активу?
- Потенційні загрози: Які основні ризики чи загрози можуть вплинути на безпеку цього активу?
Життєвий цикл активу
- Дата придбання чи створення: Коли було придбано або створено цей актив?
- Строк служби: Який очікуваний період використання цього активу?
Законодавчі та регуляторні вимоги
- Вимоги до зберігання та обробки: Чи підлягає цей актив спеціальним законодавчим або регуляторним вимогам?
Вартість та витрати
- Оцінка вартості активу: Яка приблизна вартість цього активу?
- Витрати на утримання: Які основні витрати пов'язані з підтримкою чи експлуатацією цього активу?
Залежності
- Залежності від інших активів: Чи залежить цей актив від інших активів для функціонування?

Ці питання допоможуть зібрати детальну інформацію про інформаційні активи, що є необхідною для їхнього подальшого управління та захисту відповідно до стандарту ISO 27001:2022.

Таблиця з питаннями для листа опитування з метою визначення переліку інформаційних активів

№	Категорія	№	Питання
1	Основні дані про актив	1.1	Назва активу: Яке найменування чи ідентифікатор використовується для цього активу?
		1.2	Тип активу: До якого типу належить актив (апаратне забезпечення, програмне забезпечення тощо)?
		1.3	Короткий опис активу: Яка основна функція або призначення цього активу?
		1.4	Місцезнаходження активу: Де фізично або віртуально розташований цей актив?
2	Власність та відповідальність	2.1	Власник активу: Хто відповідальний за управління цим активом?
		2.2	Користувачі активу: Хто має доступ або використовує цей актив?
3	Цінність та критичність	3.1	Важливість активу: Наскільки критичним є цей актив для бізнес-процесів або операцій?
		3.2	Інформаційна класифікація: До якої категорії конфіденційності або важливості належить інформація?
4	Безпека та захист	4.1	Існуючі заходи захисту: Які заходи безпеки використовуються для захисту цього активу?
		4.2	Потенційні загрози: Які основні ризики чи загрози можуть вплинути на безпеку цього активу?
5	Життєвий цикл активу	5.1	Дата придбання чи створення: Коли було придбано або створено цей актив?
		5.2	Строк служби: Який очікуваний період використання цього активу?
6	Законодавчі та регуляторні вимоги	6.1	Вимоги до зберігання та обробки: Чи підлягає цей актив спеціальним законодавчим або регуляторним вимогам?
7	Вартість та витрати	7.1	Оцінка вартості активу: Яка приблизна вартість цього активу?
		7.2	Витрати на утримання: Які основні витрати пов'язані з підтримкою чи експлуатацією цього активу?
8	Залежності	8.1	Залежності від інших активів: Чи залежить цей актив від інших активів для функціонування?

💻 На стартову сторінку

comments

Інвентаризація інформаційних активів (ISO 27001:2022)

2024-08-28T16:26:22Z

Які кроки треба виконати, щоб згідно з ISO 27001:2022 виконати інвентарізацію інформаційних активів

Для виконання інвентаризації інформаційних активів згідно зі стандартом ISO 27001:2022 необхідно виконати наступні кроки:

Визначення переліку інформаційних активів:
- Ідентифікуйте всі інформаційні активи організації, які потрібно захистити. До них можуть належати апаратне забезпечення, програмне забезпечення, дані, мережі, інтелектуальна власність, документи та люди.
- Посилання на документ: ISO 27001:2022, A.8.1.1 Inventory of assets.
Категоризація та класифікація активів:
- Визначте категорії активів (наприклад, конфіденційні дані, публічні дані) та їхній рівень важливості для організації.
- Посилання на документ: ISO 27001:2022, A.8.2.1 Classification of information.
Призначення власників активів:
- Призначте відповідальних осіб за кожний актив, які будуть відповідати за управління та захист активів.
- Посилання на документ: ISO 27001:2022, A.8.1.2 Ownership of assets.
Реєстрація активів:
- Створіть централізований реєстр активів, в якому будуть зберігатися всі дані про інформаційні активи, їхні власники, місце розташування, статус та інші характеристики.
- Посилання на документ: ISO 27001:2022, A.8.1.3 Acceptable use of assets.
Оцінка ризиків, пов'язаних з активами:
- Проведіть оцінку ризиків для кожного активу, щоб визначити можливі загрози, вразливості та потенційні наслідки для організації.
- Посилання на документ: ISO 27001:2022, A.8.2 Information security risk assessment.
Моніторинг та ревізія активів:
- Регулярно перевіряйте та оновлюйте інформацію про активи для забезпечення їх актуальності та відповідності політикам безпеки.
- Посилання на документ: ISO 27001:2022, A.8.1.4 Return of assets.
Розробка політик захисту активів:
- Розробіть та впровадьте політики та процедури для захисту активів відповідно до їхньої класифікації та ризиків, які їм загрожують.
- Посилання на документ: ISO 27001:2022, A.5.1 Policies for information security.

Ці кроки допоможуть забезпечити систематичний підхід до управління інформаційними активами та підвищити рівень інформаційної безпеки в організації.

Таблиця з кроками для виконання інвентаризації інформаційних активів згідно зі стандартом ISO 27001:2022

Крок	Опис	Посилання на документ
1. Визначення переліку інформаційних активів	Ідентифікація всіх інформаційних активів організації, які потрібно захистити.	ISO 27001:2022, A.8.1.1 Inventory of assets
2. Категоризація та класифікація активів	Визначення категорій активів та їхній рівень важливості для організації.	ISO 27001:2022, A.8.2.1 Classification of information
3. Призначення власників активів	Призначення відповідальних осіб за управління та захист кожного активу.	ISO 27001:2022, A.8.1.2 Ownership of assets
4. Реєстрація активів	Створення централізованого реєстру активів, де зберігаються всі дані про активи.	ISO 27001:2022, A.8.1.3 Acceptable use of assets
5. Оцінка ризиків, пов'язаних з активами	Оцінка ризиків для кожного активу з метою виявлення можливих загроз та вразливостей.	ISO 27001:2022, A.8.2 Information security risk assessment
6. Моніторинг та ревізія активів	Регулярна перевірка та оновлення інформації про активи для забезпечення їх актуальності.	ISO 27001:2022, A.8.1.4 Return of assets
7. Розробка політик захисту активів	Розробка та впровадження політик та процедур для захисту активів.	ISO 27001:2022, A.5.1 Policies for information security

Ця таблиця допоможе систематизувати процес інвентаризації інформаційних активів відповідно до стандарту ISO 27001:2022.

💻 На стартову сторінку

comments

Configure insider risk management

2024-05-13T19:56:06Z

Налаштування управління внутрішніми ризиками Microsoft Purview

Щоб настроїти керування внутрішніми ризиками в організації, виконайте наведені нижче дії.

Відомості про управління внутрішніми ризиками
Планування управління внутрішніми ризиками та перевірка ліцензування
Налаштування параметрів управління внутрішніми ризиками
Налаштування дозволів та необхідних компонентів політики & з'єднувачів
Створення та налаштування політик управління внутрішніми ризиками

Див. також:
→ Configure insider risk management Microsoft Purview

💻 На стартову сторінку

comments

Плани BCDR, RTO, RPO

2024-03-22T19:21:23Z

BCDR — план безперервності бізнес-процесів та аварійного відновлення (Business Continuity Disaster Recovery)

Плани BCDR – це офіційні документи, які компанії створюють для реагування на втрату даних та дій, які мають прийматися під час аварії або великомасштабного збою.

Кожен збій оцінюється окремо.

Приклад
План BCDR набуває чинності, коли весь центр обробки даних відключається від джерела електроживлення.

У рамках плану BCDR для додатків чи компонентів систем розглядають

• цільовий час відновлення (RTO) і
• цільову точку відновлення (RPO).

An illustration showing the duration, in hours, of the recovery point objective and recovery time objective from the time of the disaster / Ілюстрація, що показує тривалість у годинах цільової точки відновлення та цільового часу відновлення з моменту катастрофи.
Цільовий час відновлення

RTO — це значення максимального часу, протягом якого ваш бізнес може протриматися після аварії доти, доки не буде відновлено нормальне обслуговування, щоб уникнути неприпустимих наслідків, пов'язаних із перериванням бізнес-процесів.

Припустимо, що
RTO становить 12 годин, тобто робота може тривати протягом 12 годин, якщо основні служби не функціонують. Якщо час простою буде більшим, вашому бізнесу буде завдано серйозної шкоди.

Цільова точка відновлення

Цільова точка відновлення (RPO) - це міра максимального обсягу втрат даних, прийнятних після аварії. Як правило, підприємство виконує резервне копіювання кожні 24 години, 12 годин або навіть у режимі реального часу. У разі аварії частина даних все одно буде втрачена.

Наприклад, якщо
резервне копіювання виконувалося кожні 24 години, опівночі, а аварія сталася о 9:00, будуть втрачені дані за дев'ять годин. Якщо цільова точка відновлення компанії становила 12 годин, нічого страшного, адже минуло лише дев'ять годин. Однак, якщо цільова точка відновлення становила чотири години, це може стати проблемою і завдати шкоди..

→ Огляд Azure Site Recovery. Безперервність бізнес-процесів та аварійне відновлення

comments

Deployment - Advanced deployment guides & assistance

2024-02-19T17:41:05Z

→ Якщо в нас є свій тенант чи тестовий, натискуємо і вивчаємо

comments

Deployment - Microsoft Purview Information Protection‎ set up guide

2024-02-19T17:35:08Z

→ Якщо в нас є свій тенант чи тестовий, натискуємо і вивчаємо

comments

Deployment - Microsoft Purview Communication Compliance‎ and Insider Risk Management setup guide

2024-02-19T17:30:02Z

→ Якщо в нас є свій тенант чи тестовий, натискуємо і вивчаємо

comments