bga68comp | Entries tagged with стандарт

У контексті інформаційної безпеки (ІБ) слово "framework" українською найчастіше перекладається як:

🔹 Фреймворк — транслітерований варіант, часто вживається у професійному ІТ-середовищі (наприклад, NIST Cybersecurity Framework — Фреймворк кібербезпеки NIST).
🔸 Рамкова модель або рамкова структура — офіційно вживаний переклад у нормативних документах (наприклад, рамкова структура управління ризиками).
🔹 Концептуальна модель — якщо йдеться про абстрактну, методологічну основу.
🔸 Методологія — коли фреймворк описує процеси та принципи роботи.
🔹 Система (управління/захисту/оцінки) — у вільному перекладі, щоб зробити текст доступнішим.

Приклади перекладу:

Англійський термін	Український переклад
NIST Cybersecurity Framework	Фреймворк кібербезпеки NIST
Risk Management Framework (RMF)	Рамкова модель управління ризиками
ISO/IEC 27001 Framework	Фреймворк ISO/IEC 27001
Cloud Security Framework	Хмарний фреймворк безпеки / Рамкова модель хмарної ІБ
Governance Framework	Фреймворк управління / Модель управління

🪟 На стартову сторінку

Кодекс практики з кіберуправління (Cyber Governance Code of Practice) — це новий документ, опублікований урядом Великої Британії 8 квітня 2025 року. Він надає керівництву компаній та директорам рекомендації щодо ефективного управління кіберризиками та захисту своїх організацій від кібератак.

Кодекс кіберуправління — коротко

A: Управління ризиками

Дія 1	Отримайте впевненість, що технології, процеси, інформація та сервіси, критично важливі для досягнення цілей організації, ідентифіковані, пріоритетизовані та погоджені.
Дія 2	Узгодьте відповідального за кіберризики на рівні керівництва та впевніться, що вони інтегровані в загальне управління ризиками та внутрішній контроль.
Дія 3	Визначте та чітко донесіть рівень прийнятного кіберризику, а також переконайтесь, що існує план дій для дотримання цих меж.
Дія 4	Отримайте впевненість, що інформація про постачальників регулярно оцінюється відповідно до рівня ризику, і що організація стійка до ризиків у ланцюгу постачання.
Дія 5	Переконайтесь, що оцінки ризиків проводяться регулярно та враховують зміни в технологіях, регуляторних вимогах та загрозах.

B: Стратегія

Дія 1	Переконайтесь, що в організації розроблено кіберстратегію, яка узгоджена з загальною стратегією компанії.
Дія 2	Переконайтесь, що кіберстратегія відповідає визначеному рівню прийнятного ризику, регуляторним вимогам і змінам у середовищі (див. A3, A5).
Дія 3	Переконайтесь, що ресурси розподілені ефективно для управління кіберризиками.
Дія 4	Переконайтесь, що кіберстратегія впроваджується ефективно і досягає очікуваних результатів.

C: Люди

Дія 1	Сприяйте формуванню культури кібербезпеки з позитивними поведінковими моделями та відповідальністю — на всіх рівнях.
Дія 2	Переконайтесь, що існують чіткі політики, які підтримують цю культуру.
Дія 3	Пройдіть навчання для підвищення власної обізнаності та візьміть відповідальність за безпеку своїх цифрових активів.
Дія 4	Перевірте наявність ефективної програми навчання та обізнаності, заснованої на відповідних метриках.

D: Планування інцидентів, реагування і відновлення

Дія 1	Переконайтесь, що організація має план реагування та відновлення у разі кіберінциденту, що зачіпає критичні сервіси.
Дія 2	Щонайменше раз на рік проводьте тестування цього плану з залученням ключових внутрішніх і зовнішніх сторін.
Дія 3	У разі інциденту — виконуйте власні обов’язки щодо звітності та беріть участь у прийнятті рішень.
Дія 4	Переконайтесь, що існує процес аналізу інцидентів із врахуванням уроків для подальших оцінок ризиків та оновлення планів.

E: Контроль і нагляд

Дія 1	Створіть структуру кіберуправління, інтегровану у загальну структуру управління компанії, з чітким розподілом ролей та відповідальності.
Дія 2	Встановіть формальну звітність (не рідше ніж щоквартально), чіткі метрики та допустимі межі ризику.
Дія 3	Підтримуйте постійний двосторонній діалог із ключовими керівниками, включно з CISO (або аналогічною особою).
Дія 4	Переконайтесь, що кібербезпека інтегрована з внутрішнім/зовнішнім аудитом та системами контролю.
Дія 5	Забезпечте обізнаність керівників щодо нормативних вимог та кращих практик.

Де його завантажити?
Безкоштовно, офіційно:
gov.uk/cyber-governance

🔞 На стартову сторінку

Акронім AAA:

Використовується для позначення автентифікації, авторизації та обліку різноманітних сервісів (англ. authentication, authorization, accounting, AAA)

Див. також:

🪟 На стартову сторінку

ICU Locale — це частина проєкту ICU (International Components for Unicode), який надає бібліотеки для роботи з текстом і даними, специфічними для різних мов і регіонів. ICU Locale використовується для представлення інформації про мову, регіон та інші культурні параметри (такі як формат дати, часу, чисел, валюти) у програмних додатках.

Приклад використання ICU Locale: Припустімо, у вас є додаток, який відображає дати й суми залежно від мови та регіону користувача. За допомогою ICU Locale можна задати певні налаштування, щоб, наприклад, формат числа «1,000.50» виглядав як «1.000,50» для користувачів з Європи або «$1,000.50» для користувачів зі США.

Деякі можливості ICU Locale:

Визначення мов і регіонів, таких як
- en_US для американської англійської,
- uk_UA для української в Україні,
- ru_UA російська (Україна).
Налаштування форматування дат, часу, чисел і валют відповідно до обраної локалі.
Обробка культурних особливостей, таких як алфавітний порядок і правила правопису.

ICU використовується на багатьох великих платформах і мовах програмування, таких як Java, Android, C++, і широко застосовується в міжнародних веб-додатках та програмах, щоб забезпечити їхню локалізацію та інтернаціоналізацію.

Далі та більше див.:
ICU Locale “русский (Украина)” (ru_UA)

🪟 На стартову сторінку

Щоб впроваджувати безпечні, надійні та ефективні хмарні сервіси, а також управляти ними відповідно до міжнародних вимог та кращих практик, нижче наведений перелік основних стандартів ISO/IEC:

1. ISO/IEC 17788:2014 — Інформаційні технології – Хмарні обчислення – Огляд та словник

Цей стандарт надає визначення ключових понять хмарних обчислень, таких як моделі надання послуг (SaaS, PaaS, IaaS) та моделі розгортання (публічна, приватна, гібридна хмара). Він забезпечує єдину термінологію для розробників і користувачів хмарних рішень.

2. ISO/IEC 17789:2014 — Архітектура хмарних обчислень

Стандарт описує архітектурну модель хмарних обчислень і рольові моделі. Він окреслює основні компоненти, взаємодії та функції, необхідні для належного управління хмарними послугами.

3. ISO/IEC 27017:2015 — Інформаційні технології – Методи забезпечення безпеки – Керівництво з безпеки для хмарних обчислень

Цей стандарт надає рекомендації щодо захисту інформації у хмарних середовищах, зокрема щодо конфіденційності, доступу до даних та управління ризиками.

4. ISO/IEC 27018:2019 — Захист персональних даних у хмарних обчисленнях

Він доповнює ISO/IEC 27001 та 27002, фокусуючись на захисті персональних даних в умовах хмарних обчислень. Стандарт описує заходи для забезпечення конфіденційності та відповідності вимогам до персональних даних.

5. ISO/IEC 19086 — Угоди про рівень надання послуг (SLA) для хмарних обчислень

Частина 1: Загальні концепції та структура — визначає загальні принципи створення та управління SLA.
Частина 2: Метрики рівня обслуговування — надає інструкції щодо метрик, які використовуються для оцінки якості хмарних сервісів.
Частина 3: Основні вимоги до SLA — описує основні вимоги, яким повинні відповідати SLA.
Частина 4: Метрики безпеки — описує метрики, що пов'язані із забезпеченням безпеки в угодах SLA.

6. ISO/IEC 27001 — Система управління інформаційною безпекою (ISMS)

Цей стандарт не є специфічним для хмарних технологій, але є важливим для управління інформаційною безпекою в хмарних середовищах. Він визначає вимоги до захисту інформаційних активів, що можуть бути застосовані до хмарних обчислень.

7. ISO/IEC 38500 — Корпоративне управління ІТ

Хоча цей стандарт загалом стосується корпоративного управління ІТ, його принципи можуть бути застосовані і до управління хмарними обчисленнями, зокрема щодо відповідальності, стратегії та забезпечення контролю.

🪟 На стартову сторінку

ISO/IEC 27001:2022 отличается от ISO/IEC 27001:2015 несколькими важными изменениями и улучшениями.
Ключевые различия

Обновление Приложения A (контроли):
- Основное изменение касается Приложения A, где перечень контролей был пересмотрен и актуализирован.
- В новой версии количество контролей сократилось с 114 до 93. Они теперь распределены по 4 категориям вместо 14: организационные меры, меры для защиты людей, меры по защите технологической инфраструктуры, меры по управлению физической средой.
- Были добавлены новые контроли, такие как "управление угрозами" и "управление конфиденциальностью данных".
Фокус на адаптивность и устойчивость:
- В новой версии больший акцент сделан на управлении рисками и устойчивостью информационной безопасности, что включает управление инцидентами и возможность адаптации к новым угрозам и изменениям.
Более гибкий подход к документации:
- ISO/IEC 27001:2022 делает упор на необходимость вести документацию, но при этом оставляет организациям больше свободы в выборе того, как именно она будет вестись.
Обновления терминологии и структуры:
- Введены обновления в терминологию, чтобы обеспечить большую ясность и соответствие современным требованиям к информационной безопасности.
- Некоторые разделы стандарта были пересмотрены и переформатированы, чтобы улучшить их понимание и применение на практике.
Процесс сертификации:
- Переход с ISO/IEC 27001:2015 на ISO/IEC 27001:2022 требует пересмотра системы управления информационной безопасностью (СУИБ) организации, чтобы она соответствовала новым требованиям.

Эти изменения отражают текущие вызовы в области информационной безопасности и адаптируют стандарт к современным условиям и требованиям.

В стандарте ISO/IEC 27001:2022 контроли в Приложении A разделены на 4 категории, каждая из которых охватывает разные аспекты управления информационной безопасностью.

Приложении A. Подробное описание категорий

1. Организационные меры (Organizational controls)

Эта категория включает контроли, связанные с управлением и организацией процессов информационной безопасности внутри компании. Они направлены на обеспечение правильного подхода к управлению информационной безопасностью и включают такие аспекты, как:

Управление политиками безопасности: разработка, внедрение и поддержка политик информационной безопасности.
Роли и обязанности: определение ролей и ответственности сотрудников в области информационной безопасности.
Управление рисками: идентификация, оценка и управление рисками, связанными с информационной безопасностью.
Управление ресурсами: эффективное распределение и использование ресурсов для обеспечения информационной безопасности.

2. Меры для защиты людей (People controls)

Эта категория включает контроли, направленные на защиту людей, работающих с информационными активами, и обеспечение их осведомленности и готовности к соблюдению правил безопасности. Основные контроли включают:

Обучение и осведомленность: программы обучения сотрудников основам информационной безопасности.
Проверка на благонадежность: проверка новых сотрудников на благонадежность перед началом работы с критичными информационными активами.
Управление инцидентами с персоналом: реагирование на инциденты, связанные с человеческими факторами, такими как внутренние угрозы.

3. Меры по защите технологической инфраструктуры (Technological controls)

Эта категория охватывает контроли, связанные с техническими аспектами защиты информационных активов, включая защиту систем, сетей и данных. Включает такие меры, как:

Управление доступом: контроль доступа к системам и данным для предотвращения несанкционированного использования.
Шифрование данных: использование шифрования для защиты конфиденциальной информации.
Управление уязвимостями: выявление, оценка и устранение уязвимостей в системах и приложениях.
Управление безопасностью сетей: защита сетевой инфраструктуры от угроз, таких как атаки DDoS или вредоносное ПО.

4. Меры по управлению физической средой (Physical controls)

Эта категория включает контроли, направленные на защиту физических активов и среды, в которой обрабатываются информационные активы. Включает следующие аспекты:

Физическая безопасность объектов: контроль доступа к помещениям, где хранятся или обрабатываются критические информационные активы.
Охрана и контроль за помещениями: использование систем видеонаблюдения, сигнализации и других мер для защиты объектов.
Защита от стихийных бедствий: меры для защиты объектов от природных угроз, таких как пожары, наводнения и землетрясения.
Управление физическими носителями: контроль за хранением, перемещением и уничтожением физических носителей информации (например, бумажных документов или жестких дисков).

Эти категории помогают структурировать подходы к информационной безопасности, учитывая не только технические аспекты, но и организационные, человеческие и физические факторы.

Обновления терминологии в стандарте ISO/IEC 27001:2022 направлены на улучшение ясности, соответствие современным тенденциям в области информационной безопасности и более точное отражение концепций и процессов.

Информация о ключевых изменениях в терминологии

1. Изменение терминов и определений

Некоторые термины были пересмотрены для улучшения их понимания и согласования с другими международными стандартами. Примеры:

"Цель управления" (Control objective) была заменена на "Управленческую цель" (Management objective), чтобы подчеркнуть связь с управленческими процессами и целями организации, а не только с мерами безопасности.
Термин "Риск" (Risk) стал более широко применяться с учетом различных контекстов, охватывающих не только информационные, но и бизнес-риски.

2. Введение новых понятий

Новые понятия и термины введены для отражения современных подходов к управлению информационной безопасностью:

"Устойчивость" (Resilience): термин подчеркивает способность организации поддерживать свою деятельность на должном уровне, несмотря на потенциальные инциденты или атаки.
"Управление угрозами" (Threat management): введен для описания процессов идентификации и противодействия новым и развивающимся угрозам, включая кибератаки и внутренние угрозы.
"Конфиденциальность данных" (Data privacy): термин стал важным в контексте защиты персональных данных и выполнения требований законодательств, таких как GDPR.

3. Уточнение и расширение значений существующих терминов

Некоторые существующие термины были уточнены и дополнены, чтобы лучше отражать их значение в текущих условиях:

"Инцидент безопасности" (Security incident): расширено значение термина, включив в него более широкий спектр возможных инцидентов, таких как утечка данных, компрометация конфиденциальности, сбой работы систем.
"Управление активами" (Asset management): уточнен, чтобы подчеркнуть важность не только технических активов, но и данных, знаний и других нематериальных активов.

4. Согласование с другими стандартами

Терминология ISO/IEC 27001:2022 согласована с другими стандартами серии ISO и международными нормативными актами:

Согласование с ISO 31000 (Управление рисками): термины, связанные с рисками, были пересмотрены, чтобы соответствовать подходам и определениям, приведенным в стандарте ISO 31000.
Интеграция с GDPR и другими законами о защите данных: термины, касающиеся конфиденциальности и защиты данных, приведены в соответствие с требованиями международных и региональных законодательств, таких как GDPR.

5. Обновление иерархии и структуры терминов

В новой версии стандарта также пересмотрена структура и иерархия терминов для лучшего понимания взаимосвязей между ними. Например, категории и подкатегории контролей были реорганизованы, чтобы сделать их более логичными и удобными для внедрения в различных организациях.

Эти обновления терминологии помогают лучше адаптировать стандарт к современным вызовам в области информационной безопасности, делая его более понятным и удобным для применения на практике.

💻 На стартову сторінку

Які кроки треба виконати, щоб згідно з ISO 27001:2022 виконати інвентарізацію інформаційних активів

Для виконання інвентаризації інформаційних активів згідно зі стандартом ISO 27001:2022 необхідно виконати наступні кроки:

Визначення переліку інформаційних активів:
- Ідентифікуйте всі інформаційні активи організації, які потрібно захистити. До них можуть належати апаратне забезпечення, програмне забезпечення, дані, мережі, інтелектуальна власність, документи та люди.
- Посилання на документ: ISO 27001:2022, A.8.1.1 Inventory of assets.
Категоризація та класифікація активів:
- Визначте категорії активів (наприклад, конфіденційні дані, публічні дані) та їхній рівень важливості для організації.
- Посилання на документ: ISO 27001:2022, A.8.2.1 Classification of information.
Призначення власників активів:
- Призначте відповідальних осіб за кожний актив, які будуть відповідати за управління та захист активів.
- Посилання на документ: ISO 27001:2022, A.8.1.2 Ownership of assets.
Реєстрація активів:
- Створіть централізований реєстр активів, в якому будуть зберігатися всі дані про інформаційні активи, їхні власники, місце розташування, статус та інші характеристики.
- Посилання на документ: ISO 27001:2022, A.8.1.3 Acceptable use of assets.
Оцінка ризиків, пов'язаних з активами:
- Проведіть оцінку ризиків для кожного активу, щоб визначити можливі загрози, вразливості та потенційні наслідки для організації.
- Посилання на документ: ISO 27001:2022, A.8.2 Information security risk assessment.
Моніторинг та ревізія активів:
- Регулярно перевіряйте та оновлюйте інформацію про активи для забезпечення їх актуальності та відповідності політикам безпеки.
- Посилання на документ: ISO 27001:2022, A.8.1.4 Return of assets.
Розробка політик захисту активів:
- Розробіть та впровадьте політики та процедури для захисту активів відповідно до їхньої класифікації та ризиків, які їм загрожують.
- Посилання на документ: ISO 27001:2022, A.5.1 Policies for information security.

Ці кроки допоможуть забезпечити систематичний підхід до управління інформаційними активами та підвищити рівень інформаційної безпеки в організації.

Таблиця з кроками для виконання інвентаризації інформаційних активів згідно зі стандартом ISO 27001:2022

Крок	Опис	Посилання на документ
1. Визначення переліку інформаційних активів	Ідентифікація всіх інформаційних активів організації, які потрібно захистити.	ISO 27001:2022, A.8.1.1 Inventory of assets
2. Категоризація та класифікація активів	Визначення категорій активів та їхній рівень важливості для організації.	ISO 27001:2022, A.8.2.1 Classification of information
3. Призначення власників активів	Призначення відповідальних осіб за управління та захист кожного активу.	ISO 27001:2022, A.8.1.2 Ownership of assets
4. Реєстрація активів	Створення централізованого реєстру активів, де зберігаються всі дані про активи.	ISO 27001:2022, A.8.1.3 Acceptable use of assets
5. Оцінка ризиків, пов'язаних з активами	Оцінка ризиків для кожного активу з метою виявлення можливих загроз та вразливостей.	ISO 27001:2022, A.8.2 Information security risk assessment
6. Моніторинг та ревізія активів	Регулярна перевірка та оновлення інформації про активи для забезпечення їх актуальності.	ISO 27001:2022, A.8.1.4 Return of assets
7. Розробка політик захисту активів	Розробка та впровадження політик та процедур для захисту активів.	ISO 27001:2022, A.5.1 Policies for information security

Ця таблиця допоможе систематизувати процес інвентаризації інформаційних активів відповідно до стандарту ISO 27001:2022.

💻 На стартову сторінку

ДСТУ 3008—2015 — это украинский стандарт, который устанавливает правила оформления научно-технических документов.
Этот документ содержит требования к структуре, содержанию и оформлению различных видов научных работ, таких как диссертации, дипломные работы, отчеты, статьи и другие публикации.
Основные разделы ДСТУ 3008—2015 охватывают:

Структуру документа: определение обязательных разделов, таких как титульный лист, введение, основная часть, заключение, список литературы и приложения.
Оформление текста: правила форматирования, шрифты, абзацы, отступы, нумерация страниц и разделов.
Ссылки и цитирование: требования к оформлению ссылок на использованные источники, библиографических описаний и правил цитирования.
Таблицы и иллюстрации: стандарты для оформления таблиц, графиков, схем, рисунков и других визуальных материалов.
Язык и стиль: требования к языку и стилю изложения научных работ, включая использование научной терминологии и сокращений.

Этот стандарт помогает обеспечить единообразие в оформлении научных работ и облегчить их восприятие.

Оформление текста по стандарту ДСТУ 3008—2015
включает в себя несколько аспектов, таких как форматирование текста, использование шрифтов, абзацев, заголовков и нумерации. Вот основные требования:

1. Шрифт и размер

Основной текст документа должен быть напечатан шрифтом Times New Roman.
Размер шрифта основной части текста — 14 пунктов.
Межстрочный интервал — полуторный (1.5).
Цвет текста — черный.

2. Поля

Левое поле: 30 мм.
Правое поле: 10 мм.
Верхнее и нижнее поля: по 20 мм.

3. Абзацы

Абзацный отступ должен быть равен 1,25 см.
Каждый новый абзац начинается с абзацного отступа.
Текст выравнивается по ширине страницы.

4. Нумерация страниц

Нумерация страниц начинается с титульного листа, но номер на титульной странице не проставляется.
Номера страниц проставляются в правом верхнем углу, начиная со второй страницы.
Используются арабские цифры (например, 2, 3, 4 и т.д.).

5. Заголовки

Заголовки разделов (глав, частей) пишутся прописными (заглавными) буквами, без точки в конце.
Заголовки подразделов пишутся с заглавной буквы, без точки в конце.
Если заголовок занимает несколько строк, он должен быть оформлен через одинарный межстрочный интервал.
Заголовки отделяются от предыдущего и последующего текста двумя интервалами.

6. Подзаголовки

Подзаголовки (если есть) оформляются с отступом и пишутся с заглавной буквы.
Между подзаголовком и текстом оставляется один интервал.

7. Списки

В документе могут использоваться как нумерованные, так и маркированные списки.
Для нумерованных списков применяются арабские цифры с точкой, например: 1. 2.
Для маркированных списков используются символы (например, тире «—» или точка).
Списки выравниваются по левому краю с отступом в 1 см от основного текста.

8. Курсив и полужирный шрифт

Курсив используется для выделения терминов, а также для выделения иностранных слов.
Полужирный шрифт может использоваться для выделения ключевых понятий или важных элементов текста.

9. Использование прописных и строчных букв

Прописные буквы (ЗАГЛАВНЫЕ) используются в заголовках разделов, аббревиатурах и акронимах.
Строчные буквы используются в основном тексте и подзаголовках.

10. Оформление цитат

Цитаты длиной до трех строк включаются в текст в кавычках.
Цитаты более трех строк выделяются в отдельный абзац с уменьшенным отступом, без кавычек.

11. Формулы

Формулы выравниваются по центру страницы.
Нумерация формул производится в круглых скобках справа от формулы.

12. Оформление таблиц и рисунков

Таблицы и рисунки должны иметь порядковую нумерацию и заголовок.
Заголовок таблицы размещается над таблицей, а заголовок рисунка — под рисунком.
Таблицы и рисунки выравниваются по центру страницы.

Эти правила помогают поддерживать стандартизированный и профессиональный вид научно-технических документов, обеспечивая их удобочитаемость и систематичность.

Таблицы и иллюстрации в научно-технических документах, оформляемых по стандарту ДСТУ 3008—2015,
играют важную роль в наглядном представлении информации. Вот подробные требования к их оформлению:

1. Оформление таблиц

Общие требования

Размещение: Таблицы должны располагаться непосредственно после текста, где они упоминаются впервые. Если таблица большая, её можно разместить на следующей странице, но желательно, чтобы она оставалась на одной странице целиком.
Нумерация: Все таблицы должны быть пронумерованы арабскими цифрами (например, Таблица 1, Таблица 2 и т.д.). Нумерация может быть сквозной по всему документу или внутри каждого раздела (например, Таблица 1.1 для первой таблицы в разделе 1).
Заголовок таблицы: Заголовок располагается над таблицей, по центру страницы. Слово "Таблица" и её номер указываются слева, а название таблицы — по центру (например, "Таблица 1 — Распределение населения по возрасту").
Текст в таблице: Шрифт в таблице может быть уменьшен до 12 пунктов, но он должен быть того же типа, что и основной текст (Times New Roman). Все тексты в ячейках выравниваются по центру или по левому краю, в зависимости от содержания.
Границы таблицы: Все таблицы должны быть окружены границами. Также допускается отсутствие вертикальных границ между столбцами, если это не ухудшает восприятие информации.
Примечания к таблице: Если таблица требует пояснений, под ней можно разместить примечания. Примечания оформляются шрифтом меньшего размера, например, 12 пунктов.

Структура таблицы

Заголовки столбцов и строк: Заголовки должны быть краткими и чёткими. Они должны точно отображать содержание данных, содержащихся в соответствующих столбцах или строках.
Единицы измерения: Если данные в таблице требуют указания единиц измерения, они указываются в заголовках столбцов или строк (например, "Вес, кг").
Сложные таблицы: Если таблица имеет сложную структуру (например, объединенные ячейки), это должно быть оформлено понятно и аккуратно.

2. Оформление иллюстраций (рисунков, графиков, диаграмм)

Общие требования

Размещение: Иллюстрации должны располагаться после текста, где они упоминаются впервые, или на следующей странице, если так лучше для восприятия. Как и таблицы, они должны находиться на одной странице целиком.
Нумерация: Все иллюстрации пронумеровываются арабскими цифрами (например, Рисунок 1, Рисунок 2 и т.д.). Нумерация может быть сквозной или по разделам (например, Рисунок 2.3 — третий рисунок во втором разделе).
Заголовок и пояснения: Под иллюстрацией располагается её заголовок с пояснениями (если они необходимы). Заголовок должен содержать слово "Рисунок", номер и краткое название (например, "Рисунок 2 — Схема устройства"). Заголовок выравнивается по центру страницы.
Шрифт: Тексты внутри рисунков (например, подписи на графиках или диаграммах) должны быть выполнены шрифтом, аналогичным основному тексту документа (Times New Roman), размером не менее 12 пунктов.
Качество изображения: Все иллюстрации должны быть чёткими, с хорошим качеством и без размытости. Если иллюстрация взята из другого источника, необходимо убедиться, что её разрешение достаточно для качественного воспроизведения.

Типы иллюстраций

Рисунки и схемы: Эти виды иллюстраций используются для отображения объектов, процессов или устройств. Они должны быть выполнены аккуратно и масштабировано.
Графики и диаграммы: Графики и диаграммы используются для наглядного представления данных. Все оси графиков должны быть подписаны, единицы измерения указаны, а масштаб осей — пропорционален.
Фотографии: Если в документе используются фотографии, они должны быть качественными, а их размер и размещение — такими, чтобы изображение было чётким и хорошо воспринимаемым.

3. Оформление ссылок на таблицы и иллюстрации

В тексте необходимо ссылаться на таблицы и иллюстрации, используя их номера (например, "см. Таблицу 2", "как показано на Рисунке 3").
Ссылки должны быть точными и соответствовать номерам, присвоенным таблицам и иллюстрациям в документе.

Эти правила помогают создать единообразие в оформлении таблиц и иллюстраций, что улучшает восприятие и структурированность научно-технических документов.

Пункт 5 из основных разделов ДСТУ 3008—2015 касается оформления языка и стиля научно-технических документов.
Этот раздел содержит рекомендации по использованию языка, терминологии и стилистики в таких работах, чтобы обеспечить их понятность, точность и однозначность. Вот основные положения:

1. Точность и однозначность изложения

Ясность формулировок: Текст должен быть написан максимально ясно и четко. Избегайте сложных конструкций, двусмысленных выражений и ненужных повторов.
Точность выражений: Важно использовать термины и фразы, которые однозначно передают смысл. Каждый термин должен быть четко определен, особенно если он используется впервые в тексте.
Отсутствие субъективных выражений: В научно-технических документах следует избегать выражений личного мнения или эмоций, таких как "я считаю", "мне кажется", "на мой взгляд". Все утверждения должны основываться на фактах и результатах исследований.

2. Использование научной терминологии

Употребление терминов: Следует использовать только общепринятые научные термины, которые известны и понятны в данной области науки. Не рекомендуется вводить собственные термины без необходимости.
Определение терминов: Если термин специфичен или имеет несколько значений, его следует определить при первом упоминании в тексте. Для этого можно использовать сноски или отдельный раздел "Определения".
Единообразие: Один и тот же термин должен использоваться последовательно на протяжении всего документа. Избегайте синонимов и замен терминов, чтобы не вводить читателя в заблуждение.

3. Использование сокращений

Введение сокращений: Все сокращения (аббревиатуры, акронимы) должны быть расшифрованы при первом упоминании в тексте. Например, "Национальная академия наук Украины (НАН Украины)".
Список сокращений: Если в документе используется большое количество сокращений, рекомендуется включить их полный список в начале документа или в приложении.
Единообразие сокращений: Как и в случае с терминами, сокращения должны использоваться последовательно. Избегайте создания и использования новых сокращений без необходимости.

4. Грамматическая правильность

Правильное построение предложений: Важно, чтобы предложения были грамматически правильными, логически связанными и легко читаемыми.
Пунктуация: Особое внимание следует уделять правильной пунктуации, так как она влияет на восприятие текста. Ошибки в пунктуации могут изменить смысл фраз или затруднить их понимание.
Согласование времен и форм: Важно согласовывать времена глаголов и формы слов в предложениях. Это необходимо для поддержания логической целостности изложения.

5. Стиль изложения

Научный стиль: Основной стиль изложения в научно-технических документах — это научный стиль, который характеризуется логичностью, точностью, объективностью и формальностью. Текст должен быть нейтральным и беспристрастным.
Избегание разговорных выражений: Разговорные фразы, жаргонизмы и сленг не допускаются. Все утверждения должны быть изложены в строгом и официальном тоне.
Активный и пассивный залог: Обычно в научных работах используется пассивный залог (например, "исследование было проведено", "результаты были получены"), но также допустимо использование активного залога в зависимости от контекста (например, "авторы установили").

6. Язык документа

Официальный язык: Документ должен быть написан на официальном языке, принятом в стране, где он будет использоваться. В случае Украины — это украинский язык. Если документ предназначен для международной аудитории, возможно использование английского языка.
Перевод и адаптация: При необходимости документ может быть переведен на другие языки, но важно, чтобы перевод точно передавал смысл оригинального текста.

7. Цитирование и ссылки

Правила цитирования: В научно-технических документах важно правильно цитировать источники. Прямые цитаты берутся в кавычки и сопровождаются ссылками на источник.
Оформление библиографии: Все используемые источники должны быть указаны в списке литературы в конце документа. Ссылки на источники в тексте оформляются в соответствии с принятым стандартом.

Следование этим правилам помогает обеспечить высокое качество научно-технических документов, их понятность и доступность для читателей.

💻 На головну сторінку

Якщо розглядати Політику антивірусного захисту з урахуванням COBIT, то маємо на увазі наступне:

COBIT (Control Objectives for Information and Related Technology) — це фреймворк управління ІТ, розроблений для забезпечення зв’язку між ІТ-цілями та бізнес-цілями. COBIT охоплює безліч аспектів ІТ-управління, включаючи управління ризиками, безпеку, контроль і відповідність вимогам.
Антивірусний захист у контексті COBIT може розглядатися в рамках доменів, пов’язаних з управлінням ризиками та забезпеченням інформаційної безпеки. Ось ключові розділи та процеси COBIT, які стосуються антивірусного захисту:

APO12 - Управління ризиками (Risk Management)
- У цьому процесі COBIT описується необхідність ідентифікації, оцінки та управління ІТ-ризиками, що включає загрози безпеки, такі як віруси та шкідливе ПЗ. Антивірусний захист розглядається як одна з заходів для зменшення ризиків.
DSS05 - Управління безпекою (Manage Security Services)
- Цей процес включає забезпечення інформаційної безпеки шляхом реалізації та підтримання заходів захисту, таких як антивірусні рішення, брандмауери та інші механізми захисту.
DSS01 - Управління операційними ІТ-послугами (Manage Operations)
- Операційні процеси управління ІТ можуть включати моніторинг і управління антивірусним захистом як частину загальних ІТ-послуг.
BAI09 - Управління конфігурацією (Manage Configuration)
- Антивірусні програми повинні бути правильно сконфігуровані та оновлені, що також стосується управління конфігурацією ІТ-інфраструктури.

Ці розділи COBIT допомагають організаціям розробляти, впроваджувати та підтримувати ефективні заходи антивірусного захисту, а також управляти відповідними ризиками, пов’язаними з шкідливим програмним забезпеченням.

💻 На головну сторінку

Які накази і рішення НБУ стосуються дотримання вимог в контексті захисту платіжних систем та фінансових даних?

Національний банк України (НБУ) видав ряд нормативних актів, які регулюють питання захисту платіжних систем і фінансових даних. Ці акти встановлюють вимоги до інформаційної безпеки, включаючи дотримання міжнародних стандартів, таких як PCI DSS. Нижче наведено основні накази і рішення НБУ, що стосуються цього питання:

1. Постанова НБУ №95 "Про затвердження Положення про здійснення захисту інформації та кібербезпеки в банківській системі України"

Дата прийняття: 28 вересня 2022 року
Опис: Ця постанова встановлює вимоги до забезпечення інформаційної безпеки та кібербезпеки в банківській системі України. Вона регулює порядок захисту інформації, яка обробляється в банках і фінансових установах, включаючи захист платіжних даних. Постанова зобов'язує банки впроваджувати системи управління інформаційною безпекою, відповідати міжнародним стандартам (включаючи PCI DSS), а також забезпечувати кіберзахист своїх інформаційних систем.

2. Постанова НБУ №75 "Про затвердження Положення про захист інформації та кібербезпеки в платіжних системах"

Дата прийняття: 21 червня 2019 року
Опис: Ця постанова регламентує вимоги до захисту інформації в платіжних системах, а також визначає правила захисту фінансових даних, які обробляються в цих системах. Положення зобов’язує операторів платіжних систем, платіжних інфраструктурних сервісів, а також їхніх учасників дотримуватися вимог до безпеки даних, включаючи стандарти PCI DSS.

3. Постанова НБУ №56 "Про організацію захисту інформації в банках України"

Дата прийняття: 14 липня 2006 року (з подальшими змінами)
Опис: Постанова регулює загальні питання організації захисту інформації в банках України. Вона включає вимоги до створення систем захисту інформації, управління ризиками, моніторингу та аудиту безпеки, а також захисту фінансових даних, що обробляються банками.

4. Постанова НБУ №391 "Про затвердження Положення про здійснення нагляду (оверсайта) за платіжними системами"

Дата прийняття: 30 жовтня 2018 року
Опис: Цей документ регламентує порядок нагляду за платіжними системами та їхніми учасниками з боку НБУ. Постанова встановлює вимоги до дотримання стандартів безпеки, зокрема щодо захисту інформації та забезпечення кібербезпеки в платіжних системах.

5. Рішення НБУ щодо підвищення стандартів кібербезпеки в банківській системі України

Опис: НБУ регулярно приймає рішення, спрямовані на підвищення рівня кібербезпеки в банківському секторі. В рамках цих рішень банки зобов'язані впроваджувати новітні технології захисту інформації, посилювати контроль за доступом до платіжних систем, а також регулярно проводити аудит безпеки.

6. Листи та роз'яснення НБУ щодо дотримання стандартів інформаційної безпеки

Опис: НБУ періодично надсилає листи та роз'яснення щодо необхідності дотримання стандартів інформаційної безпеки, включаючи PCI DSS. Ці документи можуть містити рекомендації щодо кращих практик у сфері захисту платіжних даних та кібербезпеки.

Ці нормативні акти та рішення регламентують захист платіжних систем і фінансових даних, забезпечуючи безпеку та надійність банківської системи України. Банки та фінансові установи зобов'язані дотримуватися цих вимог і забезпечувати відповідність міжнародним стандартам, включаючи PCI DSS.

Також дивись:
→ Про PCI DSS 4.0

Які накази і рішення НБУ стосуються дотримання вимог в контексті захисту платіжних систем та фінансових даних?

НБУ видає низку нормативно-правових актів, які регулюють питання захисту платіжних систем та фінансових даних. Основні документи, що стосуються дотримання вимог інформаційної безпеки в контексті захисту платіжних систем, включають:

1. Постанова Правління НБУ № 243 від 4 липня 2007 року (зі змінами та доповненнями)

Назва: "Про затвердження Правил захисту інформації та кіберзахисту в платіжних системах України".
Опис: Ця постанова встановлює вимоги до захисту інформації в платіжних системах, зокрема до забезпечення конфіденційності, цілісності та доступності даних, що обробляються в рамках платіжних операцій.

2. Постанова Правління НБУ № 351 від 28 вересня 2021 року

Назва: "Про затвердження Положення про порядок організації захисту інформації та кіберзахисту в банківській системі України".
Опис: Ця постанова регулює питання організації інформаційної безпеки та кіберзахисту в банках України, включаючи вимоги до систем захисту платіжних даних, управління ризиками та дотримання міжнародних стандартів, таких як PCI DSS.

3. Постанова Правління НБУ № 95 від 3 грудня 2018 року

Назва: "Про затвердження Положення про захист інформації в платіжних системах і розрахункових операціях".
Опис: Ця постанова встановлює вимоги до захисту інформації в платіжних системах, включаючи вимоги щодо безпеки обробки, зберігання та передачі платіжних даних.

4. Постанова Правління НБУ № 518 від 28 вересня 2020 року

Назва: "Про затвердження Положення про організацію заходів з кіберзахисту в банківській системі України".
Опис: Документ регламентує заходи, які банки повинні впроваджувати для захисту від кіберзагроз, включаючи захист платіжних систем, моніторинг кіберінцидентів та управління ризиками інформаційної безпеки.

5. Рішення НБУ про захист даних під час дистанційного банківського обслуговування

Назва: "Про затвердження Положення про порядок надання банківських послуг із використанням інформаційно-телекомунікаційних систем".
Опис: Встановлює вимоги до захисту даних під час надання банківських послуг через дистанційні канали, включаючи інтернет-банкінг і мобільні додатки, що важливо для захисту даних клієнтів та платіжних систем.

6. Методичні рекомендації НБУ

Назва: "Методичні рекомендації щодо забезпечення захисту інформації в банківських установах України".
Опис: Ці рекомендації надають банкам керівництво щодо впровадження заходів інформаційної безпеки та дотримання вимог міжнародних стандартів, таких як PCI DSS.

Ці документи є ключовими нормативно-правовими актами, що регулюють захист платіжних систем та фінансових даних в Україні, забезпечуючи дотримання банками та іншими фінансовими установами вимог до інформаційної безпеки.

Також дивись:
→ Про PCI DSS 4.0

Чим відрізняються терміни: "Визначення" та "термін"?

Терміни "визначення" і "термін" часто використовуються в контексті пояснення понять, але вони мають різні значення.

Термін:

Значення: "Термін" – це слово або словосполучення, яке використовується для позначення певного поняття, об'єкта, явища чи процесу. Тобто це мовна одиниця, яка служить для називання чогось.
Приклад: Слова "антивірус", "сервіс", "комп'ютер" – це терміни.

Визначення:

Значення: "Визначення" – це пояснення значення терміна або поняття. Визначення описує сутність терміна, пояснює, що він означає, які його ключові характеристики і як його слід розуміти.
Приклад: Визначення терміна "антивірус": "Антивірус – це програмне забезпечення, яке призначене для виявлення, запобігання і видалення шкідливого програмного забезпечення з комп'ютерних систем."

Взаємозв'язок:

Термін – це слово або фраза, що використовується для позначення певного поняття.
Визначення – це пояснення або тлумачення того, що означає цей термін.

Таким чином, термін – це те, як називається поняття, а визначення – це опис того, що це поняття означає.

This is the FINAL table of content of the New Testing Guide v4

Оригінал - OWASP_Testing_Guide_v4.pdf

• OWASP Testing Guide v4 Table of Contents

Маттео Меуччі. Один із авторів:

З v4 ми реалізували новий посібник, який фактично стане стандартним посібником для виконання тестування проникнення веб-додатків.

v4 Authors:

Matteo Meucci
Pavol Luptak
Marco Morana
Giorgio Fedon
Stefano Di Paola
Gianrico Ingrosso
Giuseppe Bonfà
Andrew Muller
Robert Winkel
Roberto Suggi Liverani
Robert Smith
Tripurari Rai
Thomas Ryan
Tim Bertels
Cecil Su
Aung KhAnt
Norbert Szetei
Michael Boman
Wagner Elias
Kevin Horvat
Tom Brennan
Juan Galiana Lara
Sumit Siddharth
Mike Hryekewicz
Simon Bennetts
Ray Schippers
Raul Siles
Jayanta Karmakar
Brad Causey
Vicente Aguilera
Ismael Gonçalves
David Fern
Tom Eston
Kevin Horvath
Rick Mitchell
Eduardo Castellanos
Simone Onofri
Harword Sheen
Amro AlOlaqi
Suhas Desai
Tony Hsu Hsiang Chih
Ryan Dewhurst
Zaki Akhmad
Davide Danelon
Alexander Antukh
Thomas Kalamaris
Alexander Vavousis
Clerkendweller
Christian Heinrich
Babu Arokiadas
Rob Barnes
Ben Walther

Усі розділи вдосконалено, а кількість тестів розширено до 87 (64 тести у версії 3), включаючи введення чотирьох нових розділів і елементів керування:
- Тестування керування ідентифікацією
- Обробка помилок
- Криптографія
- Тестування на стороні клієнта

This page of Standard was last modified on 2 April 2016, at 01:12

PTES Technical Guidelines

Panetration testing execution standard Technical Guidelines

Що таке «Стандарт виконання тесту на проникнення»?

Відповідь: це новий стандарт, розроблений для надання як компаніям, так і постачальникам послуг безпеки спільної мови та можливостей для виконання тестування на проникнення (тобто оцінки безпеки). Це почалося на початку 2009 року після дискусії, яка спалахнула між деякими членами-засновниками щодо цінності (або відсутності) тестування на проникнення в галузі.

Оскільки стандарт не містить жодних технічних вказівок щодо того, як виконати фактичний пентест, ми також створили технічний посібник, який супроводжує сам стандарт. Технічний посібник доступний за посиланням нижче:

Технічні рекомендації PTES

• http://www.pentest-standard.org/index.php/PTES_Technical_Guidelines

Цей розділ містить технічні рекомендації PTES, які допомагають визначити певні процедури, яких слід дотримуватися під час тесту на проникнення.

Щоб дізнатися більше про цей стандарт, відвідайте FAQ:

• Стандарт виконання тестування на проникнення: поширені запитання

Хто бере участь у цьому стандарті?

В: Ми є групою практиків інформаційної безпеки з усіх сфер галузі (тобто фінансових установ, постачальників послуг, постачальників засобів безпеки). Наразі група складається з:

Кріс Нікерсон,	генеральний директор Lares Consulting.
Дейв Кеннеді,	генеральний директор блогу TrustedSec.
Кріс Джон Райлі,	аналітик ІТ-безпеки - блог Raiffeisen Informatik GmbH.
Ерік Сміт,	Partner- Lares Consulting.
Iftach Ian Amit,	директор із сервісів - блог IOActive.
Ендрю Рейбі,	Wizard- Avon Products Inc.
Штефан Фрідлі,	старший консультант з безпеки - scip AG.
Джастін Серл,	старший аналітик безпеки InGuardians.
Брендон Найт,	старший консультант з безпеки.
Кріс Гейтс,	старший консультант з питань безпеки - блог Lares Consulting.
Джо МакКрей,	генеральний директор Strategic Security.
Карлос Перес,	провідний інженер із дослідження вразливостей – Tenable Security.
Джон Стренд,	власник Black Hills Information Security.
Стів Торніо,	старший консультант Sunera LLC.
Нік Перкоко,	старший віце-президент SpiderLabs у Trustwave.
Дейв Шекелфорд,	консультант з безпеки, інструктор SANS.
Вал Сміт,	дослідження атак.
Робін Вуд,	старший інженер безпеки - блог RandomStorm.
Вім Ремес,	консультант з питань безпеки – Бельгія.

This page of Technical Guidelines was last edited on 30 April 2012, at 06:04

Operating Systems - Операционные системы

Server Software - Серверное программное обеспечение

Веб-сервер
Виртуализация VMware
Сервер базы данных
Сервер для совместной работы
DNS-сервер
Веб-сервер
виртуализация

Cloud Providers - Облачные провайдеры

Mobile Devices
Desktop Software
Multi Function Print Devices
DevSecOps Tools

Что такое критические средства контроля безопасности CIS?
• https://bga68comp.dreamwidth.org/717111.html
• downloads.cisecurity.org/#/

AAA:

Authentication — validates the user identity. Authentication takes place before the user is allowed access to switch services.

Authorization — determines which services the user is allowed to access. Examples of services are access to the switch management console and access to network services.

Accounting — collects and sends security information about switch management console users and switch management commands

Источник:
downloads.dell.com manuals user's-guide13 ru-rs.pdf

downloads.dell.com manuals user's-guide13 en-us.pdf

ААУ:

Аутентификация - проверяет личность пользователя. Аутентификация проходит до того, как пользователю будет разрешен доступ к подключению служб.

Авторизация - определяет, к каким сервисам пользователь имеет доступ. Примерами служб являются доступ к консоли управления коммутатором и доступ к сетевым сервисам.

Учет (мониторинг) - собирает и отправляет информацию в журнал безопасности о действиях пользователей в консоли управления коммутатора и о командах управления коммутатором.

Прим. вместо Учета иногда используют Идентификáцию:
Идентификáция в информационных системах — процедура, в результате выполнения которой для субъекта идентификации выявляется его идентификатор, однозначно идентифицирующий этого субъекта в информационной системе.

Информационные технологии.
Информационная Безопасность.
Действующие стандарты.

ДСТУ ISO/IEC 27000:2017 (ISO/IEC 27000:2016, IDT)	Інформаційні технології. Методи захисту. Системи менеджменту інформаційної безпеки. Огляд і словник термінів	діє
ДСТУ ISO/IEC 27000:2019 (ISO/IEC 27000:2018, IDT)	Інформаційні технології. Методи захисту. Системи керування інформаційною безпекою. Огляд і словник термінів	діє
ДСТУ ISO/IEC 27001:2014	Інформаційні технології. Методи безпеки. Системи менеджменту інформаційною безпекою. Вимоги (ISO/IEC 27001:2013;ISO/IEC 27001:2013/Cor 1:2014;IDT)	діє
ДСТУ ISO/IEC 27001:2015	Інформаційні технології. Методи захисту. Системи управління інформаційною безпекою. Вимоги (ISO/IEC 27001:2013; Cor 1:2014, IDT)	діє
ДСТУ ISO/IEC 27001:2015 (ISO/IEC 27001:2013; Cor 1:2014, IDT)/Поправка № 2:2019 (ISO/IEC 27001:2013/Cor 2:2015, IDT)	Інформаційні технології. Методи захисту. Системи управління інформаційною безпекою. Вимоги	діє
ДСТУ ISO/IEC 27002:2015	Інформаційні технології. Методи захисту. Звід практик щодо заходів інформаційної безпеки (ISO/IEC 27002:2013; Cor 1:2014, IDT)	діє
ДСТУ ISO/IEC 27002:2015 (ISO/IEC 27002:2013; Cor 1:2014, IDT)/Поправка № 2:2019 (ISO/IEC 27002:2013/Cor 2:2015, IDT)	Інформаційні технології. Методи захисту. Звід практик щодо заходів інформаційної безпеки	діє
ДСТУ ISO/IEC 27003:2018 (ISO/IEC 27003:2017, IDT)	Інформаційні технології. Методи захисту. Системи керування інформаційною безпекою. Настанова	діє
ДСТУ ISO/IEC 27004:2018 (ISO/IEC 27004:2016, IDT)	Інформаційні технології. Методи захисту. Системи керування інформаційною безпекою. Моніторинг, вимірювання, аналізування та оцінювання	діє
ДСТУ ISO/IEC 27005:2015	Інформаційні технології. Методи захисту. Управління ризиками інформаційної безпеки (ISO/IEC 27005:2011, IDT)	діє
ДСТУ ISO/IEC 27005:2019 (ISO/IEC 27005:2018, IDT)	Інформаційні технології. Методи захисту. Управління ризиками інформаційної безпеки	діє
ДСТУ ISO/IEC 27006:2015	Інформаційні технології. Методи захисту. Вимоги до організацій, які надають послуги з аудиту і сертифікації систем управління інформаційною безпекою (ISO/IEC 27006:2011, IDT)	діє
ДСТУ ISO/IEC 27007:2018 (ISO/IEC 27007:2017, IDT)	Інформаційні технології. Методи захисту. Настанова щодо аудиту систем керування інформаційною безпекою	діє
ДСТУ ISO/IEC TR 27008:2018 (ISO/IEC TR 27008:2011, IDT)	Інформаційні технології. Методи захисту. Настанова для аудиторів щодо елементів контролювання за інформаційною безпекою	діє
ДСТУ ISO/IEC TS 27008:2019 (ISO/IEC TS 27008:2019, IDT)	Інформаційні технології. Методи захисту. Настанова щодо оцінювання захисту інформаційної безпеки	діє
ДСТУ ISO/IEC 27009:2018 (ISO/IEC 27009:2016, IDT)	Інформаційні технології. Методи захисту. Системи керування інформаційною безпекою. Визначення для сфери застосування ISO/IEC 27001. Вимоги	діє
ДСТУ ISO/IEC 27010:2018 (ISO/IEC 27010:2015, IDT)	Інформаційні технології. Методи захисту. Керування інформаційною безпекою для міжгалузевих та міжорганізаційних комунікацій	діє
ДСТУ ISO/IEC 27011:2018 (ISO/IEC 27011:2016, IDT)	Інформаційні технології. Методи захисту. Настанова для телекомунікаційних організацій щодо керування інформаційною безпекою на основі ISO/IEC 27002	діє
ДСТУ ISO/IEC 27011:2018 (ISO/IEC 27011:2016, IDT)/Поправка № 1:2019 (ISO/IEC 27011:2016/Cor 1:2018, IDT)	Інформаційні технології. Методи захисту. Настанова для телекомунікаційних організацій щодо керування інформаційною безпекою на основі ISO/IEC 27002	діє
ДСТУ ISO/IEC 27013:2017(ISO/IEC 27013:2015, IDT)	Інформаційні технології. Методи захисту. Настанови для інтегрованого впровадження ISO/IEC 27001 та ISO/IEC 20000-1	діє
ДСТУ ISO/IEC 27017:2017 (ISO/IEC 27017:2015, IDT)	Інформаційні технології. Методи захисту. Звід практик стосовно заходів інформаційної безпеки, що ґрунтуються на ISO/IEC 27002, для хмарних послуг	діє
ДСТУ ISO/IEC 27018:2016 (ISO/IEC 27018:2014, IDT)	Інформаційні технології. Методи захисту. Кодекс усталеної практики для захисту персональної ідентифікаційної інформації (РІІ) у загальнодоступних хмарах, що діють як процесори РІІ	діє
ДСТУ ISO/IEC 27018:2019 (ISO/IEC 27018:2019, IDT)	Інформаційні технології. Методи захисту. Кодекс усталеної практики для захисту персональної ідентифікаційної інформації (РII) у загальнодоступних хмарах, що діють як процесори РII	діє
ДСТУ ISO/IEC TR 27019:2017 (ISO/IEC TR 27019:2013, IDT)	Інформаційні технології. Методи захисту. Настанова щодо керування інформаційною безпекою на основі ISO/IEC 27002 для систем керування процесами в індустрії енергетичних сервісних програм	діє
ДСТУ ISO/IEC 27019:2019 (ISO/IEC 27019:2017, IDT)	Інформаційні технології. Методи захисту. Системи керування інформаційною безпекою для енергопостачальних організацій	діє
ДСТУ ISO/IEC 27021:2018 (ISO/IEC 27021:2017, IDT)	Інформаційні технології. Методи захисту. Системи керування інформаційною безпекою. Вимоги до компетенції для професіоналів з керування інформаційною безпекою	діє
ДСТУ ISO/IEC 27031:2015	Інформаційні технології. Методи захисту. Настанови щодо готовності інформаційно-комунікаційних технологій для неперервності роботи бізнесу (ISO/IEC 27031:2011, IDT)	діє
ДСТУ ISO/IEC 27032:2016 (ISO/IEC 27032:2012, IDT)	Інформаційні технології. Методи захисту. Настанови щодо кібербезпеки	діє
ДСТУ ISO/IEC 27033-1:2017 (ISO/IEC 27033-1:2015, IDT)	Інформаційні технології. Методи захисту. Захист мережі. Частина 1. Огляд і поняття	діє
ДСТУ ISO/IEC 27033-2:2016 (ISO/IEC 27033-2:2012, IDT)	Інформаційні технології. Методи захисту. Безпека мережі. Частина 2. Настанови щодо проектування та реалізації безпеки мережі	діє
ДСТУ ISO/IEC 27033-3:2016 (ISO/IEC 27033-3:2010, IDT)	Інформаційні технології. Методи захисту. Безпечність мережі. Частина 3. Еталонні мережеві сценарії. Загрози, методи проектування та проблеми керування	діє
ДСТУ ISO/IEC 27033-4:2016 (ISO/IEC 27033-4:2014, IDT)	Інформаційні технології. Методи захисту. Безпека мережі. Частина 4. Убезпечення комунікацій між мережами з використанням шлюзів безпеки	діє
ДСТУ ISO/IEC 27033-5:2016 (ISO/IEC 27033-5:2013, IDT)	Інформаційні технології. Методи захисту. Безпечність мережі. Частина 5. Убезпечення комунікацій уздовж мереж із використанням віртуальних приватних мереж (VPNs)	діє
ДСТУ ISO/IEC 27033-6:2018 (ISO/IEC 27033-6:2016, IDT)	Інформаційні технології. Методи захисту. Безпека мережі. Частина 6. Забезпечення безпроводового доступу до IP-мережі	діє
ДСТУ ISO/IEC 27034-1:2017 (ISO/IEC 27034-1:2011; Cor 1:2014, IDT)	Інформаційні технології. Методи захисту. Безпека прикладних програм. Частина 1. Огляд і загальні поняття	діє
ДСТУ ISO/IEC 27034-2:2017 (ISO/IEC 27034-2:2015, IDT)	Інформаційні технології. Методи захисту. Безпека прикладних програм. Частина 2. Нормативна структура організації	діє
ДСТУ ISO/IEC 27034-3:2018 (ISO/IEC 27034-3:2018, IDT)	Інформаційні технології. Методи захисту. Безпека застосовних програм. Частина 3. Процес керування безпекою застосовних програм	діє
ДСТУ ISO/IEC TS 27034-5-1:2019 (ISO/IEC TS 27034-5-1:2018, IDT)	Інформаційні технології. Захист застосунків. Частина 5-1. Структура даних керування протоколами та захистом застосунків. Схеми XML	діє
ДСТУ ISO/IEC 27034-5:2018 (ISO/IEC 27034-5:2017, IDT)	Інформаційні технології. Методи захисту. Безпека застосовних програм. Частина 5. Протоколи та структура контрольних даних безпеки застосовних програм	діє
ДСТУ ISO/IEC 27034-6:2018 (ISO/IEC 27034-6:2016, IDT)	Інформаційні технології. Методи захисту. Безпека застосовних програм. Частина 6. Вивчення випадків	діє
ДСТУ ISO/IEC 27034-7:2018 (ISO/IEC 27034-7:2018, IDT)	Інформаційні технології. Методи захисту. Безпека застосовних програм. Частина 7. Модель передбачення гарантування безпеки прикладних програм	діє
ДСТУ ISO/IEC 27035-1:2018 (ISO/IEC 27035-1:2016, IDT)	Інформаційні технології. Методи захисту. Керування інцидентами інформаційної безпеки. Частина 1. Принципи керування інцидентами	діє
ДСТУ ISO/IEC 27035-2:2018 (ISO/IEC 27035-2:2016, IDT)	Інформаційні технології. Методи захисту. Керування інцидентами інформаційної безпеки. Частина 2. Настанова щодо планування та підготовки до реагування на інциденти	діє
ДСТУ ISO/IEC 27036-1:2017 (ISO/IEC 27036-1:2014, IDT)	Інформаційні технології. Методи захисту. Інформаційна безпека у відносинах з постачальниками. Частина 1. Огляд і поняття	діє
ДСТУ ISO/IEC 27036-2:2017 (ISO/IEC 27036-2:2014, IDT)	Інформаційні технології. Методи захисту. Інформаційна безпека у відносинах з постачальниками. Частина 2. Вимоги	діє
ДСТУ ISO/IEC 27036-3:2017 (ISO/IEC 27036-3:2013, IDT)	Інформаційні технології. Методи захисту. Інформаційна безпека у відносинах з постачальниками. Частина 3. Настанови щодо безпеки ланцюга постачання інформаційних та комунікаційних технологій	діє
ДСТУ ISO/IEC 27036-4:2018 (ISO/IEC 27036-4:2016, IDT)	Інформаційні технології. Методи захисту. Інформаційна безпека у відносинах з постачальниками. Частина 4. Настанова щодо безпеки хмарних послуг	діє
ДСТУ ISO/ІЕС 27037:2017 (ISO/ІЕС 27037:2012, IDT)	Інформаційні технології. Методи захисту. Настанови для ідентифікації, збирання, здобуття та збереження цифрових доказів	діє
ДСТУ ISO/IEC 27038:2018 (ISO/IEC 27038:2014, IDT)	Інформаційні технології. Методи захисту. Специфікація для цифрового редагування	діє
ДСТУ ISO/IEC 27039:2017 (ISO/IEC 27039:2015, IDT)	Інформаційні технології. Методи захисту. Вибирання, розгортання та експлуатування систем виявлення та запобігання вторгненням (СВЗВ)	діє
ДСТУ ISO/IEC 27040:2016 (ISO/IEC 27040:2015, IDT)	Інформаційні технології. Методи захисту. Безпека зберігання	діє
ДСТУ ISO/IEC 27041:2016 (ISO/IEC 27041:2015, IDT)	Інформаційні технології. Методи захисту. Настанова щодо забезпечення прийнятності та адекватності методів розслідування	діє
ДСТУ ISO/IEC 27042:2016 (ISO/IEC 27042:2015, IDT)	Інформаційні технології. Методи захисту. Настанови щодо аналізу та інтерпретації цифрового доказу	діє
ДСТУ ISO/IEC 27043:2016 (ISO/IEC 27043:2015, IDT)	Інформаційні технології. Методи захисту. Принципи та процеси розслідування інцидентів	діє
ДСТУ ISO/IEC 27050-1:2018 (ISO/IEC 27050-1:2016, IDT)	Інформаційні технології. Методи захисту. Електронне виявлення. Частина 1. Огляд та поняття	діє
ДСТУ ISO/IEC 27050-3:2018 (ISO/IEC 27050-3:2017, IDT)	Інформаційні технології. Методи захисту. Електронне виявлення. Частина 3. Звід правил для електронного виявлення	діє
ДСТУ ISO 27729:2018 (ISO 27729:2012, IDT)	Інформація та документація. Міжнародний стандартний ідентифікатор назв (ISNI)	діє
ДСТУ ISO 27729:2018/Поправка № 1:2018 (ISO 27729:2012/Cor 1:2013, IDT)	Інформація та документація. Міжнародний стандартний ідентифікатор назв (ISNI)	діє
ДСТУ ISO 27730:2018 (ISO 27730:2012, IDT)	Інформація та документація. Міжнародний стандартний ідентифікатор колекцій (ISCI)	діє

Все документы информационной безопасности изобилуют специализированными терминами и подчас путаница в переводе термина / адаптация термина к бизнес-процессам приводит к тому, что мы получаем результат совсем не тот, который указан в техническом задании.

Самый простой пример: как объяснить бизнесмену, что такое риск информационной безопасности?

Все просто. Или ещё проще