Audyt bezpieczeństwa informacji w praktyce

Spis treści
O autorze
Wstęp
Zezwolenie
Od autora
1. Podstawowe założenia polityki bezpieczeństwa informacji
	Czym jest informacja
	Gdzie przechowujemy informacje
	Informacja w świetle regulacji prawnych
	Zasady audytu
		Norma PN-ISO/IEC 17799:2003
		Norma BS 7799-2:2002
		Zawartość normy BS 7799-2:2002
	Norma ISO/IEC TR 13335
		Norma ISO/IEC TR 13335
		Aspekty prawne
2. Zarządzanie bezpieczeństwem informacji
	Polityka bezpieczeństwa informacji
	Co powinna zawierać polityka bezpieczeństwa informacji
	Czego nie powinna zawierać polityka bezpieczeństwa informacji
	Utworzenie infrastruktury bezpieczeństwa informacji
	Odpowiedzialność oraz kompetencje w systemie bezpieczeństwa informacji
	Autoryzacja urządzeń do przetwarzania informacji
	Doradztwo specjalistyczne w zakresie bezpieczeństwa informacji
	Współpraca między organizacjami
	Niezależne przeglądy stanu bezpieczeństwa informacji
	Zabezpieczenie przed dostępem osób trzecich
		Identyfikacja ryzyka związanego z dostępem osób trzecich
		Wymogi bezpieczeństwa informacji w umowach z osobami trzecimi
	Zlecenie przetwarzania danych firmom zewnętrznym
		Wymagania biznesowe w umowach zlecenia na zewnątrz
3. Klasyfikacja i kontrola aktywów
	Rozliczanie aktywów
		Inwentaryzacja aktywów
	Klasyfikacja informacji
		Wytyczne w zakresie klasyfikacji
		Oznaczenia i postępowanie z informacją
4. Bezpieczeństwo osobowe
	Bezpieczeństwo informacji przy określaniu obowiązków i w zarządzaniu zasobami ludzkimi
		Uwzględnianie zasad bezpieczeństwa informacji w zakresach obowiązków służbowych
		Sprawdzanie podczas naboru
		Umowa o zachowaniu poufności
		Warunki zatrudnienia
	Szkolenie użytkowników
		Szkolenia i kształcenie w zakresie bezpieczeństwa informacji
	Reagowanie na naruszenia bezpieczeństwa i niewłaściwe funkcjonowanie systemu
		Zgłaszanie przypadków naruszenia bezpieczeństwa
		Zgłaszanie słabości systemu bezpieczeństwa
		Zgłaszanie niewłaściwego funkcjonowania oprogramowania
		Wnioski po wystąpieniu incydentu
		Postępowanie dyscyplinarne
5. Bezpieczeństwo fizyczne i środowiskowe
	Fizyczny obwód zabezpieczający
		Fizyczne zabezpieczenie wejścia do budynku
		Zabezpieczenie biur, pomieszczeń i urządzeń
		Praca w obszarach bezpiecznych
		Izolowane obszary dostaw i załadunku
	Zabezpieczenie sprzętu
		Rozmieszczenie sprzętu i jego ochrona
		Zasilanie
		Bezpieczeństwo okablowania
		Konserwacja sprzętu
		Zabezpieczenie sprzętu poza siedzibą
		Bezpieczne zbywanie sprzętu lub przekazywanie go do ponownego użycia
	Ogólne zabezpieczenia
		Polityka czystego biurka i czystego ekranu
		Wynoszenie sprzętu poza siedzibę firmy
6. Zarządzanie systemami informatycznymi i sieciami komputerowymi
	Procedury eksploatacyjne oraz okres odpowiedzialności
		Dokumentowanie procedur eksploatacyjnych
		Kontrola zmian w eksploatacji
		Procedury zarządzania incydentami związanymi z bezpieczeństwem
		Podział obowiązków
		Oddzielenie urządzeń produkcyjnych od znajdujących się w fazie rozwoju
		Zarządzanie urządzeniami przez firmy zewnętrzne
	Planowanie i odbiór systemu
		Planowanie pojemności
		Odbiór systemu
	Ochrona przed szkodliwym oprogramowaniem
		Zabezpieczenie przed szkodliwym oprogramowaniem
	Procedury wewnętrzne
		Kopie zapasowe ważnych danych
		Dzienniki operatorów
		Zapisywanie w dzienniku zdarzeń informacji o błędach
	Zarządzanie sieciami
		Zabezpieczenia sieci
	Postępowanie z nośnikami i ich bezpieczeństwo
		Zarządzanie wyjmowalnymi nośnikami danych cyfrowych
		Niszczenie nośników
		Procedury postępowania z informacją
		Bezpieczeństwo dokumentacji systemu informatycznego
	Wymiana danych i oprogramowania
		Porozumienie dotyczące wymiany danych i oprogramowania
		Zabezpieczenia nośników podczas transportu
		Bezpieczeństwo handlu elektronicznego
		Bezpieczeństwo poczty elektronicznej
		Bezpieczeństwo komputerowych systemów biurowych
		Systemy publicznie dostępne
		Inne formy wymiany informacji
7. Kontrola dostępu do systemu
	Potrzeby biznesowe związane z dostępem do informacji
		Polityka kontroli dostępu do informacji
	Zarządzanie dostępem użytkowników
		Rejestracja użytkowników
		Zarządzanie przywilejami
		Zarządzanie uwierzytelnianiem użytkowników
		Przegląd praw dostępu
	Zakres odpowiedzialności użytkowników
		Używanie haseł
		Pozostawianie sprzętu użytkownika bez opieki
	Kontrola dostępu do sieci
		Polityka kontroli korzystania z usług sieciowych
		Wymuszanie dróg połączeń
		Uwierzytelnienie użytkowników przy połączeniach zewnętrznych
		Rozdzielenie sieci
		Kontrola połączeń sieciowych
		Kontrola routingu w sieci
	Kontrola dostępu do systemów operacyjnych
		Automatyczna identyfikacja terminalu
		Procedury rejestrowania terminalu w systemie
		Identyfikacja i uwierzytelnienie użytkowników
		Systemy zarządzania hasłami
		Użycie systemowych programów narzędziowych
		Odłączanie terminalu po określonym czasie
		Ograniczenia czasu trwania połączenia
	Kontrola dostępu do aplikacji
		Ograniczenie dostępu do informacji
		Izolowanie systemów wrażliwych
	Monitorowanie dostępu do systemu i jego wykorzystywania
		Zapisywanie informacji o zdarzeniach
		Monitorowanie użycia systemu
	Komputery przenośne i praca zdalna
		Komputery przenośne
		Praca na odległość
		Uwierzytelnianie wiadomości
	Zabezpieczenia kryptograficzne
		Polityka używania zabezpieczeń kryptograficznych
		Szyfrowanie
		Podpisy cyfrowe
	Zarządzanie ciągłością działania organizacji w sytuacji krytycznej
		Proces zarządzania ciągłością działania w sytuacji krytycznej
		Ciągłość działania i analiza skutków dla działalności biznesowej
		Tworzenie i wdrażanie planu ciągłości działania w sytuacji krytycznej
		Struktura planowania ciągłości działania w sytuacji krytycznej
		Testowanie, utrzymanie i ponowna ocena planów ciągłości działania
		Utrzymanie i ponowna ocena planów
	Zgodność
		Określenie odpowiednich przepisów prawnych
		Zabezpieczenie dokumentów instytucji
		Ochrona danych osobowych i prywatności informacji dotyczących osób fizycznych
	Przegląd polityki bezpieczeństwa informacji i zgodności technicznej
		Zgodność z polityką bezpieczeństwa informacji
		Sprawdzanie zgodności technicznej
		A
		B
		Ć
		D
		E
		F
		H
		I
		K
		M
		N
		O
		P
		R
		S
		T
		U
		V W
		Z
Skorowidz