Услуги за разработване на документалната част на Система за управление на иформационната сигурност - ISO 27001:2013

ПРИМЕРИ / ШАБЛОНИ НА ДОКУМЕНТИ ЗА

ОСНОВНИ ПОЛИТИКИ, ПРОЦЕДУРИ, ИНСТРУКЦИИ, ЗАПИСИ И ДР.,

В СЪОТВЕТСТВИЕ С ИЗИСКВАНИЯТА НА ISO 27001:2013

Описаните в следващата таблица документи на практика изчерпват изискванията за документирана информация в ISO 27001:2013 - Системи за управление на информационната сигурност (СУИС). При интерес, тези документи могат да бъдат закупени (цена по договаряне) и ползвани по предназначение, при изграждането / актуализирането на СУИС, в съответствие с изискванията на ISO 27001 и препоръките на ISO 27002.

За повече информация:

Пламен Каменов

0886 655 315

e-mail: infosecservicebg@gmail.com

№	Наименование на документа	Изискване на клауза по ISO 27001:2013 и/или контролен механизъм от Приложение А
1	Наръчник по информационна сигурност	Няма изрично изискване за разработване.
2	Ръководство за определяна на обхвата на СУИС	4.3 A.8.1.1 A.8.1.2
3	Политика за СУИС	Няма изрично изискване за разработване.
4	Политика и цели за информационна сигурност	5.2 6.2
5	Методология за оценка и противодействие на риска	6.1.2
6	Дeкларация за приложимост	6.1.3.d
7	План за противодействие на риска	6.1.3.е 6.2
8	Доклад за оценката и противодействието на риска	8.2 8.3
9	Процедура за контрол на документите	7.5.2 7.5.3
10	Процедура за контрол на записите	7.5.2 7.5.3
11	Процедура за вътрешен одит на СУИС	9.2
12	Процедура за коригиращи действия	10.1
13	Запис за проведено  обучение и придобитите знания, умения, и квалификация	7.2. d
14	Процедура за резултатите от проведени измервания по информационната сигурност	9.1
15	Програма за вътрешни одити	9.2
16	Запис за резултати от проведен вътрешен одит по информационната сигурност	9.2
17	Запис за резултатите от проведен преглед на СУИС от Ръководството.	9.3
18	Запис за резултатите от предприети коригиращи действия	10.1
19	Политика за информационна сигурност	А.5.1.1
20	Инструкция за провеждане на Преглед от Ръководството на  Политиката за информационна сигурност	А.5.1.2
21	Протокол за проведена среща на Ръководството за преглед на Политиката за информационна сигурност	А.5.1.2
22	Политика за организиране на сигурността на информацията	А.6.1
23	Политика за прилагане на изискванията за информационна сигурност в управлението на проекти	А.6.1.5
24	Доклад за въвеждане в експлоатация на нови средства, актив за Организацията	А.6.1
25	Политика за работа с мобилни устройства	А. 6.2.1
26	Политика за сигурност на персонала	А.7
27	Процедура за наемане на персонал	А.7.1.1.
28	Процедура при напускане или преместване на ново работно място	А.7.3.1 A.8.1.4
29	Процедура за дисциплинарни мерки	А.7.2.3.
30	Персонален въпросник за кандидати за работа в Оранизацията	А.7.1.1.
31	Съгласие за попълване на данни в Персонален въпросник за канндидати за работа в Организацията	А.7.1.1.
32	Декларация	А.7.1.2
33	Политика за управление на активите	А.8
34	Инструкция за определяне класификационите нива по сигурността информацията	A.8.2.1
35	Инструкция за обозначаванена класификационните нива на информацията	A.8.2.2
36	Инструкция за боравене с класифицирана информация	A.8.2.3
37	Шаблон за обозначаване на класификация на документ	A.8.2.2
38	Шаблон за обозначаване на класификация на приложение към документ	A.8.2.2
39	Политика за контрол на достъпа	А.9.1.1.
40	Политика за използване на криптографски механизми за контрол	А.10.1.1.
41	Политика за физическа сигурност и сигурност на заобикалящата среда	А.11
42	Политика за ограничения при инсталирането на софтуер	А.12 А.12.6.2.
43	Политика за електронна поща	А.13.2.3.
44	Политика за сигурност при разработването на софтуер	А.14.2.1.
45	Политика за инженеринговите принципи за сигурност на системите	А.14.2.5.
46	Политика за сигурност на средата за разработване на софтуер	А.14.2.6.
47	Политика за провеждане на тестове по сигурността	А.14.2.8.
48	Политика за сигурност на информацията при взаимоотношения с доставчици	А.15.1.1.
49	Политика за сигурност на веригите за доставки за услуги и продукти на / за информационни и комуникационни технологии	А.15.1.3.
50	Политика за управление на инциденти със сигурността на информацията	А.16.1.
51	Процедура за докладване на пробиви по сигурността	А.16.1.2. А.16.1.3.
52	Процедура за събиране на доказателства	А.16.1.7.
53	Процедура за управление на инциденти със сигурността на информацията	А.16.1.4 А.16.1.5
54	Политика за готовност на средствата за обработване на информация	А.17.2.1.
55	Политика заа съответствие със законови и договорните изисквания по сигурността	А.18.1.

Оснвни начини за защита на Smartphones

How Secure Are You with Your Smartphones?

THE STATE OF SECURITY

News. Trends. Insights.

JAY THAKKAR

APR 13, 2017

Take a moment to think about apps used daily on your smartphone. Facebook? Twitter? Email? Web browser? No one wants to be stalked or let anyone see their personal information from their smartphones. Think about leaving your phone unlocked while you’re at home or unattended on your desk while going for meeting at work.

What if someone looks at your messages on your phone or Facebook messenger? What if your colleague sees your emails that you sent to your boss regarding their behavior? It is one step closer to a hack into your privacy by leaving your phone out of your sight.

You should strongly consider the threats and risks related to keeping information saved in your phone. Always locking your phone is a good starting point but it is not the only means to secure your data and information.

You need to ensure that messages/emails you receive via various apps are not visible on screen while your phone is locked. You should be very careful about how, when and where you access your phone. Users should also be careful of sensitive information being searched and stored on their smartphones.

The trend has changed quite a bit from last few years where people tend to use their personal cellphones lot more for their work. If you are someone who uses a personal phone to check and keep work emails, you should review and follow the guidelines from your company to ensure your work emails are secured at all times.

A few months ago, Quincy Larson wrote a blog post titled, “I’ll never bring my phone on an international fight again. Neither should you.” He explained how Sidd Bokkannaver, a US-born scientist at NASA’s Jet Propulsion Laboratory, was asked to unlock his NASA phone by Customs and Border Patrol agents. CBP officers made Sidd unlock his phone, and they kept the phone away from his possession for about 30 minutes.

Incidents like this can happen to anyone of us while traveling abroad. Think about all of the searches you have made in your browser. Would you really want anyone to see all of those things that you were searching online? Therefore, you should make a habit of deleting history of all searches from your phone. Use of private browsing is even better.

If you are leaving the country for a personal vacation, you should never carry a company cell phone with you as you may put your company data at risk. Though, if you must travel with your phone, you should take precautionary steps to not become a victim.

5 WAYS YOU CAN SAFEGUARD YOUR SMARTPHONE

1. STAY AWAY FROM UNNECESSARY APPS

There are many pop-ups for apps when surfing through Facebook – you may even click and install one of them accidentally. Once those apps are installed, users tend to forget to go back and delete those apps. You should keep up the habit of deleting apps that are not needed every few weeks.

According to a survey from CNN, 54 percent of cell phone users in the U.S. have decided not to install an app once they discovered how much of their personal information it would access. Each app uses your personal information gathered from your smartphone; therefore, it is crucial to install only apps you use daily. You should also consider checking to see what information is gathered by the app you intend to install.

2. PROTECT SENSITIVE DATA

As I mentioned above, keeping a PIN or key code to lock your phone is just one of many ways to secure your information. Most smartphone platforms offer software to encrypt sensitive files and folders on any device. Industry-standard protection can secure sensitive files, passwords, log in information and bank account information. It becomes hard for anyone to access the encrypted information without a code if the device gets lost or stolen.

3. AVOID PUBLIC WI-FI

Using public Wi-Fi is a cheaper option to save on cell phone data but is not a secure choice, as the device sends data across the open network, which is unsecured. You should also check your network configuration settings on your device to ensure that it is not allowed to connect to any network when in range automatically.

There are many threats associated with using public Wi-Fi. A malicious person may offer a free hot spot that looks like a genuine hotspot from a well-known company. Once a user connects to this “fake” hotspot, a malicious person then can get all the entered information recorded from user’s phone and send information like passwords and login information to their own server.

4. BACKUP

As we all are big on backups for our laptops and workstations, we should also back up important contacts, messages, documents and emails from phones to encrypted account setup in cloud. Mostly all devices have the option these days to automatically back up every night, which allows users to rest assured their data and information is backed up every day.

5. SECURITY/KILL SWITCH

As you keep your laptops and workstations secured by having anti-virus software monitoring your system for threats and alerts, the same method should be utilized for your smart phone devices, as well. Additional devices can be included in your anti-virus plans, so that each of your devices is being monitored and protected.

Additionally, Google and Apple currently offer users to set up a kill switch on their devices that locks and erases all content upon activating the kill switch in case their device is lost or stolen. You can set up this function by going to your device’s settings panel.

CONCLUSION

Above are some of many ways users can protect their privacy. We use our cell phone more to complete many daily tasks, including bank transactions and booking flights, that we used to complete in our laptops. Since we use this small smart device for almost everything, we should manage and keep it secured at all times.

ISO 27036 Information security for supplier relationships

ISO/IEC 27036-1:2014

Information technology — Security techniques —

Information security for supplier relationships

Part 1:

Overview and concepts

Contents

Foreword

Introduction

Scope

Normative references

Terms and definitions

Symbols and abbreviated terms

Problem definition and key concepts

Motives for establishing supplier relationships

Types of supplier relationships

Information security risks in supplier relationships and associated threats

Managing information security risks in supplier relationships

ICT supply chain considerations

Overall ISO/IEC 27036 structure and overview

Purpose and Structure

Overview of Part 1: Overview and concepts

Overview of Part 2: Requirements

Overview of Part 3: Guidelines for Information and Communication Technology (ICT supply chain security

Overview of Part 4: Guidelines for security of cloud services

Bibliography

Introduction

Most (if not all) organizations around the world, whatever their size or domains of activities, have relationships with suppliers of different kinds that deliver products or services. Such suppliers can have either a direct or indirect access to the information and information systems of the acquirer, or will provide elements (software, hardware, processes, or human resources) that will be involved in information processing. Acquirers can also have physical and/or logical access to the information of the supplier when they control or monitor production and delivery processes of the supplier.

Thus, acquirers and suppliers can cause information security risks to each other. These risks need to be assessed and treated by both acquirer and supplier organizations through appropriate management of information security and the implementation of relevant controls. In many instances, organizations have adopted the International Standards of ISO/IEC 27001 and/or ISO/IEC 27002 for the management of their information security. Such International Standards should also be adopted in managing supplier relationships in order to effectively control the information security risks inherent in those relationships.

This International Standard provides further detailed implementation guidance on the controls dealing with supplier relationships that are described as general recommendations in ISO/IEC 27002.

Supplier relationships in the context of this International Standard include any supplier relationship that can have information security implications, e.g. information technology, healthcare services, janitorial services, consulting services, R&D partnerships, outsourced applications (ASPs), or cloud computing services (such as software, platform, or infrastructure as a service).

Both the supplier and acquirer have to take equal responsibility to achieve the objectives in the supplier  / acquirer relationship and adequately address information security risks that can occur. It is expected that they implement the requirements and guidelines of this International Standard. Furthermore, fundamental processes should be implemented to support the supplier-acquirer relationship (e.g. governance, business management, and operational and human resources management). These processes will provide support in terms of information security as well as the accomplishment of business objectives.



Противодействие на "инсайдерите" - Безплатен, дистанционен курс за обучение

Дистанционно обучение за противодействие на заплахите към информационната сигурност, предизвикани от злонамерени "вътрешни" хора ("инсайдери")

Забележка: Програмата е разработена и се предоставя с идеална цел и е напълно безплатна за обучаемите.

ПРОГРАМА ЗА ДИСТАНЦИОННО ОБУЧЕНИЕ НА ТЕМА: 

Мерки за противодействие на заплахите   към информационната сигурност, предизвикани от злонамерени „вътрешни хора” (злонамерен „вътрешен човек”)

Забележка: 

За целите на този курс за обучение,  под злонамерени „вътрешни хора” или злонамерен „вътрешен човек” се разбира настоящ  или бивш служител, контрактор или бизнес партньор, който отговаря на следните основни критерии:

- има или е имал упълномощен достъп до мрежа (и), системи или данни / информация на организацията;
- умишлено превишава или умишлено използва този упълномощен достъп по начин, който нарушава конфиденциалността, интегритета и / или наличността / достъпността на данни / информация или на информационните системи на организацията, като цяло

ОСНОВНИ ЦЕЛИ НА ПРОГРАМАТА

Да подготви обучаемите за:
- планиране, управление и контрол на дейностите, свързани с мерките за противодействие на заплахите, предизвиквани от „вътрешни хора”;
- разработване, внедряване, управление и контрол на Програма за персонална сигурност в организацията;
- пълноценно участие при планирането, изграждането, внедряването и поддръжката на Система за управление на информационната сигурност (ISO 27001:2013) – особено в частта за сигурност на човешките ресурси.

ОРГАНИЗАЦИЯ НА ОБУЧЕНИЕТО

Обучението се извършва на база предоставени на обучаемия, необходимите и достатъчени по обем, за целите на обучението материали – презентации, документи, блок схеми и др., поотделно  за всеки един от учебните модули на Програмата.
На базата на тези предоставени материали, обучаемият провежда самоподготовка. По време на самоподготовката обучаемият може да задава въпроси, свързани с материалите от съответния модул.
След приключване обучението по съответния модул се провежда тест, за оценка на придобитите знания.
Като основен метод за комуникация се използва електронната поща – за предоставяне на материали за обучение, за задаване на въпроси, за отговор на въпроси, за предоставяне на тестове и др.
След завършване на обучението, обучаемия получава Удостоверение за завършено обучение с приложения – Програмата за обучение и Резултати от проведените тестове.

ВРЕМЕТРАЕНЕ НА ОБУЧЕНИЕТО 
Препоръчителното време за изпълнение на Програмата е в рамките на един месец

Всеки, проявил интерес към Програмата, ще получи за първоначален преглед и съгласуване пълно описание на учебните модули. Възможно е частична промяна на учебните модули, в съответствие с конкретни изисквания и мнение на обучаемия. По този начин Програмата, освен другото, ще се персонализира в интерес на съответния обучаем.

ВСИЧКИ ДЕЙНОСТИ И УЧЕБНИ МАТЕРИАЛИ, СВЪРЗАНИ С ОБУЧЕНИЕТО СА НАПЪЛНО БЕЗПЛАТНИ ЗА ОБУЧАЕМИЯ !

ISO 20000-1 - Безплатно, дистанционно обучение

ПРОГРАМА ЗА ДИСТАНЦИОННО ОБУЧЕНИЕ ПО ISO 20000-1

Информационни технологии — Управление на услуги —Част 1: Изисквания към системите за управление на услуги (СУУ)

Забележка: Програмата е разработена и се предоставя с идеална цел и е напълно безплатна за обучаемите.

ОСНОВНИ ЦЕЛИ НА ПРОГРАМАТА

1. Да подготви обучаемите за планиране, управление и контрол на дейностите, свързани с проектирането, изграждането, внедряването, експлоатацията и развитието на СУУ; разработване и поддръжка на СУУ; участие в провеждането на вътрешни одити по управление на услугите.

2. Да осигури придобиването на необходимите и достатъчни знания за практическо прилагане на СУУ, като средство / метод за устойчивост и непрекъснатост на бизнеса

Забележка: Всички дейности и материали за обучение са съобразени с изискванията на ISO  20000-1 и препоръките на ISO 20000-2 - Управление на услугите - Ръководство за прилагане на СУУ

ОРГАНИЗАЦИЯ НА ДИСТАНЦИОННОТО ОБУЧЕНИЕ
Обучението се извършва чрез предоставяне на обучаемия на необходимите и достатъчни за целите на обучението материали – стандарти, презентации, документи, блок схеми и др., поотделно  за всеки един от учебните модули на Програмата.

На базата на тези предоставени материали, обучаемият провежда самоподготовка, по свой личен план. По време на самоподготовката обучаемият може да задава въпроси и да бъде детайлно консултиран (безплатно), по учебните материалите от съответния модул.
След приключване обучението по съответния модул се провежда тест, за оценка на придобитите знания.
Като основен метод за комуникация се използва електронната поща – за предоставяне на материали за обучение, за задаване на въпроси, за отговор на въпроси, за консултации, за предоставяне на тестове и резултатите от тяхното изпълнение и др.
След завършване на обучението, обучаемия получава Удостоверение за завършено обучение с приложения – Програмата за обучение и Резултати от проведените тестове.

Забележка: В интерес на обучението е, обучаемия да обяви личния си план за самоподготовка за всеки учебен модул.

ВРЕМЕТРАЕНЕ НА ОБУЧЕНИЕТО  

Препоръчителното време за изпълнение на Програмата е в рамките на един - два месеца

Всеки, проявил интерес към Програмата, ще получи за първоначален преглед и съгласуване пълно описание на учебните модули. Възможно е частична промяна на учебните модули, в съответствие с конкретни изисквания и мнение на обучаемия. По този начин Програмата, освен другото, ще се персонализира в интерес на съответния обучаем.

ВСИЧКИ ДЕЙНОСТИ И УЧЕБНИ МАТЕРИАЛИ, СВЪРЗАНИ С ОБУЧЕНИЕТО СА НАПЪЛНО БЕЗПЛАТНИ ЗА ОБУЧАЕМИЯ !

ISO 27001 - Безплатно, дистанционно обучение

ПРОГРАМА ЗА ДИСТАНЦИОННО ОБУЧЕНИЕ ПО ISO 27001:2013

Информационни технологии – Система за управление на Информационната сигурност (СУИС) - Изисквания

Забележка: Програмата е разработена и се предоставя с идеална цел и е напълно безплатна за обучаемите.

ОСНОВНИ ЦЕЛИ НА ПРОГРАМАТА

1. Да подготви обучаемите за планиране, управление и контрол на дейностите, свързани с проектирането, изграждането, внедряването, експлоатацията и развитието на СУИС; разработване и поддръжка на СУИС; участие в провеждането на вътрешни одити по сигурността.

2. Да осигури придобиването на необходимите и достатъчни знания за практическо прилагане на информационната сигурност, като средство / метод за защита на бизнеса

Забележка: Всички дейности и материали за обучение са съобразени с изискванията на ISO  27001 и препоръките на ISO 27002.

ОРГАНИЗАЦИЯ НА ДИСТАНЦИОННОТО ОБУЧЕНИЕ
Обучението се извършва чрез предоставяне на обучаемия на необходимите и достатъчни за целите на обучението материали – стандарти, презентации, документи, блок схеми и др., поотделно  за всеки един от учебните модули на Програмата.

На базата на тези предоставени материали, обучаемият провежда самоподготовка, по свой личен план. По време на самоподготовката обучаемият може да задава въпроси и да бъде детайлно консултиран (безплатно), по учебните материалите от съответния модул.
След приключване обучението по съответния модул се провежда тест, за оценка на придобитите знания.
Като основен метод за комуникация се използва електронната поща – за предоставяне на материали за обучение, за задаване на въпроси, за отговор на въпроси, за консултации, за предоставяне на тестове и резултатите от тяхното изпълнение и др.
След завършване на обучението, обучаемия получава Удостоверение за завършено обучение с приложения – Програмата за обучение и Резултати от проведените тестове.

Забележка: В интерес на обучението е, обучаемия да обяви личния си план за самоподготовка за всеки учебен модул.

ВРЕМЕТРАЕНЕ НА ОБУЧЕНИЕТО  

Препоръчителното време за изпълнение на Програмата е в рамките на един - два месеца

Всеки, проявил интерес към Програмата, ще получи за първоначален преглед и съгласуване пълно описание на учебните модули. Възможно е частична промяна на учебните модули, в съответствие с конкретни изисквания и мнение на обучаемия. По този начин Програмата, освен другото, ще се персонализира в интерес на съответния обучаем.

ВСИЧКИ ДЕЙНОСТИ И УЧЕБНИ МАТЕРИАЛИ, СВЪРЗАНИ С ОБУЧЕНИЕТО СА НАПЪЛНО БЕЗПЛАТНИ ЗА ОБУЧАЕМИЯ !