Kazalnik |
Opis tveganja |
Možne rešitve |
Sklicevanja |
Splošno |
Nepooblaščen dostop in/ali vdor v računalniške sisteme in/ali programe gospodarskega subjekta. |
Vzpostavljeni bi morali biti politika, postopki in standardi varnosti IT ter biti na voljo osebju; predložitev certifikata ISO 27001 dokazuje visoke standarde varnosti IT; politika varnosti informacij; uslužbenec za varnost informacij; postopki za podeljevanje pravic dostopa pooblaščenim osebam; pravice dostopa je treba odvzeti takoj po prenosu dolžnosti ali prenehanju zaposlitve; dostop do podatkov na podlagi potrebe po seznanjenosti; po potrebi uporaba programske opreme za šifriranje; požarni zidovi; protivirusna zaščita; zaščita z gesli na vseh računalniških delovnih postajah in po možnosti za vse pomembne programe. Če zaposleni zapustijo svoje delovno mesto, bi moral biti računalnik vedno zaščiten z geslom.Geslo bi moralo biti sestavljeno iz najmanj osmih znakov, ki morajo vključevati dve ali več malih in velikih črk, številke in druge znake. Daljše kot je geslo, varnejše je. Uporabniška imena in gesla ne bi nikoli smela biti skupna; testiranje možnosti nepooblaščenega dostopa; omejitev dostopa do prostorov s strežniki na pooblaščene osebe; redno izvajanje preskusov vdora; preskuse vdora je treba evidentirati; izvajanje postopkov za obravnavanje izrednih razmer. |
SAQ 3.7 ISO 27001:2013 |
Splošno |
Namerno uničenje ali izguba ustreznih informacij. |
Načrt ukrepov ob nepredvidenih dogodkih za ravnanje v primeru izgube podatkov; postopki varnostnega kopiranja v primeru motenj/okvare sistema; postopki za odvzem pravice dostopa; omejitev uporabe interneta na strani, ki so primerne le za poslovne dejavnosti. |
ISO 28001:2007, poglavje A.3 ISO 27001:2013 |