Risk Treament was not effectively i

Risk Treament was not effectively identified.

From Risk Assessment, it was found that:
1) Maintenance Voice Recorder has Threat about Information Leakage with Vulnerabiltiy about Service provider could access to voice information and there is control about A.9.2.6 Secure disposal or re-use of equipment but there is no method or procedure on how to control the access of service provider.
2) Risk Assessment for Voice Tape DAT has identified the Vulnerability about Old tape and tape deterioration, no tape condition check, no restoration check, no tape encryption. But there is no security controls defined for these risks.
3) Risk Assessment of System Admin (Servers Rooms) has identified Existing Controls by identified the clauses numbers of Annex A without details of Existing Control for each Asset. The organization could not demonstrate the controls implemented as compliant to Risk Assessment during the audit in this room.

However, this was found for these cases only. The implementation in compliant with Risk Assessment could be demonstrated more or less in different areas. So this is graded as a Minor NCR
REMARK:
4.3 Documentation requirements
4.3.1 General
Documentation shall include records of management decisions, ensure that actions are traceable to management decisions and policies, and ensure that the recorded results are reproducible.
It is important to be able to demonstrate the relationship from the selected controls back to the results of the risk assessment and risk treatment process, and subsequently back to the ISMS policy and objectives.

ผลลัพธ์ (ไทย) 1:

พบความเสี่ยงก็ไม่ระบุไว้อย่างมีประสิทธิภาพ

จากการประเมินความเสี่ยง พบว่า:
1) คุกคามเกี่ยวกับข้อมูลรั่วไหลกับ Vulnerabiltiy เกี่ยวกับการบริการที่ผู้ให้บริการสามารถเข้าถึงข้อมูลเสียงมีเครื่องบันทึกเสียงบำรุงรักษา และมีการควบคุมเกี่ยวกับการกำจัดทาง A.9.2.6 หรือการใช้อุปกรณ์ แต่มีวิธีการหรือขั้นตอนวิธีการควบคุมการเข้าถึงของผู้ให้บริการไม่
2) ความเสี่ยงการประเมินเสียงเทป DAT ได้ระบุช่องโหว่เกี่ยวกับเทปเก่า และเสื่อมสภาพเทป ตรวจเช็คสภาพเทปไม่ ไม่เช็คคืน ไม่เข้ารหัสเทป แต่มีกำหนดความเสี่ยงเหล่านี้ควบคุมความปลอดภัยไม่
3) ประเมินความเสี่ยงของระบบ Admin (ห้องเซิร์ฟเวอร์) ได้ระบุว่าตัวควบคุมที่มีอยู่โดยระบุหมายเลขประโยคของแอนเน็กซ์ A ไม่มีรายละเอียดของตัวควบคุมที่มีอยู่สำหรับสินทรัพย์แต่ละรายการ องค์กรสามารถแสดงตัวควบคุมที่ใช้เป็นมาตรฐานเพื่อประเมินความเสี่ยงในระหว่างการตรวจสอบในห้องนี้ได้

อย่างไรก็ตาม นี้พบในกรณีเหล่านี้เท่านั้น ใช้ในสอดคล้องกับการประเมินความเสี่ยงอาจจะแสดงน้อยในพื้นที่ต่าง ๆ ได้ ดังนี้จะแบ่งแยกเป็น NCR รอง
หมายเหตุ:
ข้อกำหนด 4.3 เอกสาร
4.3.1 ทั่วไป
เอกสารจะรวมเร็กคอร์ดของการตัดสินใจจัดการ แน่ใจว่า การดำเนินการบังคับการตัดสินใจบริหารและนโยบาย และแน่ใจว่า บันทึกผลจำลอง
สิ่งสำคัญคือต้องสามารถแสดงให้เห็นถึงความสัมพันธ์จากตัวควบคุมที่เลือกกลับไปยังผลลัพธ์ของการประเมินความเสี่ยงและกระบวนการบำบัดความเสี่ยง และต่อไปนโยบาย ISMS และวัตถุประสงค์

ผลลัพธ์ (ไทย) 2:

ที่พบบ่อยมีความเสี่ยงไม่ได้ระบุได้อย่างมีประสิทธิภาพจากการประเมินความเสี่ยงมันก็พบว่า1) การบำรุงรักษา Voice Recorder มีภัยคุกคามข้อมูลเกี่ยวกับการรั่วไหลด้วย Vulnerabiltiy เกี่ยวกับผู้ให้บริการสามารถเข้าถึงเสียงและข้อมูลที่มีการควบคุมเกี่ยวกับการกำจัดที่ปลอดภัย A.9.2.6 หรือใหม่ การใช้งานของอุปกรณ์ แต่มีวิธีการหรือขั้นตอนในการควบคุมการเข้าถึงของผู้ให้บริการ2) การประเมินความเสี่ยงเพื่อเทปเสียง DAT มีการระบุช่องโหว่เกี่ยวกับเทปเก่าและเสื่อมสภาพเทปไม่มีการตรวจสอบสภาพเทปไม่มีการตรวจสอบการบูรณะไม่มี การเข้ารหัสเทป แต่ไม่มีการควบคุมความปลอดภัยที่กำหนดไว้สำหรับความเสี่ยงเหล่านี้3) การประเมินความเสี่ยงของผู้ดูแลระบบ (เซิร์ฟเวอร์ห้อง) มีการระบุการควบคุมที่มีอยู่โดยระบุหมายเลขข้อของภาคผนวกที่ไม่มีรายละเอียดของการควบคุมที่มีอยู่ในแต่ละสินทรัพย์ องค์กรไม่สามารถแสดงให้เห็นถึงการควบคุมการดำเนินการเป็นไปตามการประเมินความเสี่ยงในระหว่างการตรวจสอบในห้องนี้แต่นี้ก็พบว่าสำหรับกรณีเหล่านี้เท่านั้น ในการดำเนินงานสอดคล้องกับการประเมินความเสี่ยงที่อาจจะแสดงให้เห็นมากหรือน้อยในพื้นที่ที่แตกต่างกัน ดังนั้นนี่เป็นคะแนนเป็นไมเนอร์ NCR หมายเหตุ: ความต้องการ 4.3 เอกสาร4.3.1 ทั่วไปเอกสารให้หมายความรวมถึงประวัติของการตัดสินใจการจัดการให้แน่ใจว่าการดำเนินการตรวจสอบย้อนกลับในการตัดสินใจการจัดการและนโยบายและให้แน่ใจว่าผลที่บันทึกไว้จะทำซ้ำมันเป็นสิ่งสำคัญที่จะ สามารถที่จะแสดงให้เห็นถึงความสัมพันธ์จากการควบคุมที่เลือกกลับไปที่ผลการประเมินความเสี่ยงและกระบวนการรักษาความเสี่ยงและต่อมากลับไปที่นโยบาย ISMS และวัตถุประสงค์

ผลลัพธ์ (ไทย) 3:

กลุ่มความเสี่ยงที่ไม่ได้ถูกระบุได้อย่างมีประสิทธิภาพ .

จากการประเมินความเสี่ยงพบว่า :
1 ) บันทึกเสียงได้คุกคามเกี่ยวกับการบำรุงรักษาข้อมูลรั่ว vulnerabiltiy เกี่ยวกับผู้ให้บริการสามารถเข้าถึงข้อมูลเสียงและมีการควบคุมเกี่ยวกับการจัด a.9.2.6 หรือใช้อุปกรณ์แต่ไม่มีวิธีหรือขั้นตอนในวิธีการควบคุมการเข้าถึง
ของผู้ให้บริการ2 ) การประเมินความเสี่ยงสำหรับเสียงเทป DAT มีการระบุช่องโหว่เกี่ยวกับเทปเก่า เทป เทป สภาพเสื่อมโทรม ไม่ตรวจ ไม่ตรวจ ฟื้นฟู ไม่มีเทปการเข้ารหัส แต่ไม่มีการรักษาความปลอดภัยการควบคุมกำหนดความเสี่ยงเหล่านี้ .
3 ) การประเมินความเสี่ยงของผู้ดูแลระบบ ( ห้องพักเซิร์ฟเวอร์ ) มีการระบุการควบคุมที่มีอยู่ โดยระบุหมายเลขข้อของภาคผนวกที่ไม่มีรายละเอียดของการควบคุมที่มีอยู่สำหรับแต่ละสินทรัพย์ องค์กรที่ไม่สามารถแสดงให้เห็นถึงการควบคุม ซึ่งใช้เป็นมาตรฐานในการประเมินความเสี่ยงในการตรวจสอบในห้องนี้

แต่พบกรณีนี้เท่านั้นงานสอดคล้องกับการประเมินความเสี่ยงสามารถแสดงมากขึ้นหรือน้อยลง ในพื้นที่ต่างๆ นี่คือคะแนนเป็นผู้เยาว์รับ

หมายเหตุ : 4.3 ความต้องการเอกสาร

จะรวมถึงการบันทึกเอกสารทั่วไปในการตัดสินใจการบริหารจัดการ มั่นใจว่า การกระทำสูงการจัดการนโยบายและการตัดสินใจ และให้แน่ใจว่าบันทึกผลลัพธ์
) .มันเป็นสิ่งสำคัญที่จะสามารถแสดงให้เห็นถึงความสัมพันธ์จากการเลือกการควบคุมกลับไปที่ผลลัพธ์ของการประเมินความเสี่ยงและการรักษาความเสี่ยงกระบวนการ และต่อมากลับด้านนโยบายและวัตถุประสงค์