- ข้อความ
- ประวัติศาสตร์
A.10 Communications and operations
A.10 Communications and operations management
A.10.1 Operational procedures and responsibilities
Objective: To ensure the correct and secure operation of information processing facilities.
A.10.1.1 Documented operating procedures
Control
Operating procedures shall be documented, maintained, and made available to all users
who need them.
A.10.1.2
Change management
Control
Changes to information processing facilities and systems shall be controlled.
A.10.1.3
Segregation of duties
Control
Duties and areas of responsibility shall be segregated to reduce opportunities for
unauthorized or unintentional modification or misuse of the organization’s assets.
A.10.1.4 Separation of development, test and operational facilities
Control
Development, test and operational facilities shall be separated to reduce the risks of
unauthorised access or changes to the operational system. 8
A.10.2 Third party service delivery management
Objective: To implement and maintain the appropriate level of information security and
service delivery in line with third party service delivery agreements.
A.10.2.1
Service delivery
Control
It shall be ensured that the security controls, service definitions and delivery levels
included in the third party service delivery agreement are implemented, operated, and
maintained by the third party.
A.10.2.2 Monitoring and review of third party services
Control
The services, reports and records provided by the third party shall be regularly monitored
and reviewed, and audits shall be carried out regularly.
A.10.2.3 Managing changes to third party services
Control
Changes to the provision of services, including maintaining and improving existing
information security policies, procedures and controls, shall be managed, taking account
of the criticality of business systems and processes involved and re-assessment of risks.
A.10.3 System planning and acceptance
Objective: To minimize the risk of systems failures.
A.10.3.1
Capacity management
Control
The use of resources shall be monitored, tuned, and projections made of future capacity
requirements to ensure the required system performance.
A.10.3.2
System acceptance
Control
Acceptance criteria for new information systems, upgrades, and new versions shall be
established and suitable tests of the system(s) carried out during development and prior to
acceptance.
A.10.4 Protection against malicious and mobile code
Objective: To protect the integrity of software and information.
A.10.4.1 Controls against malicious code
Control
Detection, prevention, and recovery controls to protect against malicious code and
appropriate user awareness procedures shall be implemented. 9
A.10.4.2 Controls against mobile code
Control
Where the use of mobile code is authorized, the configuration shall ensure that the
authorized mobile code operates according to a clearly defined security policy, and
unauthorized mobile code shall be prevented from executing.
A.10.5 Back-up
Objective: To maintain the integrity and availability of information and information
processing facilities.
A.10.5.1
Information back-up
Control
Back-up copies of information and software shall be taken and tested regularly in
accordance with the agreed backup policy.
A.10.6 Network security management
Objective: To ensure the protection of information in networks and the protection of the
supporting infrastructure.
A.10.6.1
Network controls
Control
Networks shall be adequately managed and controlled, in order to be protected from
threats, and to maintain security for the systems and applications using the network,
including information in transit.
A.10.6.2
Security of network services
Control
Security features, service levels, and management requirements of all network services
shall be identified and included in any network services agreement, whether these
services are provided in-house or outsourced.
A.10.7 Media handling
Objective: To prevent unauthorized disclosure, modification, removal or destruction of
assets, and interruption to business activities.
A.10.7.1 Management of removable media
Control
There shall be procedures in place for the management of removable media. 10
A.10.7.2
Disposal of media
Control
Media shall be disposed of securely and safely when no longer required, using formal
procedures.
A.10.7.3 Information handling procedures
Control
Procedures for the handling and storage of information shall be established to protect this
information from unauthorized disclosure or misuse.
A.10.7.4 Security of system documentation
Control
System documentation shall be protected against unauthorized access.
A.10.8 Exchange of information
Objective: To maintain the security of information and software exchanged within an
organization and with any external entity.
A.10.8.1 Information exchange policies and procedures
Control
Formal exchange policies, procedures, and controls shall be in place to protect the
exchange of information through the use of all types of communication facilities.
A.10.8.2
Exchange agreements
Control
Agreements shall be established for the exchange of information and software between
the organization and external parties.
A.10.8.3
Physical media in transit
Control
Media containing information shall be protected against unauthorized access, misuse or
corruption during transportation beyond an organization’s physical boundaries.
A.10.8.4
Electronic messaging
Control
Information involved in electronic messaging shall be appropriately protected.
A.10.8.5 Business information systems
Control
Policies and procedures shall be developed and implemented to protect information
associated with the interconnection of business information systems. 11
A.10.9 Electronic commerce services
Objective: To ensure the security of electronic commerce services, and their secure use.
A.10.9.1
Electronic commerce
Control
Information involved in electronic commerce passing over public networks shall be
protected from fraudulent activity, contract dispute, and unauthorized disclosure and
modification.
A.10.9.2
On-line transactions
Control
Information involved in on-line transactions shall be protected to prevent incomplete
transmission, mis-routing, unauthorized message alteration, unauthorized disclosure,
unauthorized message duplication or replay.
A.10.9.3 Publicly available information
Control
The integrity of information being made available on a publicly available system shall be
protected to prevent unauthorized modification.
A.10.10 Monitoring
Objective: To detect unauthorized information processing activities.
A.10.10.1
Audit logging
Control
Audit logs recording user activities, exceptions, and information security events shall be
produced and kept for an agreed period to assist in future investigations and access
control monitoring.
A.10.10.2
Monitoring system use
Control
Procedures for monitoring use of information processing facilities shall be established
and the results of the monitoring activities reviewed regularly.
A.10.10.3
Protection of log information
Control
Logging facilities and log information shall be protected against tampering and
unauthorized access. 12
A.10.10.4 Administrator and operator logs
Control
System administrator and system operator activities shall be logged.
A.10.10.5
Fault logging
Control
Faults shall be logged, analyzed, and appropriate action taken.
A.10.10.6
Clock synchronization
Control
The clocks of all relevant information processing systems within an organization or
security domain shall be synchronized with an agreed accurate time source.
A.10.1 Operational procedures and responsibilities
Objective: To ensure the correct and secure operation of information processing facilities.
A.10.1.1 Documented operating procedures
Control
Operating procedures shall be documented, maintained, and made available to all users
who need them.
A.10.1.2
Change management
Control
Changes to information processing facilities and systems shall be controlled.
A.10.1.3
Segregation of duties
Control
Duties and areas of responsibility shall be segregated to reduce opportunities for
unauthorized or unintentional modification or misuse of the organization’s assets.
A.10.1.4 Separation of development, test and operational facilities
Control
Development, test and operational facilities shall be separated to reduce the risks of
unauthorised access or changes to the operational system. 8
A.10.2 Third party service delivery management
Objective: To implement and maintain the appropriate level of information security and
service delivery in line with third party service delivery agreements.
A.10.2.1
Service delivery
Control
It shall be ensured that the security controls, service definitions and delivery levels
included in the third party service delivery agreement are implemented, operated, and
maintained by the third party.
A.10.2.2 Monitoring and review of third party services
Control
The services, reports and records provided by the third party shall be regularly monitored
and reviewed, and audits shall be carried out regularly.
A.10.2.3 Managing changes to third party services
Control
Changes to the provision of services, including maintaining and improving existing
information security policies, procedures and controls, shall be managed, taking account
of the criticality of business systems and processes involved and re-assessment of risks.
A.10.3 System planning and acceptance
Objective: To minimize the risk of systems failures.
A.10.3.1
Capacity management
Control
The use of resources shall be monitored, tuned, and projections made of future capacity
requirements to ensure the required system performance.
A.10.3.2
System acceptance
Control
Acceptance criteria for new information systems, upgrades, and new versions shall be
established and suitable tests of the system(s) carried out during development and prior to
acceptance.
A.10.4 Protection against malicious and mobile code
Objective: To protect the integrity of software and information.
A.10.4.1 Controls against malicious code
Control
Detection, prevention, and recovery controls to protect against malicious code and
appropriate user awareness procedures shall be implemented. 9
A.10.4.2 Controls against mobile code
Control
Where the use of mobile code is authorized, the configuration shall ensure that the
authorized mobile code operates according to a clearly defined security policy, and
unauthorized mobile code shall be prevented from executing.
A.10.5 Back-up
Objective: To maintain the integrity and availability of information and information
processing facilities.
A.10.5.1
Information back-up
Control
Back-up copies of information and software shall be taken and tested regularly in
accordance with the agreed backup policy.
A.10.6 Network security management
Objective: To ensure the protection of information in networks and the protection of the
supporting infrastructure.
A.10.6.1
Network controls
Control
Networks shall be adequately managed and controlled, in order to be protected from
threats, and to maintain security for the systems and applications using the network,
including information in transit.
A.10.6.2
Security of network services
Control
Security features, service levels, and management requirements of all network services
shall be identified and included in any network services agreement, whether these
services are provided in-house or outsourced.
A.10.7 Media handling
Objective: To prevent unauthorized disclosure, modification, removal or destruction of
assets, and interruption to business activities.
A.10.7.1 Management of removable media
Control
There shall be procedures in place for the management of removable media. 10
A.10.7.2
Disposal of media
Control
Media shall be disposed of securely and safely when no longer required, using formal
procedures.
A.10.7.3 Information handling procedures
Control
Procedures for the handling and storage of information shall be established to protect this
information from unauthorized disclosure or misuse.
A.10.7.4 Security of system documentation
Control
System documentation shall be protected against unauthorized access.
A.10.8 Exchange of information
Objective: To maintain the security of information and software exchanged within an
organization and with any external entity.
A.10.8.1 Information exchange policies and procedures
Control
Formal exchange policies, procedures, and controls shall be in place to protect the
exchange of information through the use of all types of communication facilities.
A.10.8.2
Exchange agreements
Control
Agreements shall be established for the exchange of information and software between
the organization and external parties.
A.10.8.3
Physical media in transit
Control
Media containing information shall be protected against unauthorized access, misuse or
corruption during transportation beyond an organization’s physical boundaries.
A.10.8.4
Electronic messaging
Control
Information involved in electronic messaging shall be appropriately protected.
A.10.8.5 Business information systems
Control
Policies and procedures shall be developed and implemented to protect information
associated with the interconnection of business information systems. 11
A.10.9 Electronic commerce services
Objective: To ensure the security of electronic commerce services, and their secure use.
A.10.9.1
Electronic commerce
Control
Information involved in electronic commerce passing over public networks shall be
protected from fraudulent activity, contract dispute, and unauthorized disclosure and
modification.
A.10.9.2
On-line transactions
Control
Information involved in on-line transactions shall be protected to prevent incomplete
transmission, mis-routing, unauthorized message alteration, unauthorized disclosure,
unauthorized message duplication or replay.
A.10.9.3 Publicly available information
Control
The integrity of information being made available on a publicly available system shall be
protected to prevent unauthorized modification.
A.10.10 Monitoring
Objective: To detect unauthorized information processing activities.
A.10.10.1
Audit logging
Control
Audit logs recording user activities, exceptions, and information security events shall be
produced and kept for an agreed period to assist in future investigations and access
control monitoring.
A.10.10.2
Monitoring system use
Control
Procedures for monitoring use of information processing facilities shall be established
and the results of the monitoring activities reviewed regularly.
A.10.10.3
Protection of log information
Control
Logging facilities and log information shall be protected against tampering and
unauthorized access. 12
A.10.10.4 Administrator and operator logs
Control
System administrator and system operator activities shall be logged.
A.10.10.5
Fault logging
Control
Faults shall be logged, analyzed, and appropriate action taken.
A.10.10.6
Clock synchronization
Control
The clocks of all relevant information processing systems within an organization or
security domain shall be synchronized with an agreed accurate time source.
0/5000
A.10 สื่อสารและการดำเนินงานการจัดการ A.10.1 ขั้นตอนการดำเนินงานและความรับผิดชอบ วัตถุประสงค์: เพื่อให้แน่ใจว่าถูกต้อง และปลอดภัยการทำงานของข้อมูลสิ่งอำนวยความสะดวกการประมวลผล Documented A.10.1.1 ขั้นตอนการปฏิบัติงาน ควบคุม ปฏิบัติขั้นตอนจะเป็นเอกสาร รักษา และทำให้ผู้ใช้ทั้งหมด ที่จำเป็นต้อง A.10.1.2 จัดการการเปลี่ยนแปลง ควบคุม เปลี่ยนแปลงสิ่งอำนวยความสะดวกและระบบประมวลผลข้อมูลจะถูก A.10.1.3 การแบ่งแยกหน้าที่ ควบคุม จะแยกหน้าที่และพื้นที่รับผิดชอบเพื่อลดโอกาสในการ ไม่ได้รับอนุญาต หรือตั้งใจแก้ไขหรือนำสินทรัพย์ขององค์กร A.10.1.4 แยกพัฒนา ทดสอบ และสิ่งอำนวยความสะดวกการดำเนินงาน ควบคุม พัฒนา ทดสอบ และสิ่งอำนวยความสะดวกการดำเนินงานจะแบ่งออกเพื่อลดความเสี่ยงของการ เข้าไม่ได้รับอนุญาตหรือเปลี่ยนแปลงระบบการดำเนินงาน 8จัดการ A.10.2 บุคคลบริการจัดส่ง วัตถุประสงค์: การดำเนินการ และรักษาความปลอดภัยของข้อมูลระดับที่เหมาะสม และ บริการจัดส่งตามข้อตกลงการจัดส่งของบุคคลที่สาม A.10.2.1 บริการจัดส่ง ควบคุม ก็จะมั่นใจที่ควบคุมความปลอดภัย ข้อกำหนดบริการ และจัดระดับ รวมอยู่ในการจัดส่งบริการบุคคล ข้อตกลงจะดำเนินการ ดำเนินการ และ ดูแล โดยบุคคลสาม A.10.2.2 ตรวจสอบและตรวจสอบบริการบุคคลที่สาม ควบคุม บริการ รายงาน และระเบียนโดยบุคคลสามจะถูกประจำการตรวจสอบ และ สรุป และการตรวจสอบต้องทำเป็นประจำ A.10.2.3 การจัดการการเปลี่ยนแปลงการบริการบุคคลที่สาม ควบคุม เปลี่ยนแปลงการสำรองบริการ รวมทั้งการรักษา และปรับปรุงที่มีอยู่ นโยบายความปลอดภัยของข้อมูล กระบวนการ และการ ควบคุม จะได้รับการจัดการ การบัญชี ของการประการที่สามคือระบบธุรกิจ และกระบวนการที่เกี่ยวข้อง และการประเมินความเสี่ยง A.10.3 ระบบการวางแผนและการยอมรับ วัตถุประสงค์: เพื่อลดความเสี่ยงของความล้มเหลวของระบบ A.10.3.1 กำลังการผลิตการจัดการ ควบคุม การใช้ทรัพยากรจะถูกตรวจ สอบ ปรับ และทำการประมาณของกำลังการผลิตในอนาคต ความต้องการให้ประสิทธิภาพการทำงานของระบบที่จำเป็น A.10.3.2 ยอมรับระบบ ควบคุม จะยอมรับเงื่อนไขสำหรับระบบสารสนเทศใหม่ การอัพเกรด และรุ่นใหม่ ทดสอบ system(s) ที่ดำเนินการใน ระหว่างการพัฒนา และก่อนสร้าง และเหมาะสม ยอมรับ ป้องกันอันตราย และโมบายรหัส A.10.4 วัตถุประสงค์: เพื่อปกป้องความสมบูรณ์ของซอฟต์แวร์และข้อมูล ควบคุม A.10.4.1 กับรหัสที่เป็นอันตราย ควบคุม ควบคุมตรวจสอบ การป้องกัน และการกู้คืนเพื่อป้องกันรหัสที่เป็นอันตราย และ จะดำเนินกระบวนการคำนึงถึงผู้ใช้ที่เหมาะสม 9ควบคุม A.10.4.2 กับรหัสโมบาย ควบคุม ใช้รหัสโทรศัพท์เคลื่อนที่ได้รับอนุญาต การตั้งค่าคอนฟิกจะให้แน่ใจว่าการ รหัสมือถือที่ได้รับอนุญาตดำเนินการตามนโยบายรักษาความปลอดภัยอย่างชัดเจน และ รหัสโทรศัพท์เคลื่อนที่ไม่ได้รับอนุญาตจะถูกห้ามไม่ให้ดำเนินการ A.10.5 สำรอง วัตถุประสงค์: เพื่อรักษาความสมบูรณ์และความพร้อมของข้อมูลและข้อมูล ประมวลผลสิ่งอำนวยความสะดวก A.10.5.1 ข้อมูลสำรอง ควบคุม สำเนาสำรองของข้อมูลและซอฟต์แวร์ที่จะนำ และมาทดสอบใน สามัคคีกับนโยบายสำรองตกลง จัดการความปลอดภัยของเครือข่าย A.10.6 วัตถุประสงค์: เพื่อให้การคุ้มครองข้อมูลในเครือข่ายและป้องกันการ สนับสนุนโครงสร้างพื้นฐาน A.10.6.1 ตัวควบคุมเครือข่าย ควบคุม เครือข่ายจะมีเพียงพอจัดการ และ ควบคุม การได้รับการป้องกันจาก คุกคาม และ การรักษาความปลอดภัยสำหรับระบบเครือข่าย โปรแกรม รวมทั้งข้อมูลในการส่งต่อ A.10.6.2 ความปลอดภัยของเครือข่ายบริการ ควบคุม คุณลักษณะความปลอดภัย บริการระดับ และจัดการข้อกำหนดของบริการเครือข่ายทั้งหมด จะระบุ และรวมอยู่ในข้อตกลงบริการเครือข่าย ว่าเหล่านี้ บริการให้ในบริษัท หรือผลิตนอกบริษัท A.10.7 การจัดการสื่อ วัตถุประสงค์: เพื่อป้องกันการเปิดเผยไม่ได้รับอนุญาต แก้ไข ลบ หรือทำลาย สินทรัพย์ และกิจกรรมทางธุรกิจที่หยุดชะงัก A.10.7.1 การจัดการสื่อแบบถอดได้ ควบคุม จะมีขั้นตอนในการจัดการสื่อแบบถอดได้ 10A.10.7.2 สื่อการขายทิ้ง ควบคุม จะตัดจำหน่ายสื่อของอย่างปลอดภัย และปลอดภัย เมื่อไม่จำเป็น ใช้อย่างเป็นทางการ ขั้นตอนการ ขั้นตอนการจัดการข้อมูล A.10.7.3 ควบคุม ขั้นตอนการจัดการและการจัดเก็บข้อมูลจะก่อตั้งขึ้นเพื่อปกป้องนี้ ข้อมูลจากการเปิดเผยข้อมูลไม่ได้รับอนุญาตหรือผิด A.10.7.4 ความปลอดภัยของระบบเอกสาร ควบคุม ระบบเอกสารจะได้รับการป้องกันได้ A.10.8 แลกเปลี่ยนข้อมูล วัตถุประสงค์: เพื่อรักษาความปลอดภัยของข้อมูลและซอฟต์แวร์การแลกเปลี่ยนในการ องค์กรและ มีเอนทิตีภายนอก A.10.8.1 ข้อมูลแลกเปลี่ยนนโยบายและขั้นตอน ควบคุม แลกเปลี่ยนทางนโยบาย ขั้นตอน และตัวควบคุมจะมีเพื่อปกป้องการ การแลกเปลี่ยนข้อมูลโดยใช้อุปกรณ์ติดต่อสื่อสารทุกชนิด A.10.8.2 ข้อตกลงแลกเปลี่ยน ควบคุม จะสร้างข้อตกลงในการแลกเปลี่ยนข้อมูลและซอฟต์แวร์ องค์กรและบุคคลภายนอก A.10.8.3 สื่อทางกายภาพในการขนส่ง ควบคุม สื่อที่ประกอบด้วยข้อมูลจะได้รับการป้องกันกับการเข้าถึง ผิด หรือ ความเสียหายระหว่างการขนส่งนอกเหนือจากขอบเขตทางกายภาพขององค์กร A.10.8.4 ส่งข้อความอิเล็กทรอนิกส์ ควบคุม ข้อมูลที่เกี่ยวข้องในการส่งข้อความอิเล็กทรอนิกส์จะถูกป้องกันอย่างเหมาะสม ระบบสารสนเทศทางธุรกิจ A.10.8.5 ควบคุม นโยบายและขั้นตอนจะสามารถพัฒนา และนำไปใช้เพื่อปกป้องข้อมูล เชื่อมโยงกับความเกี่ยวข้องกันของระบบสารสนเทศธุรกิจ 11บริการพาณิชย์อิเล็กทรอนิกส์ A.10.9 วัตถุประสงค์: เพื่อความปลอดภัยของการพาณิชย์อิเล็กทรอนิกส์ การใช้ทางการ A.10.9.1 การพาณิชย์อิเล็กทรอนิกส์ ควบคุม ข้อมูลที่เกี่ยวข้องกับพาณิชย์อิเล็กทรอนิกส์ผ่านเครือข่ายสาธารณะจะ ได้รับการป้องกันจากกิจกรรมหลอกลวง ข้อพิพาทสัญญา และเปิดเผยไม่ได้รับอนุญาต และ ปรับเปลี่ยน A.10.9.2 ธุรกรรมที่ง่ายดาย ควบคุม ข้อมูลที่เกี่ยวข้องในธุรกรรมที่ง่ายดายจะได้รับการป้องกันให้สมบูรณ์ ส่ง mis-routing แก้ไขข้อความที่ไม่ได้รับอนุญาต เปิด เผยไม่ได้รับอนุญาต ทำซ้ำข้อความที่ไม่ได้รับอนุญาตหรือเล่นซ้ำ A.10.9.3 ข้อมูลเผย ควบคุม ความสมบูรณ์ของข้อมูลที่จะทำมีระบบเผยจะ ป้องกันเพื่อป้องกันการเปลี่ยนแปลงที่ไม่ได้รับอนุญาต ตรวจสอบ A.10.10 วัตถุประสงค์: เพื่อตรวจจับกิจกรรมการประมวลผลข้อมูลที่ไม่ได้รับอนุญาต A.10.10.1 ตรวจสอบบันทึก ควบคุม บันทึกการตรวจสอบบันทึกกิจกรรมของผู้ใช้ ข้อยกเว้น และเหตุการณ์การรักษาความปลอดภัยข้อมูลจะ ผลิต และเก็บไว้สำหรับรอบระยะเวลาตกลงกันเพื่อช่วยในการตรวจสอบและการเข้าถึง ควบคุมตรวจสอบ A.10.10.2 ใช้ระบบตรวจสอบ ควบคุม ขั้นตอนการตรวจสอบการใช้ข้อมูลที่ประมวลผลสิ่งอำนวยความสะดวกจะสามารถสร้าง และผลของกิจกรรมการตรวจสอบทบทวนเป็นประจำ A.10.10.3 ป้องกันข้อมูลบันทึก ควบคุม สิ่งอำนวยความสะดวกในการบันทึกและบันทึกข้อมูลจะถูกป้องกันจากการแทรกแซง และ เข้าถึง 12A.10.10.4 ดูแลและดำเนินการบันทึก ควบคุม จะล็อกผู้ดูแลระบบและระบบดำเนินกิจกรรม A.10.10.5 บันทึกข้อบกพร่อง ควบคุม ข้อบกพร่องที่ต้องเข้าสู่ ระบบ วิเคราะห์ และเหมาะสมดำเนินการ A.10.10.6 ซิงโครไนส์นาฬิกา ควบคุม นาฬิกาทั้งหมดที่เกี่ยวข้องข้อมูลการประมวลผลระบบภายในองค์กร หรือ โดเมนความปลอดภัยจะซิงโครไนส์กับแหล่งเวลาเห็นชอบถูกต้อง
การแปล กรุณารอสักครู่..
A.10 Communications and operations management
A.10.1 Operational procedures and responsibilities
Objective: To ensure the correct and secure operation of information processing facilities.
A.10.1.1 Documented operating procedures
Control
Operating procedures shall be documented, maintained, and made available to all users
who need them.
A.10.1.2
Change management
Control
Changes to information processing facilities and systems shall be controlled.
A.10.1.3
Segregation of duties
Control
Duties and areas of responsibility shall be segregated to reduce opportunities for
unauthorized or unintentional modification or misuse of the organization’s assets.
A.10.1.4 Separation of development, test and operational facilities
Control
Development, test and operational facilities shall be separated to reduce the risks of
unauthorised access or changes to the operational system. 8
A.10.2 Third party service delivery management
Objective: To implement and maintain the appropriate level of information security and
service delivery in line with third party service delivery agreements.
A.10.2.1
Service delivery
Control
It shall be ensured that the security controls, service definitions and delivery levels
included in the third party service delivery agreement are implemented, operated, and
maintained by the third party.
A.10.2.2 Monitoring and review of third party services
Control
The services, reports and records provided by the third party shall be regularly monitored
and reviewed, and audits shall be carried out regularly.
A.10.2.3 Managing changes to third party services
Control
Changes to the provision of services, including maintaining and improving existing
information security policies, procedures and controls, shall be managed, taking account
of the criticality of business systems and processes involved and re-assessment of risks.
A.10.3 System planning and acceptance
Objective: To minimize the risk of systems failures.
A.10.3.1
Capacity management
Control
The use of resources shall be monitored, tuned, and projections made of future capacity
requirements to ensure the required system performance.
A.10.3.2
System acceptance
Control
Acceptance criteria for new information systems, upgrades, and new versions shall be
established and suitable tests of the system(s) carried out during development and prior to
acceptance.
A.10.4 Protection against malicious and mobile code
Objective: To protect the integrity of software and information.
A.10.4.1 Controls against malicious code
Control
Detection, prevention, and recovery controls to protect against malicious code and
appropriate user awareness procedures shall be implemented. 9
A.10.4.2 Controls against mobile code
Control
Where the use of mobile code is authorized, the configuration shall ensure that the
authorized mobile code operates according to a clearly defined security policy, and
unauthorized mobile code shall be prevented from executing.
A.10.5 Back-up
Objective: To maintain the integrity and availability of information and information
processing facilities.
A.10.5.1
Information back-up
Control
Back-up copies of information and software shall be taken and tested regularly in
accordance with the agreed backup policy.
A.10.6 Network security management
Objective: To ensure the protection of information in networks and the protection of the
supporting infrastructure.
A.10.6.1
Network controls
Control
Networks shall be adequately managed and controlled, in order to be protected from
threats, and to maintain security for the systems and applications using the network,
including information in transit.
A.10.6.2
Security of network services
Control
Security features, service levels, and management requirements of all network services
shall be identified and included in any network services agreement, whether these
services are provided in-house or outsourced.
A.10.7 Media handling
Objective: To prevent unauthorized disclosure, modification, removal or destruction of
assets, and interruption to business activities.
A.10.7.1 Management of removable media
Control
There shall be procedures in place for the management of removable media. 10
A.10.7.2
Disposal of media
Control
Media shall be disposed of securely and safely when no longer required, using formal
procedures.
A.10.7.3 Information handling procedures
Control
Procedures for the handling and storage of information shall be established to protect this
information from unauthorized disclosure or misuse.
A.10.7.4 Security of system documentation
Control
System documentation shall be protected against unauthorized access.
A.10.8 Exchange of information
Objective: To maintain the security of information and software exchanged within an
organization and with any external entity.
A.10.8.1 Information exchange policies and procedures
Control
Formal exchange policies, procedures, and controls shall be in place to protect the
exchange of information through the use of all types of communication facilities.
A.10.8.2
Exchange agreements
Control
Agreements shall be established for the exchange of information and software between
the organization and external parties.
A.10.8.3
Physical media in transit
Control
Media containing information shall be protected against unauthorized access, misuse or
corruption during transportation beyond an organization’s physical boundaries.
A.10.8.4
Electronic messaging
Control
Information involved in electronic messaging shall be appropriately protected.
A.10.8.5 Business information systems
Control
Policies and procedures shall be developed and implemented to protect information
associated with the interconnection of business information systems. 11
A.10.9 Electronic commerce services
Objective: To ensure the security of electronic commerce services, and their secure use.
A.10.9.1
Electronic commerce
Control
Information involved in electronic commerce passing over public networks shall be
protected from fraudulent activity, contract dispute, and unauthorized disclosure and
modification.
A.10.9.2
On-line transactions
Control
Information involved in on-line transactions shall be protected to prevent incomplete
transmission, mis-routing, unauthorized message alteration, unauthorized disclosure,
unauthorized message duplication or replay.
A.10.9.3 Publicly available information
Control
The integrity of information being made available on a publicly available system shall be
protected to prevent unauthorized modification.
A.10.10 Monitoring
Objective: To detect unauthorized information processing activities.
A.10.10.1
Audit logging
Control
Audit logs recording user activities, exceptions, and information security events shall be
produced and kept for an agreed period to assist in future investigations and access
control monitoring.
A.10.10.2
Monitoring system use
Control
Procedures for monitoring use of information processing facilities shall be established
and the results of the monitoring activities reviewed regularly.
A.10.10.3
Protection of log information
Control
Logging facilities and log information shall be protected against tampering and
unauthorized access. 12
A.10.10.4 Administrator and operator logs
Control
System administrator and system operator activities shall be logged.
A.10.10.5
Fault logging
Control
Faults shall be logged, analyzed, and appropriate action taken.
A.10.10.6
Clock synchronization
Control
The clocks of all relevant information processing systems within an organization or
security domain shall be synchronized with an agreed accurate time source.
A.10.1 Operational procedures and responsibilities
Objective: To ensure the correct and secure operation of information processing facilities.
A.10.1.1 Documented operating procedures
Control
Operating procedures shall be documented, maintained, and made available to all users
who need them.
A.10.1.2
Change management
Control
Changes to information processing facilities and systems shall be controlled.
A.10.1.3
Segregation of duties
Control
Duties and areas of responsibility shall be segregated to reduce opportunities for
unauthorized or unintentional modification or misuse of the organization’s assets.
A.10.1.4 Separation of development, test and operational facilities
Control
Development, test and operational facilities shall be separated to reduce the risks of
unauthorised access or changes to the operational system. 8
A.10.2 Third party service delivery management
Objective: To implement and maintain the appropriate level of information security and
service delivery in line with third party service delivery agreements.
A.10.2.1
Service delivery
Control
It shall be ensured that the security controls, service definitions and delivery levels
included in the third party service delivery agreement are implemented, operated, and
maintained by the third party.
A.10.2.2 Monitoring and review of third party services
Control
The services, reports and records provided by the third party shall be regularly monitored
and reviewed, and audits shall be carried out regularly.
A.10.2.3 Managing changes to third party services
Control
Changes to the provision of services, including maintaining and improving existing
information security policies, procedures and controls, shall be managed, taking account
of the criticality of business systems and processes involved and re-assessment of risks.
A.10.3 System planning and acceptance
Objective: To minimize the risk of systems failures.
A.10.3.1
Capacity management
Control
The use of resources shall be monitored, tuned, and projections made of future capacity
requirements to ensure the required system performance.
A.10.3.2
System acceptance
Control
Acceptance criteria for new information systems, upgrades, and new versions shall be
established and suitable tests of the system(s) carried out during development and prior to
acceptance.
A.10.4 Protection against malicious and mobile code
Objective: To protect the integrity of software and information.
A.10.4.1 Controls against malicious code
Control
Detection, prevention, and recovery controls to protect against malicious code and
appropriate user awareness procedures shall be implemented. 9
A.10.4.2 Controls against mobile code
Control
Where the use of mobile code is authorized, the configuration shall ensure that the
authorized mobile code operates according to a clearly defined security policy, and
unauthorized mobile code shall be prevented from executing.
A.10.5 Back-up
Objective: To maintain the integrity and availability of information and information
processing facilities.
A.10.5.1
Information back-up
Control
Back-up copies of information and software shall be taken and tested regularly in
accordance with the agreed backup policy.
A.10.6 Network security management
Objective: To ensure the protection of information in networks and the protection of the
supporting infrastructure.
A.10.6.1
Network controls
Control
Networks shall be adequately managed and controlled, in order to be protected from
threats, and to maintain security for the systems and applications using the network,
including information in transit.
A.10.6.2
Security of network services
Control
Security features, service levels, and management requirements of all network services
shall be identified and included in any network services agreement, whether these
services are provided in-house or outsourced.
A.10.7 Media handling
Objective: To prevent unauthorized disclosure, modification, removal or destruction of
assets, and interruption to business activities.
A.10.7.1 Management of removable media
Control
There shall be procedures in place for the management of removable media. 10
A.10.7.2
Disposal of media
Control
Media shall be disposed of securely and safely when no longer required, using formal
procedures.
A.10.7.3 Information handling procedures
Control
Procedures for the handling and storage of information shall be established to protect this
information from unauthorized disclosure or misuse.
A.10.7.4 Security of system documentation
Control
System documentation shall be protected against unauthorized access.
A.10.8 Exchange of information
Objective: To maintain the security of information and software exchanged within an
organization and with any external entity.
A.10.8.1 Information exchange policies and procedures
Control
Formal exchange policies, procedures, and controls shall be in place to protect the
exchange of information through the use of all types of communication facilities.
A.10.8.2
Exchange agreements
Control
Agreements shall be established for the exchange of information and software between
the organization and external parties.
A.10.8.3
Physical media in transit
Control
Media containing information shall be protected against unauthorized access, misuse or
corruption during transportation beyond an organization’s physical boundaries.
A.10.8.4
Electronic messaging
Control
Information involved in electronic messaging shall be appropriately protected.
A.10.8.5 Business information systems
Control
Policies and procedures shall be developed and implemented to protect information
associated with the interconnection of business information systems. 11
A.10.9 Electronic commerce services
Objective: To ensure the security of electronic commerce services, and their secure use.
A.10.9.1
Electronic commerce
Control
Information involved in electronic commerce passing over public networks shall be
protected from fraudulent activity, contract dispute, and unauthorized disclosure and
modification.
A.10.9.2
On-line transactions
Control
Information involved in on-line transactions shall be protected to prevent incomplete
transmission, mis-routing, unauthorized message alteration, unauthorized disclosure,
unauthorized message duplication or replay.
A.10.9.3 Publicly available information
Control
The integrity of information being made available on a publicly available system shall be
protected to prevent unauthorized modification.
A.10.10 Monitoring
Objective: To detect unauthorized information processing activities.
A.10.10.1
Audit logging
Control
Audit logs recording user activities, exceptions, and information security events shall be
produced and kept for an agreed period to assist in future investigations and access
control monitoring.
A.10.10.2
Monitoring system use
Control
Procedures for monitoring use of information processing facilities shall be established
and the results of the monitoring activities reviewed regularly.
A.10.10.3
Protection of log information
Control
Logging facilities and log information shall be protected against tampering and
unauthorized access. 12
A.10.10.4 Administrator and operator logs
Control
System administrator and system operator activities shall be logged.
A.10.10.5
Fault logging
Control
Faults shall be logged, analyzed, and appropriate action taken.
A.10.10.6
Clock synchronization
Control
The clocks of all relevant information processing systems within an organization or
security domain shall be synchronized with an agreed accurate time source.
การแปล กรุณารอสักครู่..
A.10 การสื่อสารและการจัดการดำเนินงานกระบวนการดำเนินงานและความรับผิดชอบ
a.10.1 วัตถุประสงค์ : เพื่อให้แน่ใจว่าถูกต้องและปลอดภัยการดำเนินงานของเครื่องการประมวลผลสารสนเทศ
a.10.1.1 เอกสารขั้นตอนการดำเนินงาน ควบคุม ขั้นตอนการดำเนินงาน จะได้รับเอกสาร เก็บรักษา และให้บริการแก่ผู้ใช้ทุกคน
ใครต้องการ
เปลี่ยน a.10.1.2 ควบคุมการจัดการการเปลี่ยนแปลงเครื่องประมวลผลสารสนเทศและระบบจะถูกควบคุม
a.10.1.3 การแบ่งแยกหน้าที่ควบคุม
หน้าที่ และพื้นที่รับผิดชอบจะถูกแยกเพื่อลดโอกาสในการปรับเปลี่ยนไม่ได้รับอนุญาต หรือเผลอ
หรือใช้ผิดประเภทของสินทรัพย์ขององค์กร
a.10.1.4 แยกการพัฒนา ทดสอบ และควบคุมการดำเนินงานเครื่อง
พัฒนาทดสอบเครื่องปฏิบัติการจะต้องแยกเพื่อลดความเสี่ยงของการเข้าถึงไม่ได้รับอนุญาตหรือการเปลี่ยนแปลง
ระบบ 8
a.10.2 บุคคลที่สามบริการการจัดการ
วัตถุประสงค์ : เพื่อใช้และรักษาที่เหมาะสมระดับของความปลอดภัยของข้อมูลและ
บริการจัดส่งในบรรทัดที่มีข้อตกลงการให้บริการของบุคคลที่สาม
บริการจัดส่ง a.10.2.1 ควบคุมจะมั่นใจได้ว่าการรักษาความปลอดภัยการควบคุมบริการคำนิยามและจัดส่งระดับ
รวมอยู่ในข้อตกลงการให้บริการของบุคคลที่สามใช้ดำเนินการและ
รักษาโดยบุคคลที่สาม
a.10.2.2 ติดตามและตรวจสอบบริการบุคคลที่สามควบคุม
บริการรายงานและบันทึกโดยบุคคลที่สามจะต้องหมั่นตรวจสอบ และทบทวน
,และการตรวจสอบจะต้องดำเนินการอย่างสม่ำเสมอ
a.10.2.3 การจัดการการเปลี่ยนแปลงการควบคุมการเปลี่ยนแปลง
บริการพรรคที่สาม การให้บริการ รวมทั้งการรักษาและปรับปรุงนโยบายการรักษาความปลอดภัยข้อมูลที่มีอยู่
, ขั้นตอนและการควบคุมจะถูกจัดการ จดบัญชี
ของวิกฤตของระบบธุรกิจ และกระบวนการที่เกี่ยวข้อง และประเมินกำลังของความเสี่ยง
A.10 .การวางแผนและการยอมรับ
วัตถุประสงค์ 3 ระบบ เพื่อลดความเสี่ยงของความล้มเหลวของระบบ
การจัดการควบคุมการใช้ทรัพยากรจะถูกตรวจสอบ , ปรับ a.10.3.1
ความจุและแผนการผลิตของความต้องการกำลังการผลิตในอนาคตเพื่อให้แน่ใจว่าระบบ
ที่ต้องการแสดง
a.10.3.2 ระบบการควบคุมการยอมรับเกณฑ์ใหม่ข้อมูลระบบการอัพเกรดและรุ่นใหม่จะ
ก่อตั้งและการทดสอบที่เหมาะสมของระบบ ( s ) ที่ดำเนินการในระหว่างการพัฒนาและการยอมรับก่อน
.
ป้องกัน a.10.4 ต่อต้านที่เป็นอันตรายและมือถือรหัส
วัตถุประสงค์ : เพื่อปกป้องความสมบูรณ์ของซอฟต์แวร์และข้อมูล
a.10.4.1 การควบคุมกับโค้ดอันตราย
การควบคุมป้องกันและกู้คืนการควบคุมป้องกันรหัสที่เป็นอันตรายและ
ขั้นตอนความตระหนักของผู้ใช้ที่เหมาะสมจะสามารถใช้ 9
a.10.4.2 การควบคุมต่อ
ควบคุมมือถือรหัสที่ใช้โทรศัพท์มือถือรหัสได้รับอนุญาต , การตั้งค่าจะให้แน่ใจว่า
อนุญาตมือถือรหัสดําเนินงานตามนโยบายไว้อย่างชัดเจน และจะป้องกันไม่ได้รับอนุญาต
รหัสมือถือจากการ .
a.10.5 กลับขึ้นวัตถุประสงค์ :เพื่อรักษาความสมบูรณ์และความพร้อมใช้งานของข้อมูลและเครื่องประมวลผลข้อมูล
a.10.5.1 ควบคุมการสำรองข้อมูลกลับขึ้นสำเนาของข้อมูลและซอฟต์แวร์จะถูกทดสอบอยู่เสมอ ตามตกลง
สำรองนโยบาย
a.10.6 : วัตถุประสงค์การจัดการความปลอดภัยเครือข่ายเพื่อให้แน่ใจว่าการป้องกันข้อมูลในเครือข่าย และการคุ้มครอง
สนับสนุนโครงสร้างพื้นฐาน
a.10.6.1 เครือข่ายการควบคุมเครือข่ายการควบคุม
จะเพียงพอจัดการและควบคุม เพื่อที่จะได้รับความคุ้มครองจาก
ภัยคุกคามและการรักษาความปลอดภัยสำหรับระบบและการประยุกต์ใช้เครือข่าย
รวมถึงข้อมูลในการขนส่ง a.10.6.2
บริการรักษาความปลอดภัยของเครือข่ายการควบคุมความปลอดภัย ระดับบริการและความต้องการการจัดการของการบริการทั้งหมดของเครือข่าย
จะระบุและรวมอยู่ในข้อตกลงการให้บริการเครือข่ายใด ๆ ไม่ว่าจะเป็น บริการเหล่านี้มีไว้ในบ้าน
หรือถูกต้อง
a.10.7 สื่อการจัดการวัตถุประสงค์ : เพื่อป้องกันการเปิดเผยข้อมูลไม่ได้รับอนุญาต , การปรับเปลี่ยน , การกำจัดหรือทำลาย
ทรัพย์สินและหยุดชะงักกิจกรรมทางธุรกิจ
a.10.7.1 การจัดการควบคุมสื่อแบบถอดได้ต้องมีกระบวนการในสถานที่สำหรับการจัดการของสื่อที่ถอดได้ 10 a.10.7.2
ขาย
สื่อการควบคุมสื่อจะถูกกำจัดทิ้งได้อย่างปลอดภัยและอย่างปลอดภัยเมื่อไม่ต้องใช้ขั้นตอนอย่างเป็นทางการ
a.10.7.3 ข้อมูลการจัดการกระบวนการควบคุมกระบวนการสำหรับการจัดการและการจัดเก็บข้อมูลจะถูกก่อตั้งขึ้นเพื่อปกป้องนี้
ข้อมูลจากการเปิดเผยข้อมูลไม่ได้รับอนุญาตหรือการใช้ผิดประเภท
a.10.7.4 รักษาความปลอดภัยระบบเอกสารควบคุมระบบเอกสารให้
จะป้องกันการเข้าถึงไม่ได้รับอนุญาต แลกเปลี่ยนข้อมูล
a.10.8 วัตถุประสงค์ : เพื่อรักษาความปลอดภัยของข้อมูลและซอฟต์แวร์แลกเปลี่ยนภายในองค์กรและหน่วยงานภายนอกด้วย
.
a.10.8.1 แลกเปลี่ยนข้อมูลนโยบายและขั้นตอนการควบคุม
อย่างเป็นทางการแลกเปลี่ยนนโยบาย ขั้นตอน และการควบคุมจะอยู่ในสถานที่ที่จะปกป้อง
แลกเปลี่ยนข้อมูลผ่านการใช้ทุกประเภทของเครื่องสื่อสาร
a.10.8.2 แลกเปลี่ยนข้อตกลงควบคุมข้อตกลงจะถูกจัดตั้งขึ้นเพื่อแลกเปลี่ยนข้อมูลและซอฟต์แวร์ระหว่าง
องค์กร และบุคคลภายนอก a.10.8.3
สื่อทางกายภาพในการควบคุมการขนส่งสื่อที่มีข้อมูลจะได้รับการคุ้มครองจากการเข้าถึงที่ไม่ได้รับอนุญาตในทางที่ผิดหรือเสียหายในระหว่างการขนส่งเกินขอบเขต
ทางกายภาพขององค์กร
a.10.8.4 ส่งข้อความอิเล็กทรอนิกส์ควบคุมข้อมูลที่เกี่ยวข้องในการส่งข้อความอิเล็กทรอนิกส์ จะได้รับการคุ้มครองอย่างเหมาะสม
a.10.8.5 ข้อมูลธุรกิจ ระบบ ควบคุมนโยบายและขั้นตอนจะถูกพัฒนาและนำมาใช้เพื่อปกป้องข้อมูล
ที่เกี่ยวข้องกับโทรศัพท์เคลื่อนที่ของระบบสารสนเทศทางธุรกิจ 11
a.10.9 พาณิชย์อิเล็กทรอนิกส์บริการวัตถุประสงค์ : เพื่อความปลอดภัยของบริการพาณิชย์อิเล็กทรอนิกส์ และการใช้
a.10.9.1 พาณิชย์อิเล็กทรอนิกส์ควบคุมข้อมูลที่เกี่ยวข้องกับพาณิชย์อิเล็กทรอนิกส์ผ่านเครือข่ายสาธารณะจะ
ป้องกันจากกิจกรรม ข้อพิพาทสัญญาลวง และไม่ได้รับอนุญาต การเปิดเผยข้อมูลและ
ดัดแปลง
a.10.9.2 บนบรรทัดรายการ
ข้อมูลที่เกี่ยวข้องในการทำธุรกรรมออนไลน์ การควบคุมจะต้องป้องกันเพื่อป้องกันไม่สมบูรณ์
ส่ง หรือรับข้อความเส้นทาง , การเปลี่ยนแปลง , การเปิดเผยข้อมูลไม่ได้รับอนุญาต
สำเนาข้อความที่ไม่ได้รับอนุญาตหรือ Replay
a.10.9.3 สาธารณชนควบคุมข้อมูล
ความสมบูรณ์ของข้อมูลการให้บริการในระบบที่มีอยู่ทั่วไปจะ
ป้องกันเพื่อป้องกันการไม่ได้รับอนุญาต
มีการ a.10.10 : ตรวจสอบกิจกรรมการประมวลผลข้อมูลที่ไม่ได้รับอนุญาต
a.10.10.1 ตรวจสอบการตรวจสอบควบคุม
บันทึกบันทึกกิจกรรมของผู้ใช้ข้อยกเว้น และเหตุการณ์การรักษาความปลอดภัยข้อมูลจะถูกเก็บไว้
ผลิต และระยะเวลาที่ตกลงกันเพื่อช่วยในการตรวจสอบและการตรวจสอบการควบคุมการเข้าถึงในอนาคต
a.10.10.2 ระบบการตรวจสอบควบคุมการใช้
ขั้นตอนการใช้ข้อมูลเครื่องจะขึ้น
และผลลัพธ์ของการตรวจสอบกิจกรรมการตรวจสอบเป็นประจำ
a.10.10.3การบันทึกข้อมูล
เข้าควบคุมเครื่องและข้อมูลเข้าสู่ระบบจะได้รับการป้องกันต่อต้านการปลอมแปลงและ
การเข้าถึงไม่ได้รับอนุญาต ผู้บริหารและผู้ประกอบการ a.10.10.4 12
ระบบผู้ดูแลระบบการควบคุมบันทึกกิจกรรมและผู้ประกอบการระบบจะเข้าสู่ระบบ
a.10.10.5 ผิดบันทึกความผิดพลาดการควบคุม
จะเข้าสู่ระบบ , วิเคราะห์ , และเหมาะสมในการถ่าย
a.10.10.6ปรับนาฬิกา
นาฬิกาควบคุมของข้อมูลทั้งหมดที่เกี่ยวข้องการประมวลผลระบบภายในองค์กรหรือการรักษาความปลอดภัยจะต้องตรงกับโดเมน
ตกลงแหล่งเวลาที่ถูกต้อง .
a.10.1 วัตถุประสงค์ : เพื่อให้แน่ใจว่าถูกต้องและปลอดภัยการดำเนินงานของเครื่องการประมวลผลสารสนเทศ
a.10.1.1 เอกสารขั้นตอนการดำเนินงาน ควบคุม ขั้นตอนการดำเนินงาน จะได้รับเอกสาร เก็บรักษา และให้บริการแก่ผู้ใช้ทุกคน
ใครต้องการ
เปลี่ยน a.10.1.2 ควบคุมการจัดการการเปลี่ยนแปลงเครื่องประมวลผลสารสนเทศและระบบจะถูกควบคุม
a.10.1.3 การแบ่งแยกหน้าที่ควบคุม
หน้าที่ และพื้นที่รับผิดชอบจะถูกแยกเพื่อลดโอกาสในการปรับเปลี่ยนไม่ได้รับอนุญาต หรือเผลอ
หรือใช้ผิดประเภทของสินทรัพย์ขององค์กร
a.10.1.4 แยกการพัฒนา ทดสอบ และควบคุมการดำเนินงานเครื่อง
พัฒนาทดสอบเครื่องปฏิบัติการจะต้องแยกเพื่อลดความเสี่ยงของการเข้าถึงไม่ได้รับอนุญาตหรือการเปลี่ยนแปลง
ระบบ 8
a.10.2 บุคคลที่สามบริการการจัดการ
วัตถุประสงค์ : เพื่อใช้และรักษาที่เหมาะสมระดับของความปลอดภัยของข้อมูลและ
บริการจัดส่งในบรรทัดที่มีข้อตกลงการให้บริการของบุคคลที่สาม
บริการจัดส่ง a.10.2.1 ควบคุมจะมั่นใจได้ว่าการรักษาความปลอดภัยการควบคุมบริการคำนิยามและจัดส่งระดับ
รวมอยู่ในข้อตกลงการให้บริการของบุคคลที่สามใช้ดำเนินการและ
รักษาโดยบุคคลที่สาม
a.10.2.2 ติดตามและตรวจสอบบริการบุคคลที่สามควบคุม
บริการรายงานและบันทึกโดยบุคคลที่สามจะต้องหมั่นตรวจสอบ และทบทวน
,และการตรวจสอบจะต้องดำเนินการอย่างสม่ำเสมอ
a.10.2.3 การจัดการการเปลี่ยนแปลงการควบคุมการเปลี่ยนแปลง
บริการพรรคที่สาม การให้บริการ รวมทั้งการรักษาและปรับปรุงนโยบายการรักษาความปลอดภัยข้อมูลที่มีอยู่
, ขั้นตอนและการควบคุมจะถูกจัดการ จดบัญชี
ของวิกฤตของระบบธุรกิจ และกระบวนการที่เกี่ยวข้อง และประเมินกำลังของความเสี่ยง
A.10 .การวางแผนและการยอมรับ
วัตถุประสงค์ 3 ระบบ เพื่อลดความเสี่ยงของความล้มเหลวของระบบ
การจัดการควบคุมการใช้ทรัพยากรจะถูกตรวจสอบ , ปรับ a.10.3.1
ความจุและแผนการผลิตของความต้องการกำลังการผลิตในอนาคตเพื่อให้แน่ใจว่าระบบ
ที่ต้องการแสดง
a.10.3.2 ระบบการควบคุมการยอมรับเกณฑ์ใหม่ข้อมูลระบบการอัพเกรดและรุ่นใหม่จะ
ก่อตั้งและการทดสอบที่เหมาะสมของระบบ ( s ) ที่ดำเนินการในระหว่างการพัฒนาและการยอมรับก่อน
.
ป้องกัน a.10.4 ต่อต้านที่เป็นอันตรายและมือถือรหัส
วัตถุประสงค์ : เพื่อปกป้องความสมบูรณ์ของซอฟต์แวร์และข้อมูล
a.10.4.1 การควบคุมกับโค้ดอันตราย
การควบคุมป้องกันและกู้คืนการควบคุมป้องกันรหัสที่เป็นอันตรายและ
ขั้นตอนความตระหนักของผู้ใช้ที่เหมาะสมจะสามารถใช้ 9
a.10.4.2 การควบคุมต่อ
ควบคุมมือถือรหัสที่ใช้โทรศัพท์มือถือรหัสได้รับอนุญาต , การตั้งค่าจะให้แน่ใจว่า
อนุญาตมือถือรหัสดําเนินงานตามนโยบายไว้อย่างชัดเจน และจะป้องกันไม่ได้รับอนุญาต
รหัสมือถือจากการ .
a.10.5 กลับขึ้นวัตถุประสงค์ :เพื่อรักษาความสมบูรณ์และความพร้อมใช้งานของข้อมูลและเครื่องประมวลผลข้อมูล
a.10.5.1 ควบคุมการสำรองข้อมูลกลับขึ้นสำเนาของข้อมูลและซอฟต์แวร์จะถูกทดสอบอยู่เสมอ ตามตกลง
สำรองนโยบาย
a.10.6 : วัตถุประสงค์การจัดการความปลอดภัยเครือข่ายเพื่อให้แน่ใจว่าการป้องกันข้อมูลในเครือข่าย และการคุ้มครอง
สนับสนุนโครงสร้างพื้นฐาน
a.10.6.1 เครือข่ายการควบคุมเครือข่ายการควบคุม
จะเพียงพอจัดการและควบคุม เพื่อที่จะได้รับความคุ้มครองจาก
ภัยคุกคามและการรักษาความปลอดภัยสำหรับระบบและการประยุกต์ใช้เครือข่าย
รวมถึงข้อมูลในการขนส่ง a.10.6.2
บริการรักษาความปลอดภัยของเครือข่ายการควบคุมความปลอดภัย ระดับบริการและความต้องการการจัดการของการบริการทั้งหมดของเครือข่าย
จะระบุและรวมอยู่ในข้อตกลงการให้บริการเครือข่ายใด ๆ ไม่ว่าจะเป็น บริการเหล่านี้มีไว้ในบ้าน
หรือถูกต้อง
a.10.7 สื่อการจัดการวัตถุประสงค์ : เพื่อป้องกันการเปิดเผยข้อมูลไม่ได้รับอนุญาต , การปรับเปลี่ยน , การกำจัดหรือทำลาย
ทรัพย์สินและหยุดชะงักกิจกรรมทางธุรกิจ
a.10.7.1 การจัดการควบคุมสื่อแบบถอดได้ต้องมีกระบวนการในสถานที่สำหรับการจัดการของสื่อที่ถอดได้ 10 a.10.7.2
ขาย
สื่อการควบคุมสื่อจะถูกกำจัดทิ้งได้อย่างปลอดภัยและอย่างปลอดภัยเมื่อไม่ต้องใช้ขั้นตอนอย่างเป็นทางการ
a.10.7.3 ข้อมูลการจัดการกระบวนการควบคุมกระบวนการสำหรับการจัดการและการจัดเก็บข้อมูลจะถูกก่อตั้งขึ้นเพื่อปกป้องนี้
ข้อมูลจากการเปิดเผยข้อมูลไม่ได้รับอนุญาตหรือการใช้ผิดประเภท
a.10.7.4 รักษาความปลอดภัยระบบเอกสารควบคุมระบบเอกสารให้
จะป้องกันการเข้าถึงไม่ได้รับอนุญาต แลกเปลี่ยนข้อมูล
a.10.8 วัตถุประสงค์ : เพื่อรักษาความปลอดภัยของข้อมูลและซอฟต์แวร์แลกเปลี่ยนภายในองค์กรและหน่วยงานภายนอกด้วย
.
a.10.8.1 แลกเปลี่ยนข้อมูลนโยบายและขั้นตอนการควบคุม
อย่างเป็นทางการแลกเปลี่ยนนโยบาย ขั้นตอน และการควบคุมจะอยู่ในสถานที่ที่จะปกป้อง
แลกเปลี่ยนข้อมูลผ่านการใช้ทุกประเภทของเครื่องสื่อสาร
a.10.8.2 แลกเปลี่ยนข้อตกลงควบคุมข้อตกลงจะถูกจัดตั้งขึ้นเพื่อแลกเปลี่ยนข้อมูลและซอฟต์แวร์ระหว่าง
องค์กร และบุคคลภายนอก a.10.8.3
สื่อทางกายภาพในการควบคุมการขนส่งสื่อที่มีข้อมูลจะได้รับการคุ้มครองจากการเข้าถึงที่ไม่ได้รับอนุญาตในทางที่ผิดหรือเสียหายในระหว่างการขนส่งเกินขอบเขต
ทางกายภาพขององค์กร
a.10.8.4 ส่งข้อความอิเล็กทรอนิกส์ควบคุมข้อมูลที่เกี่ยวข้องในการส่งข้อความอิเล็กทรอนิกส์ จะได้รับการคุ้มครองอย่างเหมาะสม
a.10.8.5 ข้อมูลธุรกิจ ระบบ ควบคุมนโยบายและขั้นตอนจะถูกพัฒนาและนำมาใช้เพื่อปกป้องข้อมูล
ที่เกี่ยวข้องกับโทรศัพท์เคลื่อนที่ของระบบสารสนเทศทางธุรกิจ 11
a.10.9 พาณิชย์อิเล็กทรอนิกส์บริการวัตถุประสงค์ : เพื่อความปลอดภัยของบริการพาณิชย์อิเล็กทรอนิกส์ และการใช้
a.10.9.1 พาณิชย์อิเล็กทรอนิกส์ควบคุมข้อมูลที่เกี่ยวข้องกับพาณิชย์อิเล็กทรอนิกส์ผ่านเครือข่ายสาธารณะจะ
ป้องกันจากกิจกรรม ข้อพิพาทสัญญาลวง และไม่ได้รับอนุญาต การเปิดเผยข้อมูลและ
ดัดแปลง
a.10.9.2 บนบรรทัดรายการ
ข้อมูลที่เกี่ยวข้องในการทำธุรกรรมออนไลน์ การควบคุมจะต้องป้องกันเพื่อป้องกันไม่สมบูรณ์
ส่ง หรือรับข้อความเส้นทาง , การเปลี่ยนแปลง , การเปิดเผยข้อมูลไม่ได้รับอนุญาต
สำเนาข้อความที่ไม่ได้รับอนุญาตหรือ Replay
a.10.9.3 สาธารณชนควบคุมข้อมูล
ความสมบูรณ์ของข้อมูลการให้บริการในระบบที่มีอยู่ทั่วไปจะ
ป้องกันเพื่อป้องกันการไม่ได้รับอนุญาต
มีการ a.10.10 : ตรวจสอบกิจกรรมการประมวลผลข้อมูลที่ไม่ได้รับอนุญาต
a.10.10.1 ตรวจสอบการตรวจสอบควบคุม
บันทึกบันทึกกิจกรรมของผู้ใช้ข้อยกเว้น และเหตุการณ์การรักษาความปลอดภัยข้อมูลจะถูกเก็บไว้
ผลิต และระยะเวลาที่ตกลงกันเพื่อช่วยในการตรวจสอบและการตรวจสอบการควบคุมการเข้าถึงในอนาคต
a.10.10.2 ระบบการตรวจสอบควบคุมการใช้
ขั้นตอนการใช้ข้อมูลเครื่องจะขึ้น
และผลลัพธ์ของการตรวจสอบกิจกรรมการตรวจสอบเป็นประจำ
a.10.10.3การบันทึกข้อมูล
เข้าควบคุมเครื่องและข้อมูลเข้าสู่ระบบจะได้รับการป้องกันต่อต้านการปลอมแปลงและ
การเข้าถึงไม่ได้รับอนุญาต ผู้บริหารและผู้ประกอบการ a.10.10.4 12
ระบบผู้ดูแลระบบการควบคุมบันทึกกิจกรรมและผู้ประกอบการระบบจะเข้าสู่ระบบ
a.10.10.5 ผิดบันทึกความผิดพลาดการควบคุม
จะเข้าสู่ระบบ , วิเคราะห์ , และเหมาะสมในการถ่าย
a.10.10.6ปรับนาฬิกา
นาฬิกาควบคุมของข้อมูลทั้งหมดที่เกี่ยวข้องการประมวลผลระบบภายในองค์กรหรือการรักษาความปลอดภัยจะต้องตรงกับโดเมน
ตกลงแหล่งเวลาที่ถูกต้อง .
การแปล กรุณารอสักครู่..
ภาษาอื่น ๆ
การสนับสนุนเครื่องมือแปลภาษา: กรีก, กันนาดา, กาลิเชียน, คลิงออน, คอร์สิกา, คาซัค, คาตาลัน, คินยารวันดา, คีร์กิซ, คุชราต, จอร์เจีย, จีน, จีนดั้งเดิม, ชวา, ชิเชวา, ซามัว, ซีบัวโน, ซุนดา, ซูลู, ญี่ปุ่น, ดัตช์, ตรวจหาภาษา, ตุรกี, ทมิฬ, ทาจิก, ทาทาร์, นอร์เวย์, บอสเนีย, บัลแกเรีย, บาสก์, ปัญจาป, ฝรั่งเศส, พาชตู, ฟริเชียน, ฟินแลนด์, ฟิลิปปินส์, ภาษาอินโดนีเซี, มองโกเลีย, มัลทีส, มาซีโดเนีย, มาราฐี, มาลากาซี, มาลายาลัม, มาเลย์, ม้ง, ยิดดิช, ยูเครน, รัสเซีย, ละติน, ลักเซมเบิร์ก, ลัตเวีย, ลาว, ลิทัวเนีย, สวาฮิลี, สวีเดน, สิงหล, สินธี, สเปน, สโลวัก, สโลวีเนีย, อังกฤษ, อัมฮาริก, อาร์เซอร์ไบจัน, อาร์เมเนีย, อาหรับ, อิกโบ, อิตาลี, อุยกูร์, อุสเบกิสถาน, อูรดู, ฮังการี, ฮัวซา, ฮาวาย, ฮินดี, ฮีบรู, เกลิกสกอต, เกาหลี, เขมร, เคิร์ด, เช็ก, เซอร์เบียน, เซโซโท, เดนมาร์ก, เตลูกู, เติร์กเมน, เนปาล, เบงกอล, เบลารุส, เปอร์เซีย, เมารี, เมียนมา (พม่า), เยอรมัน, เวลส์, เวียดนาม, เอสเปอแรนโต, เอสโทเนีย, เฮติครีโอล, แอฟริกา, แอลเบเนีย, โคซา, โครเอเชีย, โชนา, โซมาลี, โปรตุเกส, โปแลนด์, โยรูบา, โรมาเนีย, โอเดีย (โอริยา), ไทย, ไอซ์แลนด์, ไอร์แลนด์, การแปลภาษา.
- For 3 identical components with A = 0.01
- I' m no money
- 飞舞
- เชียงใหม่
- ดอกโสน
- ค้างคาว
- if they
- My brother and I go to ABC Secondary Sch
- Commitment
- ซึ่งการที่มีรูปแบบลูกกวาดที่หลากหลายและช
- จัดงานวันเด็ก
- happen
- however, its apparently increased virule
- forexamplewithtwoshirtsandthreepairsofpa
- The soluble solid of banana juice (24° B
- enduring without complaint
- With that I went back to the shape they
- roll each strip between your plam into a
- พักผ่อนตามอัธยาศัย
- dare
- แต่น่าแปลก ที่ฉันกลับรู้สึกว่าอยากคุยกับ
- ผู้หญิงไทยบางคนไม่ดีทำให้คนหลายประเทศมอง
- ปริมาณน้ำที่เพิ่มขึ้นและอุณหภูมิที่สูงขึ
- ผลงาน
