Risk Areas10.3 Absence or existence

Risk Areas
10.3 Absence or existence of a weak IT security policy in an organisation may
exclude the following basic principles of information security:
• Responsibility and accountability must be explicit
• Awareness of risks and security initiatives must be disseminated
• Security must be addressed taking into consideration both technological and
non technological issues
• Security must be coordinated and integrated
• Security must be reassessed periodically
• Ethics must be promoted by respecting the rights and interests of others
• Security must be cost effective
• Security procedures must provide for monitoring and timely response
Audit Procedure
10.4 There should be specific statements in an IT security policy indicating
minimum standards and compliance requirements for specific areas like (a) assets
classification, (b) data security, (c) personal security, (d) physical, logical and
environmental security, (e) communications security, (f) legal, regulatory and
contractual requirements, (g) business continuity planning, (h) security awareness and
training, (i) security breach detection and reporting requirements, (j) violation
enforcement provisions, etc.

ผลลัพธ์ (ไทย) 1:

พื้นที่เสี่ยง10.3 การขาดงานหรือนโยบายความปลอดภัยมันอ่อนแอในองค์การที่มีอยู่อาจแยกหลักความปลอดภัยของข้อมูลพื้นฐานดังต่อไปนี้:•รับผิดชอบต้องชัดเจน•ตระหนักถึงความเสี่ยงและแผนงานรักษาความปลอดภัยต้องสามารถเผยแพร่•ความปลอดภัยต้องได้รับการพิจารณาทั้งเทคโนโลยี และปัญหาไม่ใช่เทคโนโลยี•ความปลอดภัยต้องประสานงาน และบูรณาการ•ความปลอดภัยต้อง reassessed เป็นระยะ ๆ•จรรยาบรรณต้องส่งเสริม โดยการเคารพสิทธิและผลประโยชน์ของผู้อื่น•ความปลอดภัยต้องไม่แพง•ขั้นตอนการรักษาความปลอดภัยต้องให้ตอบสนองรวดเร็ว และตรวจสอบขั้นตอนการตรวจสอบ10.4 มีคำสั่งเฉพาะในการรักษาความปลอดภัยได้ระบุนโยบายมาตรฐานขั้นต่ำและปฏิบัติตามความต้องการเฉพาะเช่นสินทรัพย์ (a)การจัดประเภท, (b) ความปลอดภัยของข้อมูล ความปลอดภัยส่วนบุคคล (c) (d) จริง ตรรกศาสตร์ และสิ่งแวดล้อมความปลอดภัย รักษาความปลอดภัยการสื่อสาร (e) (f) ทาง กฎหมาย ข้อบังคับ และข้อกำหนดตามสัญญา ความต่อเนื่องธุรกิจ (g) การวางแผน การตระหนักถึงความปลอดภัย (h) และฝึกอบรม, (i) ตรวจสอบการละเมิดความปลอดภัยและการรายงานข้อกำหนด การละเมิด (เจ)บทบัญญัติการบังคับใช้ ฯลฯ

ผลลัพธ์ (ไทย) 2:

พื้นที่เสี่ยง
10.3 กรณีที่ไม่มีหรือการดำรงอยู่ของนโยบายการรักษาความปลอดภัยไอทีที่อ่อนแอในองค์กรอาจ
ไม่รวมหลักการพื้นฐานดังต่อไปนี้การรักษาความปลอดภัยข้อมูล:
•หน้าที่และความรับผิดชอบจะต้องเป็นอย่างชัดเจน
•การตระหนักถึงความเสี่ยงและความคิดริเริ่มการรักษาความปลอดภัยจะต้องมีการเผยแพร่
•การรักษาความปลอดภัยจะต้องได้รับการแก้ไขโดยคำนึงถึง ทั้งเทคโนโลยีและ
ประเด็นทางเทคโนโลยีไม่
•การรักษาความปลอดภัยจะต้องมีการประสานงานและบูรณาการ
การรักษาความปลอดภัย•ต้องได้รับการประเมินเป็นระยะ ๆ
•จริยธรรมต้องได้รับการเลื่อนตำแหน่งโดยเคารพสิทธิและผลประโยชน์ของผู้อื่น
•การรักษาความปลอดภัยจะต้องมีค่าใช้จ่ายที่มีประสิทธิภาพ
ขั้นตอนการรักษาความปลอดภัย•จะต้องจัดให้มีการตรวจสอบและการตอบสนอง
ขั้นตอนการตรวจสอบ
10.4 ควรจะมีงบที่ระบุในนโยบายการรักษาความปลอดภัยไอทีแสดงให้เห็น
มาตรฐานขั้นต่ำและการปฏิบัติตามข้อกำหนดสำหรับพื้นที่เฉพาะเช่น (ก) สินทรัพย์
จำแนก (ข) ความปลอดภัยของข้อมูล (ค) การรักษาความปลอดภัยส่วนบุคคล (ง) ทางกายภาพตรรกะและ
การรักษาความปลอดภัยด้านสิ่งแวดล้อม ( จ) การรักษาความปลอดภัยการสื่อสาร (ฉ) กฎหมายกฎระเบียบและ
ข้อกำหนดของสัญญา (ช) การวางแผนความต่อเนื่องทางธุรกิจ (ซ) ตระหนักถึงความปลอดภัยและ
การฝึกอบรม (i) การตรวจสอบการละเมิดความปลอดภัยและการรายงานความต้องการ (ญ) การละเมิด
บทบัญญัติบังคับใช้ ฯลฯ

ผลลัพธ์ (ไทย) 3:

พื้นที่เสี่ยง 10.3
หรือขาดอยู่ที่อ่อนแอมันนโยบายการรักษาความปลอดภัยในองค์กรอาจ
รวมต่อไปนี้หลักการพื้นฐานของการรักษาความปลอดภัยข้อมูล :
-
ความรับผิดชอบและความรับผิดชอบจะต้องชัดเจน - ความตระหนักในความเสี่ยงและความปลอดภัยริเริ่มต้องกระเจิง
บริการรักษาความปลอดภัยต้องให้พิจารณาทั้งทางเทคโนโลยีและ

ไม่ใช่เรื่องเทคโนโลยีรักษาความปลอดภัยบริการรักษาความปลอดภัยแบบบูรณาการจะต้องประสานงานและบริการเป็นระยะ ๆ
-
ต้อง reassessed จริยธรรมต้องเลื่อน โดยเคารพในสิทธิและผลประโยชน์ของผู้อื่น
-
ต้องรักษาความปลอดภัยต้นทุนที่มีประสิทธิภาพบริการจะต้องจัดให้มีการตรวจสอบความปลอดภัยและกระบวนการตรวจสอบการตอบสนองทันเวลา

10.4 ควรมีเฉพาะงบในการบ่งชี้
นโยบายมาตรฐานขั้นต่ำและการปฏิบัติตามข้อกำหนดสำหรับพื้นที่ที่เฉพาะเจาะจงเช่น ( ) การจัดประเภทสินทรัพย์
, ( ข ) การรักษาความปลอดภัยของข้อมูล ( C ) การรักษาความปลอดภัยส่วนบุคคล ( D ) ทางกายภาพและตรรกะ
ความปลอดภัยสิ่งแวดล้อม ( E ) การรักษาความปลอดภัยการสื่อสาร ( ฉ ) กฎหมาย กฎระเบียบและข้อกำหนดตามสัญญา
( g ) ( แผนความต่อเนื่องของธุรกิจ ความตระหนักและการฝึกอบรมความปลอดภัย H )
( i ) การรักษาความปลอดภัยตรวจจับการละเมิดและการรายงานความต้องการ( J ) การละเมิด
การบังคับใช้บทบัญญัติ ฯลฯ