5. Standart tuzilish Ushbu standartning tuzilishi quyidagi bo’limlardan iborat:
- Tarmoq xavfsizligini loyihalashtirishga tayorlanish:
1) kirish;
2) aktivlarni identifiqatsiyalash;
3) talablar ro’yxati;
4) ko’rib chiqishga qo’yilgan talablar;
5) mavjud loyihalarni ko’rib chiqish va amalga oshirish;
- Tarmoq xavfsizligini loyihalashtirish:
1) kirish;
2) loyihalashtirish prinsiplari;
3) loyihani tastiqlash;
- Amalga oshirish:
1) kirish;
2) tarmoq komponentlarin tanlash kriteriyalari;
3) maxsulot yoki etkazib beruvchilarni tanlash kriteriyalari;
4) tarmoqni boshqarish;
5) insidentlarni qayt etish, monitoring qilish va ta’sir etish;
6) rasmiylashtirish;
7) test o’tkazish rejalari va testlashni o’tkazish;
8) tasdiqlash;
- O’z DSt ISO/IEC 27002 va ushbu standart bo’limlari o’rtasidagi tarmoq xavfsizligi bilan bog’liq bo’shqarish vositalarini ifodalovchi to’qnash xavolalarini o’zida mujassam etgan ilova A.
6. Tarmoq xavfsizligini loyihalashtirishga tayorlash 6.1 Umumiy 6-bandda ISO/IEC 27035-1 O‘z DSt (5.2 c) mazmuni batafsil bayon etilgan.
Axborot xavfsizligi hodisalarini boshqarish rejasining maqsadi axborot xavfsizligi hodisalari, hodisalari va zaifliklari va ularning o'zaro ta'sirini ko'rib chiqish bo'yicha faoliyat va tartiblarni hujjatlashtirishdir. Ushbu reja axborot xavfsizligi hodisalarini boshqarish siyosatiga asoslanadi.
Umuman olganda, reja hujjatlari turli hujjatlarni, jumladan, shakllar, tartib-qoidalar, tashkiliy elementlarni hamda aniqlash va hisobot berish, baholash va qarorlar qabul qilish, javob choralarini ko‘rish va axborot xavfsizligi hodisalarini o‘rganish uchun yordamchi vositalarni o‘z ichiga olishi kerak.
Ushbu reja tuzilma va rejaning turli batafsil tarkibiy qismlariga ko'rsatma berish uchun hodisalarni boshqarish bo'yicha asosiy tadbirlarning batafsil rejasini o'z ichiga olishi mumkin. Ushbu komponentlar hodisa bilan shug'ullanuvchilar uchun ma'lum vositalardan foydalanish, ma'lum ish jarayonlarini kuzatish yoki kerak bo'lganda muayyan turdagi hodisalarni hal qilish usuliga rioya qilish uchun bosqichma-bosqich ko'rsatmalar beradi.
Axborot xavfsizligi hodisasini boshqarish rejasi har safar axborot xavfsizligi hodisasi aniqlanganda yoki axborot xavfsizligi zaifligi haqida xabar berilganda kuchga
Tashkilot rejadan quyidagi maqsadlarda foydalanishi kerak:
a) axborot xavfsizligi hodisalariga javob berish;
b) axborot xavfsizligi hodisalari intsidentlarga aylanganligini aniqlash;
c) axborot xavfsizligi intsidentlarini bartaraf etilgunga qadar boshqarish;
d) axborot xavfsizligi zaifliklariga javob berish;
e) hisobot berish talablari;
f) hodisani boshqarish jarayonida axborotni saqlash talablari (shu jumladan uning formati);
g) ichki va tashqi guruhlar yoki tashkilotlar bilan ma'lumot almashish mumkin bo'lgan qoidalar va holatlar;
h) reja va/yoki umumiy xavfsizlik nuqtai nazaridan olingan saboqlarni va zaruriy yaxshilanishlarni aniqlash;
i) belgilangan yaxshilanishlarni amalga oshirish.
Voqealarga javob berish rejasini rejalashtirish va tayyorlash jarayon egasi tomonidan axborot xavfsizligi intsidentlarini boshqarish siyosati asosida aniq maqsad yoki belgilangan doiradagi hodisalarga javob berish uchun maqsadlar to'plamiga ega bo'lishi kerak.
Ushbu xalqaro standart axborot xavfsizligi hodisalarini boshqarish siyosatini ishlab chiqishni tavsiya qiladi. Biroq, yo'l-yo'riq ko'rsatuvchi siyosat, standart yoki boshqa me'yoriy hujjat mavjud bo'lmagan hollarda, hodisalarni boshqarishni rejalashtirish jarayoni samarali faoliyat, aloqa va tashqi tashkilotlar bilan aloqalarni ta'minlash uchun barcha tomonlarning konsensusiga asoslanishi kerak.
IRT a'zolari va hamkor tashkilotlar o'rtasida atamalar va ta'riflar muvofiqlashtirilishi kerak. Bunga tashkilotlar va guruhlarning nomlari va identifikatorlari, axborot aktivlari, biznes jarayonlari va boshqalar kiradi. Agar terminologiya qiyin bo'lsa yoki noto'g'ri talqin qilinsa, hodisani boshqarish rejasi lug'atda standart atamalar va ta'riflarni o'z ichiga olishi kerak.
Tashqi IRT va hodisalarga javob berish bo'yicha boshqa tashkilotlar bilan rollar va munosabatlar, shuningdek, javob berish faoliyatining tuzilishi va ko'lami hodisani boshqarish jarayonining egasi tomonidan belgilanishi kerak. Ishtirok etgan tomonlarning mas'uliyati bir-biriga mos kelishi mumkin va hodisani boshqarishni rejalashtirish jarayonida konsensus asosida tuzatilishi kerak. Agar voqea bo'yicha qaror qabul qilish chegaralari mos keladigan bo'lsa, rejada aniq mas'ul shaxs ko'rsatilishi kerak.
Manfaatdor tomonlar va tashqi IRTlar ko'pincha turli raqamlarga ega. Rejalashtiruvchilar o'zlarining tegishli tomonlari yoki tashqi tashkilotlari tomonidan taqdim etilgan mavjud ballarni baholashlari va mavjud ballarning belgilangan to'plami bo'yicha konsensusga rozi bo'lishlari yoki bir-biriga mos kelmaslik usulidan foydalangan holda turli xil ballarni bog'lashga rozi bo'lishlari kerak. Yondashuvdan qat'i nazar, reja miqdoriy ko'rsatkichlarni tanlash yoki bog'lashi kerak, shunda ularning qamrovi bir xil bo'lishi va sifat ko'rsatkichlarini belgilangan tenglik bilan tanlashi yoki bog'lashi kerak.
