Политика управления
Разработка и поддержание политик и процедур в области управления кибербезопасностью.
Тема Политика управления определена результатами NIST CSF 2.0: GV.PO-01 (Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced); GV.PO-02 (Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission). Соответствия Сопоставлено по опубликованной таблице соответствия в ISO 27001, PCI DSS, 800-53, HIPAA и NIS2. Редакционные материалы Сопоставлено редакторски в SOC 2, GDPR, DORA и CPS 234. Нет сопоставления в наших данных В наших данных нет сопоставления для CIS v8.1, CMMC, Essential Eight и Cyber Essentials.
| Стандарт | Требование | Название | Связь | Источник / основание |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.PO-01GV.PO-02 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced; Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | Определение темы | GV.PO-01 GV.PO-02 |
| ISO 27001 | A.5.1A.5.37Clause 5.2 | Policies for information security; Documented operating procedures; Policy | Соответствия | A.5.1: via GV.PO-01; GV.PO-02; NIST 800-53 map: PL-1, PM-1 A.5.37: via GV.PO-01; NIST 800-53 map: PL-1 Clause 5.2: via GV.PO-01; GV.PO-02; NIST 800-53 map: PL-1, PM-1 |
| CIS v8.1 | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование CIS v8.1 не сопоставлено с этой темой. |
| SOC 2 | CC5.3CC1.1 | Control activities deployed through policies and procedures; Commitment to integrity and ethical values | Редакционные материалы | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.1.112.1.2 | Information security policy established and published; Security policy reviewed at least annually | Соответствия | 12.1.1: via GV.PO-01 12.1.2: via GV.PO-01; GV.PO-02 |
| CMMC | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование CMMC не сопоставлено с этой темой. |
| 800-53 | PM-1PL-1 | Information Security Program Plan; Policy and Procedures | Соответствия | PM-1: via GV.PO-01; GV.PO-02 PL-1: via GV.PO-01; GV.PO-02 |
| HIPAA | §164.316(a)§164.316(b)(2)(iii) | Policies and Procedures; Updates | Соответствия | §164.316(a): via NIST HIPAA map: PL-1 §164.316(b)(2)(iii): via NIST HIPAA map: PL-1, PM-1 |
| GDPR | Art.24(2) | Responsibility of the controller | Редакционные материалы | Art.24(2): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 1.1 | Policy on the security of network and information systems | Соответствия | 1.1: via GV.PO-01; GV.PO-02; ENISA ISO map: Clause 5.2, A.5.1 |
| Essential Eight | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование Essential Eight не сопоставлено с этой темой. |
| DORA | Art.5(2)(b)Art.9(4)(a)Art.6(5) | Governance and organisation; Protection and prevention; ICT risk management framework | Редакционные материалы | Art.5(2)(b): The management body puts in place policies for the availability, authenticity, integrity and confidentiality of data. Art.9(4)(a): Develop and document an information security policy. Art.6(5): The ICT risk management framework is documented and reviewed at least once a year. |
| CPS 234 | Para 18Para 19 | Maintain an information security policy framework; Policies direct everyone with security obligations | Редакционные материалы | Para 18: Maintain an information security policy framework commensurate with exposures to vulnerabilities and threats. Para 19: The policy framework directs everyone with an obligation to maintain information security. |
| Cyber Essentials | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование Cyber Essentials не сопоставлено с этой темой. |
Определение темы Результаты CSF 2.0, определяющие эту тему · Соответствия как минимум один выбор, подтверждённый опубликованной таблицей соответствий · Редакционные материалы Суждение ControlMapping с указанием причины · не сопоставлено, есть только общие результаты CSF по этой теме · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Методология.
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
Ошибочное или отсутствующее сопоставление? Сообщить
О теме «Политика управления»
Политики управления кибербезопасностью составляют основу программы безопасности организации: они определяют правила, стандарты и ожидания в отношении того, как управляются риски кибербезопасности. Эффективное управление предполагает установление чёткой ответственности, определение политик допустимого использования и создание механизма принятия решений, который согласует цели безопасности с бизнес-задачами. Стандарты предписывают пересматривать политики регулярно и после существенных изменений; например, PCI DSS требует ежегодного пересмотра политики безопасности (12.1.2).