내부 IT 정책 전체의 사본이 필요하지는 않지만, 이와 비슷한 결과를 겪을 수 있다고 생각합니다. 누군가가 계약서에 대한 충분한 정보를 제공하여 세부 정보를 얼마나 많이 제공하고 무엇을 제공해야하는지 결정해야합니다. 본인은 Joseph에 동의합니다. 법적 / 준수 이유로 정보가 필요한 경우 법적 의견이 필요합니다.
배경 정보
1) 귀하의 직원이 미국 이외의 지역에 있습니까?
2) 귀사는 정보 보안 정책을 공식화하고 문서화 했습니까?
3) 정보 및 데이터의 취급 및 분류가 정보 보안 정책에 포함됩니까?
4) 현재 운영하고있는 주에서 다루고있는 현저한 규제 문제가 있습니까? 그렇다면 설명하십시오.
일반 보안
1) 직원과 계약자를위한 정보 보안 인식 교육 프로그램이 있습니까?
2) 현재 시스템 및 응용 프로그램에 대한 액세스를 인증하고 권한을 부여하기 위해 다음 중 어떤 방법을 사용하고 있습니까?
- 운영 체제에서 수행
- 상용 제품으로 수행
- 싱글 사인온
- 클라이언트 측 디지털 인증서
- 다른 2 단계 인증
- 자란 가정
- 인증 메커니즘이 없습니다.
3) 직원, 계약자, 임시 직원, 공급 업체 및 비즈니스 파트너에 대한 액세스 권한을 누가 부여합니까?
4) 직원 (계약 업체, 임시 직원, 공급 업체 등)이 네트워크에 원격으로 액세스 할 수 있도록 허용합니까?
5) 정보 보안 사고 대응 계획이 있습니까? 그렇지 않은 경우 정보 보안 사고는 어떻게 처리됩니까?
6) 회사 외부로 전자 메일 메시지의 내부 또는 기밀 정보 처리를 다루는 정책이 있습니까?
7) 최소한 매년 정보 보안 정책 및 표준을 검토합니까?
8) 귀사의 보안 구역에 무단으로 액세스하는 것을 방지하기 위해 어떤 방법과 물리적 통제가 마련되어 있습니까?
- 잠긴 방에있는 네트워크 서버
- 보안 식별 (액세스 카드, 생체 인식 등)에 의해 제한되는 서버에 대한 물리적 액세스
- 비디오 모니터링
- 로그인 로그 및 절차
- 보안 구역에서 보안 배지 또는 ID 카드를 항상 볼 수 있습니다
- 경비원
- 없음
- 기타 추가 정보를 제공하십시오
9) 모든 환경에 대한 비밀번호 정책을 설명해주십시오. 즉. 길이, 강도 및 노화
10) 재해 복구 (DR) 계획이 있습니까? 그렇다면 얼마나 자주 테스트합니까?
11) BC (Business Continuity) 계획이 있습니까? 그렇다면 얼마나 자주 테스트합니까?
12) 요청이있을 경우, 시험 결과 사본 (BC 및 DR)을 제공 하시겠습니까?
아키텍처 및 시스템 검토
1) [회사]의 데이터 및 / 또는 애플리케이션이 전용 또는 공유 서버에 저장 및 / 또는 처리됩니까?
2) 공유 서버 인 경우 [회사]의 데이터는 다른 회사의 데이터와 어떻게 분할됩니까?
3) 어떤 유형의 회사 간 연결이 제공됩니까?
- 인터넷
- 개인 / 임대 회선 (예 : T1)
- 전화 접속
- VPN (가상 사설망)
- 터미널 서비스
- 없음
- 기타 추가 정보를 제공하십시오
4)이 네트워크 연결이 암호화됩니까? 그렇다면 어떤 암호화 방법을 사용합니까?
5) 솔루션을 사용하기 위해 필요한 클라이언트 측 코드 (ActiveX 또는 Java 코드 포함)가 있습니까? 그렇다면 설명하십시오.
6) 웹 서버에 대한 외부 네트워크 액세스를 제어하는 방화벽이 있습니까? 그렇지 않은 경우이 서버는 어디에 있습니까?
7) 네트워크에 애플리케이션에 대한 인터넷 액세스를위한 DMZ가 포함되어 있습니까? 그렇지 않은 경우, 이러한 응용 프로그램은 어디에 있습니까?
8) 귀하의 조직은 서비스 거부 중단을 방지하기위한 조치를 취합니까? 이 단계를 설명하십시오
9) 다음 정보 보안 검토 / 테스트 중 하나를 수행합니까?
- 내부 시스템 / 네트워크 스캔
- 내부적으로 관리되는 자체 평가 및 / 또는 실사 검토
- 내부 코드 검토 / 피어 검토
- 외부 타사 침투 테스트 / 연구
- 기타, 세부 정보를 제공하십시오.이 테스트는 얼마나 자주 수행됩니까?
10) 조직 내에서 다음 정보 보안 관행 중 적극적으로 사용되고있는 것은 무엇입니까?
- 액세스 제어 목록
- 디지털 인증서-서버 측
- 디지털 인증서-클라이언트 측
- 디지털 서명
- 네트워크 기반 침입 탐지 / 예방
- 호스트 기반 침입 탐지 / 방지
- 침입 탐지 / 예방 시그니처 파일에 대한 예약 업데이트
- 침입 모니터링 24x7
- 지속적인 바이러스 검사
- 바이러스 서명 파일에 대한 예약 업데이트
- 침투 연구 및 / 또는 테스트
- 없음
11) 운영 체제를 강화 또는 보안하기위한 표준이 있습니까?
12) 운영 체제에 업데이트 및 핫픽스를 적용 할 일정이 있습니까? 그렇지 않은 경우 패치 및 중요 업데이트를 적용 할시기와시기를 결정하는 방법을 알려주십시오.
13) 전원 또는 네트워크 장애로부터 보호하기 위해 주요 트랜잭션 시스템에 대해 완전히 이중화 된 시스템을 유지합니까?
웹 서버 (해당되는 경우)
1) 응용 프로그램 / 데이터에 액세스하는 데 사용되는 URL은 무엇입니까?
2) 웹 서버는 어떤 운영 체제입니까? (OS 이름, 버전 및 서비스 팩 또는 패치 수준을 제공하십시오.)
3) 웹 서버 소프트웨어 란 무엇입니까?
응용 프로그램 서버 (해당되는 경우)
1) 응용 프로그램 서버 (들)는 어떤 운영 체제입니까? (OS 이름, 버전 및 서비스 팩 또는 패치 수준을 제공하십시오.)
2) 응용 프로그램 서버 소프트웨어 란 무엇입니까?
3) 역할 기반 액세스 제어를 사용하고 있습니까? 그렇다면 액세스 수준은 어떻게 역할에 할당됩니까?
4) 적절한 권한 부여 및 직무 분리가 어떻게 이루어지고 있습니까?
5) 응용 프로그램이 다단계 사용자 액세스 / 보안을 사용합니까? 그렇다면 세부 정보를 제공하십시오.
6) 응용 프로그램의 활동이 타사 시스템이나 서비스에 의해 모니터링됩니까? 그렇다면 회사 및 서비스 이름과 모니터링 할 정보를 알려주십시오.
데이터베이스 서버 (해당되는 경우)
1) 데이터베이스 서버는 어떤 운영 체제입니까? (OS 이름, 버전 및 서비스 팩 또는 패치 수준을 제공하십시오.)
2) 어떤 데이터베이스 서버 소프트웨어를 사용하고 있습니까?
3) DB가 복제 되었습니까?
4) DB 서버가 클러스터의 일부입니까?
5) [회사]의 데이터를 다른 회사와 분리하기 위해 무엇을합니까?
6) [회사]의 데이터는 디스크에 저장 될 때 암호화됩니까? 그렇다면 암호화 방법을 설명하십시오
7) 소스 데이터는 어떻게 캡처됩니까?
8) 데이터 무결성 오류는 어떻게 처리됩니까?
감사 및 로깅
1) 다음에 고객 액세스를 기록합니까?
- 웹 서버?
- 응용 프로그램 서버?
- 데이터베이스 서버?
2) 로그를 검토합니까? 그렇다면 절차를 설명하고 얼마나 자주 검토합니까?
3) 감사 로그 및 트랜잭션 로그를 유지 관리하고 모니터링하기위한 시스템과 리소스를 제공합니까? 그렇다면 어떤 로그를 보관하고 얼마나 오래 보관합니까?
4) [회사]가 회사와 관련된 시스템 로그를 검토하도록 허용 하시겠습니까?
은둔
1) 더 이상 필요하지 않을 때 [회사]의 데이터 분류 해제 / 삭제 / 삭제에 사용되는 프로세스 및 절차는 무엇입니까?
2) 고객 정보가 잘못되었거나 실수로 공개 된 적이 있습니까?
그렇다면, 어떤 시정 조치를 시행 한 이후입니까?
3) 계약자 (직원이 아닌 사람)는 민감한 정보 나 기밀 정보에 액세스 할 수 있습니까? 그렇다면 비밀 유지 계약에 서명 했습니까?
4) 네트워크, 시스템 또는 응용 프로그램에 액세스하고 유지 관리 할 수있는 공급 업체가 있습니까? 그렇다면, 이러한 공급 업체는 기밀 유지, 신원 확인 및 손실에 대한 보험 / 보상을 제공하는 서면 계약을 체결하고 있습니까?
5) 귀하의 데이터는 어떻게 분류되고 보호됩니까?
운영
1) 백업 빈도와 수준은 무엇입니까?
2) 백업의 온 사이트 보존 기간은 얼마입니까?
3) 백업은 어떤 형식으로 저장됩니까?
4) 오프 사이트에 백업을 저장합니까? 그렇다면 보존 기간은 얼마입니까?
5) 데이터 백업을 암호화합니까?
6) 유효한 프로덕션 프로그램 만 실행되도록하려면 어떻게해야합니까?