Используя приведенную ниже таблицу, сопоставить термины второго столбца с определениями 4 столбца. Соответствующий номер термина (указан в первом столбце), указать в третьем столбце рядом с соответствующим определением.

Как отмечалось в 1-ой сессии, PDCA-цикл встроен в структуру системы менеджмента. Хотя эта связь между различными этапами PDCA не так заметна, как в первом издании ISO/IEC 27001, ее все же можно проследить и в текущей версии ISO/IEC 27001.

Теперь, когда мы освежили знания о структуре и содержании стандарта, ваша задача — просмотреть разделы ISO/IEC 27001 и распределить их по различным фазам PDCA-цикла.
Например, пункт 4.1. относится к этапу планирования, поскольку организация собирает информацию о себе для создания своей системы. Является ли это единственной ролью 4.1 или она применима и в другие периоды цикла, не связанные с первоначальным планированием системы. Если да, меняется ли ассоциация фаз? Представьте обоснование своего выбора.
Обратите внимание, что один раздел может иметь более одной ассоциированной фазы.
Раздел ISO/IEC 27001:2022 Выбор фазы PDCA и напишите Обоснование

4.1 Understanding the organization and its context
Понимание организации и её контекста
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

4.2 Understanding the needs and expectations of interested parties
Понимание потребностей и ожиданий заинтересованных сторон
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

4.3 Determining the scope of the information security management system
Определение области применения системы менеджмента информационной безопасности
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

4.4 Information security management system
Система менеджмента информационной безопасности
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

5.1 Leadership and commitment
Лидерство и приверженность
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

5.2 Policy
Политика
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

5.3 Organizational roles, responsibilities and authorities
Организационные обязанности, ответственность и полномочия
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

6.1 Actions to address risks and opportunities
Действия по работе с рисками и возможностями
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

6.2 Information security objectives and planning to achieve them
Цели в области информационной безопасности и планирование их выполнения
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

6.3 Planning of changes
Планирование изменений
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

7.1 Resources
Ресурсы
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

7.2 Competence
Компетентность
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

7.3 Awareness
Осведомлённость
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

7.4 Communication
Обмен информацией
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

7.5 Documented information
Документированная информация
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

8.1 Operational planning and control
Планирование и управление операциями
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

8.2 Information security risk assessment
Оценка рисков информационной безопасности
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

8.3 Information security risk treatment
Обработка рисков информационной безопасности
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

9.1 Monitoring, measurement, analysis and evaluation
Мониторинг, измерение, анализ и оценка
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

9.2 Internal audit
Внутренний аудит
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

9.3 Management review
Анализ со стороны руководства
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

10.1 Continual improvement
Непрерывное улучшение
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

10.2 Nonconformity and corrective action
Несоответствия и корректирующие действия
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

Annex A
Приложение А
☐ Plan (P)
☐ Do (D)
☐ Check (C)
☐ Act (A)

1. Организация (банк) не определила нормативные технические стандарты (RTS) строгой аутентификации клиентов (SCA) и безопасной связи в соответствии с PSD2 в рамках определения потребностей внешних заинтересованных сторон.
2. Организация не вела никаких записей или другой документированной информации относительно недавнего изменения своей системы контроля доступа.
3. Организация использует электронную почту как услугу, предоставляемую внешним поставщиком. Эта информация в системе не отражена.
4. Организация определила три цели информационной безопасности, но не установила никаких конкретных целевых показателей или мер.
5. Факторы, влияющие на требования заинтересованных сторон, таких как местные органы власти, не отслеживались и не анализировались.
6. Не предоставлено объективных свидетельств компетентности лица (лиц), выполняющих работу, связанную с системой менеджмента информационной безопасностью.
7. Действия по анализу со стороны руководства не выявили результатов оценки рисков и необходимости внесения изменений в систему менеджмента информационной безопасностью.
8. Документ Должностная инструкция для роли менеджера по информационной безопасности не несет никакой идентификации или контроля версий.
9. Организация не представила никаких свидетельств того, что она отслеживала или анализировала информацию, касающуюся внутренних и внешних факторов.
10. Организация не определила планы по достижению двух из трех целей информационной безопасности.
11. В организации не созданы планы обработки рисков для всех рисков, оцененных как неприемлемые (на основе критериев приемлемости риска).
12. Несмотря на то, что организация ведет «Реестр рисков компании», не было предоставлено свидетельств надлежащего мониторинга и оценки действий, предпринятых для устранения рисков, включенных в реестр.
13. Организация внедрила процедуры и меры по управлению криптографическими ключами, но соответствующий контроль А.8.24. исключен из Положения о применимости.
14. У компании не было плана или механизмов для определения или управления компетенциями.
15. В компании была высокая текучесть кадров и, как следствие, СМИБ содержала большое количество устаревших и утративших силу документов, а система внутреннего аудита отставала от графика на 4 месяца.
16. Политика информационной безопасности не была доведена до сведения заинтересованных лиц внутри организации.
17. Область применения системы менеджмента не принимает во внимание связи и зависимости между действиями, выполняемыми организацией, и действиями, выполняемыми другими организациями.
18. Программа внутреннего аудита не определяет частоту проведения внутреннего аудита.
19. Все внутренние аудиты, проводимые организацией, охватывают основные требования системы менеджмента, но не распространяются на проверку результативности применяемых средств контроля.
20. Не всегда определяются причины несоответствия
21. При необходимости расширения персонала организация использует внешнего подрядчика. Политика информационной безопасности и условия найма не доводятся до сведения персонала, привлеченного через подрядчика.
22. Программа внутреннего аудита включала большое количество так называемых «само-аудитов», когда сотрудники должны были периодически проверять себя.
23. Организация не реагирует на нарушения политики управления доступом.
24. Не было никаких упоминаний о непрерывном совершенствовании в Политике информационной безопасности.
25. В организации не сохранилось свидетельств обучения по информационной безопасности (в которых участвовал персонал).