ISO IEC 27040-2024 PDF

Полное наименование и описание

ISO/IEC 27040:2024 — Information technology — Security techniques — Storage security. Международный стандарт, дающий подробные технические требования и практические рекомендации по обеспечению безопасности хранилищ данных и связанных с ними устройств, сетей и медиумов на всём жизненном цикле (проектирование, эксплуатация, управление, утилизация).

Аннотация

Документ описывает методы минимизации рисков, связанные с хранением и переносом данных в ИКТ‑системах, охватывает безопасность устройств хранения и медиумов, управление их жизненным циклом, меры по обеспечению конфиденциальности, целостности и доступности данных, а также рекомендации по санкционированию доступа, шифрованию, управлению ключами, резервированию и санации носителей. Стандарт ориентирован на согласованный и воспроизводимый подход к проектированию и внедрению мер безопасности для инфраструктур хранения.

Общая информация

• Статус: Действующий международный стандарт.
• Дата публикации: 26 января 2024 г.
• Организация-издатель: ISO и IEC (ISO/IEC JTC 1/SC 27 — Information security, cybersecurity and privacy protection).
• ICS / категории: 35.030. (IT‑безопасность).
• Редакция / версия: Издание 2.0 (ISO/IEC 27040:2024).
• Количество страниц: 85.

Область применения

Стандарт применим к организациям и специалистам, участвующим в владении, эксплуатации, проектировании, закупках и использовании систем хранения данных — включая локальные массивы, сети хранения, виртуализованные хранилища, облачные сервисы, объектные хранилища и переносимые носители. ISO/IEC 27040 даёт рекомендации по защите данных как в состоянии покоя, так и при перемещении через каналы хранения, а также по организации управления жизненным циклом носителей и политик сохранения/удаления данных.

Ключевые темы и требования

• Подход, основанный на управлении рисками: оценка угроз и требований к защите данных в контексте значения и критичности данных.
• Принципы проектирования защищённых систем хранения: defense‑in‑depth, сегментация доменов безопасности, устойчивость и безопасная инициализация.
• Контрмеры по обеспечению конфиденциальности и целостности: шифрование данных, управление ключами, контроль доступа и аудит взаимодействий с хранилищем.
• Управление доступом и мониторинг: разграничение прав, аутентификация, журналирование и обнаружение аномалий в работе систем хранения.
• Резервирование, репликация и обеспечение непрерывности: политики бэкапа, восстановление после сбоев, планы восстановления при катастрофах.
• Санация и утилизация носителей (media sanitization): требования к удалению данных и проверке санации при выводе носителей из эксплуатации.
• Безопасность виртуализации и мультиарендности: рекомендации для облачных и виртуализированных окружений по изоляции данных и безопасному совместному использованию ресурсов.
• Соответствие и управление жизненным циклом: документирование, управление конфигурациями, соответствие нормативным требованиям и аудит.

Применение и пользователи

Целевая аудитория — информационные и безопасность‑менеджеры, архитекторы хранения, администраторы, закупщики систем хранения и поставщики услуг (включая облачных провайдеров), а также специалисты по комплаенсу и аудитору. Стандарт полезен при подготовке требований к закупкам, проектированию архитектуры хранения, создании процедур санации и политик резервного копирования.

Связанные стандарты

ISO/IEC 27040 дополняет и развивает рекомендации серии ISO/IEC 27000 (в частности ISO/IEC 27001 и 27002) применительно к аспектам хранения данных. В разработке и применении материалов использовались соответствующие отраслевые рекомендации (например, практики SNIA) и смежные технические комитеты по хранению данных. Стандарт также заменяет предыдущее издание ISO/IEC 27040:2015.

Ключевые слова

хранилище данных, безопасность хранения, санация носителей, шифрование, управление ключами, резервное копирование, отказоустойчивость, мультиарендность, виртуализация, политика жизненного цикла.

FAQ

В: Что это за стандарт?

О: Международный стандарт, описывающий требования и рекомендации по обеспечению безопасности систем хранения данных и связанных процессов в организациях.

В: Что он регулирует?

О: Рекомендации по проектированию и реализации мер защиты для устройств и сетей хранения, управление доступом, шифрование и управление ключами, резервные копии и восстановление, а также санацию и утилизацию носителей.

В: Кто обычно использует?

О: Администраторы хранилищ, архитекторы ИТ‑инфраструктуры, менеджеры по безопасности, поставщики систем хранения и облачных сервисов, специалисты по соответствию и аудиторы.

В: Он актуален или заменён?

О: Актуален — издание 2024 года (2‑я редакция) опубликовано 26 января 2024 г. и заменяет предыдущее издание 2015 года.

В: Это часть серии?

О: Да — это специализированный стандарт в рамках серии ISO/IEC 27000 (Security techniques), тесно связанный с ISO/IEC 27001 и ISO/IEC 27002 и работами технического комитета JTC 1/SC 27.

В: Какие ключевые слова?

О: безопасность хранения, storage security, санация, шифрование, управление ключами, резервное копирование, мультиарендность, виртуализация.