Eesti infoturbestandard Art. 7Infoturvameetmete rakendamise plaan

(1) Infoturvameetmete rakendamise plaan on organisatsioonikeskne struktureeritud ühest või mitmest dokumendist koosnev juhend turvameetmete haldamiseks.

(2) Infoturvameetmete rakendamise plaanis esitatakse asjakohased infoturbekataloogiga seotud meetmed. Riskihalduse põhjal lisatakse kõnealusesse rakendusplaani vajaduse korral lisameetmeid, mis on tarvilikud kaitsetarbe saavutamiseks.

(3) Infoturbekataloogi süsteemimoodulite meetmeid rakendatakse kõigile kaitseala varadele kooskõlas infoturbemeetmete rakendamise plaaniga.

(4) Infoturbekataloogi protsessimoodulite meetmed lõimitakse igapäevasesse töökorraldusse.

(5) Infoturbekataloogi meetmete rakendamise prioriteetide ja tähtaegade määramisel lähtutakse kaitsetarbest, varade omavahelisest sõltuvusest ja vara elutsükli etapist.

(6) Infoturvameetmete rakendamise plaanis võib ette näha infoturbekataloogi mooduli meetme asendamise muu samaväärse meetmega või meetme rakendamata jätmise, kui:

1) kaitsetarve on täidetud;

2) organisatsioon on riski aktsepteerinud.

(7) Meetme rakendamise tähtaeg ja tegevuste regulaarsus peab tagama kaitsetarbe saavutamise mõistliku aja jooksul. Kui meetme rakendamise tähtaeg ületab ühte aastat, tuleb seda käsitleda riskihalduses kui aktsepteeritud riski.

(8) Kui äriprotsess sõltub organisatsioonivälisest tarneahelast, hinnatakse sellega kaasnevaid riske.

(9) Organisatsioonivälise tarneahela kaitse vajaduse hindamiseks on organisatsioonil õigus nõuda väliselt osapoolelt kaitsetarvet tagavate turvameetmete rakendamist, sealhulgas seirearuandeid, asjakohase käsitlusalaga auditi järeldusotsuseid, turvasertifikaate, enesehindamise tulemusi või muud asjakohast teavet.

(10) Kui riski ei saa infoturvalisuse tagamise tõttu aktsepteerida, tuleb kaaluda alternatiivseid meetmeid või välise osapoole vahetust.