Читать онлайн «Политики безопасности компании при работе в Интернет». Страница 16

•  доведение: кто отвечает за доведение политики безопасности до сотрудников; каков процесс доведения;

•  процесс пересмотра и обновления: кто отвечает за пересмотр и обновление политики безопасности; что представляет собой процесс пересмотра; по каким причинам это происходит; периодичность пересмотра политики безопасности (например, ежегодно или при возникновении проблемы);

•  осуществление политики: кто отвечает за осуществление политики безопасности; как это выполняется;

•  мониторинг соответствия: как выполняется мониторинг соответствия политики безопасности требованиям бизнеса.

2.2.2. Пример политики безопасности

Основной целью настоящей политики безопасности является предоставление гарантий защиты информации на всех основных этапах жизненного цикла информационной системы компании. Политика безопасности применима ко всем компонентам информационной системы компании и содержит следующие разделы:

• Состав и структура информационных активов компании;

• Классификация и категорирование информационных активов;

• Определение владельцев информационных активов;

• Анализ угроз и информационных рисков;

• Выработка требований к защите конфиденциальной информации;

• Определение принципов, подходов и способов организации требуемого режима информационной безопасности;

• Создание требуемого режима информационной безопасности компании;

• Поддержка режима информационной безопасности компании.

Настоящая политика безопасности определяет общие цели и задачи компании по обеспечению информационной безопасности и управлению информационными рисками. Утверждается руководством компании и является обязательной для исполнения всеми сотрудниками, партнерами и клиентами компании. Вводная часть политики безопасности может быть описана следующим утверждением: «Доступ к конфиденциальной информации компании предоставляется только авторизованным сотрудникам и пользователям компании для выполнения своих служебных обязанностей».

Нарушение политики и ответственность

Нарушение настоящей политики безопасности может привести к тяжелым последствиям для компании, в частности к невозможности предоставлять услуги, поддерживать целостность, конфиденциальность и доступность данных и пр.

Преднамеренные действия сотрудников компании, которые привели к нарушению настоящей политики безопасности, влекут за собой дисциплинарные наказания. Преднамеренные или повторяющиеся нарушения политики безопасности, имеющие тяжелые последствия, могут быть приняты как основание к увольнению сотрудника или расторжению контракта, если нарушение произошло по вине клиента или вендора. Все сотрудники компании обязаны строго выполнять требования настоящей политики безопасности.

Область действия политики безопасности

Действие настоящей политики безопасности распространяется на:

•  сотрудников компании с полной и частичной занятостью, обладающих правами доступа к конфиденциальным ресурсам компании;

•  вендоров, обладающих правами доступа к конфиденциальным ресурсам компании;

•  клиентов и партнеров, обладающих правами доступа к конфиденциальным ресурсам компании.

Использование информации

Все сотрудники компании, обладающие правами доступа к конфиденциальной информации компании, должны ее обрабатывать в соответствии с требованиями настоящей политики безопасности. Для надлежащей защиты информации должны быть использованы механизмы идентификации, аутентификации и авторизации.

Каждый сотрудник, ответственный за сохранение конфиденциальной информации компании, должен обеспечить надлежащую маркировку информации и использовать рекомендуемые средства защиты информации.

Передача информации

Передача данных по сети компании осуществляется в соответствии с требованиями настоящей политики безопасности.

Хранение информации

Хранение данных в сети компании осуществляется в соответствии с требованиями настоящей политики безопасности.

Уничтожение носителей информации

Уничтожение носителей информации осуществляется в соответствии с процедурой отдела безопасности компании.

Утверждения политики безопасности

Цели

Цели создания этой политики:

• разработать и довести до сотрудников компании требования по защите конфиденциальной информации компании;

• гарантировать безопасность, целостность и доступность конфиденциальных данных компании;

• установить базовый уровень защиты информации в компании.

Состав и структура информационной системы

Обязанности по защите информации

К названным обязанностям относятся следующие:

• все организационные бизнес-единицы и структуры компании должны гарантировать, что их сотрудники действуют в соответствии с настоящей политикой безопасности;

• отделы сетевых операций и системного администрирования должны гарантировать, что ведутся и надежно хранятся журналы и аудиторские записи о предоставлении доступа к конфиденциальной информации компании;

• отделы безопасности информации, сетевых операций и системного администрирования должны гарантировать выполнение всех необходимых механизмов обеспечения безопасности;

• отдел управления рисками отвечает за корректную классификацию информации для выполнения требований безопасности;

• отдел внутреннего аудита отвечает за регулярные проверки правильности классификации информации и защищенности компонент информационной системы компании.

Другие обязанности

К другим обязанностям относятся следующие:

• все партнеры компании, вендоры, провайдеры и сторонние организации, которые участвуют в процессе обработки конфиденциальной информации компании, должны руководствоваться четко документированной политикой безопасности для сторонних организаций;

• все партнеры компании, вендоры, провайдеры и сторонние организации, которые имеют доступ к конфиденциальной информации компании, должны подписать соглашение об обязательном исполнении настоящей политики безопасности.

Документирование

Политика безопасности компании требует разработки, внедрения и исполнения процедур безопасности. Должна быть разработана документация по управлению пользовательскими идентификаторами на рабочих станциях, по управлению списками контроля доступа на рабочих местах компании, по сбору и анализу системных журналов и журналов приложений, ведения отчетности по реагированию на инциденты и пр.

Пересмотр политики

Обязанность по периодическому пересмотру политики безопасности возлагается на службу безопасности. В связи с быстрым изменением информационных технологий политика безопасности должна пересматриваться не реже одного раза в год. В группу по пересмотру политики безопасности компании должны входить высшее руководство компании, сотрудники службы безопасности, отдела системного администрирования и юридического отдела.