4.3.3 Контроль записів

Записи повинні створюватися і зберігатися для того, щоб забезпечити підтвердження відповідності вимогам і ефективне функціонування СМІБ. Запису необхідно захищати і перевіряти. СМІБ повинна враховувати будь-які юридичні і регулятивні вимоги і договірні зобов'язання. Записи мають бути зрозумілі, легко ідентіфіцируєми і відновлені. Засоби управління, необхідні для ідентифікації, зберігання, захисту, відновлення, тривалості зберігання і знищення записів, мають бути документально затверджені і введені в дію. У записі необхідно включати інформацію про проведення заходів, описаних в 4.2, і про всі випадки і значимі для безпеки інциденти, що відносяться до СМІБ.

ПРИКЛАД

Прикладами записів є гостьова книга, протоколи аудиту і заповнені форми авторизації доступу.

Дев’ятий етап. Навчання персоналу

22. Навчання керівників підрозділів вимогам іб

Вимоги ІБ для керівництва згідно зі стандартом ІТ-Гріншудтц:

• Висока надійність для дій, і управління інформацією особливо (доступність, цілісність, конфіденційність);

• Гарантія хорошої репутації організації в очах громадськості;

• Збереження цінності інвестицій в технологію, інформацію, робочий процес і знання;

• Захист дуже коштовної і можливо невідновної обробленої інформації;

• Захист якості інформації, напр., де вона зберігається як основа для більшості рішень;

• Задоволення вимог, витікаючих з норм закону;

• Зменшення витрат, які виникають, якщо трапляється порушення безпеки (включаючи уникнення і запобігання пошкодженням);

• Гарантія безперервності робочого процесу в організації.

Необхідно провести ознайомлення керівництва з основними вимогами ІБ і на основі цих вимог скласти Політику безпеки компанії.

22. Навчання всього персоналу вимогам іб

Вимоги до ІБ для керівництва і для загального персоналу дещо відрізняються. Навчання персоналу вимогам ІБ здійснюються згідно з «Посібником з інформаційної безпеки», який було розроблено на Шостому етапі впровадження СМІБ. Пункт 15. Розробити посібник з інформаційної безпеки.

Десятий етап. Розробка і впровадження заходів по забезпеченню роботи СМІБ

22. Впровадження засобів захисту

- адміністративних

-навчальних

- технічних

Адміністративні засоби захисту – впровадження системи реєстрації працівників компанії, проведення планових і позапланових перевірок рівня кваліфікації працівників компанії, проведення перевірки технічного оснащення фірми, помісячна звітність директору компанії керівників усіх відділів, і письмова підзвітність керівництву в обов’язковому порядку, встановлення режиму доступу до архівних документів та електронних носіїв інформації.

Навчальні засоби захисту – проведення навчання персоналу з користування програмним і апаратним забезпеченням компанії, ознайомлення персоналу з основними вимогами інформаційної безпеки та вимогами по роботі і впровадженню СМІБ, ознайомлення персоналу з правилами техніки безпеки, інструкціями роботи з технікою та документами.

Технічні засоби захисту – сукупність технічниз засобів по забезпеченню захисту конфіденційної інформації. Технічні засоби захисту включають:

Фізичні засоби захисту – охоронні та охоронно-пожежні системи, засоби фізичного захисту.

Апаратні засоби захисту – джерела безперебійного живлення апаратури, а також: пристрої стабілізації, що оберігають від стрибкоподібних пере­ падів напруги і пікових навантажень у мережі електроживлення; пристрої екранування апаратури, ліній зв 'язку та приміщень, в яких знаходиться комп 'ютерна техніка; пристрої ідентифікації і фіксації терміналів і користувачів при спробах несанкціонованого доступу до комп 'ютерної мережі; засоби захисту портів комп 'ютерної техніки тощо.

Програмні засоби захисту – програми для захисту від несанкціонованого доступу, програми для захисту інформації від копіювання, програмні засоби для захисту інформації від вірусів.