14.11.11 Организационное обеспечение разработки частных политик безопасности

Цель занятия – рассмотреть особенности разработки частных политик безопасности по различным направлениям обеспечения информационной деятельности.

Политика информационной безопасности – формальное изложение правил поведения, процедур, практических приемов или руководящих принципов в области информационной безопасности, которыми руководствуется организация в своей деятельности. (ГОСТ 53114-2008)

Примечание. Политики должны содержать:

Предмет, основные цели и задачи политики безопасности.

Условия применения политики безопасности и возможные ограничения.

Описание позиций руководства организаций в отношении выполнения политик безопасности и организации режима информационной безопасности организации в целом.

Права и обязанности, а также степень ответственности сотрудников за выполнение политики безопасности организации.

Порядок действия в чрезвычайных ситуациях в случае нарушения политики безопасности.

Политика организации рабочего места

Шаблон этой политики включает в себя разделы:

Назначение и область действия;

Настоящая политика устанавливается для эффективной организации рабочего места в целях предотвращения:

Потери или повреждения средств обработки информации; Неавторизованного доступа; Кражи информации или средств информационных технологий; Компрометации информации; Нецелевого использования средств обработки информации.

Политика распространяется на всех работников фирмы и третьих лиц, использующих средства обработки информации корпоративной информационной системы, и является обязательной для исполнения.

Все исключения из настоящей политики должны быть согласованы со службой безопасности организации.

Основные требования. Организация нового рабочего места пользователя корпоративной информационной системы должна быть санкционирована руководителем данного исполнителя и согласована со службой информационной технологии и со службой информационной безопасности.

Учетная запись пользователя включается в группу пользователей данного локального компьютера. При этом назначение пользователю привилегий администратора в данном случае не допускается.

Средства обработки информации должны быть размещены таким образом, чтобы исключить возможность несанкционированного ознакомления посторонних лиц с обрабатываемой информацией.

Оборудование должно быть защищено от хищения, порчи, а также воздействий окружающей среды, способного привести к его повреждению или преждевременному выходу из строя.

Запрещается использовать на рабочем месте оборудование и программное обеспечение, не принадлежащее фирме или не предназначенное для выполнения пользователем своих функциональных обязанностей.

При оставлении даже на непродолжительное время своего рабочего места пользователь должен заблокировать доступ к своему компьютеру, и предпринять соответствующие меры по защите информации ограниченного доступа на физических носителях. Пользователь обязан регулярно менять свой пароль доступа к информационным ресурсам, принимая меры к обеспечению его надежности, сохранности и невозможности ознакомления с ним посторонних лиц. При передаче оборудования рабочего места в ремонт или при его замене вся содержащаяся на нем информация ограниченного доступа должна быть надлежащим образом уничтожена.

Ответственность

Ответственность за установку, настройку и администрирование средств обработки информации на рабочем месте пользователя возлагается на службу информационных технологий или иную службу.

Ответственность за соблюдение правил или политики организации рабочего места возлагается на всех работников фирмы и третьих лиц, использующих средства обработки информации.

Контроль выполнения политики организации рабочего места возлагается на службу информационной безопасности.

Провести анализ