Организация и технология защиты конфиденциальной информации в информационных системах. Методическое пособие для студентов - страница 8

5) План устранения недостатков и реализации рекомендаций информационного обследования.

Контрольные информационные обследования проводятся по планам Управления по защите информации и вне планов в случаях:

– реорганизации подразделений;

– крупных изменений в системе делопроизводства, составе оборудования и программного обеспечения;

– перемещений подразделений в другие помещения.

2.4. Категорирование

Категорирование – это специальная классификация различных объектов, имеющих отношение к информационной системе ХХХХ, по признаку конфиденциальности используемой информации и, соответственно, требуемого уровня ее защиты. В ходе категорирования все объекты разбиваются на группы (категории), для каждой из которых разрабатывается собственный уникальный комплекс мер защиты.

Категорированию подвергаются:

– используемая информация;

– средства;

– помещения;

– сотрудники подразделений.

Категорирование производится в ходе первичного информационного обследования и уточняется при контрольных обследованиях. Настоящей Инструкцией вводятся следующие категории объектов информационной системы:

2.5. Документирование

Основной формой документа в системе информационной безопасности является двусторонний Акт, который составляется и подписывается сотрудниками подразделения, в котором проводится мероприятие, с одной стороны, и сотрудниками Управления по защите информации с другой стороны. Акт утверждается начальником этого подразделения и начальником Управления по защите информации. К Акту прилагаются необходимые в каждом конкретном случае документы: протоколы, справки, схемы и т.д., исполненные в произвольной форме.

По решению Члена Правления – Директора по безопасности и защите информации Акты могут докладываться для ознакомления и принятия решения Правлению ХХХХ.

В обязательном порядке составляются Акты в следующих случаях:

– при проведении первичного и контрольных информационных обследований;

– при проведении проверок состояния информационной безопасности Управлением по защите информации;

– при предоставлении или изменении прав доступа к информации, средствам информатизации и сотрудникам;

– при выявлении нарушений информационной безопасности и их устранении.

2.6. Обучение персонала

Сотрудники ХХХХ (администратор сети, сотрудники Управления по защите информации), непосредственно принимающие участие в обеспечении информационной безопасности, могут направляться на специальное обучение. Остальные сотрудники ХХХХ проходят инструктаж.

3.1. Общие положения

Обеспечение информационной безопасности включает комплекс повседневно проводимых мероприятий, а именно:

– допуск (предоставление прав доступа) к информации, средствам информатизации и в помещения;

– доступ к информации, средствам информатизации и в помещения в соответствии с предоставленными правами;

– содержание средств информатизации;

– обеспечение безопасности информации;

– использование средств защиты информации;

– контроль состояния информационной безопасности;

– действия в случае выявления нарушений информационной безопасности;

– инструктаж по информационной безопасности.

3.2. Допуск

Допуск – это комплекс мероприятий, проводимых с целью предоставления прав доступа сотрудникам ХХХХ, представителям сторонних организаций и посетителям в помещения, к средствам информатизации и к информации ХХХХ.

Допуск заключается в предоставлении соответствующих прав доступа и документальном закреплении их за конкретным лицом, которому они предоставляются.