14.2. Перечень вопросов зи, требующих документационного закрепления

На основе концепции защиты информации (концепции без­опасности предприятия), законодательства и иных нормативных документов в информационной области с учетом уставных поло­жений и специфики деятельности предприятия определяется и

разрабатывается комплект внутренних нормативных и мето­дических документов, как правило, включающий:

• перечни сведений, подлежащих защите на предприятии;

• документы, регламентирующие порядок обращения сотруд­ников предприятия с информацией, подлежащей защите;

• положения об управлениях и отделах (разделы по ЗИ);

• документы по предотвращению несанкционированного до­ступа к информационным ресурсам и АС;

• документы, регламентирующие порядок взаимодействия пред­приятия со сторонними организациями по вопросам, связанным с обменом информацией;

• документы, регламентирующие пропускной и внутриобъек-товый режим;

• документы, регламентирующие порядок эксплуатации авто­матизированных систем предприятия;

• документы, регламентирующие действия должностных лиц и персонала предприятия в условиях чрезвычайных ситуаций, обес­печения бесперебойной работы и восстановления;

• планы защиты автоматизированных систем предприятия;

• документы, регламентирующие порядок разработки, испыта­ния и сдачи в эксплуатацию программных средств;

• документы, регламентирующие порядок закупки программных и аппаратных средств (в т.ч. средств зашиты информации);

• документы, регламентирующие порядок эксплуатации техни­ческих средств связи и телекоммуникации.

«Инструкция по обеспечению защиты информации от не­санкционированного доступа» содержит:

• определение целей, задач защиты информации в АС и основ­ных путей их достижения (решения);

• требования по организации и проведению работ по защите информации в АС;

• описание применяемых мер и средств защиты информации от рассматриваемых угроз, общих требований к настройкам при­меняемых средств защиты информации от НСД;

• распределение ответственности за реализацию «Инструкции...» между должностными лицами и структурными подразделениями организации.

«Положение о категорировании ресурсов АС» содержит:

• формулировку целей введения классификации ресурсов (АРМ, задач, информации, каналов передачи) по степеням (категориям) защищенности;

• предложения по числу и названиям категорий защищаемых ресурсов и критериям классификации ресурсов по требуемым сте­пеням защищенности (категориям);

• определение мер и средств защиты информации, обязательных и рекомендуемых к применению на АРМ различных категорий;

• образец формуляра ЭВМ (для учета требуемой степени защи­щенности (категории), комплектации, конфигурации и перечня решаемых на ЭВМ задач);

• образец формуляра решаемых на ЭВМ АС функциональных задач (для учета их характеристик, категорий пользователей задач и их прав доступа к информационным ресурсам данных задач).

«Порядок обращения с информацией, подлежащей защите», содержит:

• определение основных видов защищаемых сведений (инфор­мационных ресурсов);

• общие вопросы организации учета, хранения и уничтожения документов и магнитных носителей ИОД;

• порядок передачи (предоставления) ИОД третьим лицам;

• определение ответственности за нарушение установленных правил обращения с защищаемой информацией;

• форму типового «Соглашения (обязательства) сотрудника орга­низации о соблюдении требований обращения с защищаемой информацией».

«План обеспечения непрерывной работы и восстановления» включает:

• общие положения (назначение документа);

• классификацию возможных (значимых) кризисных ситуаций и указание источников получения информации о возникновении кризисной ситуации;

• перечень основных мер и средств обеспечения непрерывно­сти процесса функционирования АС и своевременности восста­новления ее работоспособности;

• общие требования к подсистеме обеспечения непрерывной работы и восстановления;

• типовые формы для планирования резервирования ресурсов подсистем АС и определения конкретных мер и средств обеспече­ния их непрерывной работы и восстановления;

• порядок действий и обязанности персонала по обеспечению непрерывной работы и восстановлению работоспособности си­стемы.

«Положение об отделе технической защиты информации» содержит:

• общие положения, руководство отделом;

• основные задачи и функции отдела;

• права и обязанности начальника и сотрудников отдела, от­ветственность;

• организационно-штатную структуру отдела.

« Обязанности администратора информационной безопасно­сти подразделения» содержат:

• основные права и обязанности по поддержанию требуемого режима безопасности;

• ответственность за реализацию принятой политики безопас­ности в пределах своей компетенции.

«Памятка пользователю АС предприятия» определяет об­щие обязанности сотрудников подразделений при работе со сред­ствами АС и ответственность за нарушение установленных по­рядков.

«Инструкция по внесению изменений в списки пользовате­лей» определяет процедуру регистрации, предоставления или из­менения прав доступа пользователей к ресурсам АС.

«Инструкция по модификации технических и программных средств» регламентирует взаимодействие подразделений предпри­ятия по обеспечению безопасности информации при проведении модификаций программного обеспечения и технического обслу­живания средств вычислительной техники;

«Инструкция по организации парольной защиты» регламен­тирует организационно-техническое обеспечение процессов ге­нерации, смены и прекращения действия паролей (удаления учет­ных записей пользователей) в автоматизированной системе пред­приятия, а также контроль за действиями пользователей и обслу­живающего персонала системы при работе с паролями.

«Инструкция по организации антивирусной защиты» содер­жит:

• требования к закупке, установке антивирусного программно­го обеспечения;

• порядок использования средств антивирусной защиты, рег­ламенты проведения проверок и действия персонала при обнару­жении вирусов;

• распределение ответственности за организацию и проведение антивирусного контроля.

Перечень внутренних организационно-распорядительных до­кументов для объекта ВТ:

• техническое задание на СЗИ объекта информатизации;

• технический паспорт объекта вычислительной техники;

• схема размещения основных и вспомогательных средств и систем, устройств защиты и схема прокладки систем электропи­тания и заземления объекта информатизации в помещении;

• схема контролируемой зоны предприятия;

• инструкция по защите сведений, отнесенных к государствен­ной тайне, при обработке на средствах ВТ;

• приказ «Об организации обработки информации, содержа­щей ГТ, на объекте ВТ»;

• перечень лиц, которым разрешен доступ к обработке инфор­мации на АРМ;

• инструкция пользователя СВТ;

• положение об администраторе безопасности;

• положение о пропускном и внутриобъектовом режиме;

301

• руководство по защите информации;

• технологическая схема обработки ИОД на АРМ;

• перечень задач, выполняемых на АРМ;

• паспорта задач, выполняемых на АРМ;

• акт категорирования объекта ВТ;

. заключение и предписание на эксплуатацию ПЭВМ по ре­зультатам проведения спецпроверки;

• протокол специальных исследований АРМ на базе ПЭВМ;

• заключение по результатам оценки защищенности объек­та ВТ;

• предписание на эксплуатацию объекта ВТ;

• документы, подтверждающие освоение учебных программ должностными лицами и специалистами по ЗИ.

Гл а в а 15

Назначение, структура

и содержание управления КСЗИ