2. Распределение функций по защите информации среди персонала службы защиты информации к организации (предприятия):

расстановка сотрудников по направлениям защиты информации;

организация социальной и профессиональной адаптации сотрудников в коллективе службы защиты информации;

организация системы оплаты и стимулирования труда;

оценка результатов деятельности любого сотрудника;

организация продвижения по службе наиболее перспективных сотрудников;

организация подготовки руководителей службы защиты информации на базе внутреннего резерва;

организация подготовки и переподготовки сотрудников;

исследование коллектива службы защиты информации с точки зрения неформальных отношений. Функции, связанные с обеспечением безопасности информации, должны распределяться между персоналом таким образом, чтобы каждый сотрудник знал ровно столько, сколько ему положено знать, и понимал, что вверенная ему коммерческая информация (КИ) должна быть доступна только санкционированному кругу лиц.

3. Обеспечение понимания сотрудниками организации (предприятия) необходимости работы службы защиты информации. Основные конфликты в ходе обеспечения безопасности информации возникают в процессе взаимодействия службы защиты информации с администрацией и другими подразделениями организации (предприятия). В связи с этим необходимо:

разъяснять сотрудникам организации (предприятия) необходимость обеспечения безопасности информации;

определить конкретные права и обязанности сотрудников службы защиты информации и закрепить их в нормативных документах;

определить арбитра, который мог бы решить возникший конфликт;

создать и определить необходимую концепцию защиты информации и информировать о ней все заинтересованные подразделения и сотрудников;

разработать систему вознаграждений сотрудников за выполнение норм и правил по обеспечению безопасности информации.

Таким образом, в Российской Федерации имеется ряд нормативных документов как федерального, так и ведомственного уровня, регламентирующих деятельность по обеспечению защиты информации. В основном эти документы направлены на защиту интересов государства и граждан и не отражают конкретных нужд коммерческих организаций (предприятий) по защите информации. В этой части документы носят рамочный характер, предполагая принятие либо подзаконных актов, либо самостоятельную разработку организациями (предприятиями) пакета нормативных документов по защите информации.

Действующая на сегодняшний день нормативная правовая база дает возможность организациям (предприятиям) индивидуально разрабатывать комплект нормативных документов, регламентирующих обеспечение безопасности информации. В комплекте нормативных документов, регулирующих процесс защиты информации, можно выделить:

1) базовые или концептуальные документы;

2) документы, регламентирующие взаимоотношения с персоналом и партнерами;

3) должностные инструкции и прочие документы.

Вопрос 2. Общая структура нормативной документации по обеспечению безопасности информации в организации (на предприятия)

Общая структура нормативной документации по безопасности информации в организации (на предприятии) имеет следующий вид.

1. Документы концептуального уровня. Разрабатываются совместно руководством компании, юридической службой, техническими специалистами и руководителями служб экономической и информационной безопасности. Эти документы отражают права компании по деятельности в области защиты информации, основные положения по обеспечению безопасности в компании и зависимых (дочерних) компаниях и являются базовыми. На основе документов концептуального уровня определяется политика безопасности информации, строится структура органов защиты информации, оцениваются риски и угрозы безопасности, проводится единая техническая политика. Документы этого уровня носят рамочный характер и фактически определяют перечень иных нормативных документов по информационной безопасности и их взаимосвязь.

1.1. Устав организации (предприятия).

1.2. Концепция информационной безопасности организации (предприятия).

1.3. Модель защиты информации в организации (на предприятии).

2. Документы общего применения. Разрабатываются службой защиты информации или иным подразделением, ответственным за обеспечение безопасности информации, и утверждаются руководством организации (предприятия). Они содержат требования к подразделениям и части сотрудников, участвующих в процессах, связанных с обработкой защищаемой информации. Также эти документы определяют общие принципы работы с защищаемой информацией в штатных и нештатных режимах.

2.1. Политика безопасности информации в организации (на предприятии).

2.2. Положение о категорировании ресурсов в организации (на предприятии).

2.3. План защиты от несанкционированного доступа к информации и незаконного вмешательства в процесс функционирования организации (предприятия).

2.4. Порядок обращения с информацией, подлежащей защите в организации (на предприятии).

2.5. Положение о подразделении защиты информации организации (предприятия).

2.6. Должностные инструкции сотрудников подразделения защиты информации организации (предприятия).

2.7. Инструкция о порядке действий сотрудников организации (предприятия) в нештатных ситуациях.

2.8. План обеспечения непрерывной работы и восстановления информации в организации (на предприятии).

3. Документы, регламентирующие работу персонала организации (предприятия) с защищаемыми носителями, разрабатываются подразделением, ответственным за защиту информации, согласуются с заинтересованными подразделениями и утверждаются лицами, ответственными за обеспечение ИБ в компании. Они содержат требования к типовым действиям персонала компании по обработке информации и должностные инструкции для лиц, чья деятельность связана с обеспечением ИБ в процессе функционирования компании.

3.1. Положение о главном администраторе безопасности информации Организации (предприятия) (сотрудник подразделения по защите информации, руководящий группой администраторов безопасности информации).

3.2. Положение об администраторе безопасности информации подразделения организации (предприятия) (сотрудник функционального подразделения).

3.3. Положение об администраторах безопасности информации организации (предприятия) (сотрудник подразделения безопасности информации, входящий в группу администраторов безопасности информации).

3.4. Инструкция по работе с ключевыми материалами в организации (на предприятия).

3.5. Инструкция по организации антивирусной защиты в организации (на предприятии).

3.6. Инструкция по организации парольной защиты в организации (на предприятии).

3.7. Инструкция по работе с эталонным программным обеспечением организации (предприятия).

3.8. Инструкция о резервном копировании информации в организации (на предприятии).

3.9. Памятка сотрудникам организации (предприятия).

3.10. Инструкция по внесению изменений в списки пользователей ресурсами организации (предприятия).

3.11. Инструкция по модификации технических и программных средств организации (предприятия).