12 Документы, регулирующие обеспечение информационной безопасности в организации связи

12.1 Документы, регулирующие обеспечение ИБ в организации связи, представляют собой объединенную целевой направленностью упорядоченную совокупность требований, правил, процедур и инструкций на бумажных носителях и в электронном виде, определяющих и ограничивающих функциональность объектов и деятельность субъектов, принимающих участие в обеспечении ИБ.

12.2 Настоящий стандарт не определяет конкретного перечня документов, разрабатываемых в организации связи. Состав документов определяется исходя из деловых целей организации, используемых технологий и оборудования, структуры и объема предоставляемых услуг связи. Настоящий стандарт предлагает только целевую направленность разрабатываемых документов.

12.3 Документы, регулирующие ИБ в организации связи, разрабатываются с учетом положений общеобязательных правовых норм по ИБ (см. 8.1.1) и по своему функциональному назначению подразделяются на следующие основные классы:

- организационно-распорядительные;

- нормативно-технические;

- информационные.

Каждый из приведенных классов документов, в зависимости от характера и направленности изложения материалов, подразделяется на различные виды документов.

12.4 ОРД определяют и регламентируют деятельность по планированию и осуществлению процессов обеспечения ИБ в организации связи.

По характеру регламентируемых вопросов (решаемых задач) ОРД подразделяют на:

- организационные документы;

- распорядительные документы;

- документы подтверждения соответствия.

12.4.1 Организационные документы являются основополагающими документами в области обеспечения ИБ, они представляют:

- детализацию положений и требований правовых документов;

- систему взглядов и единый порядок обеспечения ИБ в организации связи;

- функциональность службы ИБ и ее взаимосвязь с другими структурными подразделениями организации связи;

- долговременные задачи, права, обязанности и меры ответственности в области обеспечения ИБ.

К основным, рекомендуемым, организационным документам по ИБ относятся:

- политика ИБ (концепция ИБ);

- паспорт организации связи по ИБ;

- план обеспечения ИБ организации связи;

- положения;

- инструкции.

12.4.1.1 Политика ИБ является долговременным документом и представляет документированную систему взглядов, определяющих цели и направления деятельности субъектов в области обеспечения ИБ.

Документ, представляющий политику ИБ организации связи, должен включать в себя общие положения, соответствующие требованиям, изложенным в ГОСТ Р ИСО/МЭК 17799.

12.4.1.2 Наряду с политикой ИБ в организации связи может быть разработана концепция ИБ. В данном случае в концепции ИБ излагаются вопросы, не нашедшие раскрытия в политике ИБ, и перспективы совершенствования СОИБ, например, связанные с внедрением на сетях электросвязи новых технологий и расширения спектра предоставляемых пользователям услуг связи.

12.4.1.3 Паспорт организации связи по ИБ разрабатывается в соответствии с ГОСТ Р 53109.

12.4.1.4 План обеспечения ИБ организации связи представляет ежегодно формируемый координационный документ, определяющий действия, требуемые для реализации мероприятий по обеспечению ИБ в соответствии с политикой ИБ организации связи.

В плане обеспечения ИБ организации связи должно планироваться обеспечение всех систем, находящихся на эксплуатации в организации. При наличии выделенных систем или систем, требующих повышенного уровня безопасности возможна разработка отдельных планов обеспечения ИБ для таких систем.

12.4.1.5 Кроме основного плана ИБ в организации связи могут разрабатываться планы по реализации конкретных мероприятий обеспечения ИБ.

Примеры

1 План реагирования на инциденты безопасности.

2 План действий в ЧС.

3 План и схема обеспечения охраны организации связи.

12.4.1.6 Положения - документы, содержащие организационные указания по осуществлению конкретных направлений деятельности по обеспечению ИБ.

Примеры

1 Положение о службе ИБ.

2 Положение о ПДК по ИБ.

12.4.1.7 Инструкции - документы, содержащие указания и правила, устанавливающие порядок и способ выполнения или осуществления определенных действий.

Примеры

1 Инструкция по обеспечению антивирусной защиты.

2 Инструкция администратору ИБ.

12.4.2 Распорядительные документы - документы текущего управления, которые издаются во исполнение или в дополнение к организационным документам и устанавливают направления, методы (способы, приемы) организации работ по обеспечению ИБ в зависимости от возникающих конкретных задач управления и изменяющихся условий окружающей среды.

Основными видами распорядительных документов по ИБ являются приказы, программы, перечни, решения, распоряжения, указания.

12.4.3 К документам, подтверждающим соответствие продукции, работ и услуг в области ИБ, относятся:

а) документы вышестоящих регулирующих органов:

1) лицензии на право проведения работ со сведениями, составляющими государственную тайну;

2) лицензии на право осуществления работ в области технической защиты информации;

3) лицензии на право осуществления работ в области криптографической защиты информации;

4) сертификаты соответствия средств ЗИ;

б) внутренние документы организации связи.

Пример - Акт категорирования сети электросвязи по требованиям ИБ.

12.5 НД устанавливают единые требования, нормы и правила обеспечения ИБ, обязательные для исполнения в пределах установленной при их введении сферы действия и области распространения.

12.6 Основными видами НД являются:

- документы системы стандартизации Российской Федерации;

- РД ФОИВ, уполномоченного в области технической защиты информации;

- методики, методические указания, нормы и др. документы, разработанные ФОИВ, уполномоченными в областях связи, обеспечения безопасности и технической защиты информации;

- документы организации связи, развивающие требования вышестоящих регулирующих органов и положения внутренних ОРД организации связи.

12.7 К основным, разрабатываемым в организации связи НД, относятся:

- стандарты организации связи;

- модель угроз и нарушителя ИБ сети электросвязи;

- руководства, процедуры, порядки, правила, рекомендации, перечни.

12.8 Информационные документы служат для информационной поддержки решения процессов обеспечения и осуществления ИБ.

По форме представления информационные документы могут быть следующих видов:

- справочные документы (справочные пособия, исходные данные для анализа активов организации связи, угроз, уязвимостей и др.);

- отчетная научно-техническая документация;

- научная и учебная литература;

- документы делопроизводства (акты, бланки, базы данных, донесения, журналы учета и др.).

12.9 НД и информационные документы, разрабатываемые в организации связи, должны быть согласованы с руководителями заинтересованных подразделений организации связи и утверждены/подписаны руководителем службы ИБ организации связи.

12.10 Документация по обеспечению ИБ в организации связи должна периодически пересматриваться и обновляться по результатам оценки рисков, внешнего и внутреннего аудита ИБ, а также в связи с изменениями деловых целей и внедрения новых технологий и услуг связи.