Журнал о системах электронного документооборота (СЭД)
Информационная безопаснось в ECM

Управление информационной безопасностью предприятий (часть 2)

  0 комментариев Добавить в закладки

Илья Сачков,

менеджер по информационной безопасности ОАО «АРКТЕЛ»

Внедрение политики информационной безопасности

Так как политика информационной безопасности будет касаться каждого сотрудника и, соответственно, каждого руководителя, то я рекомендую придерживаться позиции, что любой сотрудник может внести предложения насчет разработанного документа. В рабочей суете люди, которые разрабатывали документ, могли попросту забыть о вещах, которые на виду, или могли не предусмотреть особенности работы какого-либо отдела. Поэтому, возможно, что поступившие предложения окажутся весьма полезными.

Можно пойти путем информационных писем – т.е. все сотрудники должны быть извещены, что:

●     разработан документ политики информационной безопасности;

●     документ находится в общедоступном месте (например, на корпоративном портале);

●     они могут задать любые вопросы и предложить поправки к документу;

●     после определенной даты документ будет принят и объявлен обязательным для исполнения.

Таким образом, решится сразу несколько проблем. Сотрудники отдела информационной безопасности, возможно, получат предложения. Почему я говорю – «возможно»? Потому, что в компаниях, где политики информационной безопасности не было, ее введение у 90% персонала не вызовет реакции ни на стадии разработки, ни на стадии внедрения. Реакция наступает обычно тогда, когда какие-то положения политики в плане разграничения доступа коснутся работы и свободы сотрудника. Самое главное на данном этапе жестко следовать намеченному плану и политике, и параллельно с этим разработать программу оповещения/обучения, которая поможет сотрудникам понять, почему вводится определенные ограничения, которых не было раньше. Программа обучения в самом лучшем случае создает так называемое дополнение к корпоративному этикету. Нарушая политику безопасности, ты показываешь неуважение к компании, к ее информационным активам, а, следовательно, ко всем коллегам, а ну и естественно выговоры, объяснительные, а в серьезных случаях увольнения и угроза попасть под суд, благо российское законодательство в области информационных технологий постепенно развивается.

Чтобы политика информационной безопасности стала максимально эффективной и соответствовала международным стандартам, то необходимо разрабатывать ее с учетом как раз этих стандартов. Международные стандарты (ISO 17799-2005, ISO 27001 и т.д.) представляют собой сборник рекомендаций по развертыванию системы информационной безопасности. Рекомендации, включенные в стандарты, являются следствием многолетней работы в этой области. Рассмотрим, какие требования предъявляет стандарт ISO 17799-2005 к политике информационной безопасности:

●     нормативный документ, описывающий политику безопасности, должен быть утвержден руководством компании, опубликован и доведен до сведения сотрудников компании; причем отдельно выделяется требование, в котором говорится, что документ должен быть доведен в простой и понятной форме;

●     в нормативном документе, описывающем политику информационной безопасности, должны быть сформулированы принципы управления информационной безопасностью компании. В данном нормативном документе должны быть отражены следующие положения:

1.   Определение понятия информационной безопасности, ее основных действий, области действия и значения информационной безопасности как ключевого условия процессов обработки информации;

2.   Основные принципы управления информационной безопасностью с учетом стратегии ведения бизнеса в компании;

3.   Описание подходов к оценке рисков и управление рисками;

4.   Ответственность за обеспечение процесса управления информационной безопасностью, в том числе за информирование в случае возникновения инцидентов информационной безопасности;

5.   Ссылки на другие нормативные документы, более детально описывающие требования информационной безопасности (инструкции, регламенты, руководства);

6.   Краткое описание основных требований к информационной безопасности с учетом соответствия законодательству, требований к обучению сотрудников вопросам ИБ, требований непрерывности бизнеса и возможных последствий от нарушения информационной безопасности.

Как уже было сказано политика безопасности это живой документ, который должен постоянно обновляться, обсуждаться. Документ должен работать, а не присутствовать в компании для галочки. Посмотрим, что говорит стандарт о пересмотре политике безопасности:

●     политика информационной безопасности должна пересматриваться в случае внесения существенных изменений в структуру компании или же на регулярной основе в соответствии с утвержденным планом пересмотра;

●     необходимо назначить ответственного сотрудника за разработку, пересмотр и оценку существующей политики информационной безопасности;

●     в ходе пересмотра следует оценить возможность улучшения положений политики информационной безопасности и процесса управления информационной безопасностью в соответствии с изменениями условий ведения бизнеса, законодательства, изменениями в организационной структуре или информационной системе компании;

●     при пересмотре политики информационной безопасности должны учитываться результаты пересмотра принципов управления компанией в целом, также проводимого на регулярной основе;

●     пересмотренная политика информационной безопасности должна быть утверждена руководством компании;

●     при пересмотре принципов управления компанией должно учитываться следующее:

1.   Предложения сотрудников и партнеров по совершенствованию политики информационной безопасности;

2.   Результаты независимого аудита;

3.   Изменение условий ведения бизнеса, законодательства, изменение в организационной структуре или информационной системе компании;

4.   Существующие угрозы и уязвимости информационной системы;

5.   Отчеты об инцидентах в области информационной безопасности;

6.   Рекомендации органов государственной власти;

●     результаты пересмотра политики информационной безопасности должны содержать решения по совершенствованию подхода к управлению информационной безопасностью в компании, уточнению целей и требований информационной безопасности, повышению эффективности системы управления информационной безопасностью и уточнению сфер ответственности сотрудников за обеспечение информационной безопасности.

Следуя вышеизложенным рекомендациям, вы получите действительно стоящий документ, который станет фундаментом будущей системы управления информационной безопасностью в компании.

Источник: ItSec.ru

Ещё материалы автора
Похожие записи
Комментарии (0)
Сейчас обсуждают
Больше комментариев