Сергей Петренко - Политики безопасности компании при работе в Интернет

Каждый сотрудник, ответственный за сохранение конфиденциальной информации компании, должен обеспечить надлежащую маркировку информации и использовать рекомендуемые средства защиты информации.

Передача информации

Передача данных по сети компании осуществляется в соответствии с требованиями настоящей политики безопасности.

Хранение информации

Хранение данных в сети компании осуществляется в соответствии с требованиями настоящей политики безопасности.

Уничтожение носителей информации

Уничтожение носителей информации осуществляется в соответствии с процедурой отдела безопасности компании.

Утверждения политики безопасности

Цели

Цели создания этой политики:

• разработать и довести до сотрудников компании требования по защите конфиденциальной информации компании;

• гарантировать безопасность, целостность и доступность конфиденциальных данных компании;

• установить базовый уровень защиты информации в компании.

Состав и структура информационной системы

Обязанности по защите информации

К названным обязанностям относятся следующие:

• все организационные бизнес-единицы и структуры компании должны гарантировать, что их сотрудники действуют в соответствии с настоящей политикой безопасности;

• отделы сетевых операций и системного администрирования должны гарантировать, что ведутся и надежно хранятся журналы и аудиторские записи о предоставлении доступа к конфиденциальной информации компании;

• отделы безопасности информации, сетевых операций и системного администрирования должны гарантировать выполнение всех необходимых механизмов обеспечения безопасности;

• отдел управления рисками отвечает за корректную классификацию информации для выполнения требований безопасности;

• отдел внутреннего аудита отвечает за регулярные проверки правильности классификации информации и защищенности компонент информационной системы компании.

Другие обязанности

К другим обязанностям относятся следующие:

• все партнеры компании, вендоры, провайдеры и сторонние организации, которые участвуют в процессе обработки конфиденциальной информации компании, должны руководствоваться четко документированной политикой безопасности для сторонних организаций;

• все партнеры компании, вендоры, провайдеры и сторонние организации, которые имеют доступ к конфиденциальной информации компании, должны подписать соглашение об обязательном исполнении настоящей политики безопасности.

Документирование

Политика безопасности компании требует разработки, внедрения и исполнения процедур безопасности. Должна быть разработана документация по управлению пользовательскими идентификаторами на рабочих станциях, по управлению списками контроля доступа на рабочих местах компании, по сбору и анализу системных журналов и журналов приложений, ведения отчетности по реагированию на инциденты и пр.

Пересмотр политики

Обязанность по периодическому пересмотру политики безопасности возлагается на службу безопасности. В связи с быстрым изменением информационных технологий политика безопасности должна пересматриваться не реже одного раза в год. В группу по пересмотру политики безопасности компании должны входить высшее руководство компании, сотрудники службы безопасности, отдела системного администрирования и юридического отдела.