Политика криптографической защиты информации

Назначение и область действия

Настоящая политика устанавливается для организации использования СКЗИ в целях защиты конфиденциальности, аутентичности и целостности информации и поддержания информационной безопасности при обмене информацией внутри фирмы и с внешними корреспондентами.

Политика распространяется на всех работников фирмы и третьих лиц, организующих использование СКЗИ и практически использующих СКЗИ, и является обязательной для исполнения.

Все исключения из настоящих правил должны быть согласованы со службой информационной безопасности.

Основные требования.

Для криптографической защиты конфиденциальной информации фирмы используются СКЗИ, разрешенные к применению на территории РФ.

СКЗИ должны использоваться в соответствии с требованиями действующего законодательства и условиями соглашения с контрагентами.

СКЗИ могут применяться для:

Обеспечения конфиденциальности путем применения шифрования хранимой и передаваемой информации.

Обеспечение целостности и (или) аутентичности путем применения цифровых подписей.

Обеспечение невозможности отказа от совершенных действий путем применения криптографических методов получения доказательства появления или отсутствия события или действия.

Решение о применении СКЗИ в отдельных процессах деятельности фирмы принимается с учетом результатов оценки рисков, требований законодательства и условий договорных отношений с контрагентами.

К полученным или сгенерированным криптографическим ключам должны применяться меры защиты от их потери, изменения или разрушения. Закрытые ключи (ключи квалифицированно электронной подписи) должны защищаться от несанкционированного раскрытия.

Открытые ключи (ключи проверки электронной подписи) должны иметь определенный срок действия и быть сертифицированы органом, обеспечивающим требуемый уровень доверия.

При компрометации закрытых ключей или увольнении пользователя, ключи должны быть сохранены в архиве и аннулированы.

Все действия по управлению криптографическими ключами должны регистрироваться.

Процессы управления криптографическими средствами защиты осуществляются в соответствии с эксплуатационной, технической документацией и правилами пользования (установленной процедурой).

Ответственность

Ответственность за установку, настройку и администрирование СКЗИ возлагается на службу информационной безопасности и службу информационных технологий.

Ответственность за соблюдение политики криптографической защиты информации возлагается на всех сотрудников фирмы и третьих лиц, использующих СКЗИ.

Контроль выполнения и пересмотр политики возлагается на службу безопасности информации.

Провести анализ (приказ ФАПСИ 152 2004 года, ПКЗ 2005)

Политика использования программного обеспечения

Назначение и область действия

Настоящая политика устанавливается для инсталляции, настройки и администрирования программного обеспечения в целях:

Обеспечения безопасности системных файлов;

Поддержания безопасности программ и информации в прикладных системах;

Снижения рисков использования технических уязвимостей;

Обеспечение защиты прав интеллектуальной собственности;

Предотвращение нецелевого использования средств обработки информации.

Политика распространяется на всех работников фирмы и третьих лиц, использующих информационные ресурсы фирмы, и является обязательной для исполнения.

Все исключения из настоящих правил должны быть согласованы со службой информационной безопасности.

Основные требования

Во всех информационных системах фирмы разрешается использовать только лицензионное программное обеспечение в соответствии с требованиями действующего законодательства и соответствующих лицензионных соглашений.

Инсталляция, настройка и администрирование программного обеспечения осуществляются в соответствии с установленными процедурами.

Пользователям запрещается самовольно устанавливать программное обеспечение на компьютеры и другие средства обработки информации.

Пользователям запрещается использовать установленное программное обеспечение, не предназначенное для исполнения ими функциональных обязанностей, в том числе системные утилиты и программы.

Защита операционных систем и прикладного программного обеспечения от известных технических уязвимостей должна поддерживаться своевременной установкой критических обновлений безопасности

При внесении изменений в операционные системы, в том числе после установки обновлений, должна быть проведена проверка корректности работы критичных приложений.

Ответственность

Ответственность за инсталляцию, настройку и администрирование возлагается на службу информационных технологий. Ответственность за соблюдение политики возлагается на всех сотрудников фирмы и третьих лиц, использующих информационные ресурсы. Контроль выполнения и пересмотр политики возлагается на службу безопасности информации. Провести анализ