3.1. Ответственность за ресурсы

Цель. Обеспечить надлежащую защиту ресурсов организации.

Часть 1. Все основные информационные ресурсы должны быть учтены и иметь ответственных. Кроме того, следует назначить ответственных за реализацию соответствующих защитных мер.

Часть 2. При проведении аудита необходимо проверить список ресурсов, в котором должны быть указаны:

• тип ресурса, серийный номер;

• ответственный;

• уровень секретности;

• местонахождение;

• носители информации (для данных);

• дата ввода и контрольной проверки.

3.2. Классификация информации

Цель. Обеспечить надлежащий уровень защиты информационных ресурсов.

Часть 1. Чтобы задать приоритеты в области обеспечения ИБ, надлежит классифицировать информацию по категориям критичности. Некоторые виды информации могут потребовать дополнительной защиты или специального обращения. Категории критичности информации позволяют определить уровни ее защиты и уведомить пользователей о необходимости специального обращения с этой информацией.

Часть 2. Аудиторы должны убедиться, что система классификации по категориям критичности является четкой и полной, соответствует политике ИБ, понимается сотрудниками и периодически пересматривается.

Раздел 4. Управление персоналом

4.1. Вопросы безопасности в должностных инструкциях по доступу к ресурсам

Цель. Уменьшить риск ошибок персонала, краж, мошенничества или незаконного использования ресурсов:

Часть 1. Аспекты, связанные с безопасностью, следует учитывать еще на стадии набора персонала, включать их в должностные инструкции и договоры, а также контролировать в течение всего времени работы данного сотрудника. Руководителям необходимо убедиться в том, что в должностных инструкциях отражена вся соответствующая данной должности ответственность за безопасность. Обязательно надлежащим образом проверить принимаемых на работу лиц, особенно если они будут иметь дело с критичной информацией. Весь персонал организации и пользователи информационных ресурсов из сторонних организаций должны подписать обязательство о конфиденциальности (неразглашении).

Часть 2. Аудиторам надо проверить должностные инструкции персонала и процедуру отбора кандидатов на должности, связанные с доступом к критически важной информации.

4.2. Обучение пользователей

Цель. Убедиться в том, что пользователи осведомлены об угрозах нарушения режима ИБ и понимают значение защиты, а также имеют навыки выполнения процедур, необходимых для нормального функционирования системы безопасности организации.

Часть 1. Пользователи должны быть обучены процедурам защиты и правильному обращению с информационными ресурсами. Необходимо также официально, в письменной форме, утвердить разрешенный пользователям доступ (права и ограничения).

Часть 2. Проверка выполнения требований, изложенных в части 1, обязательна.

4.3. Реагирование на события, таящие угрозу безопасности

Цель. Минимизировать ущерб от нарушений режима ИБ и не допускать повторений инцидентов.

Часть 1. О нарушениях режима ИБ необходимо немедленно довести до сведения руководства по административным каналам. Всех сотрудников следует ознакомить с процедурой уведомления о различных типах инцидентов (нарушение безопасности, угроза безопасности или сбои). Они обязаны сообщать обо всех случаях такого рода в соответствующую службу. В организации должна быть установлена формальная процедура наложения дисциплинарных взысканий на сотрудников, которые нарушают режим безопасности.

Часть 2. Аудиторам необходимо проверить, существует ли четкое определение того, что является нарушением режима ИБ, и знает ли персонал об этом.

Раздел 5. Физическая безопасность