Регламент обеспечения безопасности.

- комплект документов, регламентирующий правила обращения с конфиденциальной информацией в зависимости от фазы ее обработки и категории конфиденциальности. В регламенте должен быть определен комплекс методических, административных и технических мер, включающих в себя:

• создание подразделения, ответственного за обеспечение конфиденциальности информации;

• определение порядка допуска сотрудников к конфиденциальной информации;

• определение обязанностей, ограничений и условий, накладываемых на сотрудников, допущенных к конфиденциальной информации;

• установление категории конфиденциальности информации;

• определение категории конфиденциальности работ, проводимых Заказчиком и информации, содержащейся в документах, связанных с работами;

• порядок изменения категории конфиденциальности работ и информации;

• требования к помещениям, в которых проводятся конфиденциальные работы и обрабатывается конфиденциальная информация, по категориям;

• требования к конфиденциальному делопроизводству;

• требования к учету, хранению и обращению с конфиденциальными документами;

• меры по контролю за обеспечением конфиденциальности работ и информации;

• план мероприятий по противодействию атаке на конфиденциальную информацию (действия, которые надо предпринимать в случае обнаружения разглашения информации с целью пресечения процесса разглашения/утечки информации);

• план мероприятий по восстановлению конфиденциальности информации (действия, которые надо предпринимать после пресечения процесса разглашения/утечки информации);

• определение ответственности за разглашение конфиденциальной информации.

Для Регламента обеспечения безопасности должны быть разработаны следующие документы:

Общие документы

1. Инструкция по обеспечению режима конфиденциальности на предприятии.

2. Требования к пропускному и внутри объектовому режиму.

3. Общие требования к системе разграничения доступа в помещения (СРД).

Документы по работе с кадрами

1. Инструкция по работе с кадрами, подлежащими допуску к конфиденциальной информации.

2. Требования к лицам, оформляемым на должность, требующую допуска к конфиденциальной информации.

Документы по защите ас и свт

1. Режим конфиденциальности при обработке конфиденциальной информации с применением средств вычислительной техники.

2. Определение требований к защищенности АС.

3. Концепция безопасности АС.

4. Анализ существующей АС.

Документы определяют работу комплексной системы защиты информации:

• в штатном режиме;

• при изменениях в штатном режиме работы;

• в нештатном режиме (аварийные ситуации).

5.4.4 Техническое направление работ по созданию ксзи

Техническая компонента КСЗИ - комплекс технических средств и технологий защиты информации (ЗИ) при ее обработке, хранении и передаче, включая криптографические средства.

Техническая компонента создается в рамках технического направления работ. При реализации технического направления проводится сбор исходных данных для разработки технических предложений по оснащенности автоматизированной системы обработки, хранения и передачи информации средствами ЗИ, позволяющими реализовать требуемый уровень защищенности. АС является составляющей информационной системы предприятия, поэтому подготовка технических предложений хронологически следует за разработкой общей концепции КСЗИ.

Подготовка технических решений проблемы соответствия параметров АС установленным требованиям защищенности (определяются в Концепции безопасности) возможна в двух направлениях:

1. Разработка АС «с нуля» с учетом требований защищенности;

2. Встраивание механизмов защиты в существующую АС посредством наложения некоторого набора аппаратно-программных средств ЗИ, имеющих сертификаты ФСТЭК России⁴¹.

Выбор направления предполагает взвешенный анализ сопоставимости результата объемам инвестиций в построение системы, проводимый в соответствии с методикой оценки рисков, описанной в методологии построения КСЗИ.