- •1. Общие положения
- •1.1. Термины и определения
- •1.2. Назначение и правовая основа документа
- •2. Объекты защиты
- •2.1. Структура, состав и размещение основных объектов защиты, информационные связи
- •2.2. Категории информационных ресурсов, подлежащих защите
- •3. Цели и задачи обеспечения безопасности информации
- •3.1. Интересы затрагиваемых субъектов информационных отношений
- •3.2. Цели защиты
- •3.3. Основные задачи системы обеспечения безопасности информации Банка
- •3.4. Основные пути решения задач системы защиты
- •4. Основные угрозы безопасности информации Банка
- •4.1. Угрозы безопасности информации и их источники
- •4.2. Пути реализации непреднамеренных искусственных (субъективных) угроз безопасности информации
- •4.3. Пути реализации преднамеренных искусственных (субъективных) угроз безопасности информации
- •4.4. Пути реализации основных естественных угроз безопасности информации
- •4.5. Неформальная модель возможных нарушителей
- •4.6. Утечка информации по техническим каналам
- •5. Основные принципы построения системы информационной безопасности Банка
- •5.1. Законность
- •5.2. Системность
- •5.3. Комплексность
- •5.4. Непрерывность защиты
- •5.5. Своевременность
- •5.6. Преемственность и совершенствование
- •5.7. Разумная достаточность (экономическая целесообразность)
- •5.8. Персональная ответственность
- •5.9. Минимизация полномочий
- •5.10. Исключение конфликта интересов (разделение функций)
- •5.11. Взаимодействие и сотрудничество
- •5.12. Гибкость системы защиты
- •5.13. Открытость алгоритмов и механизмов защиты
- •5.14. Простота применения средств защиты
- •5.15. Обоснованность и техническая реализуемость
- •5.16. Специализация и профессионализм
- •5.17. Обязательность контроля
- •6. Меры, методы и средства обеспечения требуемого уровня защищенности информационных ресурсов
- •6.1. Меры обеспечения информационной безопасности
- •6.2. Формирование политики безопасности
- •6.3. Регламентация доступа в помещения
- •6.4. Регламентация допуска сотрудников к использованию информационных ресурсов
- •6.5. Регламентация процессов обслуживания и осуществления модификации аппаратных и программных ресурсов
- •6.6. Обеспечение и контроль физической целостности (неизменности конфигурации) аппаратных ресурсов
- •6.7. Подбор и подготовка персонала, обучение пользователей
- •6.8. Подразделение обеспечения информационной безопасности
- •6.9. Ответственность за нарушения установленного порядка пользования ресурсами информационной системы Банка. Расследование нарушений
- •6.10. Средства обеспечения информационной безопасности Банка
- •6.10.1. Физические средства защиты
- •6.10.2. Технические средства защиты
- •6.10.3. Средства идентификации и аутентификации пользователей
- •6.10.4. Средства разграничения доступа
- •6.10.5. Средства обеспечения и контроля целостности
- •6.10.6. Средства оперативного контроля и регистрации событий безопасности
- •6.10.7. Криптографические средства защиты информации
- •6.11. Защита речевой информации
- •6.12. Управление системой обеспечения безопасности информации
- •6.13. Контроль эффективности системы защиты
- •7. Основные направления технической Концепции в области обеспечения безопасности информации в Банке
- •7.1. Техническая Концепция в области обеспечения безопасности информации
- •7.2. Формирование режима безопасности информации
- •8. Порядок утверждения, внесения изменений и дополнений
2.2. Категории информационных ресурсов, подлежащих защите
В Банке циркулирует информация различных уровней конфиденциальности, содержащая сведения ограниченного распространения (служебная, коммерческая, банковская информация, персональные данные), и открытые сведения.
Защите подлежит вся информация и информационные ресурсы Банка, независимо от ее представления и местонахождения в информационной среде Банка:
сведения, составляющие коммерческую тайну, доступ к которым ограничен собственником информации в соответствии с Федеральным законом "Об информации, информатизации и защите информации";
сведения, составляющие банковскую тайну, доступ к которым ограничен в соответствии с Федеральным законом "О банках и банковской деятельности";
сведения о частной жизни граждан (персональные данные), доступ к которым ограничен в соответствии с Федеральным законом "Об информации, информатизации и защите информации";
открытая информация, необходимая для обеспечения нормального функционирования Банка.
3. Цели и задачи обеспечения безопасности информации
3.1. Интересы затрагиваемых субъектов информационных отношений
Субъектами информационных отношений при обеспечении информационной безопасности Банка являются:
Банк, как собственник информационных ресурсов;
подразделения Банка, участвующие в информационном обмене;
руководство и сотрудники структурных подразделений Банка, в соответствии с возложенными на них функциями;
юридические и физические лица, сведения о которых накапливаются, хранятся и обрабатываются в информационной системе Банка;
другие юридические и физические лица, задействованные в обеспечении выполнения Банком своих функций (консультанты, разработчики, обслуживающий персонал, организации, привлекаемые для оказания услуг и пр.).
Перечисленные субъекты информационных отношений заинтересованы в обеспечении:
своевременного доступа к необходимой им информации (ее доступности);
достоверности (полноты, точности, адекватности, целостности) информации;
конфиденциальности (сохранения в тайне) определенной части информации; защиты от навязывания им ложной (недостоверной, искаженной) информации;
разграничения ответственности за нарушения их прав (интересов) и установленных правил обращения с информацией;
возможности осуществления непрерывного контроля и управления процессами обработки и передачи информации;
защиты части информации от незаконного ее тиражирования (защиты авторских прав, прав собственника информации и т.п.).
3.2. Цели защиты
Основной целью, на достижение которой направлены все положения настоящей Политики, является защита субъектов информационных отношений Банка от возможного нанесения им материального, физического, морального или иного ущерба, посредством случайного или преднамеренного воздействия на информацию, ее носители, процессы обработки и передачи, а также минимизация уровня операционного и других рисков (риск нанесения урона деловой репутации Банка, правовой риск и т.д.).
Указанная цель достигается посредством обеспечения и постоянного поддержания следующих свойств информации:
доступности информации для легальных пользователей (устойчивого функционирования информационной системы Банка, при котором пользователи имеют возможность получения необходимой информации и результатов решения задач за приемлемое для них время);
целостности и аутентичности (подтверждение авторства) информации, хранимой и обрабатываемой в информационной системе Банка и передаваемой по каналам связи;
конфиденциальности - сохранения в тайне определенной части информации, хранимой, обрабатываемой и передаваемой по каналам связи;
Необходимый уровень доступности, целостности и конфиденциальности информации обеспечивается соответствующими множеству значимых угроз методами и средствами.