Разработка документации по защите информации

Разработка документации по защите информации нужна для закрепления правил работы с данными, распределения ответственности, выбора защитных мер, описания действий персонала. Состав комплекта зависит от вида сведений, архитектуры информационной среды, используемых технологий, применимых норм.

Базовые правила закреплены Федеральным законом № 149-ФЗ. При работе с персональными данными применяется Федеральный закон № 152-ФЗ. Для значимых объектов критической информационной инфраструктуры (далее — КИИ) действуют Федеральный закон № 187-ФЗ, приказ Федеральной службы по техническому и экспортному контролю России № 235, другие профильные акты.

Разработка документов по защите информации должна учитывать реальные процессы внутри организации. Формальный комплект без связи с фактическими настройками, уровнями доступа, используемыми средствами защиты мало полезен на практике.

Какие нормы учитывают

Локальные материалы должны закреплять конкретные правила безопасности, а не общие формулировки.

В них можно отражать:

• цели защиты;
• категории сведений;
• зоны ответственности;
• правила доступа;
• действия пользователей;
• требования к носителям;
• порядок реагирования на инциденты;
• контроль действий персонала;
• резервное копирование;
• применение защитных средств;
• внутренний аудит;
• основания для пересмотра.

Перед началом разработки важно определить, какие нормы относятся к конкретной организации. Это позволяет избежать лишних положений, которые не связаны с реальной деятельностью.

Что закрепляет политика информационной безопасности

Политика задает общий подход к защите данных внутри компании. В ней фиксируют базовые принципы, область действия, полномочия сотрудников, общие правила безопасности.

Обычно в документ включают:

• цели и задачи;
• область применения;
• категории сведений;
• роли сотрудников;
• правила доступа;
• требования к информационным ресурсам;
• обращение с носителями;
• резервное копирование;
• восстановление данных;
• действия при инцидентах;
• подготовку персонала;
• внутренний контроль.

Политика не заменяет инструкции, положения, регламенты. Она задает общий каркас, а более узкие материалы раскрывают отдельные процедуры.

Для КИИ дополнительно описывают актуальные угрозы, возможных нарушителей, защитные меры, действия при компьютерных инцидентах, подготовку сотрудников.

Из чего формируется комплект

Состав комплекта выбирают после изучения информационной среды, рабочих процессов, программ, оборудования, действующих мер защиты.

В него могут входить:

1. Политика информационной безопасности.
2. Положение об организации защиты сведений.
3. Приказ о назначении ответственного лица.
4. Модель угроз.
5. Регламент управления доступом.
6. Инструкции пользователей.
7. План реагирования на инциденты.
8. Регламент резервного копирования.
9. Правила учета носителей.
10. Порядок применения средств защиты.
11. Регламент внутреннего аудита.
12. План мероприятий по безопасности.

Для разных информационных сред перечень отличается. Комплект для оператора персональных данных не совпадает полностью с набором материалов для субъекта КИИ либо автоматизированной системы с конфиденциальными сведениями.

После подготовки содержание нужно сопоставить с реальной практикой. Если в регламенте указана многофакторная аутентификация, такая мера должна фактически использоваться.

Кто отвечает за подготовку

Материалы может готовить внутренний специалист по информационной безопасности, профильное подразделение либо привлеченный подрядчик.

Сторонний исполнитель может изучить архитектуру, оценить применимые нормы, проверить исходные сведения, подготовить проекты локальных актов.

Ответственность за соблюдение законодательства остается за организацией. При обработке персональных данных ее несет оператор. Для значимых объектов КИИ обязанности лежат на соответствующем субъекте.

Если к работе привлекается подрядчик, ему передают актуальные сведения об инфраструктуре, пользователях, уровнях доступа, применяемых средствах защиты, удаленных подключениях, внутренних процессах.

Чем точнее исходные данные, тем меньше риск расхождений между текстом локальных актов и фактической работой.

Как вводится политика в действие

Готовую политику утверждает руководитель либо другое уполномоченное лицо.

После этого сотрудников знакомят с положениями, которые относятся к их обязанностям. Работники должны понимать ограничения, правила доступа, действия при инциденте, порядок обращения с защищаемыми сведениями.

Основанием для пересмотра могут стать:

• изменение законодательства;
• запуск новых информационных ресурсов;
• изменение структуры доступа;
• появление новых угроз;
• замена защитных средств;
• выявление уязвимостей;
• результаты внутреннего аудита;
• предписания регуляторов.

Для значимых объектов КИИ правила утверждения организационно-распорядительных материалов устанавливает приказ Федеральной службы по техническому и экспортному контролю России № 235.

Актуализация особенно важна после изменений в архитектуре либо правах пользователей. Старые положения не должны противоречить реальным настройкам.

Когда комплект нужно обновлять

Локальные материалы нельзя считать неизменными. Их содержание пересматривают после событий, которые влияют на безопасность или работу информационной среды.

Поводом для обновления могут стать:

• внедрение нового программного обеспечения;
• подключение новых сегментов;
• смена средств защиты;
• появление удаленного доступа;
• изменение ролей пользователей;
• реорганизация подразделений;
• выявленный инцидент;
• обновление нормативной базы.

Не каждое изменение требует полной переработки комплекта. Иногда достаточно скорректировать один регламент либо отдельную инструкцию.

Такой подход помогает сохранять документы актуальными без лишнего объема.

Как проверить качество документации

Формальное наличие локальных актов само по себе не подтверждает, что правила работают. При внутренней проверке стоит оценить:

• совпадает ли описание инфраструктуры с реальной схемой;
• актуальны ли списки пользователей;
• соответствуют ли права доступа должностным обязанностям;
• используются ли заявленные средства защиты;
• выполняются ли правила резервного копирования;
• фиксируются ли инциденты;
• знаком ли персонал со своими обязанностями;
• назначены ли ответственные лица.

Такая проверка помогает найти расхождения до внешнего аудита либо аттестации.

При необходимости материалы корректируют до начала дальнейших процедур.

Что можно подготовить вместе с основным комплектом

При проектировании системы защиты часто нужны не только локальные акты, но и материалы для конкретной информационной среды, аттестации либо лицензирования.

Дополнительно возможно оформить:

• комплект сведений по категорированию;
• программу проверочных испытаний;
• методики проведения оценки;
• описание актуальных угроз;
• сведения о применяемых защитных решениях;
• материалы для сертификации устройств;
• пакет данных для получения лицензии ФСТЭК России;
• комплект документации для лицензирования по линии ФСБ;
• материалы для подготовки к сертификации ИСО 9001, ИСО 14001, ИСО 45001.

Такой формат подходит, когда задача связана не с одним локальным актом, а с построением полноценной системы информационной безопасности. Объем проекта зависит от инфраструктуры, вида данных, действующих мер защиты, применимых норм. Направляйте заявки!