Основные нормативные документы до 21923 – «Порядок обеспечения информационной безопасности при работе с базами данных Клиентов»

Нормативный документ, регламентирующий порядок обеспечения информационной безопасности при работе с базами данных Клиентов

Доступ предоставляется на срок до 6 месяцев и может быть продлен еще раз только по истечении первично полученного срока. Все дополнительные доступы (сколько бы в течение 6-месячного срока новых служебных записок не подписывалось) предоставляются только в рамках основного срока. То есть вопрос о продлении срока необходимых доступов сотрудник должен поднять накануне истечения основного срока. Все доступы, выходящие по срокам за рамки основного, будут прекращаться вместе с основным.

Выдержка из документа «Положение по обеспечению информационной безопасности при работе с базами данных Клиентов»

К защищаемым сведениям относятся:

• Сведения, содержащиеся в реальных базах данных Клиентов, к которым сотрудники Предприятия имеют Доступ (удаленный или при посещении компании-Клиента, далее – "на месте"). Под реальной базой данных в настоящем документе понимается база данных, с которой работают продукты линейки CBOSS.

• Сведения, содержащиеся в предоставляемых Клиентом образах баз данных, не прошедших процедуру фальсификации.

Все сведения о базах данных Клиентов и информация, содержащаяся в них, имеют гриф КТ-СК⁷ (коммерческая тайна – строго конфиденциально) и подлежат защите в соответствии с "Положением по обеспечению защиты конфиденциальной информации при работе с Автоматизированной системой"⁸.

Каждый сотрудник Предприятия, получивший доступ к базам данных Клиентов, в процессе работы обязан соблюдать требования обращения с защищаемой информацией, ставшей ему известной (или доступной при выполнении операций над ней). Свои обязательства по неразглашению Сотрудник подтверждает, подписывая "Обязательство о соблюдении требований обращения с защищаемой информацией о базах данных Клиентов" (форма обязательства приведена в Приложении 1).

Порядок предоставления доступа к базам данных Клиентов

1. Доступ может быть предоставлен только тем сотрудникам Предприятия, которые согласились на прохождение проверочных мероприятий (в том числе, при необходимости, с использованием технических средств). По результатам проверочных мероприятий сотрудникам Предприятия может быть отказано в предоставлении Доступа.

2. Доступ сотрудникам Предприятия может быть предоставлен следующим образом:

• При необходимости выездного обследования сотруднику может быть предоставлено право работы с базой данных Клиента "на месте";

• Для оперативной диагностики и устранения критических ситуаций, не требующих выезда сотрудников Предприятия к Клиенту, а так же для технического сопровождения, сотруднику может быть открыт удаленный доступ.

Порядок работы с образами баз данных Клиентов

1. Доступ к образам баз данных Клиентов может быть предоставлен сотрудникам Предприятия только после проведения процедуры фальсификации содержимого баз данных.

2. В обязательном порядке фальсификации подлежат установочные сведения о юридических и физических лицах.

3. По требованию Клиента могут быть дополнительно фальсифицированы и другие данные.

С документами, содержащими коммерческую тайну можно производить следующие действия: создание, редактирование, хранение и передача.

Эти процедуры регламентируются следующими документами

Документ/носитель с КТ
Создание/редактирование	Хранение	Передача
ДО 16772 «Порядок защиты сведений, составляющих КТ Предприятия»	ДО 16772 «Порядок защиты сведений, составляющих КТ Предприятия»	ДО 16772 «Порядок защиты сведений, составляющих КТ Предприятия»
ДО 24210 «Acceptable CBOSS use policy»	ДО 24210 «Acceptable CBOSS use policy»	ДО 24210 «Acceptable CBOSS use policy»
	Сетевой диск P:\	ДО 15359 «Положение по обеспечению защиты конфиденциальной информации при работе с Автоматизированной системой»
	StrongDisk (SecretDisk, PGP)	ДО 26841 «Порядок вноса/выноса мобильных устройств»
	РМ «Хранилище Документов»	ДО 22152 «Контакты с представителями клиентов и партнеров»
		ДО 25660 «Email security policy»