Присваивание грифов секретности

Секретная информация и выходные данные систем, поддерживающих секретную информацию, должны иметь соответствующие грифы секретности. Однако часто информация перестает быть конфиденциальной через некоторый промежуток времени, например, когда она становиться общедоступной. Это следует принять во внимание, так как чрезмерное засекречивание информации может привести к неоправданным, дополнительным затратам организации.

Выходные данные информационных систем, содержащие секретную информацию, должны иметь соответствующий гриф секретности. Этот гриф должен отражать категорию секретности наиболее уязвимой информации в выводимых данных. Примерами таких выходных данных являются печатные отчеты, информация, выводимая на экраны дисплеев, данные, хранимые на магнитных носителях (лентах, дисках, кассетах), электронные сообщения и передаваемые файлы.

Примечание. Физические метки являются наиболее подходящей формой маркировки. Однако в некоторых случаях, например, для электронной передачи данных, могут потребоваться другие средства, такие, как процедуры, контракты или почтовые извещения для выполнения функций маркировки.

Раздел 4 Безопасность персонала Безопасность в должностных инструкциях и при выделении ресурсов

Цель: Уменьшить риск ошибок персонала, краж, мошенничества или незаконного использования ресурсов.

Аспекты, связанные с безопасностью, следует учитывать еще на стадии набора персонала, включать их в должностные инструкции и договоры, а также контролировать в течение всего времени работы данного сотрудника.

Руководители должны убедиться в том, что в должностных инструкциях отражена вся соответствующая данной должности ответственность за безопасность. Следует надлежащим образом проверить принимаемых на работу лиц (см. Проверка принимаемых на работу), особенно если они будут работать с конфиденциальной информацией. Весь персонал организации и пользователи информационных ресурсов из сторонних организаций должны подписать обязательство о конфиденциальности (неразглашении).

Безопасность в должностных инструкциях

Обязанности и ответственность за безопасность, установленные принятой в организации политикой информационной безопасности (см. Политика информационной безопасности), следует включать в должностные инструкции, где это необходимо. В инструкциях необходимо отразить как общую ответственность за проведение в жизнь или поддержку политики безопасности, так и конкретные обязанности по защите определенных ресурсов или ответственность за выполнение определенных процедур или действий по защите.

Проверка принимаемых на работу

Заявления о приеме на работу следует тщательно рассмотреть, если работа в данной должности связана с доступом к конфиденциальным информационным ресурсам. Всех кандидатов на занятие подобных вакансий следует проверить по следующим пунктам:

а) как минимум две положительных характеристики, одна деловых и одна личных качеств;

б) проверка (полноты и точности) сведений, сообщенных претендентом на вакансию в своей автобиографии;

в) подтверждение академических степеней и профессиональной квалификации;

г) проверка идентификации (например, паспорта);

д) проверка кредита для занятых в наиболее критичных заданиях, например, проверка финансового состояния.