5. Правила інформаційної безпеки

4.1. Організаційні заходи по забезпеченню безпеки

4.1.1. В кожній з організацій НАН України повинен бути призначений один керівник, відповідальний за всі заходи, що відносяться до інформаційної безпеки.

4.1.2. В кожній з організацій НАН України повинні проводитися регулярні наради керівників з питань забезпечення інформаційної безпеки.

4.1.3. Існує ряд обов'язкових тим, які підлягають обговоренню на нарадах по інформаційній безпеці:

• Відстежування і аналіз важливих змін в структурі інформаційних ресурсів;

• Вивчення і аналіз інцидентів в області безпеки;

• Обговорення вносяться в політику змін;

• Ухвалення нової версії політики;

• Узгодження списків відповідальних осіб;

• Затвердження основних ініціатив по посиленню заходів безпеки.

4.1.4. В великих організаціях повинні проводитися регулярні наради керівників основних підрозділів організації для координації дій по впровадженню різних заходів забезпечення безпеки.

4.1.5. На нарадах керівників основних підрозділів організації повинен обговорюватися ряд обов'язкових тем:

• Вироблення угод про розмежування відповідальності за забезпечення інформаційної безпеки усередині організації;

• Вироблення спеціальних методик і політик, пов'язаних з інформаційною безпекою: аналіз ризиків, класифікація рівнів безпеки;

• Підтримка в організації "атмосфери" інформаційної безпеки, зокрема, регулярне інформування персоналу з цих питань;

• Забезпечення обов'язковості урахування питань інформаційної безпеки при стратегічному і оперативному плануванні;

• Забезпечення зворотного зв'язку (оцінка адекватності заходів безпеки, що вживаються в існуючих системах) і координація впровадження засобів забезпечення інформаційної безпеки в нові системи або сервіси;

• Аналіз інцидентів в області інформаційної безпеки, виробіток рекомендацій.

4.1.6. Повинна бути чітко визначена відповідальність і обов'язки по захисту окремих ресурсів і виконанню конкретних дій по забезпеченню безпеки.

4.1.7. При частковій або повній передачі обов'язків по забезпеченню безпеки з власника ресурсу на якого-небудь співробітника або постачальника даного ресурсу, відповідальність все одно залишається повністю на власнику даного ресурсу.

4.1.8. Повинні бути чітко визначені зони відповідальності кожного власника ресурсу, несучого відповідальність за забезпечення його безпеки:

• Повинні бути чітко визначені і описані всі ресурси, що входять в зону відповідальності, а також всі дії, по забезпеченню безпеки в даній зоні;

• Для кожного ресурсу (або процесу) повинен бути призначений відповідальний співробітник з числа керівників. Всі його обов'язки і ступінь відповідальності повинні бути закріплені документально;

• Повинні бути чітко визначені і задокументовані рівні повноважень кожної відповідальної особи;

• Для кожного ресурсу повинен бути визначений і закріплений документально список прав доступу (матриця доступу).

4.1.9. Повинен бути визначений процес впровадження нового обладнання в інформаційну систему:

• Впровадження нового обладнання повинне затверджуватися керівництвом, а також при впровадженні повинно бути визначено призначення нового обладнання і порядок його використовування;

• Повинен бути отриманий дозвіл від співробітника, що відповідає за підтримку режиму безпеки локальної інформаційної системи;

• Необхідно здійснювати перевірку всіх впроваджуваних компонент на сумісність з існуючими частинами системи.

4.1.10. Повинна бути забезпечена можливість отримання консультацій зовнішніх фахівців по інформаційній безпеці.

4.1.11. Необхідно підтримувати контакти з правоохоронними органами, постачальниками інформаційного обладнання, телекомунікаційними операторами, щоб своєчасно отримати рекомендації у разі інциденту в системі інформаційної безпеки.

4.1.12. Необхідно обмежити обмін інформацією, що захищається, щоб вона не була отримана неавторизованими особами.

4.1.13. Необхідно проводити незалежний аудит того, що всі організаційні методи забезпечення захисту інформації відповідають політиці безпеки; що вони виконуються і є ефективними.

4.1.14. Необхідно контролювати доступ сторонніх організацій до інформаційних ресурсів організації.

4.1.15. При необхідності доступу сторонніх організацій до ресурсів організації, потрібно оцінити ризики інформаційної безпеки, щоб визначити вимоги до заходів захисту і перевірок.

4.1.16. Контракт, що описує доступ сторонніх організацій до ресурсів організації, повинен враховувати можливість доступу інших учасників і умови їх доступу. Контракт повинен бути складений перед тим, як буде наданий доступ до інформаційних ресурсів. При складанні контрактів слід розглянути наступні питання:

• загальна політика інформаційної безпеки;

• дозволені способи доступу, а також контроль за використовуванням унікальних ідентифікаторів користувачів і паролів;

• опис кожного інформаційного сервісу, що надається;

• вимога вести список осіб, яким дозволено використовувати сервіс;

• час і дата, коли сервіс буде доступний;

• витікаючі з угоди зобов'язання організацій;

• процедури, що стосуються захисту ресурсів організації, включаючи інформацію;

• обов'язки, що стосуються правових питань, наприклад, законодавство про захист даних;

• право відстежувати дії користувачів;

• обов'язки по установці обладнання і програмного забезпечення і їх супроводу;

• право перевіряти договірні зобов'язання;

• обмеження на копіювання і розкриття інформації;

• заходи по забезпеченню повернення або знищення інформації і ресурсів після закінчення терміну дії контракту;

• необхідні заходи по фізичному захисту;

• механізми для забезпечення реалізації захисних заходів;

• навчання користувачів методам, процедурам і правилам безпеки;

• заходи по забезпеченню захисту від комп'ютерних вірусів;

• процедура надання дозволу на доступ користувачів;

• процедури повідомлення про інциденти в системі безпеки і їх розслідування;

• участь сторонніх організацій (субпідрядники і інші учасники).

Додаткові вимоги (для організацій НАН України, які виконують замовлення аутсорсингових организацій):

4.1.17. Угода з аутсорсинговими організаціями повинна включати наступні вимоги:

• Принципи забезпечення цілісності і конфіденційності ділової інформації організації;

• Положення, що описують фізичні і логічні перевірки, що розподіляють або обмежуючі доступ авторизованих користувачів до важливої інформації;

• Принципи підтримки доступності сервісів у разі інцидентів в області інформаційної безпеки;

• Рівень фізичної безпеки, який повинен забезпечуватися для обладнання аутсорсингових організацій;

• Визначення, як будуть забезпечуватися юридичні вимоги, наприклад закон про захист інформації;

• Які дії будуть зроблені, щоб гарантувати ознайомлення всіх аутсорсингових організацій, включаючи субпідрядників, з обов'язками по забезпеченню інформаційної безпеки;

• Право на проведення перевірки якості послуг, що надаються.