4.3.3. Угода про конфіденційність

4.3.3.1. Користувачі конфіденційних інформаційних ресурсів організації повинні підписати відповідне зобов'язання про конфіденційність (нерозголошуванні). Звичайно службовці організації підписують таке зобов'язання при прийомі на роботу.

4.3.3.2. Користувачі із сторонніх організацій, робота яких не передбачена умовами існуючого договору (а зобов'язання про нерозголошування повинне бути його частиною), повинні підписати зобов'язання про нерозголошування, перш ніж їм буде наданий доступ до конфіденційних інформаційних ресурсів організації.

4.3.3.3. Зобов'язання про нерозголошування необхідно переглядати, коли змінюються умови найма або договір, особливо якщо службовці повинні звільнитися з організації або якщо закінчуються терміни дії договору.

4.3.4. Навчання користувачів

4.3.4.1. Користувачі повинні отримати необхідні відомості про політику організації і прийняті в ній процедури, включаючи вимоги до безпеки і інших засобів контролю, а також навчитися правильно користуватися інформаційними ресурсами (наприклад, знати процедуру входу в систему, уміти користуватися пакетами програм) перед тим, як вони отримають доступ до інформаційних сервісів.

Примітка. Ці заходи необхідні для того, щоб гарантувати, що процедури захисту виконуються правильно, і для зведення до мінімуму ризику порушення конфіденційності, цілісності і доступності даних через помилку користувача.

Цього правила слід дотримуватися як відносно співробітників організації, так і відносно користувачів із сторонніх організацій.

4.3.5. Реакція на інциденти безпеки і несправності

4.3.5.1. В кожній з організацій НАН України слід встановити формальну процедуру повідомлення, а також процедуру реакції на події, що описує заходи, які належить прийняти після отримання повідомлення про інцидент. Всі співробітники і підрядчики повинні бути ознайомлені з цією процедурою; вони зобов'язані повідомляти про такого роду події у відповідну службу підтримки системи захисту.

4.3.5.2. Користувачі інформаційних сервісів зобов'язані реєструвати будь-які спостережувані або передбачувані слабкості в системі безпеки, або загрози системам або сервісам і повідомляти про них. Користувачі повинні негайно доводити подібні інциденти до зведення свого безпосереднього керівництва, служби підтримки системи захисту або постачальників відповідних послуг.

4.3.5.3. Користувачі ні за яких обставин не повинні намагатися перевіряти передбачувані слабкість в системи захисту.

Примітка. Це потрібно для захисту самих користувачів, оскільки їх дії по тестуванню слабкості можна тлумачити як спроби несанкціонованого використовування системи.

4.3.5.4. Користувачі інформаційних сервісів зобов'язані реєструвати всі випадки, коли функціонування програмного забезпечення представляється їм неправильним, тобто таким, що не не відповідає специфікації; вони повинні повідомляти про це в службу технічної підтримки інформаційних систем або безпосередньо постачальнику даних послуг.

4.3.5.5. В кожній з організацій НАН України слід встановити процедури, які негайно повинен виконати користувач, що підозрює, що збій викликаний шкідливою програмою, наприклад, комп'ютерним вірусом. При розробці таких процедур слід звернути особливу увагу на наступні моменти:

• Записати «симптоми» і всі повідомлення, що з'являються на екрані.

• Припинити роботу на комп'ютері і, якщо можливо, відключити його.

• Негайно повідомити про інцидент в службу підтримки системи захисту інформаційної системи.

• Якщо обладнання підлягає огляду, то його необхідно від'єднати від мереж організації, перш ніж знову включити живлення.

• Не використовувати на інших комп'ютерах магнітних носіїв, записаних на цьому комп'ютері.

4.3.5.6. Ні за яких обставин користувачі не повинні намагатися видалити підозріле програмне забезпечення. Відновлення програмного забезпечення повинні виконувати фахівці, що мають відповідні знання і досвід роботи.

4.3.5.7. В кожній з організацій НАН України слід визначити формальну процедуру накладення дисциплінарних стягнень на співробітників, які порушили прийняті в організації політику і процедури безпеки. Ця процедура повинна забезпечувати правильний і справедливий розгляд справ співробітників, підозрюваних в серйозному або постійному порушенні безпеки. Процедура накладення дисциплінарних стягнень повинна бути розроблена з урахуванням кадрової політики організації і затверджена керівництвом.