2.2.2. Политика физической защиты ис

Данный документ описывает необходимый минимум мер физической безопасности для достижения приемлемого уровня информационной безопасности в компании. Данная политика распространяется на все помещения организации.

Основные требования:

1. Доступ в помещения организации должен быть ограничен пропускным режимом. Сотрудники имеют право перемещаться по зданию организации используя исключительно личный пропуск. Для посетителей, осуществляется в рабочее время, через КПП и с выдачей временного пропуска.

2. В здании должны находится турникеты.

3. В общедоступных местах не должно находиться каких-либо компьютеров, имеющих доступ к внутренней информационной сети.

4. Доступ в серверные помещения должен быть заблокирован, и обязательно вестись видеонаблюдение, и установлены системы сигнализации.

5. Должна быть система видеонаблюдения.

6. Должен быть план действий в чрезвычайных ситуациях, описывающий действия в случае отключения электроэнергии, кражи, пожара, затопления, взрыва, землетрясения.

7. Для печати конфиденциальной информации должны использоваться лишь принтеры в кабинетах директоров или помещениях с ограниченным доступом.

Ответственность несет любой сотрудник, нарушивший политику, и может быть привлечен к дисциплинарному наказанию, штрафу или выговору, в зависимости от тяжести проступка.

Некоторые требования и правила, по данной политике, соблюдены за исключением 3 пункта о защите серверных помещений.

2.2.3. Политика разграничения доступа

Политика описывает требования по предотвращению несанкционированного доступа к информации или использование информационных ресурсов на основе бизнес-требований и требований безопасности, т.е. применение политик доступа к конкретным запросам.

Политика обязательна для всего персонала, имеющего доступ в информационную систему организации.

Основные требования:

1. Должно быть организовано ограничение на уровне записей базы данных, которое подразумевает видимость или доступность отдельных объектов в общем списке определенным пользователям.

2. Должна использоваться многоуровневая аутентификация для повышения безопасности доступа.

3. Владелец объекта может открывать доступ любому сотруднику своего подразделения, открытие доступа сотруднику другого подразделения согласовывается с руководителем подразделения в письменном виде.

4. Привилегированным доступом к объектам ИС обладают лишь администраторы и руководство компании.

5. Каждый объект, относящийся к отчетности, должен обладать своим уровнем конфиденциальности.

6. Изменение конфиденциальности объекта информации производится с согласования руководства в письменном виде.

7. У сотрудников ограничен доступ к ресурсам, которые необходимы для их работы

8. Сотрудники не должны разглашать учетные данных третьим лица

9. Должен быть установлен механизм мониторинга системы

Ответственность несет любой сотрудник, нарушивший политику, и может быть привлечен к дисциплинарному наказанию, штрафу или увольнению с работы.