1.3 Процессы для легитимного ознакомления сотрудника со сведениями
Согласно статье 21 Закона о государственной тайне оформление допуска гражданина к государственной тайне осуществляется с его согласия и предусматривает:
1. Представление собственноручно заполненной и подписанной им анкеты установленной формы №4, содержащей сведения о нем и его близких родственниках, к которым для целей настоящего Закона относятся супруг (супруга), отец, мать, дети, в том числе усыновленные, усыновители, полнородные и неполнородные (имеющие общих отца или мать) братья и сестры, а также представление документов, удостоверяющих личность оформляемого лица и подтверждающих указанные в анкете сведения о нем и его близких родственниках;
2. Проведение в отношении его полномочными органами проверочных мероприятий в случаях, установленных Правительством Российской Федерации (если иное не установлено Президентом Российской Федерации), в целях выявления оснований, предусмотренных статьей 22 «Основания для отказа должностному лицу или гражданину в допуске к государственной тайне» настоящего Закона;
3. Ознакомление его с нормами законодательства Российской Федерации о государственной тайне, предусматривающими ответственность за нарушение указанного законодательства, а также ограничения его прав в соответствии со статьей 24 «Ограничения прав должностного лица или гражданина, допущенных или ранее допускавшихся к государственной тайне» настоящего Закона; заполнение формы №2 из Постановления Правительства №132;
4. Принятие решения руководителем (уполномоченным им должностным лицом) о допуске оформляемого лица к государственной тайне.
1.4 Реализация смиб
Система менеджмента информационной безопасности (СМИБ) должна обеспечивать защиту государственной тайны. Ниже приведены ключевые элементы такой системы.
1. Политика информационной безопасности (ИБ)
Цель: обеспечить защиту сведений, составляющих государственную тайну, при их использовании, хранении, обработке и передаче в рамках деятельности организации.
Содержание:
Определение категорий защищаемой информации и уровня секретности.
Обеспечение соблюдения требований Федерального закона №5485-I и Постановления №132.
Установление ответственности сотрудников за соблюдение режима государственной тайны.
2. Классификация информации и уровни доступа
Определение типов информации: Вся информация делится на категории с учетом уровня секретности и доступа. В данном случае это сведения, составляющие государственную тайну, второй формы допуска.
Распределение доступа:
Сотрудники допускаются к работе с секретной информацией после прохождения всех этапов проверки, получения допуска и подписания обязательства о неразглашении.
Регистрация допуска ведется в журнале учета.
3. Контроль доступа и разграничение прав доступа
Физический доступ: Доступ к помещениям, где обрабатывается секретная информация, осуществляется по пропускам. Помещения оборудуются средствами охраны.
Логический доступ: Электронные системы защищаются паролями, биометрией или картами доступа. Права доступа на компьютеры и в системы ограничиваются уровнями секретности.
Процедура разграничения: только сотрудники, оформившие допуск, могут получать доступ к секретной информации, соответствующей их уровню.
4. Управление рисками ИБ
Идентификация рисков: Возможные утечки данных, несанкционированный доступ, утрата носителей.
Меры по снижению рисков:
Шифрование данных.
Журналирование доступа к секретной информации.
Проведение регулярных инструктажей и проверок сотрудников, имеющих доступ к государственной тайне.
5. Управление инцидентами ИБ
Процедуры реагирования: В случае утраты, компрометации или несанкционированного доступа к секретной информации, организация незамедлительно информирует органы государственной безопасности.
Журналирование инцидентов: Ведение реестра инцидентов ИБ и мер по их устранению.
6. Контроль и аудит
Внутренний аудит: проводится проверка соблюдения режима государственной тайны и условий допуска.
Проверки органов госбезопасности: в рамках установленного порядка допускаются проверки органами ФСБ или другим надзорным ведомством для контроля за соблюдением режима секретности.
7. Обучение и инструктаж сотрудников
Проведение регулярного инструктажа по требованиям защиты государственной тайны и ответственности за нарушения.
Обучение сотрудников методам работы с защищенной информацией, включая шифрование, удаление данных, контроль использования съемных носителей.
8. Документирование и хранение данных
Документирование всех процессов по защите государственной тайны: оформление допуска, подписанные обязательства о неразглашении, учет доступа к секретной информации.
Хранение данных в запираемых, защищенных сейфах или в электронных хранилищах с дополнительной защитой.
Эта система менеджмента информационной безопасности обеспечит выполнение требований законодательства и нормативных документов по защите государственной тайны.