Организация разработки внутренних документов по обеспечению информационной безопасности юридического лица

Цель – изучить вопросы, касающиеся документационной поддержки информационной безопасности юридического лица

Введение

Организационное обеспечение автоматизированной системы – совокупность документов, устанавливающих организационную структуру, права и обязанности пользователей и эксплуатационного персонала автоматизированной системы в условиях функционирования, проверки и обеспечения работоспособности автоматизированных систем.

Структура внутренних документов по обеспечению информационной безопасности юридического лица

В современных условиях адекватный потребностям бизнеса уровень информационной безопасности может быть обеспечен только на основе комплексного подхода, предполагающего планомерное использование правовых, организационных, технических и других мер обеспечения информационной безопасности на единой концептуальной и методической основе.

Деятельность юридического лица любой формы собственности по обеспечению своей информационной безопасности осуществляется на основании следующих документов:

Действующие законодательные акты и нормативные документы РФ по обеспечению информационной безопасности;

Нормативные акты вышестоящего органа по отношению к данной организации;

Внутренние документы организации любой формы собственности по обеспечению информационной безопасности.

Для обеспечения согласованности, целенаправленности, планомерности деятельности по обеспечению информационной безопасности, вся работа в этом направлении должна быть документирована. Документы по обеспечению информационной безопасности позволяют определить и довести до каждого сотрудника организации все правила и требования по обеспечению информационной безопасности, которыми должен руководствоваться сотрудник, вне зависимости от занимаемой должности, в процессе повседневной деятельности. Также документы определяют порядок контроля за выполнением требований. Поэтому, в состав внутренних документов организации рекомендуется включать следующие виды документов, организованных в виде иерархической структуры.

Пирамида:

Концепция информационной безопасности организации. Это документ, который содержит положения корпоративной политики информационной безопасности организации;

Политики информационной безопасности организации. Это документы, содержащие положения частных методик, которые детализируют положения применительно к одной или нескольким областям информационной безопасности к видам и технологиям уставной деятельности юридического лица;

Стандарты информационной безопасности организации. Это документы, которые содержат положения информационной безопасности, применяемые к процедурам (порядку выполнения действий или операций), обеспечивающие информационную безопасность;

СВД. Это документы, содержащие свидетельства выполненной деятельности (СВД). Эти документы отражают достигнутые результаты по обеспечению информационной безопасности.

Исходя из данной структуры, естественно сформулировать следующие рекомендации:

Непротиворечивость;

Обязательность. Эти документы должны носить не рекомендательный, а обязательный характер;

Адекватность. Документы должны отражать реальные требования и условия ведения уставной деятельности, включая угрозы и риски информационной безопасности;

Выполнимость и контролируемость. Должны быть включены такие положения, которые выполнимы и которые можно проконтролировать.

Примечание. В состав внутренних документов также целесообразно включать специальный документ под названием «классификатор», который содержит перечень и назначение всех документов организации по обеспечению ее информационной безопасности на всех этапах жизненного цикла. Такой классификатор полезен при осуществлении менеджмента документов организации в рамках корпоративной системы. Наличие сориентированного классификатора (разбитого по разделам) позволит обеспечить повышение степени осведомленности сотрудников организации по вопросам информационной безопасности, а также позволит обеспечить качественный аудит информационной безопасности в данной организации.

Примечание №2. При наличии у организации сети филиалов, в каждом из них рекомендуется иметь единый для данной корпоративной системы утвержденный комплект документов приведенной выше структуры. В случае возникновения необходимости учета специфики обязательно разрабатываются собственные документы филиала.