9. Политика иб. Структура документа

Основными целями политики информационной безопасности является:

• обеспечение сохранности, целостности информационных ресурсов и предоставление доступа к ним в строгом соответствии с установленными приоритетами и правилами разграничения доступа;

• обеспечение защиты подсистем, задач и технологических процессов, от угроз информационной безопасности, описанных выше в настоящем документе;

• обеспечение защиты управляющей информации от угроз информационной безопасности, описанных выше в настоящем документе;

• обеспечение защиты каналов связи от угроз со стороны каналов связи.

Основой создания подсистемы информационной безопасности (ПИБ) является политикаинформационной безопасности, под которой понимается набор правил и практических рекомендаций, на которых строится обеспечение информационной безопасности, управление и распределение средств защиты информации на объектах информатизации.

Политика информационной безопасности должна представлять совокупность требований, правил, положений и принятых решений, определяющих:

• порядок доступа к информационным ресурсам;

• необходимый уровень (класс и категорию) защищенности объектов информатизации;

• организацию защиты информации в целом;

• дополнительные требования по защите отдельных компонент;

• основные направления и способы защиты информации.

• Политика информационной безопасности направлена на обеспечение:

• конфиденциальности (секретности) информации, циркулирующей в системе, субъективно определяемой характеристике информации, указывающей на необходимость введения ограничений на круг субъектов информационных отношений, имеющих доступ к данной информации, и обеспечиваемую способность среды обработки сохранять информацию в тайне от субъектов, не имеющих полномочий на доступ к ней;

• целостности информации и среды её обработки, то есть предотвращение несанкционированной модификации, реконфигурации или уничтожения информации, программных средств её обработки, а также предотвращения несанкционированного изменения структуры и её объектов информатизации;

• доступности информации, то есть способности информационной среды, средств и технологий обработки информации обеспечить санкционированный доступ субъектов к информации, программным и аппаратным средствам.

• ГОСТ Р ИСО/МЭК 17799-2005

Политика – общее намерение и направление, официально выраженное руководством. 

11. Правила политики иб

1. Политика безопасной эксплуатации системы пользователей

В этом разделе д.б. явно указано: ограничения на ресурсы и действия, недопустимые, с точки зрения, производительности системы

2. Частота смены пароля пользователем, способы формирования пароля

3. Правила способа резервного копирования ин-ции

4. Правила работы с конфиденциальной ин-цией

5. Правила работы в сети интернет

6. Правила взаимодействия администраторов ИБ и пользователей системы

13. Способы оценки инцидента иб. Способы оповещения об инциденте иб. Ответные меры на инцидент. Регистрация и учет событий, связанных с инцидентом иб. Меры, предпринимаемые после инцидента иб

Инцидент ИБ- это действительное предпринимаемое или вероятное нарушение ИБ, вызванное либо ошибкой людей, либо неправильным функционированием, либо природными факторами, либо преднамеренными действиями, влияющими на функционирование ИС и вызывающие нарушение целостности, доступности, конфиденциальности ее информационных ресурсов.

В политике указываются цели реакции на инцидент, способы оценки инцидента(критерии, позволяющий отличить инцидент от др. событий и оценка его масштабов) способы оповещения об инциденте, ответные меры на инцидент (сдерживание, ликвидация и анализ), мера, предпринимая после инцидента:

• Определение меры влияния инцидента на инф. Ресурс

• Определение влияния инцидента на функционирование системы

• Проведение нов. Оценки риска

• Возможный пересмотр политики безопасности