Примечания 1 конфиденциальность: Обеспечение доступа к информации только авторизованным пользователям. 2 целостность: Обеспечение достоверности и полноты информации и методов ее обработки. 3 доступность: Обеспечение доступа к информации и связанным с ней активам авторизованных пользователей по мере необходимости. 2.2 оценка рисков: Оценка угроз, их последствий, уязвимости информации и средств ее обработки, а также вероятности их возникновения. 2.3 управление рисками: Процесс выявления, контроля и минимизации или устранения рисков безопасности, оказывающих влияние на информационные системы, в рамках допустимых затрат. 3 Политика безопасности 3.1 Политика информационной безопасности Цель: обеспечение решения вопросов информационной безопасности и вовлечение высшего руководства организации в данный процесс. Разработка и реализация политики информационной безопасности организации осуществляется высшим руководством путем выработки четкой позиции в решении вопросов информационной безопасности. 3.1.1 Документальное оформление Политика информационной безопасности должна быть утверждена, издана и надлежащим образом доведена до сведения всех сотрудников организации. Она должна устанавливать ответственность руководства, а также излагать подход организации к управлению информационной безопасностью. Как минимум, политика должна включать следующее: а) определение информационной безопасности, ее общих целей и сферы действия, а также раскрытие значимости безопасности как инструмента, обеспечивающего возможность совместного использования информации; б) изложение целей и принципов информационной безопасности, сформулированных руководством; в) краткое изложение наиболее существенных для организации политик безопасности, принципов, правил и требований, например: 1) соответствие законодательным требованиям и договорным обязательствам; 2) требования в отношении обучения вопросам безопасности; 3) предотвращение появления и обнаружение вирусов и другого вредоносного программного обеспечения; 4) управление непрерывностью бизнеса; 5) ответственность за нарушения политики безопасности; г) определение общих и конкретных обязанностей сотрудников в рамках управления информационной безопасностью, включая информирование об инцидентах нарушения информационной безопасности; д) ссылки на документы, дополняющие политику информационной безопасности, например, более детальные политики и процедуры безопасности для конкретных информационных систем, а также правила безопасности, которым должны следовать пользователи. Такая политика должна быть доведена до сведения всех сотрудников организации в доступной и понятной форме. 3.1.2 Пересмотр и оценка Необходимо, чтобы в организации назначалось ответственное за политику безопасности должностное лицо, которое отвечало бы за ее реализацию и пересмотр в соответствии с установленной процедурой. Указанная процедура должна обеспечивать осуществление пересмотра политики информационной безопасности в соответствии с изменениями, влияющими на основу первоначальной оценки риска, например, путем выявления существенных инцидентов нарушения информационной безопасности, появление новых уязвимостей или изменения организационной или технологической инфраструктуры. Периодические пересмотры должны осуществляться в соответствии с установленным графиком и включать: - проверку эффективности политики, исходя из характера, числа и последствий зарегистрированных инцидентов нарушения информационной безопасности; - определение стоимости мероприятий по управлению информационной безопасностью и их влияние на эффективность бизнеса; Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 все
Только авторизованные пользователи могут оставлять комментарии - авторизация, а если Вы впервые, то нужно зарегистрироваться в системе
|
Вопрос специалисту
На нашем сайте Вы можете бесплатно задать вопрос специалисту
Видео Документы для скачивания |