систем передачи голоса по IP-протоколу (VOIP), систем видеосвязи по IP-протоколу (Skype), систем для удалённого доступа и общего доступа к рабочему столу.
Действия в нестандартных ситуациях
Сотрудники, пользующиеся ресурсами КИС обязаны немедленно ставить в известность своего непосредственного руководителя и/или начальника отдела информационной безопасности и технической защиты, в случае возникновения или возможного возникновения следующих событий:
–разглашения учетных данных; потери, кражи средств аутентификации;
–несанкционированных (произведенных с нарушением установленного порядка) изменений в конфигурации программных или аппаратных средств рабочей станции;
–фактов совершения попыток несанкционированного доступа к ресурсам КИС;
–фактов потери, кражи компьютеров или носителей информации, особенно если они содержали информация ограниченного доступа;
–заражение ПК пользователя вирусами;
–сбоев в работе средств защиты информации;
–в любых других случаях, если, по мнению пользователя, возникают риски нарушения безопасности информации.
Ответственность
Ответственность за выполнение требований Политики возлагается на всех работников, являющихся пользователями КИС.
Любой работник компании, нарушивший требования данного политики, может быть, подвергнут дисциплинарному наказанию, в соответствии с законодательством РФ и трудовым договором.
9
Общие положения
Итак, разработав основные разделы политики, вернемся к общим положениям. В данном разделе должны быть отражены следующие моменты:
–На кого будет распространяться данный документ
(все пользователи КИС; персонал, непосредственно работающий с клиентами) и в какой момент они должны с ним ознакомиться (только при получении первичного доступа
кКИС, при получении первичного доступа к КИС, а также ежегодно в рамках проведения внутренних профилактических работ по обеспечению ИБ);
–Необходимо предупредить работников организации об ответственности и обязанности соблюдения установленных документом правил (каждый пользователь несет персональную ответственность за свои действия и обязан строго соблюдать установленные правила по работе с программными и техническими средствами);
–Обоснование уникальных учетных записей (С целью соблюдения принципа персональной ответственности за свои действия каждому пользователю назначается персональное уникальное имя. Запрещается использовать чужую учетную запись, а также передавать кому-либо свои учетные данные);
–Ресурсы КИС предоставляются пользователям для осуществления ими своих обязанностей, связанных с деятельностью компании. При этом соблюдают принципы разумной достаточности и минимальной необходимости.
(Сотруднику компании разрешается пользоваться только той информацией и в том объеме, которые ему необходимы для выполнения своих должностных обязанностей. Сотрудник не имеет права предпринимать попыток получить доступ к ресурсам КИС, не пройдя процедуру официального получения разрешения на доступ к ресурсам.);
–Осуществление контроля за правильностью обработки информации, ввиду принадлежности информационных ресурсов организации (Информация,
10
циркулирующая в КИС, является собственностью компании. Компания оставляет за собой право протоколировать и контролировать действия работников при обработке информации в КИС);
–Необходимо минимизировать возможность внешнего проникновения в КИС (Пользователи не должны разглашать информацию о процедурах и технической реализации защиты информации в КИС);
–Обязанность работников сообщать о фактах нарушения установленных в документе правил
(Пользователи должны информировать своего непосредственного руководителя и/или уполномоченного сотрудника отдела информационной безопасности и технической защиты обо всех фактах нарушения данной политики).
Контрольные вопросы
1.Дайте определение и опишите основные характеристики политики безопасности.
2.Обоснуйте важность основных положений раздела «Рабочее место». Какие дополнительные требования необходимо ввести для Вашей организации?
3.Опишите как бы Вы ввели процедуру официального получения разрешения на доступ к ресурсам?
4.Составьте список возможностей Вашей организации, реализуемых с помощью сети Интернет. Каких доработок в связи с особенностями работы компании требует раздел «Работа в сети Интернет»?
5.Необходима ли разработка и внедрение политики безопасности в рассматриваемые на практических занятиях организации? Обоснуйте свой ответ.
11
Практическое занятие № 2 Политика «Обработка персональных данных
в организации»
Цель занятия: рассмотрение основных и наиболее важных моментов при разработке политики «Обработка персональных данных в организации» для выбранной организации в соответствии с требованиями законодательства о ПДн [1, 5, 6, 7, 10].
Задачи: определить принципы, порядок и условия обработки персональных данных (ПДн) абонентов, работников организации и иных лиц, чьи ПДн обрабатываются организацией, а также третьими лицами по поручению организации.
Ход работы
Преступим к разработке политики безопасности «Обработка персональных данных (ПДн) в организации» для выбранной организации. Раскроем необходимые в работе определения терминов и сокращений [2].
Термины и сокращения Абонент – физическое или юридическое лицо, с
которым заключен Договор о предоставлении услуг связи;
Персональные данные (ПДн) – любая информация,
относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
Биометрические персональные данные – сведения,
которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных;
Оператор персональных данных – государственный орган, муниципальный орган, юридическое или физическое
12
лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
Обработка персональных данных – любое действие
(операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
Распространение персональных данных – действия,
направленные на раскрытие персональных данных неопределенному кругу лиц;
Предоставление персональных данных – действия,
направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
Уничтожение персональных данных – действия, в
результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
Обезличивание персональных данных – действия, в
результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
13