Інструкції та регламенти інформаційної безпеки: другий рівень організаційно-розпорядчої документації СІБ

У статті розглядається роль інструкцій та регламентів у забезпеченні ефективного функціонування системи інформаційної безпеки.

Інструкції та регламенти інформаційної безпеки: другий рівень організаційно-розпорядчої документації СІБ

Регламент vs інструкція

• Регламент - документ, що визначає порядок взаємодії підрозділів та працівників організації в рамках певного процесу ІБ.
• Інструкція – документ, визначальний порядок виконання окремих чи взаємозалежних дій конкретним працівником організації у межах певних процесів ІБ. [1]

Крім того, зустрічається такий вид документа як Методичні рекомендації. Цей документ визначає уніфіковані правила та методи виконання дій (функцій), незалежні від виконавців.

Відмінності між регламентом, інструкцією та методичними рекомендаціями легко пояснити з прикладу, у якому процес моделювання загроз безпеки інформації здійснюється у державних інформаційних системах.

Цей процес починається з визначення та оцінки актуальних загроз безпеці інформації, виникнення яких обумовлено об'єктивними факторами. При цьому обов'язково беруться до уваги відомості із банку даних загроз безпеці інформації ФСТЕК Росії. Згодом документ, що містить опис отриманої моделі загроз для державної інформаційної системи, узгоджується з ФСТЕК Росії та затверджується всередині самої організації.

Правила та формули розрахунку показників актуальності загроз безпеці інформації при цьому беруться з методичних рекомендацій, оскільки ці правила та формули не залежать ні від конкретної інформаційної системи, ні від підрозділу чи посади спеціаліста, який виконує моделювання.

p align="justify"> Процеси моделювання, попереднього узгодження, напрями сформованого документа у ФСТЕК Росії та затвердження моделей загроз безпеці інформації представлені в регламенті, який описує порядок взаємодії конкретних підрозділів організації, умови передачі документа між підрозділами, терміни його розгляду та затвердження.

Послідовність та методи дій спеціаліста ІБ при розробці моделі загроз безпеці інформації наводяться у відповідній інструкції.

У наведеному прикладі сукупність дій з моделювання загроз безпеки інформації рознесена за різними документами відповідно до їх специфіки, описаної вище. Проте буває так, що загальний порядок виконання процесу ІБ, методи виконання окремих дій, деталі виконання процесу на окремих робочих місцях включаються в один загальний документ. Таке об'єднання обґрунтовується зручністю використання – опис усіх деталей процесу можна дізнатися з одного джерела.

Якщо ж опис процесу ІБ розподілено за декількома документами, то них необхідно цілеспрямовано відстежувати єдність термінології, узгодженість дій і задані терміни їх виконання. Ефективність такого підходу передусім визначають однаковість форм документів, які у рамках описуваного процесу, і наявність коректних взаємозв'язків (посилань деякі положення) цих документів у комплекті. [2]

Регламент

Регламент також важливий для організації, як статут для армійських підрозділів. І регламент, і статут пишуться із єдиною метою – забезпечити злагоджені дії як окремих виконавців, і підрозділів загалом.

Щодо регламенту зазначена мета досягається реалізацією наступних принципів формування документа:

• розбивка процесу ІБ на етапи (і/або підпроцеси) із зазначенням ключових моментів (віх);
• цільовказівка ​​для виконавців для досягнення віх процесу ІБ;
• синхронізація дій та взаємна ув'язка підпроцесів ІБ;
• забезпечення узгодженості вимог до входів та виходів підпроцесів;
• використання єдиної термінології та понятійного апарату;

Необхідність регламентації процесів та типи регламентів

Регламент є зведенням правил прийняття рішень виконавцями у певних ситуаціях. Регламенти можуть бути двох типів:

• верхнього рівня – описують загальні принципи, цілі та межі прийняття рішень;
• нижнього рівня – встановлюють варіанти готових рішень (сукупності певних процесів).

Ще однією перевагою регламентації є те, що регламентований процес ІБ легше контролюється (можна провести внутрішній аудит ІБ). А наявність інформації про досягнуті результати (у тому числі проміжні) та про хід процесу дозволяє приймати обґрунтовані управлінські рішення.

Регламентація дає і непрямі позитивні ефекти: з'являється можливість тиражування та масштабування процесів; у процеси легше залучити необхідний персонал та навчити його. Крім того, організація демонструє прозорість своєї роботи під час проведення зовнішнього аудиту та перевірки.

Як правило, регламентації підлягають:

• процеси ІБ, необхідність регламентації яких визначається законодавством [6];
• часто повторювані (типові) процеси ІБ;
• процеси ІБ із великою кількістю учасників.

Як сформувати регламент?

Найменування регламенту

Найменування регламенту має бути коротким, що точно характеризує регламентований процес, що забезпечує правильну класифікацію регламенту в системі локальних нормативних актів організації. Зазвичай, у найменуванні регламенту зазначаються: процес, основні об'єкти процесу, обставини виконання процесу. Наприклад, "Регламент надання віддаленого доступу до інформаційних ресурсів організації". [3]

Зміст регламенту варіюється залежно від предметної області, типу регламенту, прийнятих правил діловодства, масштабу організації та процесу тощо. У зв'язку з цим можна навести лише загальні рекомендації щодо складання регламенту (рисунок 1). [4]

Далі розглянемо складові елементи структури регламенту.

Розділ 1. "Загальні положення"

У розділі описуються: призначення; сферу застосування регламенту; посилання на нормативні (у тому числі локальні) документи, на основі яких розроблено регламент; порядок затвердження, внесення зміни та доповнень до тексту регламенту. У загальних положеннях також міститься короткий опис процесу, що регламентується.

Розділ 1.1. "Призначення"

Даний елемент регламенту лаконічний і в типовому випадку виглядає так: «Цей Регламент визначає порядок».

Розділ 1.2. «Область застосування»

Описується сфера застосування (предметна область) регламенту. В описі сфери застосування бажано вказати:

• основні об'єкти, які задіяні в регламентованому процесі;
• процеси, куди поширюється регламент;
• працівників організації, які задіяні в регламентованому процесі.

Розділ 1.3. «Нормативні посилання» У цьому розділі зазначаються нормативні, методичні та довідкові документи, на підставі (чи з урахуванням) яких розробляється регламент.

Серед документів зазначаються:

• документи із зазначенням їх повних реквізитів, які наказують чи потребують розроблення регламенту (наприклад, закон, підзаконний акт, відомчі вимоги, вимога державного чи галузевого стандарту) [5];
• методичні документи, які є основою для розробки регламенту (наприклад, «Методичні рекомендації щодо розроблення нормативних правових актів, що визначають загрози безпеці персональних даних, актуальні при обробці персональних даних в інформаційних системах персональних даних, що експлуатуються при здійсненні відповідних видів діяльності», затверджені керівництвом 8 Центру ФСБ Росії (№ 149/7/2/6-432 від 31.03.2015).

Розділ 1.4. «Порядок затвердження, внесення змін та доповнень»

Описується порядок затвердження регламенту, внесення змін та доповнень до нього. Вказується, хто із працівників організації уповноважений внести зміни, доповнення чи скасувати регламент.

Розділ 2. «Терміни, визначення та скорочення»

Розділ характеризує предметну область, де реалізується регламентований процес.

У цьому розділі регламенту можуть бути зазначені такі терміни:

• терміни, що вводяться та використовуються в регламенті вперше;
• терміни, які використовуються виключно в рамках цього регламенту;
• загальновживані терміни, якщо їх визначення необхідні для повноти опису процесу, що регламентується.

Джерелами визначень мають бути:

• чинні законодавчі акти Російської Федерації, чинні державні та галузеві стандарти, галузеві та відомчі нормативні документи;
• словники загальних, спеціальних термінів, іноземних слів тощо.

Бажано вказувати джерело визначення. Проте слід пам'ятати, що одному й тому терміну у різних нормативних і методичних документах можуть даватися різні определения. Тому слід обирати визначення термінів із нормативно-методичних документів, базових для розробки даного регламенту, та спиратися на чинне законодавство.

Якщо розробка регламенту потребує створення нового терміна, то бажано враховувати такі основні обмеження:

• у визначенні зазначаються найважливіші відмітні ознаки об'єкта;
• об'єкт не повинен визначатися через себе;
• визначення не повинно містити понять, які не визначені в регламенті (або інших локальних актах організації) або не належать до загальновживаних;
• визначення має бути зрозумілим виконавцям регламентованого процесу.

Зазначимо, можливий варіант, як у організації перелік термінів і скорочень створюється як окремий документ (глосарій). У цьому випадку в даному розділі регламенту можуть бути зазначені терміни з визначеннями, що не увійшли до чинного глосарію.

Розділ 3. «Опис процесу»

У цьому розділі надається опис:

• вимог до об'єктів, задіяних у процесі ІБ;
• складових процес ІБ підпроцесів, функцій (дій) регламентованого процесу ІБ;
• правил та методів роботи.

Для коректного опису процесу необхідно зазначити:

• ціль процесу;
• вхід процесу;
• подія, що запускає процес;
• вихід процесу;
• подія, що завершує процес;
• параметри, правила та методи виконання процесу;
• термін виконання процесу;
• місце виконання процесу (опціонально);
• дії, що виконуються в рамках процесу;
• виконавців процесу;
• засоби документування процесу.

Рекомендується при описі процесу вказати його межі, оскільки правильне визначення меж процесу ІБ значно полегшує роботу організації.

Вхід процесу - об'єкти, на підставі (з використанням) яких виконується процес. Зазначимо, що в регламенті бажано визначити вимоги до параметрів вхідних об'єктів і описати механізм перевірки фактично отриманих вхідних об'єктів на відповідність вимогам, що висуваються до них. Також рекомендується викласти дії у разі виявлення невідповідності.

Вихід процесу – результат виконання процесу. Результатами процесу можуть бути документи, записи тощо. Необхідно наголосити, що вихід процесу не є метою процесу ІБ.

Параметри, правила та методи виконання процесу – об'єкти (як правило, інформаційного характеру: нормативні акти, методики, технології, довідники тощо), що використовуються, але не змінюються під час виконання процесу ІБ.

Подія, що запускає процес. Виконання процесу починається при наступі певних подій (виконанні певних умов). До таких подій можуть належати:

• зовнішню подію (інцидент ІБ);
• ініціатива працівника організації (заявки);
• досягнення порогових значень контрольованих параметрів ІБ;
• планова подія (наприклад, настання термінів).

Подія, що завершує процес. Полягає у досягненні мети процесу. При цьому мають бути отримані усі необхідні вихідні об'єкти. Прикладом події може бути підписання акта приймання виконаних робіт чи одержання атестату відповідності.

Слід мати на увазі, що події, що запускають та завершують процеси, повинні бути узгоджені з готовністю входів та виходів процесів.Процес неспроможна вважатися виконаним коректно, якщо, наприклад, термін виконання наступив, а вхідні об'єкти підготовлені в повному обсязі.

Термін виконання процесу ІБ може визначатися такими способами:

• як загальна тривалість процесу з моменту запуску процесу до завершення;
• як необхідний час завершення процесу.

Виконавці процесу. Без визначення виконавців процес не функціонуватиме. Виконавцем процесу може бути:

• працівник, який обіймає певну посаду;
• підрозділ організації;
• колегіальний орган організації (комісія, комітет, колегія, рада, експертна чи робоча група тощо).

У разі, якщо відразу вказати конкретного виконавця неможливо, то в рамках регламенту має бути визначено роль (сукупність функцій, прав та відповідальності), необхідну для виконання процесу, що регламентується (або його підпроцесів). Надалі на цю роль мають бути призначені (наказом, розпорядженням тощо) конкретні виконавці.

Дії, передбачені процесом, не повинні виходити за рамки обов'язків, встановлених посадовими інструкціями, та закріплених у положеннях про підрозділи організації, положення про колегіальні органи. В іншому випадку необхідно буде ініціювати внесення змін до локальних актів організації.

При описі процесу мають бути перераховані документи, що відображають хід його виконання, а також документи, що обробляються та формуються під час процесу. Форми документів можуть бути уніфікованими, наприклад, у процесах, пов'язаних з урахуванням ключових документів або засобів криптографічного захисту інформації. Також форми можуть бути спеціально розробленими організацією.В останньому випадку необхідно, щоб у додатку до регламенту було наведено форми документів, правила та/або зразки їх заповнення. За текстом регламенту даються посилання відповідні докладання.

Розділ «Опис вимог, процесів, методів роботи» має внутрішню структуру, що відповідає структурі процесу, що регламентується: описуються ієрархія підпроцесів, контрольні точки, вимоги до оброблюваних об'єктів тощо.

Розділ регламенту процесу, присвячений підпроцесам, зазвичай розбивається підрозділи – по одному кожний підпроцес. На початку підрозділу формулюється мета підпроцесу та умови запуску процесу. Подальші дії здійснюються відповідно до малюнку 2.

Вказуються умови завершення процесу, дії, необхідні обліку виконання процесу, та засоби контролю виконання процесу.

Розділ 4. "Відповідальність"

У розділі визначається відповідальність виконавців за невиконання (чи неналежне виконання) регламенту.

Розділ 5. «Контроль»

У цьому розділі описуються засоби контролю над виконанням регламенту загалом.

Під контролем процесу мається на увазі зіставлення фактично отриманих (або проміжних) результатів виконання процесу із запланованими та/або певними відповідним нормативним актом завданнями, критеріями тощо. (у поточному режимі, періодично, вибірково), а також виконання або ініціювання дій, спрямованих на мінімізацію виявлених відхилень, у тому числі дій, пов'язаних із корекцією правил виконання процесу.

Відповідно, при описі засобів контролю у регламенті мають бути зазначені:

• контрольні показники (включаючи правила розрахунку значень, періодичність розрахунку, критичні зони значень, правила дії при досягненні критичних зон);
• працівники, які виконують контрольні функції.

При визначенні працівників (осіб, які беруть участь у проведенні контролю), необхідно враховувати, що у них має бути достатньо прав, щоб впливати на перебіг контрольованого процесу.

Інструкції

Інструкція визначає порядок виконання окремих або взаємопов'язаних дій, що виконуються конкретним підрозділом чи працівником організації у межах певних процесів ІБ.

До інструкції рекомендується включати приклади виконання окремих дій (функцій), використання форм документів тощо. Інструкції доцільно розробляти після погодження регламентів процесів ІБ.

При розробці інструкцій необхідно враховувати вимоги нормативно-методичних документів у сфері захисту інформації, а також вимоги щодо експлуатації виробів, що використовуються в процесі, наведених в експлуатаційній документації на них.

Вимоги до змісту інструкцій аналогічні вимогам до регламентів, з урахуванням спрямованості інструкції на опис порядку виконання дій конкретним працівником організації в рамках певного процесу ІБ.

Інструкція користувача з ІБ

Користувачі інформаційних систем становлять найчисельніше коло осіб, які обробляють інформацію, у тому числі захищається. У цьому, зазвичай, їм характерна низька кваліфікація у питаннях забезпечення ІБ. Цей факт необхідно враховувати під час вибору формату викладу вимог інструкцій.

Важливо коротко і однозначно викласти всі дії користувача щодо забезпечення ІБ в одному документі.

Розділи інструкції повинні охопити всі основні процеси ІБ, в яких задіяний користувач, наприклад:

• правила доступу та роботи з інформацією обмеженого доступу;
• правила захисту автоматизованого робочого місця від несанкціонованого доступу;
• правила створення та використання паролів;
• захист від шкідливого програмного забезпечення;
• використання знімних носіїв інформації та мобільних пристроїв;
• доступ до мережі Інтернет та використання електронної пошти;
• пропускний та внутрішньооб'єктовий режими;
• дії при позаштатних ситуаціях (інцидентах ІБ).

Інструкція адміністратора ІБ

Адміністратори ІБ виконують завдання щодо захисту інформації, що обробляється в інформаційних системах [7]. Для ефективного виконання таких завдань в інструкції необхідно описати як мінімум порядок:

• забезпечення функціонування інформаційних систем відповідно до встановлених в організації вимог інформаційної безпеки;
• забезпечення заданого рівня конфіденційності, доступності та цілісності інформації;
• підготовки та зберігання резервних копій даних, їх періодичної перевірки та знищення;
• створення облікових записів користувача та ведення матриці доступу;
• виявлення та попередження комп'ютерних атак, реагування на інциденти ІБ;
• взаємодії з Національним координаційним центром щодо комп'ютерних інцидентів у частині, що стосується (з урахуванням нормативної правової бази).

До функцій адміністратора ІБ також може належати і періодичний контроль коректності та актуальності прав доступу користувачів до інформаційних ресурсів.

Інструкція відповідального за ІБ

Посадова особа, відповідальна за ІБ, організує процеси ІБ та керує ними. Відповідно в інструкції для нього мають бути відображені такі моменти:

• взаємодія з відповідальними за експлуатацію інформаційних систем та адміністратором безпеки з питань забезпечення захисту інформації та надання користувачам прав доступу;
• організація та проведення внутрішніх розслідувань інцидентів ІБ;
• підвищення обізнаності працівників організації з питань ІХ;
• організація заходів щодо внутрішнього контролю за дотриманням вимог ІБ;
• взаємодія з контрольно-наглядовими органами під час проведення зовнішніх перевірок;
• взаємодії з Національним координаційним центром щодо комп'ютерних інцидентів у частині, що стосується (з урахуванням нормативної правової бази).

Інструкція адміністратора СКЗІ

У зв'язку з тим, що роботу адміністратора засобів криптографічного захисту інформації (СКЗІ) сильно формалізовано нормативно-методичними документами [8], при розробці інструкції необхідно акцентувати увагу на наступному:

• педантичне та чітке виконання процедур обліку ключових документів та СКЗІ, експлуатаційної документації на СКЗІ;
• забезпечення режиму обмеженого доступу до приміщення та до робочих місць, обладнаних СКЗІ;
• оперативне виявлення спроб сторонніх осіб отримати відомості про інформацію, що захищається, про використовувані СКЗІ або ключові документи до них;
• дії під час компрометації криптографічних ключів. [9]

Важливо врахувати

Після розробки регламентів та інструкцій ІБ необхідно провести такі підготовчі заходи в організації:

• провести підбір персоналу ролі виконавців процесу ІБ;
• навчити виконавців процесу ІБ нових правил роботи;
• провести пілотне впровадження регламентів та інструкцій;
• скоригувати документи за наслідками пілотного впровадження;
• визнати такими, що втратили чинність, локальні нормативні акти організації, що раніше регламентували процес ІБ, описаний у розроблених документах;
• ввести в дію нові локальні нормативні акти, що регламентують процес ІБ, описаний у розроблених документах.

Також потрібно мати на увазі, що з прийняттям інструкцій та регламентів може знадобитися проведення модернізації інформаційних систем та систем захисту інформації, внесення змін до штатного розкладу організації.

Використовувані джерела:

[1] Правила зі стандартизації ПР 45.02-97 «Галузева система стандартизації. Принципи розробки нормативних документів.
[2] ОСТ 45.88-96 Галузева система стандартизації. Порядок розроблення керівних документів галузі.
[3] Постанова Уряду Російської Федерації від 16.05.2011 № 373 «Про розробку та затвердження адміністративних регламентів виконання державних функцій та адміністративних регламентів надання державних послуг».
[4] Рекомендації щодо розробки порядку розробки та затвердження адміністративних регламентів виконавчих органів державної влади суб'єктів Російської Федерації виконання державних функцій та надання державних послуг. Схвалено Урядовою комісією з проведення адміністративної реформи 23.11.2010 № 109.
[5] Методичний документ «Заходи захисту інформації в державних інформаційних системах» (утв. Федеральною службою з технічного та експортного контролю 11.02.2014).
[6] ГОСТ Р 7.0.5-2008 «Бібліографічне посилання. Загальні вимоги та правила складання».
[7] «Керівний документ. Захист від несанкціонованого доступу до інформації. терміни та визначення» (утв.Гостехкомісією за Президента Російської Федерації від 30.03.1992).
[8] Наказ ФСБ Росії від 09.02.2005 № 66 «Про затвердження Положення про розробку, виробництво, реалізацію експлуатації шифрувальних (криптографічних) засобів захисту інформації (Положення ПКЗ-2005)».
[9] «Інструкція про організацію та забезпечення безпеки зберігання, обробки та передачі каналами зв'язку з використанням засобів криптографічного захисту інформації з обмеженим доступом, що не містить відомостей, що становлять державну таємницю», затверджена наказом ФАПСІ від 13.06.2001 № 152.

Автор:
Валерій Комаров, начальник відділу забезпечення обізнаності, Управління ІБ, ДІТ міста Москви.

Розробка документів у сфері інформаційної безпеки

Послуги з розробки документації передбачають створення внутрішніх нормативних та організаційно-розпорядчих документів для регламентації наявних ІБ- та ІТ-процесів та систем, приведення внутрішньої документації у відповідність до вимог регуляторів у сфері інформаційної безпеки.

• Розробка технічної та нормативної документації на автоматизовані системи
• Розробка нормативної та організаційної розпорядчої документації у сфері інформаційної безпеки та інформаційних технологій
• Розробка політик та приватних політик (інформаційної безпеки, обробки персональних даних, інформаційної політики тощо)
• Розробка положень (по роботі з системами, засобами захисту інформації, засобами криптографічного захисту інформації, навчання, ризиків і т.д.)
• Розробка моделей загроз, моделей порушника, матриці загроз
• Розробка регламентів (резервного копіювання, зміни ключової інформації тощо)
• Розробка планів (ОНіВС, тестування систем тощо)
• Розробка інструкцій та інших документів

Наявність коректної внутрішньої документації у сфері ІБ є необхідною умовою для ефективного функціонування впроваджених систем, а також отримання ліцензій регуляторів.

Постачальники обладнання та ПЗ:

Публікації

В Росії все більше співробітників використовують особисті мобільні пристрої на робочому місці. Це явище, що отримало назву BYOD (Bring Your Own Device), породило необхідність контролювати такі пристрої та захищати корпоративні дані, що особливо актуально для організацій з підвищеними вимогами до ІБ. Поширення мобільних пристроїв стає одним із драйверів ІБ-ринку в Росії.

Документи з інформаційної безпеки

У законі чітко визначено вимоги до інформаційних систем конфіденційної інформації громадян РФ, наведено регламент необхідних прийняття технічних і організаційних заходів, дозволяють захистити конфіденційні дані громадян РФ від злочинного чи ненавмисного доступу, зміни, заміни, видалення.

ФЗ «Про інформацію, інформаційні технології, захист інформації»

За допомогою цього закону відбувається визначення, закріплення прав на захист даних та інформбезпеки суспільства, компаній в інформсистемах, визначення питань ІБ людей, компаній, державних структур, відомств, муніципальних установ. У документі законодавчо визначається термін «інформація» – відомості, незалежно від форми, де вони представлені.

ФЗ «Про протидію неправомірному використанню інсайдерської інформації»

У ФЗ № 224 визначено дані, які можна віднести до інсайдерської інформації, позначено список осіб, які є інсайдерами, наведено дії, що стосуються маніпулювання ринком. У законі визначено стандарти протиборства незаконної експлуатації інсайдерських даних та маніпулювання ринком, список неправомірних методів застосування інсайдерських даних, обов'язки та процедури їх розповсюдження.

ФЗ «Про банки та банківську діяльність»

Безпека даних, що належать до банківської таємниці, забезпечена згідно зі ст. 26 ФЗ «Про банки та банківську діяльність».

ФЗ «Про Зв'язок»

У законі встановлено нормативно-правова база ведення професійної діяльності у сфері зв'язку в РФ, у тому числі на територіях, що знаходяться в межах компетенції Росії. За допомогою цієї правової бази встановлено повноваження держструктур та держслужб, відомств у сфері зв'язку, нормативно-правові можливості осіб, які беруть участь у діяльності у цій галузі, або використовують послуги зв'язку.

Доктрина інформаційної безпеки

У цьому документі прописані державні та суспільні погляди на процедури, особливості, завдання, особливості реалізації та організації інформаційної безпеки на території РФ. Документ виступає як база для:

• створення проектів забезпечення кібербезпеки у країні;
• розроблення пропозицій щодо покращення процесів організації, технічного підходу, методик, правового забезпечення у сфері інформаційної безпеки в Росії;
• ведення держполітики у сфері забезпечення кібербезпеки у Росії.

Останні зміни до «Доктрини» було внесено у 2016 р.

ФЗ «Про електронний підпис»

Документ, затверджений у 2011 р., містить умови застосування електронного цифрового підпису, специфіку його експлуатації в галузі держуправління, у приватних інформаційних системах. За рахунок електронного цифрового підпису учасники російського ринку мають можливість вести торговельну діяльність в інтернеті за допомогою «Системи електронної торгівлі», виконуючи обмін із контрагентами необхідної документації у цифровому вигляді, справжність якої засвідчується за допомогою електронного підпису.

ФЗ «Про комерційну таємницю»

Закон застосовується у сфері регулювання відносин між різними суб'єктами, пов'язаними з віднесенням конкретних даних до категорії «комерційної таємниці», передачею подібних відомостей, захистом їхньої конфіденційності, секретності.

ФЗ «Про архівну справу»

Закон використовується регулювання відносин між суб'єктами, у яких потрібно зберігати, комплектувати, враховувати, користуватися секретною документацією Архівного фонду Росії та іншої архівної документації, незалежно від форми власності суб'єктів.

Стандарт Центробанку РФ

Стандарт називається "Забезпечення інформбезпеки організація банківської системи РФ". У цій документації прописується процес взаємодії з конфіденційними даними усередині фінансово-кредитних установ.

Угода Basel II

Відповідно до угоди Basel II всі європейські та американські фінансово-кредитні установи зобов'язані мати власний архів відправленої та отриманої електронної кореспонденції з можливістю виконання аналітичної вибірки та гарантією збереження коректності кореспонденції, що зберігається.

Закон HIPPA

Закон HIPPA, ухвалений 1996 р., ухвалює, що «кожна фінансово-кредитна, медична, страхова компанія, яка в процесі своєї діяльності працює з медичними даними клієнтів, повинна зберігати всі свої електронні відомості протягом 6 років з моменту їх отримання».

Закон SOX

Відповідно до закону SOX від 2002 р. кожна публічна організація, яка представлена ​​на американському фондовому ринку, має здійснювати збір, архівування, зберігання протягом 7 років власної електронної кореспонденції.

Шаблони документів з інформаційної безпеки

На нашому сайті можна ознайомитись зі статтею, в якій наведено шаблони та приклади документів з інформаційної безпеки. На кожен шаблон представлено відповідне посилання, яке веде на сайт wikisec.ru.