Организационные меры по защите информации

1. Создание группы по информационной безопасности. На уровне КИБ формируется группа, на уровне ПИБ детализируются:
   
   • правила внесения в КИБ и ПИБ изменений, принятие их новых версий, согласование списков ответственных лиц;
   • отслеживание и анализ важных изменений в структуре информационных ресурсов компании на предмет выявления новых угроз;
   • изучение и анализ инцидентов с безопасностью;
   • принятие инициатив по усилению мер безопасности.


2. Координацию вопросов, связанных с внедрением средств обеспечения ИБ. На уровне КИБ определяются ответственные лица, на уровне ПИБ детализируются:
   
   • выработка соглашений о разграничении ответственности за обеспечение ИБ внутри организации;
   • выработка специальных методик и политик, связанных с информационной безопасностью: анализ рисков, классификация систем и информации по уровням безопасности;
   • поддержание в организации информационной безопасности, в частности регулярное информирование персонала по этим вопросам;
   • обеспечение обязательности учета вопросов ИБ при стратегическом и оперативном планировании;
   • обеспечение обратной связи (оценка адекватности принимаемых мер безопасности в существующих системах) и координация внедрения средств обеспечения ИБ в новые системы или сервисы;
   • анализ инцидентов в области ИБ, выработка рекомендаций.


3. Распределение ответственности за обеспечение безопасности. На уровне КИБ определяются ответственные лица, на уровне ПИ Б детализируются:
   
   • определение ресурсов, имеющих отношение к ИБ, по каждой системе;
   • разграничение ответственности, закрепленное документально, для каждого ресурса (или процесса) должен быть назначен ответственный сотрудник из числа руководителей;
   • определение и закрепление документально списка прав доступа (матрица доступа) для каждого ресурса.


4. Процесс внедрения новых компонент КИС. Данный пункт излагается на уровне ПИБ и включает:
   
   • правила проверки соответствия новых компонент существующей политике управления пользователями, где указываются цели и задачи пользователей;
   • правила проверки на совместимость с существующими частями системы.