ГОСТ Р ИСО/МЭК 17799—2005
6.1.3 Соглашения о конфиденциальности
Соглашения о конфиденциальности или соглашения о неразглашении используются для уведом
ления сотрудников о том. что информация является конфиденциальной или секретной. Сотрудники
обычнодолжны подписыватьтакоесоглашение какнеотъемлемую частьусловийтрудовогодоговора.
Временные сотрудники ипредставители третьих сторон, не попадающие под стандартный трудо
вой договор (содержащий соглашение о соблюдении конфиденциальности), должны подписывать
отдельно соглашение о соблюдении конфиденциальности до того, как им будет предоставлен доступ к
средствам обработки информации.
Соглашения о соблюдении конфиденциальностиследуетпересматриватьпри изменении условий
трудовогодоговора, особенно в случае изменения обязанностей сотрудника или истечении сроков тру
довых договоров.
6.1.4 Условия трудового соглашения
Условия трудовогодоговора должны определятьответственностьслужащего в отношении инфор
мационной безопасности. Там. где необходимо, эта ответственность должна сохраняться и в течение
определенного срока после увольнения с работы. Необходимо указать меры дисциплинарного возде
йствия. которые будут применимы в случае нарушения сотрудником требований безопасности.
Ответственность и права сотрудников, вытекающие из действующего законодательства, напри
мер вчасти законовобавторском праве или законодательства о защите персональныхданных, должны
быть разъяснены персоналу и включены в условия трудового договора. Также должна быть указана
ответственностьв отношении категорирования иуправленияданнымиорганизации-работодателя. Вся
кийраз, при необходимости, вусловияхтрудовогодоговора следуетуказывать, чтоэтаответственность
распространяется и на работу вне помещений организации, и внерабочее время, например, в случае
исполнения работы на дому (7.2.5 и 9.8.1).
6.2 Обучение пользователей
Цель: обеспечение уверенности в осведомленности пользователей об угрозах и проблемах, свя
занныхс информационной безопасностью, и их оснащенности всем необходимымдлясоблюдения тре
бований политики безопасности организации при выполнении служебных обязанностей.
Пользователей необходимо обучать процедурам безопасности и правильному использованию
средств обработки информации, чтобы свести к минимуму возможные риски безопасности.
6.2.1 Обучение и подготовка в области информационной безопасности
Всесотрудникиорганизации и.при необходимости, пользователитретьейстороныдолжны пройти
соответствующее обучение и получать на регулярной основе обновленные варианты политик и проце
дур информационной безопасности, принятых в организации. Обучение сотрудников должно обеспе
чить знание ими требований безопасности, ответственности в соответствии с законодательством,
мероприятийпоуправлению информационнойбезопасностью, атакжезнаниеправильного использова
ниясредств обработки информации, например процедур регистрации всистемах, использования паке
тов программ, прежде чем им будет предоставлен доступ к информации или услугам.
6.3 Реагирование на инциденты нарушения информационной безопасности и сбои
Цель: сведение к минимуму ущерба от инцидентов нарушения информационной безопасности и
сбоев, а также осуществление мониторинга и реагирование по случаям инцидентов.
Об инцидентахнарушения информационнойбезопасностиследуетинформироватьруководствов
соответствии с установленным порядком, по возможности, незамедлительно.
Всесотрудникииподрядчикидолжны бытьосведомлены о процедурахинформированияо различ
ных типах инцидентов нарушения информационной безопасности (нарушение безопасности, угроза,
уязвимостьсистемы илисбой), которые могли бы оказать негативное влияние на безопасностьактивов
организации. Сотрудники иподрядчикидолжны немедленносообщатьолюбыхнаблюдаемыхили пред
полагаемых инцидентахопределенномуконтактномулицу или администраторубезопасности. В органи
зации должны быть установлены меры дисциплинарной ответственности сотрудников, нарушающих
требования безопасности. Для того чтобы иметь возможность реагировать на инциденты нарушения
информационной безопасности должным образом, необходимо собирать свидетельства и
доказательства возможно быстрее после обнаружения инцидента (12.1.7).
6.3.1 Информирование об инцидентах нарушения информационной безопасности
Об инцидентахнарушения информационнойбезопасностиследуетинформироватьруководствов
соответствии с установленным порядком, по возможности, незамедлительно.
Необходимовнедритьформализованнуюпроцедуруинформированияобинцидентах, атакжепро
цедуру реагирования на инциденты, устанавливающие действия, которые должны быть предприняты
ю