ГОСТ Р ИСО/МЭК 17799—2005
12.1.3 Защита учетных записей организации
Важные данные организации необходимо защищать от утраты, разрушения и фальсификации. В
отношении некоторых данных может потребоваться обеспечение безопасности хранения с целью
выполнения законодательныхили регулирующихтребований, а также поддержкиважныхбизнес-прило
жений. В качестве примеров можнопривестиданные, которые могут потребоватьсядлядоказательства
того, что организация работает в рамках установленных законом норм или регулирующих требований,
илисцельюадекватной защитыотгражданскогоили уголовногопреследования, атакже подтверждения
финансового состояния организации для акционеров, партнеров и аудиторов. Период времени хране
ния и содержание данных могут быть установлены в соответствии с государственными законами или
регулирующими требованиями.
Данные необходимо классифицировать по типам, например, бухгалтерские записи, записи баз
данных, журналы транзакций, журналы аудитаиоперационныхпроцедур, каждыйсуказанием периодов
храненияи типов носителейхранимыхданных(бумага, микрофильм, магнитныеили оптические носите
ли). Любыекриптографические ключи, связанные с зашифрованнымиархивами или цифровыми подпи
сями (10.3.2 и 10.3.3). следует хранить безопасным способом и предоставлять к ним, при
необходимости, доступ только авторизованным лицам.
Следует учитывать возможность снижения качества носителей, используемыхдля хранениядан
ных. осуществлять процедуры по хранению иуходу за носителямиданных в соответствии с рекоменда
циями изготовителя.
При использовании электронных носителейданных следует применять процедуры проверки воз
можностидоступа кданным (например, читаемость каксамих носителей, так иформатаданных)в тече
ние периода иххраненияс целью защитыот потери вследствиебудущих изменений в информационных
технологиях.
Системыхраненияданныхследуетвыбиратьтакимобразом, чтобытребуемыеданные могли быть
извлечены способом, приемлемымдля суда, действующего по нормам гражданского илиобщего права,
например, возможностьвывода всехнеобходимыхзаписей вприемлемый период времении в приемле
мом формате.
Необходимо, чтобы система хранения обеспечивала четкую идентификацию данных, а также
период их хранения, установленных законом или регулирующими требованиями. Эта система должна
предоставлять возможности по уничтожению данных после того периода, когда у организации отпадет
потребность в их хранении.
С целью выполнения данных обязательств организации следует:
- разработать руководство в отношении сроков, порядка хранения и утилизации информации;
- составить график хранения наиболее важных данных;
- вести опись источников ключевой информации;
- внедрить соответствующие меры для защиты важной информации от потери, разрушения и
фальсификации.
12.1.4 Защита данных и конфиденциальность персональной информации
В рядестран введены нормы законодательства, в которыхустановлены ограничения в отношении
обработки и передачи персональныхданных (в основном, это касается информации о живущих людях,
которые могут быть идентифицированы по этой информации). Такие ограничения могут налагать обя
занности на тех. кто осуществляет сбор, обработку и распространение личной информации, а также
могут ограничивать возможность передачи этих данных в другие страны.
Соответствие законодательству по защитеданных требует соответствующей структуры управле
ния информационной безопасностью. Лучше всегоэтодостигается при назначениидолжностного лица,
отвечающего за защиту данных путем соответствующего разъяснения менеджерам, пользователям и
поставщикам услуг об их индивидуальной ответственности, а также обязательности выполнения соот
ветствующих мероприятий по обеспечению информационной безопасности. Владельцыданных обяза
ны информировать это должностное лицо о любых предложениях о способах хранения персональной
информации в структуре файла данных, а также знать применяемые нормы законодательства в
отношении защиты личных данных.
12.1.5 Предотвращение нецелевого использования средств обработки информации
Средства обработки информации организации предназначены для обеспечения потребностей
бизнеса.
Руководстводолжно определить уровни полномочий пользователей в отношении использования
средствобработкиинформации. Любоеиспользованиеэтихсредствдля непроизводственныхили неав
торизованных целей, без одобрения руководства, следует расценивать как нецелевое. Если такая дея
тельность выявлена мониторингом или другими способами, то на это следует обратить внимание
51