ГОСТ Р ИСО ТО 13569—2007
и обеспечение осведомленности в области безопасности поручено руководству на самом высоком
уровне.
Всем заинтересованным сторонам должно быть ясно, что документ политики вступает в силу при
согласовании и утверждении его соответствующими должностными лицами организации. Документдолжен
содержать заявление о намерении организации действовать согласованнос соответствующими местными и
международными правовыми и нормативными структурами и основывать свою программу информацион ной
безопасности на твердых принципах и практических приемах, признанных в национальных и междуна
родных стандартах по безопасности.
Документ политики безопасностидолжен быть практически неизменным. Его изменение должно быть
обусловлено изменениями стратегических целей, воспринимаемого бизнес-риска или событиями, влияю
щими на нормативную и правовую обстановку, в которой функционирует организация. Должностные лица
организации и персонал на уровне правления должны предписывать процедуры и параметры контроля за
внесением изменений.
5.4.1.3 Представительство
В разработке политики должны принимать участие представители различных видов деятельности.
Группа разработки должна включать всебя членов совета директоров, административныхлиц. представи
телей юридической службы, членов комитета по менеджменту риска и аудиторского комитета. Формулируя
политику, группа разработки должна получить данные от специалистов всего предприятия, например спе
циалистов по финансам, физической безопасности и информационным технологиям.
5.4.1.4 Классификация информации
Одним из аспектов реализации политики является классификация информации ограниченного досту
па. Во многом схожиес «совершенно секретными», «секретными» и «несекретными» военными системами
финансовыеучреждения обладают информацией различной степени. Результаты классификации информа
ционных активов показывают, когда следует внедрять «хорошие», «лучшие» или «наилучшие» меры уп
равления. Существует много типов системы классификации. Важным моментом для финансового учрежде
ния является определение классификационныхуровней и использование классификации информации при
вынесении решений о принятии риска. Например, риск, являющийся приемлемым для общественной ин
формации. вероятно,будет неприемлемым для «совершенно секретной» информации. Преимущество клас
сификации информации заключается в обеспечении поддержки руководства вотношении того, как служа
щие должны обращаться с информацией. Если документ, файл или база данных содержат информацию,
относящуюся кразличным иерархическим уровням, с ними следует обращаться всоответствии с процеду
рами. установленнымидля наивысшего классификационного уровня содержащейся в них информации.
Важно отметить, что классификационный уровень информации может меняться в течение срока ее
действия. Внесение изменениядолжно контролироваться согласно политикеорганизации.
5.4.2 Документы практики обеспечения безопасности
Документы практики обеспечения безопасности (далее— документы практики)основаны на содержа
нии документации политики.Данныедокументы определяютобщие стандарты безопасности, которым дол
жна следовать организация. Документы практики отражают намерения и цели, установленные
руковод ством самого высокого уровня при создании программы информационной безопасности, и
документируют намерение реализовать политику независимым от технологии способом.
Областьдействиядокумента прак тики значительно ужедействия документа политики. Вдокумент
практики включают требования обеспече ния безопасности организации и технологии выполнения работ по
ее обеспечению. Объем документа прак тики является переменным и зависит от его содержания.
Числодокументов практики должно быть сведено к минимуму. Число необходимыхдокументов зави
ситот величины организации и ее бизнес-потребностей, а также объема и сложности деятельности органи
зации. Правовая и нормативная среды, оказывающие воздействие на организацию, могут также влиять на
число необходимых документов практики.
Документ практики не является общедоступным’\ По своему характеруэтот документ общего назна
чения является технологически нейтральным. Он является менее абстрактным, чем документ политики и
может оказывать меньшее влияние на всю организацию, поскольку применим только кнекоторым аспектам
деятельности организации. Например, очень простой документ практики может содержатьследующее про
стое утверждение: «Аутентификация доступа к информационным активам организации должна осуществ-
11Возможны обстоятельства, при котором документ практики должен быть представлен регулирующим
органам.
12