ГОСТ Р ИСО/МЭК 27003—2012
Рисунок D.2 — Исходные данные для разработки политики
Политики могут иметь следующую структуру:
1. Краткое изложение политики — общее описание из одного-двух предложений. (Иногда может объеди
няться с введением).
2. Введение — краткое объяснение предмета политики.
3. Область действия — описывает части или действия организации, находящиеся под влиянием политики.
При необходимости в пункте «Область действия» перечисляются другие политики, подкрепляемые данной поли
тикой.
4. Цели — описание назначения политики.
5. Принципы — описание правил, касающихся действий и решений для достижения целей. В некоторых
случаях может быть полезным определить ключевые процессы, связанные с предметом политики, и затем —
правила выполнения процессов.
6. Сферы ответственности — кто отвечает за действия по выполнению требований политики. В некоторых
случаях этот пункт может содержать описание организационных соглашений, а также сферы ответственности лиц с
определенными ролями.
7. Ключевые результаты — описание результатов, получаемых предприятием, если цели достигнуты.
8. Связанные политики — описание других политик, относящихся к достижению целей, обычно с представ
лением дополнительных подробностей, касающихся отдельных предметов.
П р и м е ч а н и е — Содержание политики может быть организовано различными способами. Напри
мер. организации, которые делают акцент на ролях и сферах ответственности, могут упростить описание целей
и применять принципы конкретно к ролям и сферам ответственности.
Далее приведен пример политики информационной безопасности, показывающий ее структуру и пример
содержания.
Политикаинформационной безопасности (пример)
Крат кое изложение полит ики
Информация всегда должна быть защищена независимо от ее формы и способа ее распространения,
передачи и хранения.
Введение
Информация может существовать во многих различных формах. Она может быть напечатана или написана
на бумаге, храниться в электронном виде, передаваться по почте или с использованием электронных устройств,
показываться на пленках или передаваться устно в процессе общения.
Информационная безопасность — это защита информации от различных угроз, призванная обеспечить
непрерывность бизнес-процессов, минимизировать риск для бизнеса и максимизировать возвращение вложе
ний и обеспечить возможности деловой деятельности.
Область действия
Данная политика подкрепляет общую политику безопасности организации.
Данная политика применяется ко всем сотрудникам организации.
Цели информационной безопасности
1) Понимание и обработка стратегических и оперативных рисков для информационной безопасности,
чтобы они были приемлемы для организации.
2) Защита конфиденциальности информации клиентов, разработок продукции и планов маркетинга.
3) Сохранение целостности материалов бухгалтерского учета.
4) Соответствие общих веб-сервисов и внутренних сетей соответствующим стандартам доступности.
Принципы информационной безопасности
1)Данная организация способствует принятию рисков и преодолевает риски, которые не могут преодолеть
организации с консервативным управлением, при условии понимания, мониторинга и обработки рисков для
46