ГОСТ Р ИСО/МЭК ТО 13335-3—2007
ционных технологий. Описание этой политики должно включать в себя, по меньшей мере, следующую
информацию:
- сведения о целях и области ее применения;
- цели системы обеспечения безопасности и их соотношение с правовыми и нормативными обяза
тельствами иделовыми целями организации;
- требования, предъявляемые к системе обеспечения безопасности информационных технологий с
точки зрения обеспечения конфиденциальности, целостности, доступности, достоверности и надежности
информации;
- сведения об управлении безопасностью, включающие в себя данные об ответственности и полно
мочиях как организации, так и отдельных лиц:
- вариант подхода к управлению риском, принятый организацией;
- пути и способы определения приоритетов при реализации защитных мер;
- сведения об общем уровне безопасности и остаточном риске, необходимых для осуществления
управления:
- сведения о наличии общих правил контролядоступа (логический контрольдоступа при одновремен
ном контроле физическогодоступа лиц в здания, рабочие помещения, а также к системам и информации);
- сведения о доведении до персонала мер безопасности и обучении лиц. осуществляемом организа
цией:
- сведения об общих процедурах контроля и поддержания безопасности;
- общие проблемы обеспечения безопасности, касающиеся обслуживающего персонала;
- средства и способы доведения сути политики безопасности информационных технологий до всех
заинтересованныхлиц:
- обстоятельства, при которых может быть проведен пересмотр политики безопасности ИТ;
- методы контроля изменений, вносимых в политику безопасности информационныхтехнологий орга
низации.
При разработке политики безопасности информационных технологий с более высокой степеньюдета
лизациидолжны бытьдополнительно рассмотрены следующие вопросы:
- модели и процедуры обеспечения безопасности, распространяющиеся на все подразделения орга
низации;
- использование стандартов;
- процедуры внедрения защитных мер;
- особенности подхода кдополнительно проводящимся мероприятиям, таким как:
проверка действенностисистем обеспечения безопасности,
мониторинг использования средствобеспечения безопасности,
обработка инцидентов, связанных с нарушением безопасности,
мониторингфункционирования системы информационных технологий,
обстоятельства, при которыхтребуется приглашение сторонних экспертов по проблемам обес
печения безопасности.
Примерный перечень вопросов, входящих в состав политики безопасности информационных техно
логий. приведен в приложении А.
Как уже говорилось в настоящемстандарте, результаты проведенного ранее анализа риска и принци
пов управления, проверки действующей системы безопасности и инцидентов, связанных с нарушением
безопасности, могутотразиться на содержании политики обеспечения безопасности информационных тех
нологий. что. в свою очередь, может привести к пересмотру илидоработке ранее сформулированной стра
тегии (или политики) безопасности ИТ.
Для обеспечения поддержки проведении мероприятий, связанных с вопросами безопасности, необ
ходимо.чтобы политика безопасности информационных систем былаодобрена высшим руководством пред
приятия.
На основе содержания политики безопасности информационных технологий необходимо сформули
роватьдирективу. обязательную для всех руководящих работников и служащих. При этом может потребо
ваться получение подписи каждого служащего на документе, содержащем положения о егоответственно
сти за поддержание безопасности в пределах организации. Кроме того,должна быть разработана и реали
зована программа по обеспечению знания и понимания мер безопасности и проведенообучение использо
ванию этих мер.
Должно быть назначенолицо,ответственное за реализацию политики безопасности информационных
технологий и обеспечение соответствия политики требованиям и реальному оостояниюдел в организации.
6