Информационные активы компании

"Гражданский кодекс Российской Федерации (часть вторая)" от 26.01.1996 N 14-ФЗ (ред. от 06.04.2015, с изм. от 07.04.2015). Статья 857. Банковская тайна;

Закон РФ от 21.07.1993 N 5485-1 (ред. от 21.12.2013) "О государственной тайне" (21 июля 1993 г.);

Доктрина информационной безопасности Российской Федерации (утверждена Президентом Российской Федерации 9 сентября 2000 года, №Пр-1895);

Федеральный закон Российской Федерации от 7 июля 2003 года №126-ФЗ «О связи»;

Стратегия национальной безопасности Российской Федерации до 2020 года (утверждена Указом Президента Российской Федерации от 12 мая 2009 г. № 537);

Концепция общественной безопасности в Российской Федерации (утверждена Президентом Российской Федерации 20 ноября 2013 года).

Так же существуют ряд нормативных актов, положений и рекомендаций применимых к деятельности компаний в различных сферах:

ГОСТ Р ИСО/МЭК 27001 — 2006 - Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности.

ISO 27002 - The Information Security Standard.

Информационные активы компании

PCI PA-DSS v3.1 – Payment Card Industry (PCI). Payment Application Data Security Standard.PCI DSS v3.1 - Payment Card Industry (PCI). Data Security Standard.

Положение Банка России N 382-П - Положение о требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств.

Разработка правил использования активов компании

Активы компании формируются в результате ее деятельности, являются ее собственностью и подлежат защите.

По характеру использования и порядку предоставления доступа информационные активы (информация) можно разделить на:

•информация общего доступа. Например, ресурсы сети интернет, личная папка на файл-сервере, корпоративный почтовый ящик;

•конфиденциальная информация, изменения в которой или ее разглашение могут привести к финансовому и/или иному ущербу компании.

Правила использования активов компании, регламентируются должностными инструкциями и политиками информационной безопасности. Для каждого актива определяется владелец актива, которому делегируется право распоряжения активом.

Разработка правил использования активов компании

Владельцы активов по согласованию с работниками отдела информационной безопасности определяют порядок их использования, а также перечень категорий работников, которым может быть предоставлено право доступа к активу.

В дальнейшем владелец актива отвечает за использование актива в интересах компании и при предоставлении доступа к активу должен руководствоваться принципами «необходимо для работы» и «минимума полномочий» исходя из служебных обязанностей пользователя.

Комплекс средств защиты информации (и/или применяемое базовое программное обеспечение), применяемый при доступе к конфиденциальной информации должен исключать возможность несанкционированного доступа и обеспечивать регистрацию действий пользователя.

Для обеспечения контроля использования активов компании разрабатывается политика по разграничения доступа к информационным активам и набор рекомендаций по допустимому использованию активов.

Разработка политики обеспечения безопасности мобильных устройств

Политика обеспечения безопасности мобильных устройств призвана регулировать правила использования всех мобильных устройств, принадлежащих компании или сотрудникам, включая смартфоны и планшетные компьютеры, имеющие доступ к корпоративным данным, сетям и системам.

Приложения, используемые сотрудниками на своих личных устройствах, которые хранят или имеют доступ к корпоративным данным, также являются предметом данной политики.

Анализ технических требований к обеспечению безопасности мобильных устройств

Как показывает анализ практик разработки политик информационной безопасности, в первую очередь должен быть составлен перечень устройств, подпадающий под действие политики безопасности.

Все устройства, которым разрешено подключаться непосредственно к внутренним сетевым ресурсам компании, должны быть включены в перечень и находиться под управлением EMM. При этом устройства должны использовать следующие операционные системы: Android 4.x.x или более поздней версии, iOS 8.x или старше.

Также устройства должны хранить все пароли в защищенном хранилище в зашифрованном виде и должны быть настроены на использование безопасного пароля, который соответствует требованиям политики парольной защиты компании.

Эксплуатация устройств обязывает к соблюдению действующих регламентов безопасности - таких как шифрование, защита паролем, блокировка и т.д. Контроль соблюдения данных мер осуществляется отделом ИБ посредством системы управления мобильной инфраструктурой предприятия.

Анализ технических требований к обеспечению безопасности мобильных устройств

Приложения могут быть установлены только с официальных и утвержденных источников платформы. Установка приложений из ненадежных источников должна быть запрещена.

На устройства должны своевременно устанавливаться актуальные обновления и патчи, опубликованные производителем устройства.

Проверка выхода новых обновлений должна проводиться не реже чем 1(один) раз в неделю и применяется, по крайней мере, 1 (один) раз месяц.

Устройства не должны быть подключены к компьютерам, которые не имеют защиты от вредоносных программ и которые не соответствуют корпоративной политике ИБ. Устройства должны быть зашифрованы в соответствии с политиками ИБ компании.

Сотрудники должны быть осторожны при использовании личной и рабочей электронной почты на своих устройствах. Они должны убедиться, что данные компании передаются только через корпоративную систему электронной почты. Если работник подозревает, что данные компании были отправлены с личного электронного адреса, они должны немедленно уведомить отдел ИБ компании.

Ответственность

Работники, нарушившие требования настоящей политики, должны нести ответственность в соответствии с действующим законодательством и локальными нормативными актами компании.

Перечислим основные разделы Политики безопасности:

Разработка политики управления криптографическими ключами

Разработка политики антивирусной защиты Разработка политики антивирусной защиты

Разработка политики сетевой защиты

Исследование политики обеспечения информационной безопасности на всех стадиях жизненного цикла ПО

Управление уязвимостями в информационных системах Порядок реагирования на инциденты информационной безопасности

Пересмотр и актуализация политик безопасности