защиты информации будет разрозненной, затратной и далеко не оптимальной.
Определение ролей и обязанностей. К разработке политики безопасности рекомендуется привлечь сотрудников таких подразделений компании, как:
• управление бизнесом,
• техническое управление,
• отдел защиты информации,
• департамент управления рисками,
• департамент системных операций,
• департамент разработки приложений,
• отдел сетевого администрирования,
• отдел системного администрирования,
• служба внутреннего аудита и качества,
• юридический отдел,
• отдел кадров.
2.2.1. Структура политики безопасности
Рекомендуемая структура документов политики безопасности:
• описание основных целей и задач защиты информации,
• определение отношения руководства компании к политике безопасности,
• обоснование путей реализации политики безопасности,
• определение ролей и обязанностей ответственных за организацию режима информационной безопасности в компании,
• определение требуемых правил и норм безопасности,
• определение ответственности за нарушение политики,
• определение порядка пересмотра и контроля положений политики безопасности.
Основное назначение политики безопасности. Основное назначение политики безопасности – информирование сотрудников и руководства компании о существующих требованиях по защите информационных активов компании. Политика также определяет механизмы и способы, используемые для достижения выполнения этих требований. Для этого в политике безопасности должны быть определены показатели и критерии защищенности активов компании, в соответствии с которыми будут приобретаться и настраиваться средства защиты. Политика также служит основой для последующей разработки стандартов, процедур, регламентов безопасности.
Связь со стандартами и процедурами безопасности. Политика безопасности содержит ожидания руководства по обеспечению безопасности, цели и задачи организации режима информационной безопасности. Для того чтобы быть практичной и осуществимой, политика безопасности должна реализовываться в процедурах, руководствах и стандартах, обеспечивающих детальную интерпретацию положений политики безопасности для сотрудников, партнеров и клиентов компании. При этом рекомендуется начинать разработку стандартов, процедур и руководств безопасности после принятия политики безопасности и внедрения соответствующих механизмов контроля выполнения ее требований.
Основные идеи политики безопасности. К основным идеям политики безопасности относятся:
определение ценности информационных
