Иван Трещев - Организационное и правовое обеспечение информационной безопасности. Для студентов и специалистов

– проведение сертификации по требованиям безопасности информации технических, программных и программно-технических СрЗИ, в случае когда на рынке отсутствуют требуемые сертифицированные СрЗИ;

– разработка и реализация разрешительной системы доступа пользователей к обрабатываемой на ИСПДн информации;

– определение подразделений и назначение лиц, ответственных за эксплуатацию СрЗИ, с их обучением по направлению обеспечения безопасности ПДн;

– разработка эксплуатационной документации на ИСПДн и СрЗИ, а также организационно-распорядительной документации по защите информации (приказов, инструкций и других документов);

– выполнение других мероприятий, характерных для конкретных ИСПДн и направлений обеспечения безопасности ПДн.

8.6.8. На стадии ввода в действие АС (ИСПДн, СЗПДн) осуществляются:

– выполнение генерации пакета прикладных программ в комплексе с программными СрЗИ;

– опытная эксплуатация СрЗИ в комплексе с другими техническими и программными средствами в целях проверки их работоспособности в составе ИСПДн;

– приемо-сдаточные испытания СрЗИ по результатам опытной эксплуатации;

– организация охраны и физической защиты помещений ИСПДн, исключающих несанкционированный доступ к техническим средствам ИСПДн, их хищение и нарушение работоспособности, хищение носителей информации;

– оценка соответствия ИСПДн требованиям безопасности ПДн.

9. Ответственность должностных лиц организации за обеспечение защиты информации, содержащей ПДн, на объекте информатизации

9.1. Лицами, ответственными за организацию, обеспечение и выполнение мероприятий по защите ПДн в Организации, являются:

– начальник Организации;

– начальник отдела безопасности;

– начальник отдела информационных технологий;

– системный администратор;

– администратор информационной безопасности;

– начальники отделов Организации;

– работники, допущенные к обработке ПДн в ИСПДн.

Они обязаны:

– не допускать проведения в Организации работ и мероприятий, связанных с использованием ПДн без принятия необходимых мер по защите ПДн;

– определять объекты информатизации, предназначенные для работы с ПДн, организовывать их защиту;

– контролировать работу структурных подразделений Организации и должностных лиц при обработке ПДн.

9.2. Начальник Организации несет ответственность за общую организацию работ по защите информации на объекте информатизации и созданию эффективной СЗПДн этих объектов.

9.3. Начальник отдела безопасности или администратор информационной безопасности несет ответственность за:

– руководство и координацию работ по защите информации на объекте информатизации;

– организацию выполнения требований по защите информации на объекте информатизации;

– обоснованность необходимости создания СЗПДн объекта информатизации;

– разработку организационно-распорядительных документов по защите информации на объекте информатизации;

– организацию разработки технического задания на создание СЗПДн, подготовку проектов договоров со сторонними организациями на выполнение работ по защите информации на объекте информатизации;

– организацию контроля состояния СЗПДн объекта информатизации, соблюдения работниками установленных норм и требований по защите информации;

– организацию контроля охраны помещений объекта;

– совершенствование СЗПДн.

Он имеет право:

– контролировать деятельность структурных подразделений Организации, должностных лиц по выполнению ими требований по защите ПДн;

– участвовать в работе различного рода заседаний, комиссий, экспертных групп Организации при рассмотрении вопросов защиты ПДн;

– вносить предложения начальнику Организации о приостановке работ с ПДн в случае нарушения требований по защите ПДн;

– готовить предложения о привлечении к проведению работ по защите ПДн сторонних организаций, имеющих лицензию на соответствующий вид деятельности.

9.4. Администратор информационной безопасности объекта информатизации Организации несет ответственность за:

сопровождение СрЗИ от несанкционированного доступа;

– непосредственное управление режимами работы и административную поддержку функционирования применяемых специальных программных и программно-аппаратных СрЗИ от несанкционированного доступа;

– настройку и сопровождение в процессе эксплуатации подсистемы управления доступом;

– проверку состояния используемых СрЗИ от несанкционированного доступа, правильности их настройки;

– организацию разграничения доступа;

– учет и контроль состава и полномочий пользователей;

– выполнение требований по обеспечению безопасности при организации технического обслуживания и отправке в ремонт СВТ;

– учет, хранение, прием и выдачу персональных идентификаторов и ключевых дискет ответственным исполнителям;

– контроль учета, создания, хранения и использования резервных и архивных копий массивов данных.

Он обязан:

– разрабатывать проекты годовых планов работ по защите ПДн в Организации, предусматривающих задачи структурным подразделениям по решению конкретных вопросов защиты ПДн, организацию их выполнения, а также контроль за их эффективностью;

– организовывать разработку и согласование методической документации по защите ПДн;

– согласовывать мероприятия по защите ПДн в ИСПДн с начальником Организации;

– определять степень опасности технических каналов утечки информации, различных способов НСД к ПДн, их разрушения (уничтожения) или искажения;

– определять необходимые меры по защите ПДн, организовывать их разработку и реализацию;

– организовывать аттестацию ИСПДн;

– организовывать проведение периодического контроля эффективности мер защиты ПДн, учет и анализ результатов контроля;

– организовывать расследования нарушений в области защиты ПДн и разрабатывать предложения по устранению недостатков и предупреждению подобного рода нарушений;

– анализировать состояние работ по защите ПДн и разрабатывать предложения по совершенствованию системы защиты ПДн в Организации;

– организовывать проведение занятий с работниками Организации по вопросам защиты информации.

9.5. Системный администратор объекта информатизации несет ответственность за:

– выбор типа и версии серверных и клиентских операционных систем, установку, настройку, сопровождение операционных систем серверов;

– обновление справочного и антивирусного программного обеспечения;

– реализацию совместно с администратором информационной безопасности сетевой политики безопасности;