सूचना सुरक्षा पर आंतरिक प्रलेखन के लिए गाइड। क्या, कैसे और क्यों

हमारे पिछले लेखों में से एक में , हमने व्यक्तिगत डेटा की सुरक्षा पर परीक्षकों के लिए दस्तावेजों का एक सेट बनाने के मुद्दे पर छुआ। हमने अपने दस्तावेज़ टेम्प्लेट का लिंक दिया, लेकिन बहुत ही सतही रूप से सूचना सुरक्षा प्रलेखन के विषय पर ध्यान केंद्रित किया।

इस लेख में, मैं विशेष रूप से व्यक्तिगत डेटा के संदर्भ में और सामान्य रूप से सूचना सुरक्षा दोनों के बारे में अधिक विस्तार से इस विषय का खुलासा करना चाहूंगा। ऑपरेटर के पास कौन से दस्तावेज होने चाहिए, जो वैकल्पिक हैं। इस या उस दस्तावेज की मांग कहां से आती है। दस्तावेजों में क्या लिखना है और क्या इसके लायक नहीं है। कट के तहत इस विषय पर बहुत सारे पत्र।

"कागज" सुरक्षा के बचाव में कुछ शब्द

चूंकि लेख तथाकथित "पेपर" सुरक्षा पर ध्यान केंद्रित करेगा, इसलिए मैं सूचना सुरक्षा के इस भाग पर अपनी स्थिति को तुरंत रेखांकित करना चाहूंगा।

"हाथों" के साथ काम करने वाली कई तकनीकी के लिए यह "पेपर" सुरक्षा अक्सर तेज अस्वीकृति और उपेक्षा का कारण बनती है। हालांकि, विचित्र रूप से पर्याप्त है, जब इस तरह की तकनीक उसके निपटान में हार्डवेयर या सॉफ्टवेयर (और कभी-कभी दोनों एक उत्पाद में) का एक नया टुकड़ा हो जाता है, तो वह पहले प्रौद्योगिकी के इस चमत्कार के लिए प्रलेखन से परिचित होना चाहता है।

ऐसी बर्खास्तगी की स्थिति के लिए सबसे आम औचित्य यह है कि ये सभी दस्तावेज कानून की आवश्यकताओं का पालन करने के लिए सिर्फ दिखाने के लिए किए जाते हैं, यह समय की बर्बादी है, आपको दस्तावेजों को बनाए रखने की आवश्यकता है, लेकिन कोई भी ऐसा नहीं करेगा, आदि, आदि।

दुर्भाग्य से, यह स्थिति आधारहीन नहीं है। इन वर्षों में, स्थानीय सुरक्षा गार्ड और लाइसेंसधारियों, इंटीग्रेटरों और अन्य इच्छुक पार्टियों के बीच, सूचना सुरक्षा दस्तावेजों के लिए एक ही दृष्टिकोण का दु: खद अभ्यास विकसित हुआ है। नतीजतन, एक दुष्चक्र तैयार किया गया था - दस्तावेज़ बेकार हैं क्योंकि वे उपेक्षित हैं, और बदले में उन्हें उपेक्षित किया जाता है क्योंकि वे बेकार हैं।

यह आंशिक रूप से इस तथ्य से जटिल है कि अक्सर सूचना सुरक्षा दस्तावेज उन लोगों द्वारा लिखे जाते हैं जो सूचना प्रौद्योगिकी से दूर हैं। आखिर, मैं यह समझने के बिना कि यह वर्चुअलाइजेशन कैसे काम करता है, वर्चुअलाइजेशन टूल की सुरक्षा के बारे में एक अनुभाग कैसे लिख सकता हूं?

इस स्थिति को उलटने के लिए, अच्छे, सूचनात्मक और उपयोगी दस्तावेज बनाना आवश्यक है। इसी समय, इन दस्तावेजों को लागू सूचना सुरक्षा कानून का अनुपालन करना चाहिए। आइए देखें कि इस सब के साथ क्या किया जा सकता है।

स्पष्टीकरण के एक जोड़े

के साथ शुरू करने के लिए, अनावश्यक प्रश्नों और अनुमानों को खत्म करने के लिए, हम कुछ बिंदुओं को स्पष्ट करने के लिए आवश्यक मानते हैं।

1. लेख में हम सूचना के संरक्षण के लिए केवल आंतरिक संगठनात्मक और प्रशासनिक दस्तावेजों (इसके बाद "एआरडी" के रूप में संदर्भित) पर विचार करेंगे। डिजाइन, प्रमाणीकरण और अन्य दस्तावेजों पर विचार नहीं किया जाएगा।
2. हम खतरे के मॉडल पर भी विचार नहीं करेंगे, हालाँकि इसका खाका यहाँ है । एक धमकी मॉडल का विकास एक और कहानी है। टिप्पणियों में लिखें - क्या आपको हैबे पर खतरे का मॉडल विकसित करने के लिए एक मैनुअल की आवश्यकता है?
3. लेख टेम्प्लेट के हमारे सेट पर निर्भर करेगा। यह किसी प्रकार का मानक या आम तौर पर स्वीकृत सेट नहीं है। यह सेट एआरडी के विकास के लिए हमारे विशुद्ध रूप से दृष्टिकोण को दर्शाता है। चूंकि कानून अक्सर इस संबंध में कुछ खास नहीं बताता है, इसलिए दस्तावेजों की पूर्णता और सामग्री के बारे में आपकी अपनी राय हो सकती है और यह सामान्य है!
4. टेम्प्लेट में त्रुटियां और टाइपोस हो सकते हैं। हम खुद लगातार उनमें सुधार करते हैं और उन्हें निखारते हैं।
5. आवश्यकताओं को पूरा करने के संदर्भ में, व्यक्तिगत डेटा (152-illing और उपनियम) और राज्य सूचना प्रणाली (FSTEC के 17 आदेश) के विषय मुख्य रूप से प्रभावित होंगे। इसके अलावा, वित्तीय संगठनों (रूसी संघ के सेंट्रल बैंक की आवश्यकताओं) और विभिन्न मानकों (आईएसओ 2700x और अन्य) के साथ एक और कहानी है - हम उन्हें यहां पर विचार नहीं करेंगे।

दस्तावेजों की पूर्णता

यदि आप जानकारी की सुरक्षा के लिए कानून पर भरोसा करते हैं, तो यह कहने के लिए बहुत कम है कि वास्तव में हमें क्या दस्तावेज विकसित करने चाहिए, इसलिए हमें विभिन्न अप्रत्यक्ष संकेतों पर निर्भर रहना होगा।

उदाहरण के लिए, हम कानून नंबर 152-एफजेड "व्यक्तिगत डेटा पर" के अनुच्छेद 19 का भाग 2 देते हैं। सादे पाठ, कानून का पाठ होगा, इटैलिक में - लेखक के नोट्स।

2. विशेष रूप से व्यक्तिगत डेटा की सुरक्षा हासिल की जाती है:

1) व्यक्तिगत डेटा सूचना प्रणाली में उनके प्रसंस्करण के दौरान व्यक्तिगत डेटा की सुरक्षा के लिए खतरों का निर्धारण; (एक धमकी मॉडल की जरूरत है)

2) व्यक्तिगत डेटा की सुरक्षा के लिए आवश्यकताओं को पूरा करने के लिए आवश्यक व्यक्तिगत डेटा सूचना प्रणालियों में उनके प्रसंस्करण के दौरान व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए संगठनात्मक और तकनीकी उपायों के आवेदन, जिनमें से कार्यान्वयन रूसी संघ की सरकार द्वारा स्थापित व्यक्तिगत डेटा सुरक्षा के स्तर को सुनिश्चित करता है; (अधिकांश भाग के लिए संगठनात्मक उपाय हमारे दस्तावेज हैं, साथ ही यहां वे हमें आगे के कानूनों को पढ़ने के लिए भेजते हैं)

3) निर्धारित तरीके से पारित सूचना सुरक्षा सुविधाओं की अनुरूपता का आकलन करने के लिए प्रक्रियाओं का उपयोग करके;

4) व्यक्तिगत डेटा सूचना प्रणाली के कमीशन से पहले व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए किए गए उपायों की प्रभावशीलता का मूल्यांकन;

5) व्यक्तिगत डेटा के खाता मशीन वाहक को लेना; (जाहिर है कि आपको मशीन मीडिया के लिए लेखांकन जर्नल और विकसित नियमों के कुछ प्रकार की आवश्यकता है)

6) व्यक्तिगत डेटा तक अनधिकृत पहुंच की खोज और उपायों को अपनाना; (घटनाओं का पता लगाने और उनके परिणामों को समाप्त करने के लिए कुछ नियमों को विकसित करना आवश्यक है, एक घटना प्रतिक्रिया टीम को नियुक्त करना आवश्यक हो सकता है)

7) व्यक्तिगत डेटा की पुनर्स्थापना संशोधित या उन्हें अनधिकृत उपयोग के कारण नष्ट कर दिया गया; (बैकअप और पुनर्स्थापना नियमों की आवश्यकता है)

8) व्यक्तिगत डेटा सूचना प्रणाली में संसाधित व्यक्तिगत डेटा तक पहुंच के लिए नियमों की स्थापना, साथ ही व्यक्तिगत डेटा सूचना प्रणाली में व्यक्तिगत डेटा के साथ किए गए सभी कार्यों के पंजीकरण और लेखांकन; (डेटा तक पहुंच की एक प्रणाली का विकास प्रणाली में भूमिकाओं के आधार पर किया जा सकता है, बस सॉफ्टवेयर को ही लॉग को बनाए रखने में सक्षम होना चाहिए जो किस डेटा का उपयोग करने के लिए उपयोग किया जाता है)

9) व्यक्तिगत डेटा की सुरक्षा और व्यक्तिगत डेटा सूचना प्रणाली की सुरक्षा के स्तर को सुनिश्चित करने के लिए किए गए उपायों पर नियंत्रण। (हमें आवधिक निगरानी के लिए एक निश्चित योजना की आवश्यकता है, प्लस, शायद, एक पत्रिका जिसमें ऐसी निगरानी के परिणाम दर्ज किए जाएंगे)

इस उदाहरण के साथ, हम अंतर दिखाना चाहते थे: कानून कैसे लिखा जाता है और वास्तव में हमें इसकी क्या आवश्यकता है। यहां हमें प्रत्यक्ष आवश्यकता नहीं दिखती है "ऑपरेटर को एक धमकी मॉडल विकसित करना चाहिए", लेकिन यह आवश्यकता अभी भी 152-एफजेड के पाठ से अनुसरण करती है, क्योंकि किसी भी आवश्यकता की पूर्ति का दस्तावेजीकरण किया जाता है।

विशेष रूप से, FSTEC हमें ARD की पूर्णता और सामग्री के बारे में बताता है। 2014 में, इस नियामक ने राज्य सूचना प्रणाली में एक पद्धति संबंधी दस्तावेज, सूचना सुरक्षा उपाय जारी किए। व्यंग्य के बिना एक दस्तावेज उत्कृष्ट है, यदि आप FSTEC के 17 वें, 21 वें या अन्य आदेशों के कार्यान्वयन के क्रम में कुछ नहीं समझे (हाँ, हालांकि दस्तावेज़ जीआईएस के लिए अभिप्रेत है, लेकिन FSTEC के साथ सबसे अधिक भाग के लिए उपाय), इसे देखें दस्तावेज़ बहुत स्पष्ट हो सकता है।

इसलिए, इस दस्तावेज़ में, सूचना की सुरक्षा सुनिश्चित करने के लिए FSTEC अधिक व्यापक रूप से रूपरेखा के उपाय करता है और बहुत बार आप इस तरह के पाठ को पा सकते हैं:

सूचना सुरक्षा के लिए संगठनात्मक और प्रशासनिक दस्तावेजों में उपयोगकर्ताओं की पहचान और प्रमाणीकरण के लिए नियमों और प्रक्रियाओं को विनियमित किया जाता है। (IAF.1)

उपयोगकर्ता खातों के प्रबंधन के लिए नियमों और प्रक्रियाओं को सूचना की सुरक्षा के लिए ऑपरेटर के संगठनात्मक और प्रशासनिक दस्तावेजों में विनियमित किया जाता है। (UPD.1)

सूचना प्रवाह के प्रबंधन के नियमों और प्रक्रियाओं को सूचना के संरक्षण के लिए ऑपरेटर के संगठनात्मक और प्रशासनिक दस्तावेजों में विनियमित किया जाता है। (UPD.3)

ठीक है, पहले से ही कुछ है, लेकिन ये नियम और प्रक्रियाएं एक पूरी गाड़ी हैं।

नतीजतन, मुझे अपने आप को एक प्लेट के साथ बंद करना पड़ा, जिसमें सभी दस्तावेजों से सभी आवश्यकताओं को लिखा गया और पूर्ति, गैर-पूर्ति पर नोट्स और नोट्स बनाए।



इस अनुभाग का मुख्य विचार है कि सूचना संरक्षण पर कानून में आवश्यकताओं का पहाड़ है, उनमें से कई के कार्यान्वयन को प्रलेखित करने की आवश्यकता है। चाहे प्रत्येक आवश्यकता के लिए एक अलग दस्तावेज़ बनाना हो या सब कुछ एक बड़ी "आईएस नीति" में मिलाना हो सब पर निर्भर है। सभी अतिरिक्त चीजें जिन्हें हमें दस्तावेजों में पंजीकृत करने की आवश्यकता है, आवश्यकताओं के अनुसार नहीं, बल्कि व्यावहारिक आवश्यकता के आधार पर, बिना किसी समस्या के जोड़ा जाता है।

वैसे, ध्यान दें कि तालिका में और स्वयं दस्तावेजों में, कुछ खंड या पैराग्राफ को "K1" या "K2 +" लेबल किया गया है। इसका मतलब यह है कि एक खंड या पैराग्राफ केवल कक्षा 2 और उससे ऊपर या पहले (अधिकतम वर्ग) की सूचना प्रणालियों के लिए आवश्यक है। वह सब चिह्नित नहीं है जो सभी राज्य सूचना प्रणालियों और आईएसपीडी में किया जाता है।

यह भी स्पष्ट है कि, उदाहरण के लिए, सूचना प्रणाली या अन्य प्रारंभिक स्थितियों की संरचनात्मक और कार्यात्मक विशेषताओं की आवश्यकता होने पर कुछ वर्गों या संपूर्ण दस्तावेजों को भी समाप्त किया जा सकता है। उदाहरण के लिए, हम वीडियो निगरानी के प्रावधान को हटा देते हैं, अगर यह नहीं है। या हम वर्चुअलाइजेशन टूल के संरक्षण से संबंधित सभी वर्गों को हटा देते हैं, अगर यह लागू नहीं होता है।

हमारे टेम्पलेट 4 फ़ोल्डरों में विभाजित हैं:

सामान्य - सभी दस्तावेजों के लिए विकसित करने की आवश्यकता वाले दस्तावेज़ (जैसा कि लागू हो), चाहे वह ISPDn, GIS, स्वचालित प्रक्रिया नियंत्रण प्रणाली या KII वस्तु हो।

केवल जीआईएस - राज्य सूचना प्रणाली या नगरपालिका सूचना प्रणाली के लिए दस्तावेज, जीआईएस और एमआईएस के लिए केवल विशिष्ट दस्तावेज हैं।

पीडी - व्यक्तिगत डेटा की सुरक्षा पर दस्तावेज़ और व्यक्तिगत डेटा की सुरक्षा पर कानून के अनुसार। यदि, उदाहरण के लिए, हमारे पास एक जीआईएस है जिसमें व्यक्तिगत डेटा संसाधित होता है, तो हमें सभी फ़ोल्डरों से दस्तावेज़ बनाने होंगे।

CIPF - क्रिप्टोग्राफ़िक उपकरणों के उपयोग से संबंधित दस्तावेज़, FSB के नियामक दस्तावेजों के कार्यान्वयन के लिए आवश्यक हैं, उन सभी प्रणालियों के लिए विकसित किए जाते हैं जो सूचना सुरक्षा के प्रमाणित क्रिप्टोग्राफ़िक साधनों का उपयोग करते हैं।

आइए दस्तावेजों पर अधिक विस्तार से विचार करें, वे कहां से आए थे और वे किन आवश्यकताओं को पूरा करते हैं।

सामान्य

01 जिम्मेदार व्यक्तियों की नियुक्ति का आदेश और इन व्यक्तियों को निर्देश

यह आदेश नियुक्त करता है: व्यक्तिगत डेटा और सुरक्षा प्रशासक के प्रसंस्करण के आयोजन के लिए जिम्मेदार व्यक्ति।

पहले की नियुक्ति की आवश्यकता संघीय कानून के अनुच्छेद 18.1 द्वारा निर्धारित की गई है:

1. ऑपरेटर को उपाय करने चाहिए ... इस तरह के उपायों में शामिल हो सकते हैं, लेकिन यह सीमित नहीं हैं:

1) ऑपरेटर द्वारा नियुक्ति, जो व्यक्तिगत डेटा के प्रसंस्करण के आयोजन के लिए जिम्मेदार व्यक्ति की एक कानूनी इकाई है;

सुरक्षा प्रशासक - इस मित्र की आवश्यकता के कारण है, उदाहरण के लिए, FSTEC आदेश संख्या 17 के खंड 9:

सूचना प्रणाली में निहित जानकारी की सुरक्षा सुनिश्चित करने के लिए, ऑपरेटर जानकारी की सुरक्षा के लिए जिम्मेदार संरचनात्मक इकाई या अधिकारी (कर्मचारी) को नियुक्त करता है।

ये व्यक्ति इस बात में भिन्न हैं कि "जिम्मेदार" कागज़ के हिस्से में अधिक है, और तकनीकी भाग में "प्रशासक" के लिए।

जिम्मेदार और व्यवस्थापक को उनके कार्यों और अधिकारियों को समझने के लिए, वे निर्देशों के हकदार हैं।

02 सूचना सुरक्षा घटना प्रतिक्रिया टीम (GRIIB) और प्रतिक्रिया निर्देशों के पदनाम पर आदेश

SRIMS का संक्षिप्त नाम, हालांकि थोड़ा हास्यास्पद है, लेकिन काफी आधिकारिक है, जिसे GOST R ISO / IEC TO 18044-2007 "सूचना प्रौद्योगिकी द्वारा पेश किया गया था। सुरक्षा के तरीके और उपकरण। सूचना सुरक्षा हादसा प्रबंधन। "

कई नियामक दस्तावेजों के लिए दस्तावेजों की आवश्यकता होती है। उदाहरण के लिए, पर्सनल डेटा पर कानून का एक ही अनुच्छेद 19। लेकिन अधिक विस्तार से घटनाओं की प्रतिक्रिया का खुलासा एफएसटीईसी के आदेशों में किया गया है।

FSTEC आदेश संख्या 17:

18.2। घटनाओं की पहचान करने और उनका जवाब देने के लिए:

• घटनाओं की पहचान करने और उन्हें जवाब देने के लिए जिम्मेदार व्यक्तियों की पहचान;
• हार्डवेयर, सॉफ्टवेयर और सूचना सुरक्षा उपकरणों के संचालन में सेवा से इनकार, विफलताओं (रिबूट) सहित घटनाओं का पता लगाना और पहचानना, एक्सेस कंट्रोल नियमों का उल्लंघन, जानकारी एकत्र करने के लिए अवैध कार्य, दुर्भावनापूर्ण कंप्यूटर प्रोग्राम (वायरस) और अन्य घटनाओं के परिचय। घटनाओं के लिए अग्रणी;
• उपयोगकर्ताओं और प्रशासकों द्वारा सूचना प्रणाली में घटनाओं की घटना के बारे में घटनाओं की पहचान करने और उन्हें प्रतिक्रिया देने के लिए जिम्मेदार समय पर सूचित व्यक्तियों;
• घटनाओं का विश्लेषण, स्रोतों और घटनाओं के कारणों का निर्धारण करने के साथ-साथ उनके परिणामों का आकलन करना;
• सूचना प्रणाली और सेवा से वंचित होने की स्थिति में या विफलताओं के बाद घटनाओं को खत्म करने के लिए योजना बनाना और उपाय करना, पहुंच नियंत्रण नियमों के उल्लंघन के परिणामों को समाप्त करना, जानकारी एकत्र करने के लिए अवैध कार्यों, दुर्भावनापूर्ण कंप्यूटर प्रोग्राम (वायरस) और अन्य घटनाओं को शामिल करना। घटनाओं के लिए अग्रणी;
• घटनाओं की पुनरावृत्ति को रोकने के लिए योजना बनाना और उपाय करना।

समान दस्तावेज़ कई संगठनात्मक उपायों को बंद करते हैं, उदाहरण के लिए, RSB.1 "दर्ज की जाने वाली सुरक्षा घटनाओं का निर्धारण और उनके भंडारण की अवधि" और SSB.2 "पंजीकृत होने के लिए सुरक्षा घटनाओं के बारे में जानकारी की संरचना और सामग्री का निर्धारण"। इन सभी चीजों को घटना प्रतिक्रिया निर्देशों में इंगित किया जा सकता है ताकि अलग-अलग दस्तावेजों का उत्पादन न हो।

03 उपयोगकर्ता पुस्तिका

इस तरह के निर्देश की आवश्यकता के लिए मुख्य कानूनी औचित्य कानून के सभी स्थानों पर है जहां यह सूचना सुरक्षा मुद्दों पर उपयोगकर्ताओं को निर्देश देने के बारे में कहता है। उदाहरण के लिए, व्यक्तिगत डेटा पर कानून के अनुच्छेद 18.1 का भाग 1:

6) ऑपरेटर के कर्मचारियों को व्यक्तिगत डेटा पर रूसी संघ के कानून के प्रावधानों के साथ सीधे व्यक्तिगत डेटा संसाधित करना, व्यक्तिगत डेटा की सुरक्षा के लिए आवश्यकताओं सहित, व्यक्तिगत डेटा के प्रसंस्करण के बारे में ऑपरेटर की नीति को परिभाषित करने वाले दस्तावेज, व्यक्तिगत डेटा के प्रसंस्करण पर स्थानीय कार्य और (या) इन कर्मचारियों का प्रशिक्षण।

इस तरह के दस्तावेज़ के लिए एक अप्रत्यक्ष आवश्यकता संभावित सुरक्षा सुरक्षा घटनाओं के लिए उपयोगकर्ता की जिम्मेदारी का कानूनी पंजीकरण है। जैसा कि अभ्यास से पता चलता है , ऐसे मामलों में जहां इस तरह के निर्देश मौजूद नहीं हैं और (या) उपयोगकर्ता इससे परिचित नहीं है, एक उपयोगकर्ता जो आईएस की आवश्यकताओं का उल्लंघन करता है, वह सबसे अधिक जवाबदेह नहीं माना जाएगा।

दस्तावेज़ के लिए ही, यहाँ हमने उपयोगकर्ताओं को बकवास के साथ लोड न करने का फैसला किया, जिसकी उन्हें आवश्यकता नहीं थी, दस्तावेज़ को न केवल उद्यम में सूचना सुरक्षा के संबंध में, बल्कि व्यक्तिगत जीवन में सूचना सुरक्षा के मुद्दों पर भी अनुभव करने और उपयोगी बनाने में बहुत मुश्किल नहीं है। उदाहरण के लिए, उन्होंने उदाहरणों के साथ सोशल इंजीनियरिंग के तरीकों का वर्णन किया।

05 सूचना सुरक्षा नीति

संभवतः पूरे सेट से सबसे अधिक ज्वालामुखी दस्तावेजों में से एक। ऊपर याद रखें, हमने दस्तावेज़ "जीआईएस में सूचना की सुरक्षा के उपाय" और एआरडी में लिखे जाने वाले "नियमों और प्रक्रियाओं" की बड़ी संख्या के बारे में लिखा था? दरअसल, "आईबी पॉलिसी" वास्तव में, ऐसे सभी नियमों और प्रक्रियाओं का एक संग्रह है।

यहाँ, शायद, यह "राजनीति" शब्द पर रुकने लायक है। हमें अक्सर बताया जाता है कि हमारा "राजनीति" बहुत लक्षित है, लेकिन वास्तव में उस नाम के साथ एक दस्तावेज अधिक सार और उच्च-स्तर का होना चाहिए। ऐसा हो सकता है, लेकिन यहां सुरक्षा लोगों के रूप में, सबसे पहले, तकनीकी पृष्ठभूमि के साथ, शब्द "राजनीति" जुड़ा हुआ है, उदाहरण के लिए, डोमेन की समूह नीतियों के साथ, जो बदले में विशिष्ट नियमों और सेटिंग्स के साथ जुड़ा हुआ है।

वास्तव में, ऐसे दस्तावेज को क्या कहा जाएगा, यह महत्वपूर्ण नहीं है। यदि आपको "नीति" शब्द पसंद नहीं है, तो आप इसका नाम बदलकर "सूचना सुरक्षा के लिए नियम और प्रक्रियाएं" रख सकते हैं। यह बात नहीं है। मुख्य बात यह है कि ये बहुत ही नियम और प्रक्रियाएं पहले से ही स्पष्ट रूप से होनी चाहिए और विशेष रूप से इस दस्तावेज़ में बताई गई हैं।

हम यहां और अधिक विस्तार से रुकेंगे।

यदि आप एक दस्तावेज़ खोलते हैं और इसके साथ काम करना शुरू करते हैं, तो आप देखेंगे कि कुछ स्थानों पर पाठ का कोई विशिष्ट रिक्त स्थान नहीं है, लेकिन इसके बजाय एक सूखा "वर्णन" है। ऐसा इसलिए है क्योंकि कुछ चीजों का वर्णन नहीं किया जा सकता है ताकि पाठ एक ही समय में विशिष्ट सूचना प्रणालियों के कम से कम आधे हिस्से के लिए उपयुक्त हो। . «» .

, .



, , . , — . , , .

– , . , , , , - . . – , .



– . : .2 « (, , ), (, , ) », .4 « () , , » .

, .

. , , . . – , « » , « » , « » .



.3 « (, , , ) , , ».

, , , « ». , « » - . , .



.3 « () () ». , , .

, - . - - .

. , , .



. « 2 : , , ». , , , « , » .

10 .

( ), . , 2 19 « »:

, :

7) , ;

:

.4

. , , , .

, :

.3 , ,

06

: .2 « , , , , ».

, , , . ., . , , . , , «», , .

07 ...

2 – . 2 , .

: « , , , , ?». , – . , , , - . .

– , . , 1 18.1 « »:

1. … , , :

4) () , , , ;

08-14 ...

08-10 . :

• , , . .;
• (, , , . .);
• (, HDD, ).

. . , . , - . , , , 09 10 .

, . . .

, . . , , . .

01

, . , 17- « , ». , , , « ».

, .

02-03

. , , .

, , .

– , , .

04

17- , ( ) .

01

, , . , , . , . , - .

02

3 « » . , , , . . , .

, , , ( , ). .

03

, . , . , , , (, ). , .

04

! : « ?».

2 18.1 « »:

, , . , - , - , , , - .

, , . , , , .

05-06

, . : , , . , .

07

- , , , .

. . — , – . , , , , .

, . :

1. , ( — ), (), , , , , , .

2. , .

, . « » :

4) — ;

. , – , ( – ).

08

, , , , . , , . . .

09

. . , , . .

10

, . , 4 9 « ».

11

, , . - . , . , — , , .

12

, ( , ).

13

. – . , .

, . , , . ( 2001 ), - , , . , .

निष्कर्ष

हमें उम्मीद है कि सूचना सुरक्षा पर आंतरिक प्रलेखन के लिए यह छोटा गाइड उपयोगी होगा। शायद यह कुछ गड़बड़ लिखा गया था, क्योंकि विषय वास्तव में व्यापक है, और मैं विषय को कई हिस्सों में नहीं खींचना चाहता था। यदि हमने कुछ याद किया और विषय पर प्रश्न हैं, तो हम उन्हें टिप्पणियों में उत्तर देंगे। और, ज़ाहिर है, मुख्य बात यह नहीं भूलना है कि दस्तावेजों में घोषित और वर्णित वास्तव में निष्पादित किया जाना चाहिए, फिर दस्तावेज "दिखावे के लिए" बेकार नहीं होंगे।