10 दिनों में एक मानक कैसे बनाया जाए, मैंने पहले बताया था । अब मैं शब्दावली और दस्तावेजों के नाम, उनके अर्थ और प्रलेखन की तैयारी के विभिन्न तरीकों के बारे में बात करना चाहूंगा। बेशक, हर कोई जानता है कि दस्तावेजों को समझना उपयोगी है, लेकिन हर किसी को उन पर ध्यान नहीं देना है। मैं आपको बताऊंगा कि कैसे उन्होंने मेरी निंदा की। यह हिस्सा सूखा और उबाऊ होगा, अपने आप को चाय डालें, कुकीज़ लें। चलो चलते हैं।

इंट्रो विषय बहुत लंबा

कोई भी जीवित भाषा अपनी बारीकियों में सुंदर होती है। और रूसी भाषा दोगुनी सुंदर है। ऐसा शक्तिशाली आधार होने के कारण, रूसी लिपिक कार्यालय (जैसा कि मैं उस भाषा को कहता हूं जिसमें कानून, सरकार के फरमान और अन्य आधिकारिक कागजात लिखे गए हैं) अपनी क्षमताओं के साथ बंदी बनाएंगे। बेशक, अगर आप इसे पढ़ने की कोशिश नहीं कर रहे हैं। यदि इससे बचने का कोई तरीका नहीं है, तो आपको चैंकेरी को सावधानीपूर्वक और माप से पढ़ने की आवश्यकता है, कई बार फिर से पढ़ना, प्रत्येक शब्द में विलंब करना।

यह 2008 था - गर्मी, शुक्रवार। मैंने काम से जल्दी छुट्टी ले ली, ताकि ट्रैफिक जाम में न फंसे, और यखोमरा इलाके में दिमित्रोव्स्की राजमार्ग के साथ कॉटेज में चला गया। यह बहुत तंग था, लेकिन मुस्कराते हुए। ट्रैफिक पुलिस इंस्पेक्टर मुझे रोकता है, दस्तावेज मांगता है और घोषणा करता है कि मैंने एक पैदल यात्री को नहीं छोड़ा है। मैं उससे सहमत नहीं हूं।


तब निरीक्षक मुझे एक प्रस्ताव पर हस्ताक्षर करने की पेशकश करता है और कहता है कि मेरे पास अपील करने के लिए 10 दिन होंगे। खैर, पहले से ही बुरा नहीं है। मैं कागज पर हस्ताक्षर करता हूं और अपने स्वयं के व्यवसाय पर जाता हूं। यह पता चला कि निरीक्षक ने मेरी अज्ञानता का फायदा उठाया।

प्रोटोकॉल? कौन सा प्रोटोकॉल?

अदालत में यह पता चला कि मैंने प्रोटोकॉल पर हस्ताक्षर नहीं किया था, लेकिन निर्णय।

यदि सरकार के प्रतिनिधि ने एक प्रशासनिक अपराध (उदाहरण के लिए, यातायात नियमों) के संकेत देखे, तो उसे एक प्रोटोकॉल तैयार करना चाहिए। प्रोटोकॉल में आप लिख सकते हैं कि आप टिप्पणियों से सहमत नहीं हैं, लेकिन निर्णय में ऐसा कोई कॉलम नहीं है। यानी निर्णय पर हस्ताक्षर करके, मैंने वास्तव में अपना अपराध स्वीकार किया। हाँ, आपके पास आदेश की अपील करने के लिए 10 दिन हैं। लेकिन व्यावहारिक रूप से कोई मौका नहीं है। इस प्रकार, प्रोटोकॉल केवल उल्लंघन का निर्धारण है, और निर्णय पहले से लागू सजा है।

ऐसा लगता है कि कागज के दो टुकड़े हैं, और अलग-अलग परिणाम क्या हैं।

सूचना सुरक्षा के लिए दस्तावेज

किसी भी गतिविधि की तरह, सूचना सुरक्षा प्रक्रियाएं जल्द या बाद में दस्तावेजों की एक निश्चित मात्रा हासिल कर लेती हैं: नीतियां, नियम, निर्देश, नियम, आदि। इन दस्तावेजों में से प्रत्येक एक विशिष्ट समस्या को हल करता है, और उन में भ्रम (ऊपर के उदाहरण के रूप में) बिना असफलता के आपकी गतिविधि को विनाशकारी रूप से प्रभावित करेगा।

इस तरह के दस्तावेज बनाने के लिए, हम घरेलू और पश्चिमी दोनों स्कूलों की उपलब्धियों का उपयोग कर सकते हैं।

पश्चिमी स्कूल

पश्चिमी स्कूल दस्तावेजों के नाम और सामग्री में काफी स्वतंत्र है। सबसे हड़ताली सबूत मानकों की एक श्रृंखला है - आईएसओ 2700x, जिसे हर सुरक्षा गार्ड जानता है।


सामान्य तौर पर, सभी दस्तावेज़ों को चार स्तरों में विभाजित किया जाता है।

• पहले स्तर के राजनेता सबसे "पानी वाले" और "रणनीतिक" हैं। उदाहरण के लिए, “सूचना सुरक्षा नीति LLC रोमास्का की।
• दूसरे स्तर के राजनेता - वैश्विक राजनीति या विशिष्ट प्रक्रियाओं के विशिष्ट पहलुओं को निर्दिष्ट करते हैं। उदाहरण के लिए, "एंटी-वायरस सुरक्षा नीति"।
• निर्देश (तीसरा स्तर) - द्वितीय स्तर की नीति के ढांचे के भीतर कर्मचारियों के विशिष्ट कर्तव्यों का वर्णन करते हैं, उदाहरण के लिए, "केएसपीडी सेगमेंट के एंटीवायरस सुरक्षा के लिए सिस्टम प्रशासक गाइड"।
• रिकॉर्ड्स (चौथे स्तर) - वह सब जो पिछले तीन स्तरों में शामिल नहीं है। एक विशिष्ट खंड पर सेटिंग्स से एक सीएमजी प्रणाली की पार्सिंग घटनाओं के लिए।

इस दृष्टिकोण को लागू करते समय, हमारी वास्तविकताओं में इस मानक के अनुकूलन के साथ समस्याएं पैदा होती हैं। सुरक्षा नीति के आकार के सवाल से सुरक्षा गार्ड के बीच किसी भी संचार को निर्दयी होलीवर में आसानी से बदलना संभव है। अधिकांश सभी आवश्यक जानकारी को एक दस्तावेज़ में संग्रहीत करना पसंद करते हैं, क्योंकि जितने अधिक दस्तावेज़, उतने अधिक समय आपको उनके रिश्तों पर नज़र रखने में खर्च करने की आवश्यकता होती है, और परिवर्तनों के समन्वय और परिचय में महीनों लग सकते हैं। मैं अन्य राय से मिला, लेकिन किसी भी मामले में, निष्कर्ष इस प्रकार है: पश्चिमी विधियां कई आवश्यक बारीकियों को प्रकट नहीं करती हैं।

आइए हम घरेलू अनुभव की ओर रुख करें।

घरेलू स्कूल

डिजाइन प्रलेखन (ESKD) के विकास में ऐसी प्रभावशाली इतिहास और पीढ़ियों का अनुभव होने के बाद, यह आश्चर्य की बात होगी यदि हमारे पास अपनी परंपराएं और कागजी कार्रवाई की समझ नहीं है। यदि आप ध्यान से उसी GOST 34 श्रृंखला को देखते हैं, तो आपको यह जानकर आश्चर्य हो सकता है कि यह काफी तार्किक है और सुविधाजनक भी है। क्या आप किसी भी प्रणाली को शुरू करने से पहले, इसे और अधिक विस्तार से और अधिक विस्तार से (तकनीकी डिजाइन और काम करने के प्रलेखन) में एक ऊपरी-स्तरीय संरचना (वैचारिक डिजाइन) विकसित नहीं करते हैं?

इसलिए, यदि आप एक रूसी कंपनी के लिए दस्तावेज़ विकसित करेंगे, तो आप सबसे अधिक संभावना घरेलू स्कूल के दृष्टिकोण का उपयोग करेंगे। पश्चिमी से इसका मुख्य अंतर शब्दों और नामों पर ध्यान है। उदाहरण के लिए, दस्तावेज़ को "इनपुट सिग्नल और डेटा की सूची" कहते समय, आपको इनपुट सिग्नल, संभवतः आउटपुट सिग्नल और जानकारी समर्थन आवश्यकताओं या सूचना सरणी के विवरण के बारे में जानकारी देखने की उम्मीद है।

लेकिन यहां एक समस्या आपका इंतजार कर सकती है। आपको क्या लगता है कि अंतर क्या हैं:

1. सूचना सुरक्षा नीति,
2. सूचना सुरक्षा विनियमन
3. सूचना सुरक्षा विनियमन?

जब मैंने संगठनात्मक और प्रशासनिक प्रलेखन (एआरडी) के एक सेट को संकलित करने के चरण में स्थानांतरित किया, तो यह प्रश्न मुझे हैरान कर गया। चलिए इसका पता लगाते हैं।

आप नाव को क्या कहते हैं, इसलिए यह तैरती रहेगी

आइए हम मुख्य दस्तावेजों पर ध्यान दें (यदि हम सब कुछ मानते हैं, तो यह पूरी तरह से उबाऊ और निर्बाध होगा)। नीचे वर्णित दृष्टिकोण LANIT की इकाइयों में से एक में सूचना सुरक्षा विभाग के काम में मुख्य है।

क्रम

किसी भी प्रक्रिया का अल्फा और ओमेगा जिसे आप पेपर में स्थानांतरित करना चाहते हैं। पश्चिमी दृष्टिकोण के विपरीत, जहां अधिकृत व्यक्तियों द्वारा अनुमोदन काफी सरल है, हमारे पास आदेश द्वारा प्रस्तुत सभी दस्तावेज हैं। आप अपने काम में किसी भी निर्देश और प्रपत्र का उपयोग कर सकते हैं, लेकिन यदि वे क्रम से दर्ज नहीं किए जाते हैं, तो विचार करें कि आपके पास उनके पास नहीं है।

यह, वैसे, व्यक्तिगत डेटा की सुरक्षा के लिए विशेष रूप से प्रासंगिक है। नियामकों का कोई भी सत्यापन किए गए उपायों की प्रयोज्यता के तथ्य की स्थापना के साथ शुरू होता है। यदि आप किसी भी दस्तावेज में लगे हुए हैं, तो आप एक मसौदा आदेश तैयार करने की सबसे अधिक संभावना है।

आदेश की मुख्य विशिष्ट विशेषताएं निम्नलिखित हैं:

1. यह सामान्य निदेशक द्वारा लागू किया जाता है, यह वह है जो पूरे संगठन को कुछ आवश्यकताओं को वितरित करने का अधिकार रखता है।
2. टीम की मौजूदगी। उदाहरण के लिए, एक सूचना सुरक्षा नीति को लागू करें।
3. जिम्मेदारों की नियुक्ति। आदेश को इंगित करना चाहिए कि आदेश का सार पूरा करने के लिए कौन जिम्मेदार है, उदाहरण के लिए, राजनीति के मामले में, सूचना सुरक्षा के निदेशक।
4. समय सीमा की उपलब्धता। यहाँ सब कुछ स्पष्ट है। उदाहरण के लिए, 2 दिनों के भीतर सूचना सुरक्षा नीति के सभी कर्मचारियों का ध्यान आकर्षित करना।
5. एक पर्यवेक्षक की उपस्थिति। यह हिस्सा अक्सर भुला दिया जाता है, लेकिन यह इंगित करना बेहद वांछनीय है कि आदेश के सार के निष्पादन पर नियंत्रण किसको सौंपा गया है। आमतौर पर, वह या तो सीईओ के साथ रहता है, या जिम्मेदार व्यक्ति को स्थानांतरित कर दिया जाता है।

आदेश व्यक्तिगत डेटा संरक्षण शासन से रिपोर्टिंग रूपों की स्वीकृति के लिए सब कुछ परिचय देता है। चाहे प्रत्येक छींक के लिए अलग-अलग ऑर्डर करना हो या एकल पूल के रूप में अक्सर स्वाद का मामला हो। यदि सब कुछ अलग-अलग क्रम में दर्ज किया गया है, तो एम्बेडेड दस्तावेज़ों को बदलना आसान होगा। यदि एक एकल पूल, तो बातचीत करना और हस्ताक्षर करना आसान है।

नीति

अंत में, हम राजनीति में आ गए। हमारी परंपरा में, यहां प्रस्तुत अन्य लोगों के विपरीत यह अपेक्षाकृत नया दस्तावेज है। नीति की एक विशेषता यह है कि यह प्रक्रियाओं का वर्णन करती है। उदाहरण के लिए, सूचना सुरक्षा सुनिश्चित करने की प्रक्रिया।

एक नीति प्रक्रिया के कामकाज के लिए आवश्यकताओं को आगे बढ़ा सकती है और आवश्यक सुरक्षा और अपवादों का वर्णन कर सकती है।

घरेलू दृष्टिकोण का उपयोग करके, आप किसी भी आकार की नीति बना सकते हैं। मुख्य बात यह है कि आपको पॉलिसी को कार्यों के विवरण और निष्पादकों के बीच जिम्मेदारी के वितरण में बदलने की आवश्यकता नहीं है, इसके लिए विनियम और निर्देश हैं।

स्थिति

राजनीति के विपरीत, विनियमन का उद्देश्य लोगों और इकाइयों की गतिविधियों को विनियमित करना है। विनियमन, सामान्य मामले में, एक संरचनात्मक इकाई (आधिकारिक, सलाहकार या कॉलेजियम निकाय) के गठन की प्रक्रिया, अधिकारों, दायित्वों, जिम्मेदारी और संगठन को नियंत्रित करता है, साथ ही साथ अन्य विभागों और अधिकारियों के साथ इसकी बातचीत।

यानी वास्तव में, विनियम बहुत कम ही प्रक्रियाओं पर लागू होता है, लेकिन यह "सूचना सुरक्षा विभाग पर विनियमन" के रूप में बहुत उपयुक्त होगा।

नियम

विनियमन सबसे विवादास्पद दस्तावेज है। मैं एक कंपनी से मिला जिसमें केवल कई तरह के नियम थे। यह समझा जाना चाहिए कि इसके सार विनियमन में एक अस्थायी दस्तावेज है, कम से कम सूचना सुरक्षा में। यह वही है जो अब "रोड मैप" कहने के लिए फैशनेबल है। नियमन, नीति और विनियमन के विपरीत, विशिष्ट चरणों और उनके कार्यान्वयन का समय निर्धारित करता है।

और अगर कोई समय सीमा है, तो विनियमन निरंतर प्रक्रियाओं पर लागू नहीं होता है, उदाहरण के लिए, पूरी कंपनी की सुरक्षा सुनिश्चित करना या गुणवत्ता नियंत्रण सुनिश्चित करना। यानी "सुरक्षा नीति को लागू करने के लिए विनियमन" हो सकता है, लेकिन "सूचना सुरक्षा के लिए विनियमन" न करना बेहतर है।

निर्देश मैनुअल

निर्देश पदानुक्रम में अंतिम दस्तावेज है, लेकिन महत्व का नहीं। निर्देश उन विशिष्ट चरणों का वर्णन करता है जिन्हें किसी विशेष स्थिति में किया जाना चाहिए, या इसके विपरीत, जो कभी नहीं किया जाना चाहिए। दोनों प्रकार के निर्देशों का सबसे प्रसिद्ध उदाहरण सशस्त्र सेना आंतरिक सेवा चार्टर है।

निर्देश किसी विशेष संरचना से बंधे नहीं हैं, और शायद मुख्य आवश्यकता समझ और पढ़ने में आसानी है।



इस पर मैं समाप्त करना चाहूंगा, मुझे आशा है कि आप अंत तक पढ़ेंगे। मेरी गलतियों को न दोहराएं और दस्तावेजों का अर्थ जानें।