Организация и управление документооборотом в корпорации (на примере Уфимского филиала ОАО “УРСА Банк”)

– не противоречили друг другу.

В состав документов ОАО  «УРСА Банк» рекомендуется включить документ (классификатор), содержащий перечень и назначение всех документов ОАО «УРСА Банк» (для каждого  из уровней иерархической структуры), регламентирующих деятельность по обеспечению ИБ ОАО «УРСА Банк». Указанный классификатор может быть полезен при осуществлении менеджмента документов ОАО «УРСА Банк», для повышения степени осведомленности сотрудников ОАО «УРСА Банк», а также при выполнении аудита информационной безопасности ОАО «УРСА Банк».

При наличии у организации  БС РФ сети филиалов (территориальных  учреждений) в каждом из филиалов (территориальном  учреждении) рекомендуется иметь  единый для ОАО «УРСА Банк», утвержденный комплект документов по обеспечению ИБ. В случае возникновения необходимости учета специфики конкретных филиалов в них должны быть разработаны собственные документы, учитывающие эту специфику. Рекомендуется, чтобы документы по обеспечению ИБ филиала (территориального учреждения) ОАО «УРСА Банк» базировались на положениях документов по обеспечению ИБ, принятых головной организацией (центральным аппаратом) ОАО «УРСА Банк», и не противоречили им.

Пример требований международного стандарта ISO/IEC 13335-1 к структуре (иерархии) и содержанию внутренних документов ИБ организации приведен в приложении 6.

Состав внутренних документов по обеспечению информационной безопасности

1. Документы первого  уровня

Корпоративная политика ИБ определяет на высоком (общем) уровне цели и задачи обеспечения ИБ ОАО «УРСА Банк», включая способы контроля реализации требований политики ИБ ОАО «УРСА Банк». Корпоративная политика ИБ ОАО «УРСА Банк» определяет содержание, назначение и требования к деятельности по обеспечению ИБ ОАО «УРСА Банк» без указания специфических деталей.

В корпоративной политике ИБ ОАО «УРСА Банк» рекомендуется  определять высокоуровневые правила  и требования к деятельности по управлению рисками, в том числе по анализу  и выработке позиций в отношении  рисков [29].

Корпоративная политика ИБ ОАО «УРСА Банк» может быть представлена как в виде комплекта  документов, так и в виде единого  обобщающего документа.

В корпоративную политику ИБ ОАО «УРСА Банк» рекомендуется  включать следующие положения:

– определение ИБ в  терминах деятельности ОАО «УРСА Банк», области действия политики, целей, задач и принципов обеспечения ИБ ОАО «УРСА Банк»;

– изложение намерения  обеспечения ИБ, направленного на достижение указанных целей и  на реализацию принципов обеспечения  ИБ;

– общие сведения об активах, подлежащих защите, их классификацию;

– модели угроз и нарушителей (внутреннего и внешнего) в соответствии с требованиями раздела 7 СТО БР ИББС-1.0, на противодействие которым ориентирована  корпоративная политика ИБ;

– высокоуровневое изложение правил и требований в области ИБ, представляющих особую важность для ОАО «УРСА Банк»

обеспечение соответствия законодательным актам, нормативным  документам Российской Федерации в  области обеспечения ИБ и нормативным  актам Банка России;

– требования к управлению ИБ;

– требования по предотвращению и обнаружению компьютерных вирусов  и другого вредоносного программного обеспечения;

– требования по управлению непрерывностью бизнеса;

– санкции и последствия  нарушений политики безопасности;

– определение общих  ролей и обязанностей, связанных с обеспечением ИБ, включая информирование об инцидентах ИБ;

– перечень частных политик  ИБ, развивающих и детализирующих положения корпоративной политики ИБ, а также указание подразделений  ОАО «УРСА Банк», ответственных  за их соблюдение и/или реализацию;

– положения по контролю реализации корпоративной политики информационной безопасности ОАО «УРСА  Банк»;

– ответственность за реализацию и поддержку документа;

– условия пересмотра (выпуска новой редакции) документа.

К разработке и согласованию корпоративной политики ИБ рекомендуется привлекать представителей следующих служб ОАО «УРСА Банк», связанных с ее информационной сферой:

– руководство ОАО  «УРСА Банк»;

– профильные подразделения;

– служба информатизации;

– служба безопасности (информационной безопасности).

Корпоративная политика ИБ должна быть утверждена руководителем  ОАО «УРСА Банк» (президентом).

2. Документы второго  уровня

Второй уровень документов по обеспечению ИБ составляют документы, определяющие правила, требования и принципы, используемые применительно к отдельным областям ИБ, видам и технологиям деятельности ОАО «УРСА Банк».

Кроме того, в состав документов данного уровня рекомендуется включить планы работ по обеспечению ИБ организации БС РФ и стандарты  технологий обеспечения ИБ ОАО «УРСА Банк».

Не рекомендуется повторение одинаковых правил в различных частных  политиках. Включение в частную  политику правила, содержащегося в  другой (существующей) политике, целесообразно  осуществлять посредством соответствующей  ссылки. Например, для того чтобы в «Политику обеспечения ИБ информационных банковских технологических процессов» включить требования по антивирусной защите, следует сделать ссылку на «Политику антивирусной защиты» (при ее наличии) [29].

Частные политики формируются на основании принципов, требований и задач, определенных в корпоративной политике ИБ организации БС РФ, с учетом детализации, уточнения и дополнительной классификации активов и угроз, определения владельцев активов, анализа, оценки рисков и возможных последствий реализаций угроз в границах области действия регламентируемой области или технологии.

В частные политики ИБ ОАО «УРСА Банк» рекомендуется  включать положения, определяющие:

– цели и задачи ИБ, на обеспечение которых направлена частная политика;

– область действия политики, определение объектов (активов) защиты, уязвимостей, угроз и оценка рисков, связанных с объектами защиты;

– сведения о виде деятельности, на обеспечение ИБ которой направлено действие положений частной политики, о совокупности банковских технологий, применяемых в рамках выполнения данного вида деятельности, и об основных технологических процессах, реализующих указанные технологии;

– определение субъектов (ролей), на которых распространяется действие документа. В качестве субъектов (ролей) могут рассматриваться как структурные подразделения организации БС РФ, так и отдельные исполнители;

– содержательную часть  документа (требования и правила);

– обязанности по обеспечению  ИБ в рамках области действия частной  политики ИБ, описание функций субъектов (ролей) над управляемыми объектами  в рамках регламентируемых технологических  процессов;

– состав ссылочных документов;

– положения по контролю реализации частной политики ИБ;

– ответственность за реализацию и поддержку документа;

– условия пересмотра документа.

В состав планов работ  по обеспечению ИБ ОАО «УРСА Банк»  рекомендуется включать, но не ограничиваться ими:

– планы по реализации и внедрению процедур, требований и мер обеспечения ИБ;

– планы мероприятий  на случаи возможных инцидентов ИБ;

– планы мероприятий  по обеспечению деятельности в рамках управления ИБ;

– планы мероприятий  по управлению документами, связанными с обеспечением ИБ;

– планы работ по обслуживанию аппаратных средств и программных  систем, используемых для обеспечения  ИБ;

– планы мероприятий  по обучению и повышению осведомленности  служащих ОАО «УРСА Банк».

В планах работ по обеспечению ИБ рекомендуется описывать перечень, порядок, объем (в той или иной форме), сроки выполнения мероприятий по реализации задач обеспечения ИБ ОАО «УРСА Банк», а также указывать руководителей, исполнителей и ответственность за выполнение этих мероприятий.

Планы по обеспечению  ИБ как минимум должны определять:

– последовательность выполнения мероприятий в рамках деятельности по обеспечению ИБ;

– сроки начала и окончания  запланированных мероприятий;

– субъектов (лиц или  структурные подразделения), ответственных за выполнение каждого указанного мероприятия.

Стандарты технологий обеспечения  ИБ ОАО «УРСА Банк» устанавливают  требования и характеристики, предназначенные  для всеобщего и многократного  использования, касающиеся обеспечения  ИБ ОАО «УРСА Банк». Стандарты технологий обеспечения ИБ организации БС РФ могут разрабатываться как в отношении специализированных технологий обеспечения ИБ, так и в отношении технологий, реализуемых банковскими информационными системами.

Структуру и содержание стандартов технологий обеспечения ИБ ОАО «УРСА Банк» рекомендуется разрабатывать на основе требований ГОСТ Р 1.4-2004.

К разработке и согласованию частных политик обеспечения  ИБ рекомендуется привлекать представителей:

– руководства ОАО  «УРСА Банк» и профильных подразделений;

– служб информатизации и безопасности.

Документы второго уровня могут быть утверждены руководителем  ОАО «УРСА Банк» (профильного  подразделения ОАО «УРСА Банк»), его заместителем по вопросам ИБ или  иными должностными лицами, в компетенцию  которых входят вопросы, отраженные в этих документах.

3. Документы третьего  уровня

Третий уровень документов по обеспечению ИБ составляют документы, содержащие требования к процедурам обеспечения ИБ, выполняемым работниками  в рамках технологических процессов, реализующих технологии, требования ИБ к которым определены в частных политиках ОАО «УРСА Банк» [29].

В документах, содержащих требования ИБ к процедурам, выполняемым  как структурными подразделениями  ОАО «УРСА Банк», так и ее работниками, рекомендуется давать детализированные описания порядка выполняемых действий и (или) вводимых ограничений, что должно позволить четко определить правила выполнения задач обеспечения ИБ на каждом рабочем месте, для каждой роли ИБ, а также установить конкретную ответственность за выполнение предписанных требований.

К документам, содержащим требования ИБ к процедурам, относятся, например:

– инструкции по обеспечению  ИБ, в том числе и должностные;

– руководства по обеспечению  ИБ, например, по классификации активов;

– методические указания по обеспечению ИБ;

– документы, содержащие требования к конфигурациям.

Инструкции, руководства, методические указания по обеспечению  ИБ содержат свод правил, устанавливающих  порядок и способ выполнения отдельных  операций по обеспечению ИБ.

К инструкциям, руководствам, методическим указаниям по обеспечению ИБ предъявляются повышенные требования четкости и ясности изложения текста. Документы этого уровня, в отличие от документов вышестоящего уровня, описывают конкретные приемы и порядок действий сотрудников для решения определенных им (например, ролью) задач либо конкретные ограничения.

Рекомендуется, чтобы  инструкции, руководства, методические указания по обеспечению ИБ содержали:

–  определение субъекта (субъектов), деятельность которых регламентируется инструкцией, и/или наименование деятельности, которая описывается инструкцией;

–  ресурсы, необходимые  для выполнения деятельности;

– детальное описание выполняемых операций, включая накладываемые  ограничения, и результат выполнения операций;

– обязанности субъекта (субъектов) в рамках выполнения регламентируемой деятельности;

–  права и ответственность  субъекта (субъектов).

Документы, содержащие требования к конфигурациям, определяют конкретные значения параметров систем и их компонентов, а также способы их настройки, позволяющие обеспечить требуемый уровень ИБ.

Документы, содержащие процедурные  требования ИБ, могут быть утверждены лицами, ответственными за реализацию соответствующих видов деятельности по обеспечению ИБ.

4. Документы четвертого  уровня

Четвертый уровень документов по обеспечению ИБ составляют документы, содержащие записи о результатах реализации деятельности по обеспечению ИБ, регламентированной документами верхних уровней иерархии согласно структуре документов, представленной на рисунке 1. Свидетельства выполненной деятельности совместно с документами более высоких уровней иерархии могут служить документированным доказательством реализации требований ИБ при проведении внутреннего контроля и внешнего аудита ИБ ОАО «УРСА Банк».

К этой группе документов относятся, например:

– реестры и описи (например, опись информационных активов  ОАО «УРСА Банк»);

– регистрационные журналы, в том числе журналы регистрации  инцидентов;

– протоколы (например, протокол проведения испытаний);

– листы ознакомления;

– обязательства (например, обязательства о неразглашении);