Разрабатываем комплект документов по защите информации для персональных данных, государственных информационных систем и объектов КИИ: политики, положения, приказы, регламенты, инструкции. Под требования регуляторов и под вашу реальную работу.
Документы по ИБ либо работают, либо становятся риском на проверке. Формальный комплект «для галочки» не защищает и не спасает от замечаний, если по нему никто не действует. Мы готовим документацию, которая соответствует требованиям и при этом применима на практике.
Организационно-распорядительная документация — это правовая и организационная основа защиты информации. Технические меры без документов не имеют силы: чтобы обязать сотрудника соблюдать правила, ограничить доступ, разграничить ответственность, назначить ответственных — нужны утверждённые документы.
ОРД нужна по двум причинам, и обе реальны.
Наличие определённого состава документов — прямое требование законодательства и регуляторов, а их отсутствие или неполнота — типовое замечание при проверках Роскомнадзора, ФСТЭК, ФСБ. С ужесточением ответственности за нарушения в области персональных данных (оборотные штрафы за повторные утечки по КоАП в редакции 420-ФЗ) корректная документация оператора из формальности превратилась в способ подтвердить, что меры действительно приняты.
Документы фиксируют, как в организации устроена защита: кто отвечает, что можно и нельзя, как действовать в разных ситуациях. Без них правила существуют только в головах отдельных людей и теряются с их уходом.
Состав документов зависит от того, что защищается и под какие требования попадает организация.
Документы оператора персональных данных: политика обработки, положения, приказы о назначении ответственных, порядок доступа, модель угроз, формы согласий и уведомлений, регламенты реагирования на инциденты и запросы субъектов, порядок уведомления Роскомнадзора об обработке и об инцидентах. Под 152-ФЗ, приказ ФСТЭК № 21 и требования Роскомнадзора — с учётом изменений последних лет: уведомление об обработке, порядок действий при утечках и сроки уведомления регулятора.
Документы по защите информации в ГИС: организационно-распорядительная документация системы защиты, приказы, регламенты, инструкции по эксплуатации средств защиты, порядок разграничения доступа — в соответствии с требованиями ФСТЭК к государственным информационным системам.
Документы субъекта КИИ: по категорированию, по созданию и функционированию системы безопасности значимых объектов, регламенты реагирования на инциденты и взаимодействия с ГосСОПКА, порядок доступа и разграничения ответственности — под 187-ФЗ и приказы ФСТЭК.
Точный состав определяется статусом организации и систем. Типовые группы документов:
Политика обработки персональных данных, политика информационной безопасности, положения о защите информации, о разграничении доступа, о работе с носителями и другие.
Приказы о назначении ответственных за защиту информации, за обработку персональных данных, за эксплуатацию средств защиты, об утверждении документов, о вводе в действие.
Порядок доступа к информации и помещениям, порядок работы с учётными записями, регламент реагирования на инциденты, порядок резервного копирования, порядок работы с носителями, порядок реагирования на запросы субъектов ПДн и на утечки.
Инструкции пользователям, администраторам, ответственным за ИБ — что и как делать в повседневной работе.
Модель угроз, акты классификации и категорирования, обоснования принятых решений — если не разработаны отдельно.
Ключевое отличие в подходе. Комплект ОРД легко скачать из интернета или получить шаблоном — и так же легко на нём провалиться. Типовой шаблон не учитывает вашу структуру, ваши системы и вашу реальную работу, поэтому:
Сведения об организации: структура, деятельность, площадки
Перечень информационных систем и обрабатываемой информации
Статус: оператор ПДн, ГИС, субъект КИИ — и результаты категорирования или классификации, если есть
Действующие документы по ИБ, если они разрабатывались
Сведения о применяемых средствах защиты и процессах
Применимые требования: регуляторные, отраслевые, корпоративные
Контакты ответственных за ИБ, ИТ, кадры, юристов для уточнений
Изучаем организацию, системы, процессы, действующие документы, определяем статус и применимые требования.
Формируем перечень документов, необходимых под ваш статус и системы, без лишнего и без пробелов.
Разрабатываем документы под вашу организацию, увязывая их между собой.
Проходим комплект с вами — с ответственными за ИБ, ИТ, кадры, юристами, — дорабатываем.
Передаём готовый комплект и помогаем ввести его в действие: приказы, ознакомление сотрудников, при необходимости обучение.
Комплект организационно-распорядительной документации под ваш статус и системы
Документы, согласованные между собой и с реальной работой организации
Политики, положения, приказы, регламенты, порядки, инструкции
При нескольких режимах (ПДн, ГИС, КИИ) — непротиворечивый единый комплект
Готовность к проверкам Роскомнадзора, ФСТЭК, ФСБ в части документации
При экспертизе имеющихся документов — заключение о пробелах и доработанный комплект
Помощь во вводе документов в действие
Разработать комплект — половина дела. Документы устаревают: меняется законодательство, структура, системы, ответственные. Устаревшая ОРД на проверке хуже, чем её отсутствие: она показывает, что процесс заброшен.
Мы можем не только разработать комплект, но и поддерживать его: обновлять при изменениях в законодательстве и в вашей организации, чтобы документы всегда соответствовали и требованиям, и реальности.
Зависят от статуса организации, числа систем и состава комплекта. На объём влияет:
Статус: оператор ПДн, ГИС, субъект КИИ или несколько режимов сразу
Число информационных систем и площадок
Разработка с нуля или доработка имеющихся документов
Наличие результатов обследования, категорирования, классификации
Нужна ли только разработка или ещё и поддержание в актуальном состоянии
Документы описывают правила, процессы — как работа реально устроена. Часто нужно и то, и другое: процесс определяет, как действовать, документ это закрепляет. Мы делаем оба, но если процессов нет, начинать имеет смысл с них, иначе документы описывают несуществующий порядок.
Формально документы будут, фактически — не ваши. Шаблон не учитывает вашу структуру и системы, поэтому на серьёзной проверке видно, что он формальный, а сотрудники по нему работать не могут. Комплект имеет смысл только под конкретную организацию.
Да. Обследуем то, что фактически развёрнуто, и приводим документацию в соответствие с реальной конфигурацией — независимо от того, кто внедрял. Если по ходу обнаружим, что установленные меры не закрывают требования, скажем об этом: документы должны отражать реальность, но реальность при этом должна отвечать требованиям.
Да. Проведём экспертизу, найдём пробелы и несоответствия, приведём комплект в порядок под действующие требования и вашу реальную работу.
Нет, это единый согласованный комплект. Разрабатываем так, чтобы документы разных режимов не противоречили и не дублировали друг друга, а работали как одно целое.
Документы утверждает руководитель организации — оператора или субъекта. Мы разрабатываем комплект, готовим приказы о вводе в действие и материалы для ознакомления сотрудников, а утверждение и введение в действие остаётся за вашей стороной как за владельцем системы. Помогаем организовать этот этап, чтобы документы не остались неутверждёнными.
Да. Законодательство и организация меняются, и ОРД нужно поддерживать в актуальном состоянии — устаревший комплект на проверке хуже, чем его отсутствие. Можем взять поддержание на себя.
Расскажите об организации — под какой статус нужны документы, есть ли что-то действующее, готовитесь ли к проверке. Определим состав комплекта и предложим план.