Управление информационной безопасностью. Стандарты СУИБ (СИ)

Передача информации может происходить с использованием разных типов средств коммуникаций, включая электронную почту, голос, факсимиле и видео.

Передача ПО может происходить с использованием разных типов носителей, включая загрузку из Интернета и покупку у разработчиков, продающих готовую продукцию.

Соглашения о передаче информации

Меры и средства

Соглашения должны обеспечить безопасную передачу бизнес-информации между организацией и сторонними организациями.

Рекомендация по реализации

Соглашения о передаче информации должны включать следующее:

— обязанности руководства по контролю и уведомлению о передаче, рассылке и получению информации;

— процедуры обеспечения отслеживаемости и неотказуемости;

— минимальные требования технических стандартов упаковки и передачи информации;

— эскроу соглашения (хранятся у третьего лица и вступают в силу только при выполнении определенного условия);

— стандарты идентификации курьера;

— обязанности и ответственности в случае инцидентов ИБ, таких как потери данных;

— использование согласованной системы маркировки чувствительной или критичной информации, обеспечивающей ее немедленное понимание и соответствующую защиту;

— технические стандарты записи и считывания информации и ПО;

— любые специальные меры защиты, требуемые для защиты чувствительных элементов, например, криптография;

— поддержка цепочки поставок транзитной информации;

— применимые уровни контроля доступа.

Следует установить и поддерживать политики, процедуры и стандарты по защите информации и физических носителей во время транзита, которые должны быть отражены в соглашениях о передаче информации.

Содержание ИБ в любом соглашении должно отражать чувствительность содержащейся бизнес-информации.

Соглашения могут быть электронными и ручными и иметь форму формальных контрактов. Специальный механизм передачи конфиденциальной информации должен быть совместимым со всеми организациями и типами соглашений.

Электронный обмен сообщениями

Меры и средства

Информация электронного сообщения должна иметь соответствующую защиту.

Рекомендации по реализации

Необходимо учитывать следующие рекомендации ИБ:

— защита сообщений от несанкционированного доступа, модификации или отказа сервиса, соизмеримая со схемой классификации;

— обеспечение правильной адресации и транспортировки;

— надежность и доступность сервиса;

— законодательные требования, например, по использованию ЭЦП;

— получение одобрения до использования внешних общедоступных услуг, таких как мгновенный обмен сообщениями, социальные сети или разделение файлов;

— строгие уровни аутентификации доступа со стороны общедоступных сетей.

Существует много типов электронного обмена сообщениями, такими как электронная почта, обмен данными и социальные сети, играющие роль в бизнес-коммуникациях.

Соглашение о неразглашении

Меры и средства

Требования к соглашениям о конфиденциальности или неразглашении, отражающие потребности организации в защите информации, следует определить, регулярно пересматривать и задокументировать.

Рекомендации по реализации

Соглашение о конфиденциальности или неразглашении (англ. Non-Disclosure Agreement, NDA) должно отражать требования защиты конфиденциальной информации с применением существующих правовых понятий. Организации следует заключать NDA как со своими сотрудниками, так и с представителями сторонних организаций. Его содержание должно учитывать тип сторонней организации и возможного доступа к конфиденциальной информации или ее обработки.

Чтобы определить требования NDA, необходимо учесть следующие факторы:

— определение информации, подлежащей защите (например, конфиденциальная информация);

— предполагаемый срок действия NDA, включая случаи, когда конфиденциальность потребуется на неопределенный срок;

— необходимые действия при окончании срока действия NDA;

— обязанности и действия подписавших NDA лиц по предотвращению несанкционированного разглашения информации;

— владение информацией, коммерческой тайной и интеллектуальной собственностью и как это касается защиты конфиденциальной информации;

— разрешенное использование конфиденциальной информации и права подписавших NDA лиц по ее использованию;

— право на аудит и мониторинг деятельности, связанной с конфиденциальной информацией;

— условия возврата или уничтожения информации в случае приостановления действия NDA;

— план действий на случай нарушения NDA.

NDA должно соответствовать действующему законодательству и нормативам.

Требования NDA следует пересматривать периодически и в случае изменений, вляющих на эти требования.

NDA защищает информацию организации и обозначает обязанности подписавших его лиц по защите, использованию и неиспользованию информации с учетом своих полномочий и ответственности.