В Уставе организации (основном документе, в соответствии с которым организация осуществляет свою деятельность), во всех положениях о структурных подразделениях организации (департаментов, управлений, отделов, служб, групп, секторов и т.п.) и в функциональных обязанностях всех сотрудников, участвующих в процессах автоматизированной обработки информации, должны быть отражены требования по обеспечению безопасности информации при работе в АС.
Задачи организации и функции по обеспечению безопасности ИТ её подразделений и сотрудников в перечисленных выше документах должны формулироваться с учётом положений действующего в России законодательства по информатизации и защите информации (Федеральных законов, Указов Президента Российской Федерации, постановлений Правительства Российской Федерации и других руководящих и нормативно-методических документов).
Конкретизация задач и функций структурных подразделений, а также детальная регламентация действий сотрудников организации, их ответственность и полномочия по вопросам обеспечения безопасности информации при эксплуатации АС должны осуществляться как путём дополнения существующих документов соответствующими пунктами, так и путём разработки и введения в действие дополнительных внутренних организационно-распорядительных документов по обеспечению безопасности ИТ.
В целях обеспечения единого понимания всеми подразделениями и должностными лицами (сотрудниками) организации проблем и задач по обеспечению безопасности ИТ в организации целесообразно разработать «Концепцию обеспечения безопасности информационных технологий». В Концепции на основе анализа современного состояния информационной инфраструктуры организации и интересов организации в области обеспечения безопасности ИТ должны определяться основные задачи по защите информации и процессов её обработки, намечаться подходы и основные пути решения данных задач.
Необходимым элементом организации работ по обеспечению безопасности информации, её носителей и процессов обработки в АС организации является категорирование, то есть определение требуемых степеней защищённости (категорий) ресурсов АС (информации, задач, каналов взаимодействия задач, компьютеров, персонала). Для обеспечения управления и контроля за соблюдением установленных требований к защите информации и с целью обеспечения дифференцированного подхода к защите конкретных АРМ различных подсистем АС организации необходимо разработать и принять «Положение об определении требований по защите (категорировании) ресурсов» в АС организации. В этом документе необходимо отразить вопросы взаимодействия подразделений организации при определении требуемой степени защищённости ресурсов АС организации в зависимости от степени ценности обрабатываемой информации, характера обработки и обязательств по обеспечению безопасности информации перед сторонними организациями и физическими лицами.
Целесообразно введение классификации защищаемой информации, включаемой в «Перечень информационных ресурсов, подлежащих защите», не только по уровню конфиденциальности (конфиденциально, строго конфиденциально и т.д.), но и по уровню ценности информации (определяемой величиной возможных прямых и косвенных экономических потерь в случае нарушения её целостности и несвоевременности представления - своевременности решения задач).
В данном Перечне необходимо также указывать подразделения организации, являющиеся владельцами конкретной защищаемой информации и отвечающие за установление требований к режиму её защиты.
Любые изменения состава и полномочий пользователей подсистем АС должны производиться установленным порядком согласно специальной «Инструкции по внесению изменений в списки пользователей АС и наделению их полномочиями доступа к ресурсам системы».
Меры безопасности при вводе в эксплуатацию новых рабочих станций и серверов, а также при изменениях конфигурации технических и программных средств существующих компьютеров в АС должны определяться «Инструкцией по установке, модификации и техническому обслуживанию программного обеспечения и аппаратных средств автоматизированной системы».
Разработка ПО задач (комплексов задач), проведение испытаний разработанного и приобретённого ПО, передача ПО в эксплуатацию должна осуществляться в соответствии с утверждённым «Порядком разработки, проведения испытаний и передачи задач (комплексов задач) в эксплуатацию».
«Инструкция по организации антивирусной защиты» должна регламентировать организацию защиты АС от разрушающего воздействия компьютерных вирусов и устанавливать ответственность руководителей и сотрудников подразделений, эксплуатирующих и сопровождающих АС, за их ненадлежащее выполнение.
«Инструкция по организации парольной защиты» призвана регламентировать процессы генерации, смены и прекращения действия паролей пользователей в автоматизированной системе организации, а также контроль за действиями пользователей и обслуживающего персонала системы при работе с паролями.
При использовании в некоторых подсистемах АС средств криптографической защиты информации и средств электронной цифровой подписи необходим ещё один документ, регламентирующий действия конечных пользователей, - «Порядок работы с носителями ключевой информации».
Для пользователей защищённых АРМ (на которых обрабатывается защищаемая информация или решаются подлежащие защите задачи и на которых установлены соответствующие средства защиты) должны быть разработаны необходимые дополнения к функциональным обязанностям и технологическим инструкциям, закрепляющие требования по обеспечению информационной безопасности при работе в АС и ответственность сотрудников за реализацию мер по обеспечению установленного режима защиты информации.
