Назначение ответственных за внесение изменений в системное ПО, распространение версий и изменение конфигурации

Процесс контроля за внесением изменений, распространением версий и изменением конфигурации ПО касается всех сотрудников ОИТ, ответственных за его эксплуатацию и администрирование. Наблюдение за соблюдением правил внесения изменений возлагается на сотрудников ОИБ.

Политика безопасности должна определять процедуры для взаимодействия с другими организациями, в число которых входят правоохранительные органы, а также другие организации, затронутые инцидентом.

Должны быть назначены сотрудники, ответственные за связь с этими организациями. Во избежание ситуаций, когда невозможно связаться с ответственным сотрудником, необходимо иметь более одного человека для каждой области ответственности.

Политика безопасности должна определять также следующие вопросы:

• Виды контактов с общественностью и ответственного за связь с прессой;
• В каких ситуациях следует обращаться в правоохранительные органы;
• Виды информации, которая может быть доступна общественности и другим организациям.

Помимо определения того, с какими организациями нужно установить связь в случае нарушения безопасности, политикой безопасности также определяются сотрудники (назначаемые из числа администраторов ИС), ответственные за проведение мониторинга внешних источников информации с тем, чтобы оставаться в курсе текущих исследований в этой области, актуальных вопросов и проблем.

Ответственные сотрудники должны использовать списки рассылки и группы новостей для участия в обсуждении представляющих интерес вопросов информационной безопасности, используя ресурсы сети Интернет.

Повинні бути також визначені обязанности руководителя и координаторов работ по восстановлению целостности и/или доступности ресурсов ИС, нарушенных в результате осуществления НСД к информации.

Персонал, принимающий участие в восстановительных работах, назначается из состава ОИТ.

В обязанности руководителя восстановительных работ входит:

• определение жизненно важных функций системы;
• определение максимального допустимого времени простоя системы;
• разработка, контроль исполнения и изменение совокупности организационных мероприятий, проводимых в случае осуществления НСД к информации. Восстановление данных проводится в соответствии с процедурой резервного копирования и восстановления данных;
• постоянный учет и документирование технических и информационных ресурсов ЛВС (в печатном и/или электронном виде, где фигурировали бы все компоненты ИС, их состояния, связи между ними, процессы, ассоциируемые с этими объектами и связями);
• проработка сценариев критических ситуаций, связанных с осуществлением НСД к информационным ресурсам Компании, и процедур восстановления информационных ресурсов и работоспособности ИС;
• разработка программы тренинга обслуживающего персонала ИС по проведению восстановительных работ;
• заключение стратегических союзов с другими предприятиями/организациями (например, с поставщиками программных или технических средств, сервисными центрами) с целью проведения работ по восстановлению работоспособности ИС.

Висновок