Политика информационной безопасности – организационный документ верхнего уровня, утверждённый руководством, который определяет цели защиты информации, принципы, основные требования, роли и ответственность. На её основе разрабатываются частные политики, стандарты, регламенты и инструкции.
Что обычно включает
- Цели и область действия.
- Принципы: минимальные привилегии, разделение обязанностей, управление рисками.
- Роли и ответственность.
- Требования к управлению доступом, паролям, обновлениям, резервному копированию, реагированию на инциденты.
- Порядок контроля и пересмотра.
Частные политики
Политика обработки персональных данных (обязательна к публикации для операторов по 152-ФЗ), политика допустимого использования ресурсов, политика управления доступом, политика резервного копирования и другие.
Стандарты
Подходы к построению политик описаны в ISO/IEC 27001 и 27002, ГОСТ Р ИСО/МЭК 27001, стандартах Банка России для финансовых организаций.
Автоматизация
GRC-платформы помогают вести реестр документов, связывать требования с мерами контроля, проводить ознакомление сотрудников и аудит выполнения.
