АДМИНИСТРАЦИЯ
РЖЕВСКОГО МУНИЦИПАЛЬНОГО ОКРУГА
ТВЕРСКОЙ ОБЛАСТИ
Р А С П О Р Я Ж Е Н И Е
05.10.2023 № 200-р
Об утверждении Политики информационной
безопасности Администрации Ржевского
муниципального округа Тверской области
Во исполнение распоряжения Правительства Тверской области от 12.10.2017 № 345-рп «Об утверждении Политики информационной безопасности исполнительных органов государственной власти Тверской области, государственных учреждений Тверской области и государственных унитарных предприятий Тверской области», в целях обеспечения защиты информации, обрабатываемой в информационных системах Администрации Ржевского муниципального округа Тверской области:
1. Утвердить Политику информационной безопасности Администрации Ржевского муниципального округа Тверской области. (Приложение).
2. Рекомендовать руководителям структурных подразделений Администрации Ржевского муниципального округа Тверской области в срок до 01.12.2023 обеспечить подготовку и принятие правовых актов, утверждающих Политику информационной безопасности структурных подразделений Администрации Ржевского муниципального округа Тверской области.
3. Признать утратившим силу распоряжение Администрации города Ржева Тверской области от 19.12.2018 № 216-р «Об утверждении Политики информационной безопасности Администрации города Ржева Тверской области».
4. Настоящее распоряжение вступает в силу со дня его подписания.
Глава Ржевского муниципального
округа Тверской области Р.С. Крылов
Приложение к распоряжению
Администрации Ржевского
муниципального округа
Тверской области
от 05.10.2023 № 200-р
Политика
информационной безопасности
Администрации Ржевского муниципального округа Тверской области
Раздел 1. Общие положения.
1.1. Настоящая Политика информационной безопасности Администрации Ржевского муниципального округа Тверской области (далее – Политика) представляет собой совокупность правил, процедур, практических приемов и общих принципов защиты информации, определяющих особенности эксплуатации информационных систем в Администрации Ржевского муниципального округа Тверской области (далее – информационные системы).
1.2. Целями реализации настоящей Политики являются минимизация ущерба от реализации угроз безопасности информации, повышение деловой репутации и корпоративной культуры сотрудников Администрации Ржевского муниципального округа Тверской области при использовании ими информационных технологий.
1.3. В ходе реализации настоящей Политики Администрация Ржевского муниципального округа Тверской области (далее – Администрация) руководствуется следующими принципами:
а) принцип законности, в соответствии с которым все организационные мероприятия должны соответствовать законодательству РФ и законодательству Тверской области в сфере защиты информации;
б) принцип комплексного подхода к обеспечению информационной безопасности, при котором обеспечить её необходимый уровень возможно только путем совокупности организационных мероприятий и технических мер, включающих в себя физическую охрану носителей информации, использование категорий информации для обозначения уровня конфиденциальности документов, подбор и подготовку кадров в сфере информационной безопасности, использование технических средств защиты информации, обучение сотрудников, расследование инцидентов информационной безопасности;
в) принцип непрерывности, в соответствии с которым обеспечение информационной безопасности является постоянным процессом, который состоит из регулярных проверок актуальности угроз информационной безопасности, проверок адекватности мер защиты существующим угрозам информационной безопасности, регулярной модернизации средств защиты информации, своевременного повышения квалификации специалистов, иных мероприятий;
г) принцип специализации, который подразумевает возможность привлекать для проектирования и внедрения специальных программных и технических средств защиты специалистов, имеющих соответствующий опыт, или организации, имеющие лицензию на соответствующий вид деятельности;
д) принцип экономической целесообразности, в соответствии с которым при реализации мероприятий по обеспечению информационной безопасности расходы бюджета Ржевского муниципального округа Тверской области на эти цели соизмеряются с вероятным ущербом от реализации угроз информационной безопасности;
е) принцип своевременности, подразумевающий упреждающий характер мероприятий по обеспечению информационной безопасности, прогнозирование появления угроз информационной безопасности на этапе проектирования информационных систем Ржевского муниципального округа Тверской области и осуществление модернизации средств защиты информации при внесении изменений в существующие информационные системы Ржевского муниципального округа Тверской области;
ж) принцип взаимодействия, предполагающий взаимодействие и распределение зон ответственности между Администрацией и муниципальными учреждениями Ржевского муниципального округа Тверской области, муниципальными унитарными предприятиями Ржевского муниципального округа Тверской области и муниципальными казенными предприятиями Ржевского муниципального округа Тверской области при обеспечении информационной безопасности, а также организацию сотрудничества в этой сфере со сторонними экспертами и организациями – лицензиатами, а также федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации.
1.4. В целях реализации требований настоящей Политики распоряжением Администрации Ржевского муниципального округа Тверской области назначается администратор информационной безопасности из числа сотрудников Администрации.
1.5. Для целей настоящей Политики применяются следующие термины:
а) администратор информационной безопасности – должностное лицо Администрации, ответственное за соблюдение требований в сфере защиты информации;
б) вредоносная программа – программа, предназначенная для осуществления несанкционированного доступа к информации и (или) воздействия на информацию или ресурсы информационной системы;
в) инцидент информационной безопасности – любое непредвиденное или нежелательное событие, которое может нарушить деятельность или информационную безопасность Администрации (утрата услуг, оборудования или устройств, системные сбои или перегрузки, ошибки пользователей, несоблюдение политики информационной безопасности, нарушение физических мер защиты, неконтролируемые изменения информационных систем, сбои программного обеспечения и отказы технических средств, нарушение правил доступа);
г) лицензионное программное средство – программное средство, использование одной или нескольких копий которого осуществляется на основе лицензии – правового инструмента, определяющего использование и распространение программного средства, защищенного авторским правом;
д) масштаб информационной системы:
- федеральный – если информационная система функционирует на территории Российской Федерации (в пределах федерального округа) и имеет сегменты (технические средства информационных систем) в субъектах Российской Федерации, муниципальных образованиях и (или) организациях;
- региональный (межведомственный) – если информационная система функционирует на территории Тверской области и имеет сегменты (технические средства информационных систем) в одном или нескольких муниципальных образованиях Тверской области и (или) подведомственных и иных организациях Тверской области;
- объектовый – если информационная система функционирует на объектах одного федерального органа исполнительной власти, исполнительного органа государственной власти Тверской области, муниципального образования Тверской области и (или) организации и не имеет сегментов (технических средств информационных систем) в территориальных органах, представительствах, филиалах, подведомственных и иных организациях;
е) несанкционированный доступ к информации – доступ к информации, нарушающий установленные правила ее получения;
ж) пользователь информационной системы (средства вычислительной техники) – лицо, участвующее в функционировании информационной системы (средства вычислительной техники) или использующее результаты ее функционирования;
з) программное обеспечение – совокупность программных средств и программных продуктов;
и) программное средство – объект, состоящий из программ, процедур, правил, а также, если предусмотрено, сопутствующих им документов и данных, относящихся к функционированию информационной системы;
к) программный продукт – программное средство, предназначенное для поставки, передачи, продажи пользователю;
л) средство криптографической защиты информации (далее также – СКЗИ) – аппаратные, программно-аппаратные и программные средства, осуществляющее криптографическое преобразование информации для обеспечения ее безопасности;
м) средство вычислительной техники – совокупность программных и технических элементов систем обработки данных, способных функционировать самостоятельно или в составе других систем;
н) сервер – компьютер,выделенный из группы персональных компьютеров для выполнения какой-либо сервисной задачи без непосредственного участия человека;
о) спам – телематическое электронное сообщение, предназначенное неопределенному кругу лиц, доставленное абоненту и (или) пользователю без их предварительного согласия и не позволяющее определить отправителя этого сообщения, в том числе ввиду указания в нем несуществующего или фальсифицированного адреса отправителя;
п) учетная запись «Администратор» – учетная запись пользователя информационной системы, позволяющая вносить изменения в настройки информационной системы, затрагивающие всех пользователей информационной системы (изменение параметров безопасности, установка программного обеспечения, работа с любыми файлами в информационной системе, изменение параметров учетных записей других пользователей).
Раздел 2. Классификация информационных систем Администрации.
2.1. Информационные системы Администрации могут содержать общедоступную информацию и информацию ограниченного доступа.
2.2. В зависимости от категории информации, содержащейся в информационных системах, информационные системы подразделяются на следующие типы:
а) информационные системы, содержащие сведения, представляющие общедоступную информацию;
б) информационные системы, содержащие сведения, составляющие государственную тайну;
в) информационные системы, содержащие служебные сведения ограниченного доступа;
г) информационные системы персональных данных.
Раздел 3. Инвентаризация информационных систем Администрации.
3.1. Инвентаризация информационных систем (далее – инвентаризация) проводится в Администрации по распоряжению Главы Ржевского муниципального округа Тверской области не реже одного раза в год.
Целью инвентаризации является получение полной и достоверной информации об объеме и составе информационных систем и их технических средств для обеспечения безопасности информации при их эксплуатации.
В перечень информационных систем, подлежащих инвентаризации, могут быть включены любые информационные системы, указанные в пункте 2.2 Раздела 2 настоящей Политики, независимо от их местонахождения.
Основанием для проведения инвентаризации в Администрации является распоряжение Администрации Ржевского муниципального округа Тверской области.
3.2. Для проведения инвентаризации создается инвентаризационная комиссия на основании распоряжения Администрации Ржевского муниципального округа Тверской области.
В распоряжении о создании инвентаризационной комиссии устанавливаются сроки проведения инвентаризации, а также персональный состав инвентаризационной комиссии, в который могут быть включены:
а) заместитель Главы Администрации Ржевского муниципального округа Тверской области или управляющий делами Администрации Ржевского муниципального округа Тверской области, ответственный за организацию защиты информации;
б) работник, осуществляющий бухгалтерский (бюджетный) учет;
в) администратор информационной безопасности.
3.3. Инвентаризация включает следующие мероприятия:
а) описание информационной системы, в котором отражаются границы информационной системы, размещение её технических средств и поддерживающей инфраструктуры применительно к организационной структуре Администрации, определяется масштаб информационной системы;
б) определение типа информационной системы в зависимости от категории, обрабатываемой в ней информации;
в) группировка по отдельным признакам (например, по тематикам) файлов, созданных пользователями, не отнесенных ни к одной из информационных систем, но представляющих информационную ценность для Администрации;
г) определение порядка использования информационных систем, в ходе которого уточняется, эксплуатируется ли указанная информационная система только в интересах Администрации или же используется совместно с пользователями других учреждений, указывается количество пользователей информационной системы, а также определяется должностное лицо, ответственное за ее эксплуатацию;
д) уточнение комплекса мероприятий по поддержанию, развитию, совершенствованию и защите информационных систем.
3.4. На основе данных, полученных по итогам инвентаризации, администратор информационной безопасности и/или сотрудник подразделения по информационной безопасности составляет перечень информационных систем Администрации (по форме в соответствии с приложением 1 к настоящей Политике), а также составляет или уточняет перечень данных, подлежащих резервному копированию и хранению в Администрации (приложение 2 к настоящей Политике).
Раздел 4. Управление доступом к информационным системамАдминистрации.
4.1. Основные правила и методы защиты информационных систем от несанкционированного доступа:
а) для управления доступом к информационным системам в Администрации вводится разрешительная система допуска пользователей (обслуживающего персонала) к информационным системам и связанным с их использованием работам и документам;
б) для входа в информационную систему используется парольная аутентификация, при необходимости – другие способы аутентификации;
в) при любом оставлении сотрудником рабочего места средство вычислительной техники информационной системы должно блокироваться и требовать аутентификации для дальнейшего продолжения работы;
г) каждому сотруднику Администрации, имеющему право доступа к информационной системе, присваивается отличная от других учетная запись пользователя;
д) каждый сотрудник при получении переданного ему пароля доступа к информационной системе или иных средств аутентификации информируется, что он предупрежден о необходимости сохранять полученный пароль в тайне, не передавать вверенный ему пароль или иные средства аутентификации третьим лицам, в том числе другим сотрудникам Администрации.
4.2. Разрешительная система допуска пользователей (обслуживающего персонала) к информационным системам и связанным с их использованием работам и документам подразумевает:
а) вход в информационные системы с помощью учетной записи, относящейся к типу «Администратор», разрешен только лицам, уполномоченным на выполнение административных функций в информационных системах;
б) вход в информационные системы остальным пользователям разрешен только с использованием ограниченной учетной записи, позволяющей им обрабатывать информацию в данных информационных системах исключительно в рамках их компетенции для исполнения своих должностных обязанностей;
в) сотрудникам разрешено использовать только те учетные записи, которые присвоены им в порядке, определенном политикой;
г) учетные записи уволенных сотрудников, а также любого сотрудника, который не осуществлял доступ к информационной системе в течение трех месяцев, должны быть заблокированы и/или удалены из информационной системы. Для возобновления доступа данный сотрудник должен вновь пройти процедуру получения прав доступа к информационной системе.
4.3. Настройки средств вычислительной техники информационных систем в штатном режиме должны предусматривать загрузку операционных систем только с жестких дисков и исключать загрузку операционных систем с других носителей.
4.4. Допуск всех сотрудников к работе с информационными системами осуществляется только после их ознакомления с Политикой.
4.5. О выявленных попытках несанкционированного доступа к информационным системам администратор информационной безопасности незамедлительно сообщает Главе Ржевского муниципального округа Тверской области служебной запиской.
Главой Ржевского муниципального округа Тверской области по факту попытки несанкционированного доступа к информационным системам назначается служебная проверка.
Раздел 5. Основные правила и методы предотвращения неавторизованного
доступа к информации Администрации с использованием парольной аутентификации.
5.1. Пароли подразделяются на пароли пользователей информационной системы и пароли администраторов информационной безопасности и относятся к служебным сведениям ограниченного доступа.
5.2. При первоначальном предоставлении пользователю доступа к информационной системе или в случае утери пароля пользователем, администратор информационной безопасности выдает временный пароль, который требуется сменить при первом входе в информационную систему.
5.3. Порядок хранения и использования паролей определяет администратор информационной безопасности.
5.4. Пароль пользователя информационной системы должен отвечать следующим требованиям:
а) длина пароля должна быть не менее 8 символов;
б) пароль не должен содержать в себе имя учетной записи пользователя информационной системы;
в) в числе символов пароля обязательно должны присутствовать буквы в верхнем и нижнем регистрах, цифры и специальные символы (@, #, $, &, *, % и т.п.);
г) при смене пароля новое значение должно отличаться от предыдущего не менее чем в 2 позициях;
д) пароль не должен включать в себя легко вычисляемые сочетаниясимволов (имена, фамилии, даты рождений и т.д.);
е) пароль должен изменяться не реже чем один раз в 6 месяцев;
ж) пароль должен быть уникальным по отношению к паролям других учетных записей данного пользователя.
5.5. Пароль администратора информационной безопасности должен отвечать следующим требованиям:
а) длина пароля должна быть не менее 12 символов;
б) в числе символов пароля обязательно должны присутствовать буквы в верхнем и нижнем регистрах, цифры и специальные символы (@, #, $, &, *, % и т.п.);
в) при смене пароля новое значение должно отличаться от предыдущего не менее чем в 4 позициях;
г) пароль не должен включать в себя легко вычисляемые сочетания символов (имена, фамилии, даты рождений и т.д.);
д) пароль должен изменяться не реже чем один раз в 3 месяца;
е) пароль должен быть уникальным по отношению к паролям других учетных записей администратора информационной безопасности.
5.6. Запрещается сообщать пароль кому-либо, в том числе при помощи почтовых сообщений, через информационно-телекоммуникационную сеть «Интернет» (далее – ИТКС «Интернет»), каким-либо иным способом.
5.7. При компрометации пароля пользователь должен сообщить об этом администратору информационной безопасности и незамедлительно сменить пароль.
Раздел 6. Основные правила и методы организации антивирусной защиты
информационных систем в Администрации.
6.1. Организация антивирусной защиты в Администрации, а также контроль за выполнением мероприятий по антивирусной защите возлагаются на администраторов информационной безопасности.
6.2. На администратора информационной безопасности возлагаются следующие функции:
а) организация выбора средств антивирусной защиты, приобретения, установки на объекты защиты, настройки и сопровождения;
б) организация и проведение технических мероприятий по антивирусной защите.
6.3. К объектам антивирусной защиты относятся информация, содержащаяся в информационной системе, технические средства информационных систем (в том числе средства вычислительной техники), и предоставляемые ими сервисы (почта и т.д.), машинные носители информации, входящие в состав информационных систем или временно подключаемые к ним, средства и системы связи и передачи данных, общесистемное, прикладное, специальное программное обеспечение, информационные технологии, а также средства защиты информации.
6.4. К средствам антивирусной защиты относятся программы, предназначенные для обнаружения и уничтожения вредоносных программ, а также ликвидации последствий от их воздействий.
6.5. Для антивирусной защиты информационных систем в Администрации должны использоваться официально приобретенные средства антивирусной защиты, сведения о которых содержатся в Государственном реестре сертифицированных средств защиты информации федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, и (или) федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности.
6.6. Рекомендуется использовать средства антивирусной защиты с возможностью централизованного управления и автоматической установкой обновлений антивирусного программного обеспечения и баз данных признаков вредоносных программ.
6.7. Для периодических проверок объектов антивирусной защиты рекомендуется использовать средства антивирусной защиты различных производителей.
6.8. Не допускается подключение и эксплуатация средств вычислительной техники в информационных системах без установленных и надлежащим образом настроенных активных и актуальных средств антивирусной защиты.
6.9. Пользователям информационных систем запрещается предпринимать попытки отключения, изменения настроек и влияния на работу эксплуатируемых средств антивирусной защиты.
6.10. При возникновении подозрения о наличии на средстве вычислительной техники вредоносных программ (нетипичная работа программного обеспечения, появление графических и звуковых эффектов, искажений данных, исчезновение (несанкционированное уничтожение) файлов, регулярное появление сообщений о системных ошибках и т.п.) пользователи информационных систем самостоятельно или вместе с администратором информационной безопасности проводят внеочередной антивирусный контроль средства вычислительной техники.
6.11. В случае обнаружения вредоносных программ пользователи информационных систем обязаны:
а) приостановить работу;
б) немедленно поставить в известность об этом администратора информационной безопасности, владельца зараженных файлов (ресурсов), а также других сотрудников, использующих эти файлы в работе;
в) совместно с владельцем зараженных файлов (ресурсов) провести анализ необходимости дальнейшего их использования;
г) провести лечение или уничтожение зараженных файлов.
6.12. В случае обнаружения вредоносных программ администратор информационной безопасности организует внеочередной антивирусный контроль всех средств вычислительной техники информационной системы, в которой обнаружена вредоносная программа.
6.13. Все файлы, полученные из ИТКС «Интернет» посредством электронной почты, а также копируемые на средства вычислительной техники с любых внешних носителей информации подлежат обязательной проверке средствами антивирусной защиты.
Раздел 7. Основные правила и методы организации резервного копирования
данных в Администрации.
7.1. Ответственным за проведение резервного копирования, хранение резервных копий, а также восстановление информации является администратор информационной безопасности.
7.2. Администратор информационной безопасности в зависимости от функциональных особенностей эксплуатируемых информационных систем определяет перечень данных, подлежащих резервному копированию и хранению (по форме в соответствии с приложением 2 к настоящей Политике), расписание резервного копирования (по форме в соответствии с приложением 3 к настоящей Политике).
7.3. Резервному копированию подлежит информация следующих основных категорий:
- персональная информация пользователей (личные каталоги на файловых серверах);
- групповая информация пользователей (общие каталоги подразделений);
- информация, необходимая для восстановления серверов и систем управления базами данных;
- персональные профили пользователей сети;
- информация правовых справочных систем общего использования («Гарант», «Консультант+» и т.п.);
- рабочие копии установочных компонентов программного обеспечения вычислительных средств информационных систем Администрации;
- регистрационная информация подсистем информационной безопасности информационных систем Администрации.
7.4. Для организации системы резервного копирования используются стандартные программные средства операционной системы либо специализированные лицензионные программные средства резервного копирования.
7.5. Средства резервного копирования должны обеспечивать производительность, достаточную для сохранения копируемой информации.
7.6. Информация с носителей, которые перестают использоваться в системе резервного копирования, стирается без возможности восстановления данных.
7.7. Основанием для инициирования процедуры восстановления служит полная или частичная утрата информации вследствие сбоев оборудования, программного обеспечения в критических и кризисных ситуациях. Восстановление данных производится администратором информационной безопасности.
7.8. О выявленных попытках несанкционированного доступа к резервируемой информации, а также иных нарушениях информационной безопасности, произошедших в процессе резервного копирования, администратор информационной безопасности сообщает Главе Ржевского муниципального округа Тверской области служебной запиской в течение рабочего дня после обнаружения указанного события.
7.9. Главой Ржевского муниципального округа Тверской области по факту попытки несанкционированного доступа к резервируемой информации назначается служебная проверка.
7.10. Контроль результатов резервного копирования осуществляется администратором информационной безопасности. В случае обнаружения ошибки резервного копирования или выхода из строя системы резервного копирования администратор информационной безопасности выполняет повторное копирование информации вручную в максимально сжатые сроки, не нарушая технологические процессы обработки информации пользователями.
Раздел 8. Порядок работы с электронной почтой в Администрации.
8.1. Электронная почта в Администрации должна использоваться только в служебных целях.
8.2. При работе с электронной почтой сотрудникам запрещается:
а) использовать адрес служебной электронный почты в личных целях;
б) публиковать свой адрес служебной электронный почты либо адреса других сотрудников на общедоступных интернет-ресурсах (форумы, конференции и т.п.) без предварительного согласования с Главой Ржевского муниципального округа Тверской области;
в) отправлять сообщения с вложенными файлами, общий размер которых превышает максимально допустимый;
г) открывать вложенные файлы во входящих сообщениях без предварительной проверки антивирусными средствами;
д) осуществлять массовую рассылку почтовых сообщений (более 10) внешним адресатам, если это не обусловлено служебной необходимостью;
е) осуществлять рассылку материалов, содержащих вредоносные программы, или файлы, предназначенные для нарушения, уничтожения либо ограничения функциональности электронного оборудования или программного обеспечения, для осуществления несанкционированного доступа, а также серийные номера к коммерческим программным продуктам и программное обеспечение для их генерации, логины, пароли и прочие средства для получения несанкционированного доступа к платным ресурсам в ИТКС «Интернет», а также ссылки на вышеуказанную информацию;
ж) распространять защищаемые авторскими правами материалы, затрагивающие какой-либо патент, торговую марку, коммерческую тайну, копирайт или прочие права собственности и (или) авторские и смежные с ними права третьей стороны;
з) распространять информацию, содержание и направленность которой запрещены законодательством Российской Федерации, включая материалы, носящие вредоносную, угрожающую, клеветническую, непристойную информацию, а также информацию, оскорбляющую честь и достоинство других лиц, материалы, способствующие разжиганию национальной розни, подстрекающие к насилию, призывающие к совершению противоправной деятельности, в том числе разъясняющие порядок применения взрывчатых веществ и иного оружия, и т.д.;
и) осуществлять отправку сообщений электронной почты с чужого почтового ящика или от чужого имени;
к) распространять посредством сообщений электронной почты информацию, содержащую персональные данные, служебные сведения ограниченного доступа, сведения, относящиеся к государственной тайне.
Раздел 9. Порядок использования ИТКС «Интернет» в Администрации.
9.1. Доступ к ИТКС «Интернет» в Администрации может предоставляться сотрудникам в целях выполнения ими своих служебных обязанностей.
9.2. Подключение средств вычислительной техники к ИТКС «Интернет» выполняется администратором информационной безопасности.
9.3. Средства вычислительной техники, используемые для обработки сведений, составляющих государственную тайну, не могут быть подключены к ИТКС «Интернет».
9.4. При использовании ИТКС «Интернет» сотрудникам запрещено:
а) использовать предоставленный доступ к ИТКС «Интернет» в личных целях;
б) использовать специализированные аппаратные и программные средства, позволяющие сотрудникам получить несанкционированный доступ к ИТКС «Интернет»;
в) совершать действия, направленные на нарушение функционирования элементов информационных систем;
г) публиковать, загружать и распространять материалы, содержащие:
- информацию ограниченного доступа;
- информацию, полностью или частично защищенную авторскими или другими правами, без разрешения владельца;
- вредоносное программное обеспечение, предназначенное для нарушения, уничтожения либо ограничения функциональности любых аппаратных и программных средств, для осуществления несанкционированного доступа, а также серийные номера к коммерческому программному обеспечению и программное обеспечение для их генерации, пароли и прочие средства для получения несанкционированного доступа к платным Интернет-ресурсам, а также ссылки на вышеуказанную информацию;
- угрожающую, клеветническую, непристойную информацию, а также информацию, оскорбляющую честь и достоинство других лиц, материалы, способствующие разжиганию национальной розни, подстрекающие к насилию, призывающие к совершению противоправной деятельности и т.д.
9.5. При необходимости администратор информационной безопасности блокирует доступ к Интернет-ресурсам, содержание которых не имеет отношения к исполнению служебных обязанностей.
9.6. При наличии технической возможности администратором информационной безопасности обеспечивается возможность протоколирования информации о посещаемых сотрудниками Интернет-ресурсах для последующего анализа и по требованию предоставляется Главе Ржевского муниципального округа Тверской области для контроля.
Раздел 10. Использование программного обеспечения
в информационных системах Администрации.
10.1. В Администрации для выполнения возложенных на нее функций разрешено применение ограниченного перечня коммерческого и свободного программного обеспечения.
10.2. Перечень программного обеспечения, разрешенного к использованию в Администрации, определяется администратором информационной безопасности и заносится в реестр (по форме в соответствии с приложение 4 к настоящей Политике).
10.3. Установка и использование программного обеспечения, не занесенного в реестр разрешенного к использованию программного обеспечения, запрещается.
10.4. Все операции по установке, сопровождению, удалению программного обеспечения выполняются администратором информационной безопасности, или техническими специалистами других организаций, привлекаемыми на основании гражданско-правовых договоров, при непосредственном участии администратора информационной безопасности.
10.5. Эксплуатация программного обеспечения состоит из следующих этапов:
а) определение потребности в программном обеспечении;
б) приобретение программного обеспечения;
в) установка (внедрение) программного обеспечения;
г) поддержка и сопровождение программного обеспечения;
д) удаление (вывод из эксплуатации) программного обеспечения.
10.6. Любое изменение перечня установленного программного обеспечения отражается в паспорте средства вычислительной техники (приложение 5 к настоящей Политике).
10.7. После установки программного обеспечения установочные комплекты (дистрибутивы) передаются администратору информационной безопасности.
10.8. Должностные лица, ответственные за эксплуатацию информационной системы, должны обеспечивать сохранность переданных им носителей с ключевой информацией, лицензионным программным обеспечением, сертификатов подлинности программного обеспечения.
10.9. Поддержка и сопровождение программного обеспечения выполняется администратором информационной безопасности, а при необходимости – техническими специалистами других организаций, привлекаемыми на основании гражданско-правовых договоров.
10.10. Осуществление поддержки и сопровождения программного обеспечения предусматривает, в том числе, выполнение следующих видов работ:
а) настройка установленного программного обеспечения;
б) установка обновлений программного обеспечения;
в) регламентированное создание резервных копий (архивирование) программного обеспечения и пользовательских данных (электронных документов, баз данных);
г) устранение неисправностей, связанных с использованием установленного программного обеспечения;
д) консультирование пользователей информационных систем.
10.11. Удаление (вывод из эксплуатации) программного обеспечения проводится в случаях:
а) окончания лицензионного срока использования программного обеспечения;
б) замены используемого программного обеспечения на альтернативное программное обеспечение или программное обеспечение более поздних версий;
в) прекращения использования программного обеспечения вследствие отсутствия необходимости, морального старения.
10.12. При отсутствии в Администрации запрошенного программного обеспечения или вакантных лицензий на коммерческое программное обеспечение, руководитель структурного подразделения Администрации инициирует заявку на приобретение программного обеспечения.
10.13. Вывод из эксплуатации выполняется администратором информационной безопасности, а при необходимости техническими специалистами других организаций, привлекаемыми на основании гражданско-правовых договоров.
Раздел 11. Использование беспроводных сетей в информационных системах
Администрации.
11.1. В Администрации разрешено использование «гостевых» беспроводных сетей, физически не пересекающихся с единой информационно-коммуникационной сетью Администрации.
11.2. Запрещается подключение беспроводных сетей, а также доступ к единой информационно-коммуникационной сети Администрации с различных устройств с использованием беспроводных сетей.
Раздел 12. Использование мобильных устройств и носителей информации
в информационных системах Администрации.
12.1. Под использованием мобильных устройств и носителей информации в информационных системах понимается их подключение к информационным системам для приема, обработки, передачи информации между информационными системами и мобильными устройствами, носителями информации.
12.2. В информационных системах допускается использование только учтенных мобильных устройств и носителей информации, которые являются муниципальной собственностью Ржевского муниципального округа Тверской области и подвергаются регулярной ревизии (контролю).
12.3. На учтенных мобильных устройствах и носителях информации допускается использование коммерческого программного обеспечения, входящего в реестр разрешенного к использованию программного обеспечения.
12.4. Установка программного обеспечения на мобильные устройства осуществляется администратором информационной безопасности.
12.5. Установка на мобильные устройства программного обеспечения допускается только с интернет-ресурсов, рекомендуемых производителем мобильных устройств.
12.6. К учтенным мобильным техническим средствам информационных систем предъявляются те же требования по обеспечению информационной безопасности, что и к стационарным.
Целесообразность дополнительных мер обеспечения информационной безопасности определяется администратором информационной безопасности.
12.7. С учтенных мобильных технических средств информационных систем при необходимости разрешается доступ к электронной почте структурного подразделения Администрации.
12.8. Запрещается подключение мобильных устройств к информационным системам, на которых обрабатывается информация ограниченного доступа, а также хранение информации ограниченного доступа на мобильных устройствах.
Раздел 13. Порядок регистрации должностных лиц
в межведомственных системах Администрации.
13.1. К межведомственным информационным системам Администрации относятся системы электронного документооборота, системы корпоративной электронной почты, реестр муниципальных служащих Ржевского муниципального округа Тверской области, иные территориально распределенные межведомственные информационные системы Администрации (далее – межведомственные информационные системы).
13.2. Администрация направляет в областной исполнительный орган государственной власти Тверской области, уполномоченный на подключение к межведомственной информационной системе, заявку на регистрацию в межведомственной информационной системе должностных лиц, которая должна содержать:
а) наименование межведомственной информационной системы, в которой регистрируются должностные лица Администрации;
б) должности, фамилии, имена и отчества должностных лиц, регистрируемых в межведомственной информационной системе.
Заявка также может содержать другую определяемую областным исполнительным органом государственной власти Тверской области, уполномоченным на подключение к межведомственной информационной системе информацию, включаемую в идентификационные данные.
13.3. После получения от Администрации заявки на регистрацию должностных лиц в межведомственной информационной системе, ответственное должностное лицо областного исполнительного органа государственной власти Тверской области, уполномоченного на подключение к межведомственной информационной системе, регистрирует пользователей и проводит необходимые настройки.
13.4. Ответственное должностное лицо областного исполнительного органа государственной власти Тверской области, уполномоченного на подключение к межведомственной информационной системе, направляет необходимую ключевую информацию (ключевые файлы) администратору информационной безопасности Администрации, подавшего заявку.
13.5. При увольнении должностного лица, зарегистрированного в межведомственной информационной системе, Администрация в трехдневный срок со дня увольнения направляет в областной исполнительный орган государственной власти Тверской области, уполномоченный на подключение к межведомственной информационной системе, заявку об исключении уволенного сотрудника из пользователей межведомственной информационной системы.
Раздел 14. Порядок использования средств криптографической защиты информации
в Администрации.
14.1. Работы по приобретению средств криптографической защиты информации (СКЗИ) проводятся Администрацией по согласованию с уполномоченным областным исполнительным органом государственной власти Тверской области в сфере защиты информации.
14.2. Для работы со СКЗИ привлекаются уполномоченные должностные лица, назначенные соответствующим распоряжением Администрации Ржевского муниципального округа Тверской области, которые получают и используют сертификаты ключей проверки электронной подписи и ключи электронной подписи (далее – ключевая информация) и несут персональную ответственность за:
а) сохранение в тайне сведений конфиденциального характера, ставших им известными в процессе работы со СКЗИ;
б) сохранение в тайне содержания ключевой информации;
в) сохранность носителей ключевой информации и других документов о ключах, выдаваемых с ключевыми носителями.
14.3. В Администрации, участвующей в информационном обмене электронными документами по телекоммуникационным каналам связи, должны быть обеспечены условия хранения носителей ключевой информации и карточки отзыва ключей, исключающие возможность доступа к ним посторонних лиц, несанкционированного использования или копирования ключевой информации и паролей отзыва ключей.
14.4. На средствах вычислительной техники информационных систем, на которых установлены средства шифрования и электронной подписи, не должно быть установлено и эксплуатироваться программное обеспечение, которое может нарушить функционирование программных СКЗИ. При обнаружении на рабочем месте, оборудованном СКЗИ, программного обеспечения, нарушающего работу указанных средств, работа со СКЗИ на данном рабочем месте должна быть прекращена и должны быть организованы мероприятия по анализу и ликвидации негативных последствий инцидента информационной безопасности.
14.5. При работе со СКЗИ не допускается:
а) разглашать содержимое носителей ключевой информации или передавать сами носители лицам, к ним не допущенным, выводить ключевую информацию на дисплей и принтер;
б) вставлять ключевой носитель в интерфейс технического средства информационной системы при проведении работ, не являющихся штатными процедурами использования ключей, а также в интерфейсы других технических средств информационной системы;
в) записывать на носителе ключевой информации постороннюю информацию;
г) вносить какие-либо изменения в программное обеспечение средств шифрования и электронной подписи;
д) использовать бывшие в работе ключевые носители для записи новой информации без предварительного уничтожения на них ключевой информации путем переформатирования (при наличии возможности).
14.6. Посторонние лица не должны допускаться к работе со средствами вычислительной техники, на которых установлены средства шифрования и электронной подписи.
14.7. Уполномоченные должностные лица Администрации, привлекаемые для работы со СКЗИ, отвечают за сохранность и конфиденциальность ключевой информации. В случае компрометации ключевой информации мероприятия по розыску и локализации последствий компрометации конфиденциальной информации, переданной с использованием СКЗИ, организует Глава Ржевского муниципального округа Тверской области, а осуществляют уполномоченные должностные лица Администрации, привлекаемые для работы со СКЗИ, и администратор информационной безопасности.
14.8. При компрометации ключевой информации должностного лица Администрации данное должностное лицо должно немедленно прекратить действия, связанные с использованием данной ключевой информации, и поставить в известность представителя удостоверяющего центра о факте компрометации.
Раздел 15. Управление сетевой безопасностью при использовании сетевых ресурсов Администрации.
15.1. Пользователям информационно-телекоммуникационной сети запрещается:
а) осуществлять попытки несанкционированного проникновения в чужие информационные системы;
б) производить попытки присвоения себе чужих сетевых атрибутов (в частности сетевых адресов, MAC-адресов сетевых карт);
в) предоставлять ресурсы своих технических средств посторонним пользователям для несанкционированного использования информационных ресурсов Администрации;
г) размещать в информационных системах коммерческие и лицензионные программные средства, мультимедийные и информационные материалы с нарушением соответствующих авторских прав;
д) распространять через информационно-телекоммуникационную сеть заведомо оскорбляющую честь и унижающую достоинство граждан информацию, материалы рекламного и коммерческого характера;
е) использовать внешний мультимедийный трафик типа интернет-видео, музыкальных сетевых радиостанций, а также трафик пиринговых сетей, если это не связано с исполнением служебных обязанностей. При возникновении трафика данного типа соответствующие сетевые коммуникации должны блокироваться администратором информационной безопасности без предупреждения пользователя.
15.2. На технических средствах информационных систем, используемых для работы в информационно-телекоммуникационной сети Администрации, рекомендуется устанавливать все обновления программного обеспечения.
15.3. Мероприятия по обеспечению безопасности должны проводиться в отношении всех объектов информационно-телекоммуникационной сети, в том числе тех, которые подключены, но временно не используются.
15.4. При существенном падении скорости передачи данных в информационно-телекоммуникационной сети администратор информационной безопасности организует временную блокировку проблемного трафика до устранения самого проблемного трафика и вызвавших его причин.
15.5. Администратор информационной безопасности по согласованию с Главой Ржевского муниципального округа Тверской области с целью защиты сетевой инфраструктуры и пользователей может блокировать спам и вирусные рассылки (как входящие, так и исходящие) вплоть до временного прекращения всех коммуникаций с хостами, вовлеченными в эти инциденты информационной безопасности (спамовые рассылки, вирусные и хакерские атаки), даже если это повлечет за собой временную невозможность доступа пользователей к легальным ресурсам этих хостов.
15.6. Особо крупные сетевые скачивания (дистрибутивы, ISO-образы дисков и т.п.) рекомендуется производить только с доверенных серверов и в нерабочее время, когда загрузка канала существенно меньше.
15.7. Системные часы серверов и персональных компьютеров информационно-телекоммуникационной сети Администрации синхронизируются с точным источником времени. Информационная система Администрации настраивается таким образом, чтобы изменение настроек даты и времени было доступно только администратору информационной безопасности.
Раздел 16. Обеспечение безопасности информации при ведении переговоров
и использовании средств связи в Администрации.
16.1. В целях обеспечения конфиденциальности телефонных переговоров в Администрации не рекомендуется передавать по телефону информацию, содержащую служебные сведения ограниченного доступа, персональные данные, данные о времени и местонахождении Главы Ржевского муниципального округа Тверской области и сотрудников Администрации, если это не обусловлено служебной необходимостью.
16.2. В случае необходимости проведения конфиденциальных переговоров, такие переговоры проводятся в специально предназначенных для этого помещениях.
16.3. При необходимости обеспечения конфиденциальности информации при ведении переговоров в помещениях для проведения данных переговоров не должны находиться приборы, оборудование и технические средства, которые непосредственно не используются для обеспечения хода переговоров (телефоны городской сети, вычислительные средства информационных систем, телевизионные и радиоприемники и др.). Все мобильные телефоны рекомендуется оставлять за пределами помещения, где проводятся данные мероприятия.
16.4. Для предотвращения утечки акустической информации целесообразно использовать внешние шумы (специальное оборудование, работающее радио, телевизор и т.п.).
Раздел 17. Обеспечение физической защиты информационных систем Администрации.
17.1. Физическая защита информационных систем Администрации обеспечивается комплексом мер по оборудованию зданий (помещений) средствами охранной сигнализации, организации постов охраны, опечатыванию помещений, организации и соблюдению внутриобъектового и пропускного режимов, порядка доступа в служебные помещения, хранению ключей от служебных помещений.
17.2. Физический доступ к информационным системам посторонних лиц не допускается.
17.3. Время прохода сотрудников в зданияАдминистрации устанавливается правилами внутреннего служебного распорядка.
17.4. Пропускной режимАдминистрации устанавливается в соответствии с порядком, утвержденным Администрацией.
17.5. При отсутствии в помещениях сотрудников Администрации, двери в эти помещения должны быть закрыты на ключ. Вскрытие помещений при отсутствии лиц, имеющих на это право, осуществляется с разрешения Главы Ржевского муниципального округа Тверской областив случаях крайней необходимости.
17.6. В целях физической охраны серверов, информационных систем и баз данных, расположенных на выделенных технических средствах информационных систем, такие технические средства (при наличии возможности) размещаются в специально выделенных для этих целей помещениях. Доступ к таким техническим средствам ограничивается физически.
17.7. Двери помещений должны иметь достаточную степень защиты от возможного несанкционированного проникновения, быть исправными, хорошо подогнанными под максимально укрепленную дверную коробку.
Двери помещений и решетки на окнах (при их наличии) оснащаются замками и запирающими устройствами, обеспечивающими достаточную степень защиты от взлома. В качестве запирающих устройств, устанавливаемых на дверях и окнах, применяются врезные, накладные замки, задвижки, засовы, шпингалеты и т.п. Для запирания оконных решеток допускается применять висячие замки.
17.8. Окна, фрамуги и форточки (стеклопакеты) всех помещений закрываются на надежные и исправные запоры. Стекла надежно закрепляются в пазах. Не допускается эксплуатация поврежденного остекления окон.
17.9. Ключи от замков наоконных решетках (при их наличии) и дверях запасных выходов располагаются вне посредственной близости от них, при этом принимаются меры, исключающие несанкционированный доступ к этим ключам посторонних лиц.
17.10. В Администрациинаряду с рабочими комплектами ключей при необходимости предусматриваются дополнительные комплекты ключей от всех помещений, распашных металлических решеток (при их наличии), основных и запасных выходов.
17.11. При необходимости опечатывания помещений сотрудникам выдаются номерные печатиАдминистрации (далее – номерные печати). Выдача номерных печатей оформляется распоряжением Администрации Ржевского муниципального округа Тверской областии осуществляется под личную подпись в специальном журнале. Сотрудники, имеющие номерные печати, несут персональную ответственность за их сохранность. Проверки фактического наличия ключей от хранилищ и номерных печатей проводятся руководителем структурного подразделенияАдминистрации не реже одного раза в месяц.
17.12. Должностные лицаАдминистрации, осуществляющие сдачу помещений под охрану и их опечатывание, проверяют:
а) работоспособность средств охранной сигнализации (при ее наличии);
б) выключение освещения и потребителей электрической энергии (за исключением потребителей, питание которых необходимо непрерывно);
в) закрытие окон, решеток, форточек, закрытие и опечатывание дверей запасных выходов и размещение ключей от них в опечатанном виде рядом с дверями.
17.13. При необходимости опечатывания помещения печать на входную дверь в помещение проставляется на тонкий слой пластилина или специальной мастики таким образом, чтобы оттиск невозможно было снять и восстановить.
17.14. Ключи от помещений сдаются на пост охраны здания, где размещаетсяАдминистрация.
17.15. При снятии помещений с охраны ответственные должностные лица:
а) после отключения сигнализации (при ее наличии) проверяют целостность печати на дверях и замках;
б) при обнаружении каких-либо повреждений замков, дверей, окон, форточек, фрамуг, не вскрывая их, вызывают представителей службы охраны и сообщают Главе Ржевского муниципального округа Тверской областидля составления акта осмотра и проведения служебной проверки.
17.16. Для обеспечения электробезопасности информационных ресурсов Администрации подключение информационных систем к электрической сети осуществляется в соответствии с государственными стандартами Российской Федерации, строительными нормами и правилами, а также правилами технической эксплуатации электроустановок потребителей, утвержденными приказом Министерства энергетики Российской Федерации от 13.01.2003 № 6 «Об утверждении Правил технической эксплуатации электроустановок потребителей».
17.17. Электропитание подводится к оборудованию от центрального электрического щита через автоматические выключатели. В качестве дополнительной защиты информационных ресурсов используются устройства защитного отключения. Все автоматические выключатели и устройства защитного отключения монтируются в соответствии с нагрузкой, потребляемой оборудованием.
17.18. Все технические средства информационных систем подключаются к электропитанию через источники бесперебойного питания, обеспечивающие корректное выключение или продолжительную работу.
Раздел 18. Обслуживание технических средств информационных систем Администрации.
18.1. Еженедельное обслуживание технических средств информационных систем выполняется пользователем в соответствии с инструкцией по еженедельному техническому обслуживанию информационной системы (приложение 6 к настоящей Политике).
18.2. Другие виды работ по техническому обслуживанию информационной системы выполняются администратором информационной безопасности, а при необходимости – техническими специалистами других организаций, привлекаемыми на основании гражданско-правовых договоров.
18.3. Ремонтные работы на технических средствах информационных систем осуществляются только администраторами информационной безопасности или техническими специалистами других организаций, привлекаемыми на основании гражданско-правовых договоров.
Раздел 19. Управление инцидентами информационной безопасности в Администрации.
19.1. Инциденты информационной безопасности подразделяются на:
а) внутренний инцидент – инцидент, источником которого является нарушитель, состоящий в служебных, трудовых и иных договорных отношениях с Администрацией (далее – внутренний нарушитель). К наиболее распространенным внутренним инцидентам информационной безопасности относятся:
- утечка сведений конфиденциального характера;
- неправомерный доступ к информации;
- удаление информации;
- компрометация информации;
- саботаж;
- мошенничество в информационных системах, с участием внутреннего нарушителя;
- аномальная сетевая активность;
- аномальное поведение программного обеспечения;
- использование средств вычислительной техники в личных целях или в мошеннических операциях;
б) внешний инцидент – инцидент, источником которого является нарушитель, не состоящий в служебных, трудовых и иных договорных отношениях с Администрацией (далее – внешний нарушитель). К наиболее распространенным внешним инцидентам относятся:
- мошенничество в информационных системах с участием внешнего нарушителя;
- атаки типа «отказ в обслуживании» (DoS), в том числе распределенные (DDoS);
- перехват и подмена трафика;
- размещение конфиденциальной/провокационной информации в ИТКС «Интернет», касающейся Администрации;
- взлом, попытка взлома, сканирование сайтов Администрации;
- сканирование сети, попытка взлома сетевых узлов;
- вирусные атаки;
- неправомерный доступ к конфиденциальной информации;
- анонимные письма (письма с угрозами).
19.2. Источником информации об инциденте информационной безопасности могут служить:
а) сообщения пользователей информационных систем;
б) уведомления компетентных органов;
в) данные, полученные на основании анализа электронных журналов регистрации информационных систем, систем защиты.
19.3. При получении сообщения об инциденте информационной безопасности по электронной почте или по телефонному звонку необходимо убедиться в достоверности полученной информации (например, путем совершения «обратного» звонка по указанным в сообщении телефонам, проверки данных, указанных в подписи сообщения или названных при звонке).
19.4. Сотрудник, получивший информацию об инциденте информационной безопасности, сообщает об этом администратору информационной безопасности и руководителю структурного подразделения Администрации.
Администратор информационной безопасности обязан принять меры по локализации инцидента информационной безопасности и минимизации потерь от инцидента информационной безопасности для деятельности Администрации.
19.5. Администратор информационной безопасности регистрирует инцидент в журнале учета нештатных ситуаций, выполнения профилактических и ремонтных работ, установки и модификации технических средств и программного обеспечения.
19.6. Для анализа инцидентов информационной безопасности создается комиссия, в состав которой включаются:
а) заместитель Главы Администрации Ржевского муниципального округа Тверской области или управляющий делами Администрации Ржевского муниципального округа Тверской области, ответственный за организацию защиты информации;
б) руководитель структурного подразделения Администрации, в котором произошел инцидент;
в) администратор информационной безопасности.
19.7. Комиссия собирает и анализирует все данные об обстоятельствах инцидента информационной безопасности (электронные письма, журналы событий информационных систем, показания сотрудников и др.), устанавливает факт наличия (отсутствия) утечки информации ограниченного доступа и обстоятельства ей сопутствующие, определяет перечень лиц, виновных в нарушении предписанных мероприятий по защите информации, устанавливает причины и условия, способствовавшие нарушению.
19.8. По итогам работы комиссии заместитель Главы Администрации Ржевского муниципального округа Тверской области или управляющий делами Администрации Ржевского муниципального округа Тверской области, ответственный за организацию защиты информации, готовит Главе Ржевского муниципального округа Тверской области заключение, в котором указываются причина возникновения инцидента, последствия инцидента, лица, виновные в возникновении инцидента, предложения о наказании виновных лиц и мерах по недопущению подобных инцидентов в будущем.
Раздел 20. Политика кадровой безопасности в Администрации.
20.1. Обучение сотрудников Администрации, имеющих право доступа к информационной системе, правильному обращению с информацией (базами данных), содержащейся в информационной системе, осуществляется должностным лицом, ответственным за эксплуатацию информационной системы, а также администратором информационной безопасности.
20.2. Обучение вопросам защиты информации должно предусматривать необходимость сохранения конфиденциальности всей информации, требующей обеспечения конфиденциальности, циркулирующей в информационной системе.
20.3. Все сотрудники Администрации предупреждаются об условиях конфиденциальности информации о персональных данных субъектов персональных данных, содержащихся в информационных системах, способах и методах защиты информационных систем и недопустимости разглашения такой информации.
Раздел 21. Политика безопасности при работе с третьими лицами в Администрации.
21.1. Все действия по техническому обслуживанию, ремонту, установке и замене технических средств информационных систем, прокладке кабеля, переустановке и обновлению программного обеспечения проводятся исключительно с разрешения Главы Ржевского муниципального округа Тверской области в присутствии администратора информационной безопасности.
21.2. Работы, указанные в пункте 21.1 настоящей Политики, регистрируются администратором информационной безопасности в журнале учета нештатных ситуаций, выполнения профилактических и ремонтных работ, установки и модификации технических средств и программного обеспечения (по форме в соответствии с приложением 7 к настоящей Политике).
21.3. При выполнении работ, указанных в пункте 21.1 настоящей Политики, администраторы информационной безопасности не должны допускать установку поставщиками в информационных системах дополнительного программного обеспечения (бэкдоров) с целью защиты, изменения и обновления своих продуктов.
21.4. Отчуждаемые носители информации должны пройти полную очистку (безвозвратное стирание информации) с использованием общего или специального программного обеспечения.
Если произвести очистку информации невозможно, то носители информации должны быть физически уничтожены.
21.5. Перед передачей оборудования другим предприятиям и организациям необходимо удалить с него всю информацию, требующую обеспечения конфиденциальности.
21.6. Все работы, указанные в пункте 21.1 настоящей Политики, проводимые сторонними организациями, осуществляются только на основании гражданско-правовых договоров, в которых отдельным пунктом должно определяться обязательство о неразглашении полученной третьими лицами информации ограниченного доступа.
Скачать 
