Построение системы информационной безопасности начинается не с установки антивируса или межсетевого экрана, а с создания нормативной базы. Для регуляторов (ФСТЭК, ФСБ, Роскомнадзор) безопасность — это прежде всего наличие актуальных, утвержденных и внедренных приказов, политик и инструкций. Отсутствие даже одного обязательного акта при проверке может привести к предписаниям и крупным штрафам. Услуга «Документы по защите информации под ключ» от Ви Эф Эс Консалтинг направлена на создание комплексного правового контура, полностью закрывающего потребности бизнеса в бюрократическом обеспечении ИБ.
Использование скачанных из интернета шаблонов документов — одна из самых опасных ошибок бизнеса. Типовая политика, не отражающая реальную IT-архитектуру и бизнес-процессы компании, будет признана инспекторами фиктивной. Это отягчающее обстоятельство, свидетельствующее о халатности руководства.
Состав пакета документации: что входит в услугу
Единого перечня документов «для всех» не существует, состав пакета зависит от класса защищенности систем, типа обрабатываемых данных и сферы деятельности компании. Однако базовое ядро, которое мы разрабатываем, включает следующие блоки:
Организационно-распорядительная документация (ОРД)
Это фундамент системы защиты. Сюда входят приказы о назначении ответственных лиц, создании комиссий по классификации информационных систем, утверждении перечня сведений конфиденциального характера. Мы готовим проекты приказов, которые легитимизируют все дальнейшие действия службы безопасности.
Моделирование угроз и нарушителя
Ключевой технико-юридический документ. В рамках услуги мы разрабатываем:
- Акт классификации информационных систем персональных данных (ИСПДн).
- Частную модель угроз безопасности (согласно методикам ФСТЭК).
- Модель нарушителя информационной безопасности.
Без актуальной модели угроз невозможно обосновать выбор средств защиты информации (СЗИ). Любая закупка софта или «железа» для защиты должна опираться на эти документы.
- Юридическая помощь в решении проблемных ситуаций
- Консультации юриста онлайн проводятся Пн-Пт, с 10:00 до 18:00 часов
Политики и инструкции для персонала
Мы разрабатываем детальные инструкции, понятные рядовым сотрудникам:
- Политика в отношении обработки персональных данных (для публикации на сайте).
- Инструкция администратора безопасности и пользователей ИСПДн.
- Регламент парольной защиты и управления доступом.
- Правила работы с криптографическими средствами (СКЗИ), если они используются.
- Порядок уничтожения носителей информации.
Этапы разработки и внедрения
Услуга «под ключ» подразумевает полное сопровождение клиента от аудита до подписания последнего приказа. Процесс строится следующим образом:
- Инвентаризация процессов. Мы проводим интервью с руководителями отделов и IT-специалистами, чтобы выявить все потоки данных, используемое ПО и привлекаемых подрядчиков.
- GAP-анализ. Сравнение текущего состояния документации с требованиями актуального законодательства (152-ФЗ, 187-ФЗ, 98-ФЗ и подзаконных актов).
- Разработка проектов. Юристы и технические писатели создают уникальный пакет документов, учитывающий специфику вашего бизнеса (удаленная работа, использование облачных сервисов, трансграничная передача данных).
- Внедрение. Мы не просто отдаем файлы, а помогаем ввести их в действие: консультируем по порядку ознакомления сотрудников под подпись, настраиваем журналы учета (машинных носителей, средств защиты, инцидентов).
Защита при проверках
Грамотно оформленные документы по защите информации под ключ — это ваша броня при проверках Роскомнадзора или прокуратуры. Инспектор в первую очередь изучает бумаги. Если документы составлены логично, непротиворечиво и охватывают все аспекты деятельности, проверка часто заканчивается на документарном этапе, не переходя в глубокий технический аудит серверов и рабочих станций.
Особое внимание мы уделяем журналам учета. Зачастую именно отсутствие записей в «Журнале учета обращений субъектов ПДн» или «Журнале антивирусных проверок» становится формальным поводом для штрафа. Мы предоставляем формы всех необходимых журналов и проводим инструктаж ответственных сотрудников по их правильному ведению.
Доверяя разработку документации профессионалам Ви Эф Эс Консалтинг, вы экономите сотни часов рабочего времени своих сотрудников и получаете гарантию соответствия бизнеса постоянно меняющимся требованиям российского законодательства в сфере кибербезопасности.