Материал помещен в архив

Глава 1
ОБЩИЕ ПОЛОЖЕНИЯ

1. Настоящая Инструкция регламентирует комплекс организационных и технических мер, направленных на обеспечение информационной безопасности в организации, и устанавливает единый порядок и основные требования по ее обеспечению в локальной компьютерной сети организации.

2. Под информационной безопасностью в настоящей Инструкции понимается такое состояние информационных ресурсов и средств информатизации, при котором обеспечивается необходимый уровень целостности, доступности и конфиденциальности обрабатываемой, хранимой и передаваемой информации, а также защищенность этих ресурсов и средств от несанкционированного доступа к ним.

3. Настоящая Инструкция не распространяется:

на работу со служебной информацией ограниченного распространения;

при работе с системой межведомственного электронного документооборота государственных органов Республики Беларусь.

Работа с перечисленной выше информацией и системами регламентируется специальными нормативными документами.

Глава 2
ПОРЯДОК ПРИМЕНЕНИЯ СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ, УСТАНОВЛЕННЫХ В ЛОКАЛЬНО-ВЫЧИСЛИТЕЛЬНОЙ СЕТИ. МЕРОПРИЯТИЯ ПО РАЗГРАНИЧЕНИЮ ДОСТУПА К СРЕДСТВАМ ЗАЩИТЫ И ОБРАБОТКИ ИНФОРМАЦИИ

4. Локальная компьютерная сеть - часть единого информационного пространства организации, целостная структура, функционирование которой требует реализации организационно-технических мероприятий, жесткой дисциплины сотрудников организации (далее - пользователи).

5. Компьютерная сеть организации является неотъемлемой частью системы управления и предназначена для решения задач управления на базе современных информационных технологий, обеспечивающих, в частности, ускорение принятия решений на основе:

оперативного обмена данными между подразделениями организации;

использования общих информационных ресурсов сети;

доступа к данным глобальной компьютерной сети Интернет;

использования электронной почты;

организации централизованного хранилища данных с различным уровнем доступа к информации;

отслеживания изменений данных в реальном масштабе данных.

6. Компьютерную сеть образуют базовые компоненты оборудования, программного обеспечения и параметров сетевого и межсетевого взаимодействия:

серверы (файловые, баз данных, архивные, удаленного доступа, печати);

телекоммуникационная инфраструктура (кабели, соединительные устройства, коммутаторы, модемы);

рабочие станции с необходимыми сетевыми адаптерами;

системы бесперебойного питания серверов и рабочих станций;

информационная инфраструктура (операционные системы, протоколы сетевого и межсетевого взаимодействия, прикладное программное обеспечение коллективного доступа, прикладное программное обеспечение рабочих станций).

7. Подключение к глобальной компьютерной сети Интернет производится через специализированные устройства и специализированное программное обеспечение для защиты внутренней сети от несанкционированного доступа («взлома») извне.

8. Для подключения пользователей к Интернету используется специальный сервер, на котором установлено два сетевых адаптера. Сетевые адаптеры подключены к непересекающимся сетям, то есть отдельным сетям, между которыми обмен данными напрямую невозможен.

Один сетевой адаптер подключен к локальной сети, к которой подключен ADSL-модем.

Другой сетевой адаптер подключен к локальной сети. ADSL-модем работает как маршрутизатор между локальной сетью и сетью Интернет. Для обеспечения безопасности на указанном выше сервере включен брандмауэр и прокси-сервер, которые обеспечивают защиту сети от несанкционированного доступа.

9. Для администрирования локальной сети, серверов, персональных компьютеров и другого сетевого оборудования создаются специальные учетные записи администратора.

10. Функционирование локальной сети обеспечивается подключением рабочих станций к серверу - контролеру домена. Подключение компьютеров к локальной сети производится инженером по автоматизации систем управления производством (далее - инженер по АСУП). Инженер по АСУП использует сервер для контроля безопасности и разрешений для всех компьютеров локальной сети.

11. Отключение серверов или рабочих станций для технологических целей производится только инженером по АСУП с предварительным уведомлением всех пользователей ресурсов данного сервера или рабочей станции.

12. Практическую работу по администрированию локальной сети, серверов, персональных компьютеров, сетевого оборудования и обеспечению защиты информации при ее обработке на средствах вычислительной техники осуществляет инженер по АСУП.

13. Инженер по АСУП осуществляет контроль за выполнением специальных требований по размещению технических средств, прокладке кабельных трасс и инженерных систем, организацией резервного дублирования и архивирования информации, а также созданием и использованием эталонных копий программного обеспечения.

14. Изменение топологии сети сторонними организациями или самостоятельно пользователями, подключение и реконфигурация любого элемента сети без согласования с инженером по АСУП запрещено.

15. Подключение модемов и иных устройств на рабочих станциях для доступа в сеть извне запрещено. В исключительных случаях такие подключения осуществляет инженер по АСУП с обязательным контролем этих рабочих станций.

16. Настройка операционной системы рабочих станций пользователей для корректной работы сети производится инженером по АСУП. Изменение конфигурации системы рабочих станций, установка новых программных продуктов и аппаратных средств, изменяющих настройки системы самостоятельно или сторонними лицами без участия инженера по АСУП, запрещено.

17. Защита информации по уровням доступа производится путем администрирования сетевого оборудования, прокси-сервера, файл-серверов, серверов базы данных. Все вопросы, касающиеся функционирования и развития компьютерной сети, решаются инженером по АСУП совместно с руководством организации. Для устойчивой работы сети в целом рекомендации инженера по АСУП по реконфигурированию элементов, входящих в состав сети, обязательны для исполнения. Для оптимизации функционирования компьютерной сети инженер по АСУП обязан анализировать работу каждого элемента, входящего в состав сети.

18. При любых изменениях конфигурации подключения пользователя инженером по АСУП производится обязательная проверка функционирования канала и доступа к ресурсам сети.

Глава 3
ПРАВА И ОБЯЗАННОСТИ ИНЖЕНЕРА ПО АСУП В ЧАСТИ ОБСЛУЖИВАНИЯ СЕТИ

19. Все вопросы, касающиеся функционирования и развития компьютерной сети, решаются инженером по АСУП совместно с руководством.

Для оптимизации функционирования компьютерной сети инженер по АСУП имеет право анализировать работу любого элемента, входящего в состав сети.

20. Инженер по АСУП обязан:

проводить политику информационной безопасности, принятую в вышестоящей организации;

информировать руководство об эффективности существующей политики безопасности и о технических мерах, которые могут улучшить защиту;

обеспечить защиту оборудования локальной сети, в том числе интерфейсов с другими сетями;

оперативно и эффективно реагировать на события, несущие угрозу безопасности;

оказывать помощь в отражении угрозы безопасности, выявлении нарушителей и предоставлении информации для их наказания;

постоянно анализировать регистрационную информацию, относящуюся к сети в целом и к серверам в особенности;

следить за новинками в области информационной безопасности, информировать о них пользователей и руководство;

не злоупотреблять данными ему полномочиями;

обеспечить защиту локальной сети от зловредного программного обеспечения, а при необходимости оказывать помощь в обнаружении и ликвидации зловредного кода;

регулярно выполнять резервное копирование информации, хранящейся на серверах, либо контролировать создание (наличие) копий, созданных в автоматическом режиме;

производить настройку операционной системы и программного обеспечения рабочих станций пользователей;

выполнять все необходимые изменения сетевой аппаратно-программной конфигурации.

21. Инженер по АСУП имеет право:

вносить руководству предложения по совершенствованию организации работ информационных технологий и повышению их эффективности;

запрещать использование программного обеспечения, если оно не удовлетворяет требованиям политики безопасности, принятой в вышестоящей организации.

Глава 4
ПРАВА И ОБЯЗАННОСТИ ПОЛЬЗОВАТЕЛЕЙ. ПОРЯДОК ИСПОЛЬЗОВАНИЯ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ НА СРЕДСТВАХ ВЫЧИСЛИТЕЛЬНОЙ ТЕХНИКИ СОТРУДНИКОВ

22. Каждый пользователь, допущенный к работе на средствах вычислительной техники, пользуется безусловным доверием. Предполагается, что он достаточно подготовлен и обладает необходимыми навыками использования средств вычислительной техники и методами обеспечения личной и информационной безопасности.

23. Для выполнения задач, связанных с производственной деятельностью, на компьютерах пользователей установлена операционная система и стандартное прикладное программное обеспечение, им предоставлен доступ к ведомственной системе электронной почты и сетевым папкам, открытым для общего доступа.

24. Каждый пользователь имеет свою учетную запись на сервере.

Регистрация учетной записи пользователя производится инженером по АСУП. Имя учетной записи пользователя должно соответствовать фамилии сотрудника на английском языке. Права изменения параметров средств вычислительной техники пользователями ограничены.

25. Пользователи имеют только те полномочия, которые необходимы для исполнения ими своих служебных обязанностей. Пользователь может войти в систему под своей учетной записью на любом компьютере, при этом он обязательно должен вводить пароль.

Глава 5
РЕГЛАМЕНТ СМЕНЫ ПАРОЛЕЙ УЧЕТНЫХ ЗАПИСЕЙ ПОЛЬЗОВАТЕЛЕЙ

26. Пароль является служебной информацией, не подлежащей разглашению. Пароли должны соответствовать следующим требованиям:

минимальная длина пароля - ___ символов;

максимальный срок действия пароля - ___ дня;

требования неповторяемости паролей - ____ хранимых паролей.

27. Пароли, скомпрометированные или открытые для ликвидации аварийных ситуаций, должны сменяться незамедлительно после обнаружения факта компрометации или ликвидации аварийной ситуации.

28. Пользователи обязаны:

не реже одного раза в месяц производить смену пароля;

соблюдать правила информационной безопасности и выполнять требования настоящей Инструкции.

29. Пользователям запрещается:

играть в компьютерные игры;

приносить различные компьютерные программы и пытаться установить их на локальный диск компьютера без ведома инженера по АСУП;

без согласования с инженером по АСУП перенастраивать программное обеспечение компьютера, вскрывать блоки компьютера или периферийных устройств;

изменять конфигурацию системы рабочих станций или несанкционированное расширение своих или чужих прав;

изменять или копировать файлы, принадлежащие другому пользователю, не получив предварительно разрешения владельца;

изменять месторасположение рабочих станций без согласования с инженером по АСУП;

передавать сторонним лицам какие-либо сведения о настройке элементов сети;

использовать ресурсы ведомственной информационной системы в задачах, не связанных с исполнением своих служебных обязанностей.

30. Пользователь несет ответственность за все действия, совершенные под его учетной записью.

31. При работе с ведомственной системой электронной почты пользователям запрещается:

использовать адрес почты для оформления подписок, без предварительного согласования с инженером по АСУП;

публиковать свой личный адрес либо адреса других сотрудников на общедоступных интернет-ресурсах (форумы, конференции и т. п.);

использовать личные почтовые адреса для служебной переписки;

распространять информацию, содержание и направленность которой запрещены международным законодательством и законодательством Республики Беларусь, включая материалы, носящие вредоносную, угрожающую, клеветническую, непристойную информацию, а также информацию, оскорбляющую честь и достоинство других лиц, материалы, способствующие разжиганию национальной розни, подстрекающие к насилию, призывающие к совершению противоправной деятельности, в том числе разъясняющие порядок применения взрывчатых веществ и иного оружия, и т. п.

32. Содержимое электронного почтового ящика пользователя может быть проверено без предварительного уведомления по требованию непосредственного либо вышестоящего руководителя.

33. Пользователь имеет право:

действовать в рамках прав, предоставленных ему инженером по АСУП;

быть информированным обо всех изменениях в работе локальной компьютерной сети и средств вычислительной техники;

получать консультации по всем спорным или непонятным вопросам;

вносить предложения по улучшению своей работы в локальной компьютерной сети и со средствами вычислительной техники.

34. Доступ пользователей к ресурсам ведомственной информационной системы может быть блокирован инженером по АСУП без предварительного уведомления при возникновении нештатных ситуаций либо в иных случаях, предусмотренных локальными правовыми актами.

35. Нарушение пользователем правил технической эксплуатации средств вычислительной техники и периферийных устройств, повлекшие за собой выход их из строя, следует рассматривать как злонамеренные действия.

36. В случае нарушения установленного порядка функционирования компьютерной сети и (или) средств вычислительной техники виновные на основании докладной записки инженера по АСУП привлекаются к ответственности в установленном порядке.

Глава 6
АНТИВИРУСНАЯ ЗАЩИТА

37. Вредоносное программное обеспечение может проникнуть в локальную вычислительную сеть и на рабочие станции только извне на мобильном носителе информации или из внешней сети.

38. Ответственность за организацию антивирусной защиты возлагается на инженера по АСУП.

39. Инженер по АСУП должен обеспечить:

ежедневное обновление антивирусных баз комплекса программ антивирусной защиты;

автоматический запуск комплекса программ антивирусной защиты при каждом включении компьютера либо его перезагрузке;

антивирусную защиту в режиме реального времени.

40. Любые съемные носители, используемые для передачи информации, должны в обязательном порядке подвергаться проверке комплексом программ антивирусной защиты сразу же при установке в накопитель или подключении к компьютеру.

41. Пользователям запрещается:

использовать и распространять вредоносные программы и вирусы, а также машинные носители с такими программами;

использовать съемные машинные носители информации без предварительной проверки на наличие вирусов;

отключать (блокировать) антивирусную защиту.

42. При подозрении на наличие вирусов или обнаружении вирусов (сообщение антивирусной программы, необычное поведение программ, зависание или спонтанная перезагрузка машины, замедление работы, изменение размеров файлов и т. п.) пользователи должны немедленно обратиться к инженеру по АСУП.

43. Инженер по АСУП предпринимает необходимые меры для уничтожения вируса.

Глава 7
ПОРЯДОК ДЕЙСТВИЙ ПРИ ВОЗНИКНОВЕНИИ НЕШТАТНОЙ СИТУАЦИИ С ИНФОРМАЦИОННЫМИ РЕСУРСАМИ

44. Информация в компьютерной сети организации подвержена следующим рискам:

изменение либо уничтожение в результате выхода из строя технических средств;

злонамеренное изменение либо уничтожение извне либо изнутри;

случайное изменение либо уничтожение в результате некомпетентных действий пользователя либо третьих лиц, допущенных пользователем;

изменение либо уничтожение в результате воздействия вредоносных программ;

изменение либо уничтожение в результате стихийного бедствия либо иных обстоятельств непреодолимой силы;

изменение либо уничтожение в результате выхода из строя средств вычислительной техники и периферийных устройств вследствие нарушения пользователем правил их технической эксплуатации.

45. Во избежание изменения либо уничтожения информации в результате выхода из строя технических средств по причине физического износа следует своевременно заменять устаревающие средства вычислительной техники.

46. Выходы технических средств из строя по другим причинам носят случайный, непредсказуемый характер. Единственным надежным средством предупреждения потерь информации в таком случае является резервное копирование.

47. Злонамеренным изменением либо уничтожением информации считаются сознательные действия одного или нескольких лиц, совершенные с целью дезинформации или ограничения доступа к необходимой информации лица (группы лиц). Злонамеренное изменение либо уничтожение информации является противоправным действием. Если упомянутые действия будут квалифицироваться как преступление, расследование и розыск преступника должны осуществляться компетентными правоохранительными органами.

48. Случайное изменение либо уничтожение в результате некомпетентных действий пользователя либо третьих лиц, допущенных пользователем, является наиболее частым случаем потери информации. Если они приобрели для конкретного пользователя систематический характер, пользователь может быть отстранен от работы со средствами вычислительной техники.

49. Изменение либо уничтожение информации в результате воздействия вредоносных программ возможно из-за устаревания средств антивирусной защиты.

Средства антивирусной защиты должны быть установлены на всех без исключения компьютерах и серверах. Их обновление должно осуществляться ежедневно.

Отказ (явный или неявный) от использования средств антивирусной защиты должен рассматриваться как нарушение информационной безопасности.

50. Восстановление максимального объема информации, измененной либо уничтоженной в результате нештатных ситуаций, осуществляется всеми имеющимися силами и средствами.

Сроки восстановления информации не регламентируются.

51. Координацию действий по своевременному восстановлению процесса обработки данных в кризисных (аварийных) ситуациях осуществляет инженер по АСУП.

52. В целях оперативного устранения сбоев в работе оборудования, вызванных нештатной ситуацией, инженер по АСУП обязан:

хранить копии инсталляций;

хранить копии конфигурационных файлов;

хранить копии данных;

иметь резервное оборудование.

53. При возникновении нештатных ситуаций с информационными ресурсами инженер по АСУП обязан:

незамедлительно принять меры по их устранению;

оповестить руководство;

оценить последствия.

Глава 8
РЕЗЕРВИРОВАНИЕ И УНИЧТОЖЕНИЕ ИНФОРМАЦИИ

54. В целях повышения отказоустойчивости в сети имеется основной и дополнительный контролеры домена. Вся информация с основного контроллера домена дублируется на дополнительном.

Для восстановления системы после выхода из строя и сохранения важных данных на сервер, являющийся дополнительным контроллером домена, архивируются базы данных используемых ПО.

55. Для хранения резервных копий информации пользователей на всех компьютерах в локальной сети инженер по АСУП создает папки «архив». Доступ к архивным папкам на компьютерах пользователей должен быть ограничен рамками своего структурного подразделения.

56. Во избежание потерь своих файлов пользователи должны выполнять их резервное копирование в каталог «архив» на жесткие диски компьютеров других сотрудников своего структурного подразделения.

57. Перед началом резервного копирования своих файлов на другой компьютер пользователь должен создать на жестком диске компьютера в папке «архив» свой каталог, имя которого должно соответствовать фамилии создавшего его пользователя.

58. По требованию пользователя и по согласованию с руководителем структурного подразделения инженер по АСУП обязан ограничить круг лиц, имеющих доступ к личным архивным папкам пользователя в сети.

59. Пользователям запрещается переносить информацию, не связанную со служебной деятельностью, с компьютера на компьютер.

60. Ответственность за резервирование информации, находящейся на компьютерах пользователей, инженер по АСУП не несет.

Глава 9
ПОРЯДОК ПРЕДОСТАВЛЕНИЯ ДАННЫХ О ПОЛЬЗОВАТЕЛЯХ СЕТИ ОРГАНАМ, ОСУЩЕСТВЛЯЮЩИМ ОПЕРАТИВНО-РОЗЫСКНУЮ ДЕЯТЕЛЬНОСТЬ, ОРГАНАМ ПРОКУРАТУРЫ, СУДАМ

61. Предоставление данных о пользователях сети органам, осуществляющим оперативно-розыскную деятельность, органам прокуратуры, судам осуществляется в соответствии с действующим законодательством Республики Беларусь.

Глава 10
ПОРЯДОК ПРЕДОСТАВЛЕНИЯ ДОСТУПА СОТРУДНИКАМ ОРГАНИЗАЦИИ К СЕРВИСАМ СЕТИ ИНТЕРНЕТ, ПРАВИЛА РАБОТЫ СОТРУДНИКОВ С УКАЗАННЫМИ СЕРВИСАМИ

62. Для выполнения задач, связанных с производственной деятельностью, лицам, принятым на работу в организацию, предоставляется доступ к ресурсам сети Интернет. Доступ к ресурсам Интернета в других целях запрещен.

63. Доступ к сети Интернет предоставляется всем пользователям локальной сети через прокси-сервер.

Каждому сотруднику, зарегистрированному на прокси-сервере перед подключением к ресурсам сети Интернет, предоставляется:

учетная запись (имя учетной записи на прокси-сервере должно соответствовать фамилии сотрудника на английском языке);

пароль (минимальная длина пароля - 5 символов, должен содержать цифры и буквы английского алфавита).

64. Подключение к ресурсам сети Интернет должно производиться только после ввода идентификатора пользователя и пароля. Пользователь несет ответственность за все действия, совершенные под его учетной записью.

65. По согласованию с руководством допускается авторизация по IP-адресу.

66. Доступ к ресурсам сети Интернет может быть блокирован инженером по АСУП без предварительного уведомления при возникновении нештатных ситуаций либо в иных случаях, предусмотренных организационно-распорядительными документами.

Глава 11
ПОРЯДОК КОНТРОЛЯ, УЧЕТА ИСПОЛЬЗОВАНИЯ РЕСУРСОВ СЕТИ ИНТЕРНЕТ ПОЛЬЗОВАТЕЛЯМИ. ФОРМИРОВАНИЕ И ПРЕДСТАВЛЕНИЕ ОТЧЕТНЫХ ДОКУМЕНТОВ

67. Инженер по АСУП обязан:

обеспечить сбор и хранение данных авторизации и статистики использования сети Интернет пользователями в течение 1 года;

исключить использование программного обеспечения, ресурсов сети Интернет, предназначенных для сокрытия действий пользователя.

68. Инженер по АСУП имеет право ограничивать доступ к ресурсам сети Интернет, содержание которых не имеет отношения к исполнению служебных обязанностей, а также к ресурсам, содержание и направленность которых запрещены международным законодательством и законодательством Республики Беларусь, включая материалы, носящие вредоносную, угрожающую, клеветническую, непристойную информацию, а также информацию, оскорбляющую честь и достоинство других лиц, материалы, способствующие разжиганию национальной розни, подстрекающие к насилию, призывающие к совершению противоправной деятельности, в том числе разъясняющие порядок применения взрывчатых веществ и иного оружия, и т. п.

69. Руководители структурных подразделений обязаны обеспечить контроль за использованием сети Интернет подчиненными только для решения задач, связанных с производственной деятельностью, не допускать использование ресурсов сети Интернет в других целях.

При анализе статистики посещаемых пользователями сайтов не учитываются рекламные ссылки, изображения, анимация и т. д., размещенные на открытом по служебной необходимости сайте, если пользователь данную информацию проигнорировал.

70. При работе с ресурсами сети Интернет запрещается:

загружать и запускать исполняемые либо иные файлы без предварительной проверки на наличие вирусов установленным антивирусным пакетом;

использовать программные и аппаратные средства, позволяющие получить доступ к ресурсу, запрещенному к использованию.

Глава 12
ОТВЕТСТВЕННОСТЬ СОТРУДНИКОВ И ДОЛЖНОСТНЫХ ЛИЦ ЗА ОБЕСПЕЧЕНИЕ ЗАЩИТЫ ИНФОРМАЦИИ

71. С целью соблюдения принципа персональной ответственности за свои действия каждому сотруднику организации должно быть предоставлено персональное уникальное имя - учетная запись пользователя и пароль, под которым он будет регистрироваться и работать в системе.

72. Загрузка операционной системы компьютера должна производиться только после ввода идентификатора пользователя и пароля.

73. Сотрудникам запрещается пользоваться любым компьютерным оборудованием (компьютеры, сканнеры, принтеры, модемы и т. п.) в личных целях.

74. Нарушение сотрудниками требований настоящей Инструкции влечет применение к ним мер дисциплинарного воздействия в соответствии с законодательством Республики Беларусь о труде.

15.10.2019

Денис Михайлов, юрист

См. другие формы в каталоге.