Разработка рекомендаций для защиты информации и обеспечения безопасного доступа к информационным ресурсам ОАО «Магнит»

Информационная безопасность — механизм защиты, обеспечивающий:

• — конфиденциальность: доступ к информации только авторизованных пользователей;
• — целостность: достоверность и полноту информации и методов ее обработки;
• — доступность: доступ к информации и связанным с ней активам авторизованных пользователей по мере необходимости.

Информационная безопасность достигается путем реализации соответствующего комплекса мероприятий по управлению информационной безопасностью, которые могут быть представлены политиками, методами, процедурами, организационными структурами и функциями программного обеспечения. Указанные мероприятия должны обеспечить достижение целей информационной безопасности организации ОАО «Магнит».

Предприятие ОАО «Магнит» должно определить свои требования к информационной безопасности с учетом следующих трех факторов.

• 1) оценка рисков организации. Посредством оценки рисков происходит выявление угроз активам организации ОАО «Магнит», оценка уязвимости соответствующих активов и вероятности возникновения угроз, а также оценка возможных последствий.
• 2) юридические, законодательные, регулирующие и договорные требования, которым должны удовлетворять предприятие ОАО «Магнит», его торговые партнеры, подрядчики и поставщики услуг.
• 3) специфический набор принципов, целей и требований, разработанных предприятием в отношении обработки информации.

После того как определены требования к информационной безопасности, следует выбрать и внедрить такие мероприятия по управлению информационной безопасностью, которые обеспечат снижение рисков до приемлемого уровня.

Ключевыми мерами контроля торгового предприятия ОАО «Магнит» будут являться:

• — обеспечение конфиденциальности персональных данных;
• — защита учетных данных организации;
• -права на интеллектуальную собственность.

Мероприятия по управлению информационной безопасностью ОАО «Магнит» включают:

• — наличие документа, описывающего политику информационной безопасности;
• — распределение обязанностей по обеспечению информационной безопасности;
• — обучение вопросам информационной безопасности;
• — информирование об инцидентах, связанных с информационной безопасностью.

Для успешного внедрения информационной безопасности в предприятие ОАО «Магнит» решающими будут являться следующие факторы:

• — согласованность подхода к внедрению системы безопасности с корпоративной культурой;
• — видимая поддержка и заинтересованность со стороны руководства;
• — четкое понимание требований безопасности, оценка рисков и управление рисками;
• — обеспечение понимания необходимости применения мер информационной безопасности руководством и сотрудниками предприятия ОАО «Магнит»;
• — передача инструкций в отношении политики информационной безопасности и соответствующих стандартов всем сотрудникам и контрагентам;
• -обеспечение необходимого обучения и подготовки.

Политика информационной безопасности должна быть утверждена и надлежащим образом доведена до сведения всех сотрудников организации ОАО «Магнит». Она должна устанавливать ответственность руководства, а также излагать подход исследуемого предприятия к управлению информационной безопасностью. Как минимум, политика должна включать следующее:

• 1. определение информационной безопасности, ее общих целей и сферы действия, а также раскрытие значимости безопасности как инструмента, обеспечивающего возможность совместного использования информации;
• 2. изложение целей и принципов информационной безопасности, сформулированных руководством;
• 3. краткое изложение наиболее существенных для организации ОАО «Магнит» политик безопасности, принципов, правил и требований, таких как:
• 1. соответствие законодательным требованиям и договорным обязательствам;
• 2. требования в отношении обучения вопросам безопасности;
• 3. предотвращение появления и обнаружение вирусов и другого вредоносного программного обеспечения;
• 4. управление непрерывностью бизнеса;
• 5. Ответственность за нарушения политики безопасности;

Следует создавать соответствующие управляющие советы с участием высшего руководства для утверждения политики информационной безопасности, назначения ответственных лиц в области информационной безопасности, а также осуществления координации внедрения мероприятий по управлению информационной безопасностью в организации. При необходимости следует предусмотреть наличие специалиста по вопросам информационной безопасности внутри торгового предприятия ОАО «Магнит», к которому могут обращаться заинтересованные сотрудники. Следует налаживать контакты с внешними специалистами по безопасности для того, чтобы быть в курсе отраслевых тенденций, способов и методов ее оценки, а также с целью адекватного реагирования на инциденты нарушения информационной безопасности. Следует поощрять многопрофильный подход к информационной безопасности, например, путем налаживания сотрудничества между менеджерами, пользователями, администраторами, разработчиками приложений, аудиторами и сотрудниками безопасности, а также специалистами в области страхования и управления рисками.

Функции (роли) и ответственность в области информационной безопасности, как установлено в политике информационной безопасности организации ОАО «Магнит», следует документировать. В должностные инструкции следует включать как общие обязанности по внедрению или соблюдению политики безопасности, так и специфические особенности по защите определенных активов или действий, касающихся безопасности.

Соглашения о конфиденциальности или соглашения о неразглашении используются для уведомления сотрудников о том, что информация является конфиденциальной. Сотрудники предприятия ОАО «Магнит» должны подписать такое соглашение как неотъемлемую часть условий трудового договора.

Условия трудового договора должны определять ответственность служащего в отношении информационной безопасности. Там, где необходимо, эта ответственность должна сохраняться и в течение определенного срока после увольнения с работы. Необходимо указать меры дисциплинарного воздействия, которые будут применимы в случае нарушения сотрудником требований безопасности.

Все сотрудники предприятия ОАО «Магнит» и, при необходимости, пользователи третьей стороны должны пройти соответствующее обучение и получать на регулярной основе обновленные варианты политик и процедур информационной безопасности, принятых в организации. Обучение сотрудников ОАО «Магнит» должно обеспечить знание ими требований безопасности, ответственности в соответствии с законодательством, мероприятий по управлению информационной безопасностью, а также знание правильного использования средств обработки информации, например процедур регистрации в системах, использования пакетов программ, прежде чем им будет предоставлен доступ к информации или услугам.