Международный стандарт iso 17799
Распределение обязанностей, связанных с информационной
жүктеу/скачать 0.79 Mb. Pdf көрінісі
|
| 4.1.3 Распределение обязанностей, связанных с информационной
безопасностью Необходимо четко определить ответственность за защиту отдельных ресурсов и за выполнение конкретных процедур, связанных с безопасностью. Политика информационной безопасности (см. часть 3) должна включать в себя общие правила по распределению должностей и обязанностей, связанных с информационной безопасностью. В случае необходимости эту политику нужно дополнить более подробными правилами для конкретных отделов, систем или сервисов. Следует четко определить локальную ответственность за отдельные физические и информационные ресурсы и процессы, связанные с безопасностью, например, планирование непрерывности бизнеса. Во многих организациях назначается руководитель подразделения информационной безопасности, который принимает на себя общую ответственность за разработку и внедрение средств безопасности и за руководство выбором этих средств. Однако обязанности за набор персонала и реализацию конкретных средств зачастую сохраняются за другими сотрудниками. Распространенным методом является назначение владельца каждого информационного ресурса. Такой владелец несет ответственность за ежедневное обеспечение безопасности своего ресурса. Владельцы информационных ресурсов могут передавать свои обязанности, связанные с безопасностью, отдельным сотрудникам или поставщикам услуг. Несмотря на это, владелец несет полную ответственность за безопасность ресурса. Он должен иметь возможность контролировать корректность освобождения других сотрудников от переданных им обязанностей, связанных с безопасностью. Следует четко определить круг обязанностей каждого руководителя. В частности, необходимо соблюдать перечисленные ниже правила. a) должны быть четко определены ресурсы и процессы, связанные с безопасностью каждой отдельно взятой системы, b) должны быть определены руководители, ответственные за каждый ресурс или процесс, связанный с безопасностью. Обязанности каждого руководителя должны быть подробно сформулированы в соответствующем документе. c) Необходимо четко определить и документировать уровни авторизации. |