Управление информационной безопасностью. Стандарты СУИБ. Вадим Гребенников
должна идентифицировать все активы с учетом важности жизненного цикла информации и документа. Жизненный цикл информации состоит из создания, обработки, хранения, передачи, уничтожения и разрушения. Документация должна быть надлежащим образом внесена в существующие или новые описи.
Опись актива должна быть аккуратной, актуальной, последовательной и совместимой с другими описями.
Владение активом и классификация информации должны быть определены в отношении каждого актива.
Описи активов помогают обеспечивать уверенность в том, что активы организации эффективно защищены. Эти описи могут также потребоваться для других целей, таких как обеспечение безопасности труда, страховые или финансовые вопросы.
Принадлежность активов
Меры и средства
Активы, содержащиеся в описи, должны иметь владельцев.
Рекомендации по реализации
Физические лица, также как и другие субъекты, возложившие на себя одобренную руководством ответственность за жизненный цикл актива, квалифицируются как его владельцы.
Как правило, используется процесс временного назначения владения активом. Владение должно быть назначено, когда активы созданы и переданы организации. Владелец актива должен нести ответственность за надлежащее управление активом на протяжении всего его жизненного цикла.
Владелец актива должен:
– удостовериться, что активы инветаризированы;
– удостовериться, что активы надлежащим образом классифицированы и защищены;
– определять и пересматривать ограничения и классификации актива для важных активов с учетом применяемых правил разграничения доступа;
– принять надлежащие меры в случае уничтожения или разрушения актива.
В сложных ИС можно выделить группы активов, участвующих в обеспечении определенного сервиса. В этом случае владелец сервиса несет ответственность за обеспечение сервиса, включая работу этих активов.
Использование активов
Меры и средства
Правила использования информации и активов, связанных с информацией и средствами ее обработки, должны быть определены, задокументированы и внедрены.
Рекомендации по реализации
Сотрудники и представители внешних организаций, использующие или имеющие доступ к активам организации, должны быть осведомлены о требованиях ИБ в отношении активов организации, связанных с информацией, ресурсами и средствами ее обработки. Они должны нести ответственность за использование ими любых ресурсов для обработки информации и любое подобное использование в сфере их ответственности.
Возврат активов
Меры и средства
Все сотрудники организации и представители внешних организаций обязаны возвратить все активы организации, которые им были выданы, после окончания трудового договора, контракта или соглашения.
Рекомендации по реализации
Процесс увольнения должен быть формализован