Инструкция по применению средств защиты информации (парольная политика)

1.1. Настоящая Инструкция устанавливает порядок применения средств защиты информации, используемых для обеспечения безопасности персональных данных в информационных системах __________ (ИНН __________, ОГРН __________; далее — Оператор) 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

1.2. Средством защиты информации по настоящей Инструкции признаётся программное, программно-аппаратное или техническое средство, предназначенное для предотвращения несанкционированного доступа к персональным данным, их изменения, копирования, распространения или уничтожения.

1.3. Инструкция обязательна для администратора безопасности, работников, обслуживающих информационные системы, и пользователей, на рабочих местах которых установлены средства защиты.

1.4. Состав применяемых средств защиты определяется исходя из установленного уровня защищённости информационных систем и утверждённой модели угроз ПП РФ 1119 —ПП РФ 1119 —Требования к защите ПДн в информационных системах.

1.5. Ответственным за организацию применения средств защиты является __________ __________.

1.6. Установку, настройку, обновление и контроль средств защиты выполняет __________ __________ (далее — администратор безопасности).

1.7. Инструкция не заменяет эксплуатационную документацию изготовителя средства защиты: при противоречии применяются требования, обеспечивающие более высокий уровень защиты.

2.1. Перечень применяемых средств защиты информации ведёт администратор безопасности и актуализирует его при каждом изменении состава средств.

2.2. Применяются средства защиты, прошедшие в установленном порядке процедуру оценки соответствия, если применение таких средств требуется для установленного уровня защищённости Приказ ФСТЭК 21 —Приказ ФСТЭК 21 —Состав и содержание мер защиты ПДн в ИСПДн.

2.3. Средства защиты приобретаются у изготовителя или его официального представителя.

2.4. Использование средств защиты, полученных из непроверенных источников, а также средств с истёкшим сроком действия лицензии не допускается.

2.5. Копии сертификатов, лицензий и эксплуатационной документации хранятся у администратора безопасности и предъявляются при контрольных мероприятиях.

3.1. Средство защиты вводится в эксплуатацию по решению руководителя на основании служебной записки ответственного за организацию обработки персональных данных.

3.2. Администратор безопасности проверяет комплектность поставки, соответствие серийных номеров сопроводительным документам и наличие действующего сертификата или лицензии.

3.3. Администратор безопасности проверяет подлинность дистрибутива средства защиты по контрольным суммам, опубликованным изготовителем, до его установки.

3.4. Установка и настройка производятся в соответствии с эксплуатационной документацией изготовителя и с параметрами, обеспечивающими нейтрализацию угроз, признанных актуальными в модели угроз.

3.5. После настройки проводится проверка работоспособности: администратор безопасности убеждается, что средство запускается при загрузке, применяет заданные настройки и регистрирует события в журнале.

3.6. Ввод в эксплуатацию оформляется актом, который подписывают администратор безопасности и ответственный за организацию обработки персональных данных и утверждает руководитель.

3.7. Сведения о вводе вносятся в журнал учёта средств защиты.

3.8. Обработка персональных данных в информационной системе до завершения ввода средств защиты в эксплуатацию не допускается.

4.1. Каждый экземпляр средства защиты подлежит учёту в журнале учёта средств защиты информации и ключевых носителей.

4.2. В журнале фиксируются: наименование и версия средства, серийный или регистрационный номер экземпляра, реквизиты сертификата или лицензии, дата получения и от кого получено, место установки, дата ввода в эксплуатацию, лицо, за которым закреплён экземпляр.

4.3. Экземпляр средства защиты закрепляется за конкретным работником под подпись.

4.4. Передача экземпляра другому работнику оформляется записью в журнале.

4.5. Дистрибутивы и лицензионные ключи хранятся в запираемом шкафу или в защищённом хранилище с ограниченным доступом; доступ к ним имеет администратор безопасности.

4.6. Инвентаризация средств защиты проводится не реже одного раза в год одновременно с проверкой актуальности лицензий и сертификатов; результат оформляется актом.

4.7. Расхождение фактического наличия экземпляров с данными журнала рассматривается как инцидент и подлежит расследованию.

5.1. Настройку средств защиты и изменение их параметров производит только администратор безопасности.

5.2. Пользователям права на изменение настроек не предоставляются.

5.3. Отключение, приостановка, удаление средства защиты и изменение его настроек без письменного разрешения ответственного за организацию обработки персональных данных запрещаются.

5.4. Запрещается завершать процессы средства защиты, исключать каталоги и файлы из области проверки, отключать регистрацию событий и очищать журналы событий.

5.5. Запрещается использовать средства обхода защиты, подменять системные компоненты и запускать программы, изменяющие параметры операционной системы, влияющие на работу средств защиты.

5.6. Временное отключение средства защиты для проведения регламентных работ допускается по письменному разрешению с указанием причины, срока и лица, выполняющего работы.

5.7. На время отключения обработка персональных данных в соответствующей системе приостанавливается, а факт отключения фиксируется в журнале контроля.

5.8. Пользователь, обнаруживший, что средство защиты не запущено или выдаёт сообщение об ошибке, немедленно сообщает об этом администратору безопасности и не продолжает работу с персональными данными до восстановления защиты.

6.1. Обновления средств защиты, включая обновления баз данных признаков вредоносного кода, получают только из источников изготовителя или его официального представителя.

6.2. Администратор безопасности проверяет доступность обновлений не реже одного раза в неделю, а обновления баз признаков вредоносного кода устанавливаются в автоматическом режиме не реже одного раза в сутки.

6.3. Перед установкой обновления, изменяющего версию средства защиты, администратор безопасности проверяет его подлинность по контрольным суммам и, при наличии технической возможности, устанавливает обновление на тестовом сегменте.

6.4. Обновление устанавливается в срок, не превышающий пяти рабочих дней со дня его выпуска, а обновление, устраняющее уязвимость, признанную критической, — в течение одного рабочего дня.

6.5. Перед обновлением создаётся резервная копия настроек средства защиты, позволяющая вернуть прежнюю конфигурацию.

6.6. Если обновление привело к нарушению работоспособности информационной системы, администратор безопасности возвращает прежнюю версию, докладывает ответственному и фиксирует событие в журнале контроля.

6.7. Сведения об установленных обновлениях с указанием даты, версии и результата вносятся в журнал контроля целостности и обновлений.

7.1. Контроль целостности и работоспособности средств защиты проводится __________, а также после каждого обновления, восстановления системы и работ, затрагивающих конфигурацию.

7.2. При контроле проверяется: запускается ли средство защиты автоматически, соответствуют ли настройки утверждённым, актуальны ли базы и лицензии, ведётся ли регистрация событий, совпадают ли контрольные суммы защищаемых компонентов с эталонными.

7.3. При контроле проверяется также, не появились ли учётные записи и права доступа, не предусмотренные утверждённым перечнем лиц, допущенных к обработке персональных данных.

7.4. Результат контроля фиксируется в журнале контроля целостности и обновлений с указанием даты, проверенных объектов, выявленных отклонений и принятых мер.

7.5. Выявленные отклонения устраняются администратором безопасности незамедлительно.

7.6. Отклонение, которое невозможно устранить в течение одного рабочего дня, докладывается ответственному, а обработка персональных данных в затронутой системе ограничивается.

7.7. Ответственный не реже одного раза в год проверяет полноту ведения журналов контроля в рамках внутреннего контроля соответствия обработки требованиям законодательства 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

9.1. Средство защиты выводится из эксплуатации при истечении срока действия лицензии или сертификата, при замене на иное средство, при выводе из эксплуатации информационной системы, а также при прекращении поддержки изготовителем.

9.2. Решение о выводе из эксплуатации принимает руководитель по представлению ответственного.

9.3. До ввода замещающего средства защиты обработка персональных данных в системе не производится, если модель угроз требует применения такого средства.

9.4. Администратор безопасности удаляет средство защиты, уничтожает ключевую информацию и настройки, содержащие сведения о конфигурации защиты, и делает запись в журнале учёта.

9.5. Носители, содержащие дистрибутивы, ключевую информацию и резервные копии настроек, уничтожаются в порядке, установленном инструкцией по уничтожению персональных данных.

9.6. Вывод из эксплуатации оформляется актом с указанием причины, даты, перечня уничтоженных материалов и лиц, проводивших работы.

10.1. Отключение, удаление средства защиты или изменение его настроек без разрешения является грубым нарушением настоящей Инструкции и влечёт дисциплинарную ответственность ТК РФ ст. 192ТК РФ ст. 192Дисциплинарные взыскания.

10.2. Сокрытие сбоя средства защиты, а равно продолжение обработки персональных данных при неработающем средстве защиты рассматриваются как самостоятельные нарушения.

10.3. Ущерб, причинённый Оператору в результате нарушения настоящей Инструкции, возмещается работником в порядке и пределах, установленных трудовым законодательством ТК РФ ст. 238ТК РФ ст. 238Материальная ответственность работника за ущерб.

10.4. Необеспечение сохранности персональных данных при их обработке в информационных системах влечёт административную ответственность Оператора КоАП РФ ст. 13.11КоАП РФ ст. 13.11Нарушение законодательства о персональных данных.

10.5. Привлечение работника к ответственности не освобождает Оператора от обязанности возместить субъекту персональных данных причинённый вред 152-ФЗ ст. 24152-ФЗ ст. 24Ответственность за нарушение закона о ПДн.

11.1. Инструкция вступает в силу со дня утверждения приказом руководителя и действует до её отмены или замены новой редакцией.

11.2. Инструкция пересматривается не реже одного раза в год, а также при изменении состава средств защиты, модели угроз, уровня защищённости информационных систем или требований законодательства.

11.3. Администратор безопасности, работники, обслуживающие информационные системы, и пользователи знакомятся с Инструкцией под подпись до начала работы со средствами защиты ТК РФ ст. 8ТК РФ ст. 8Локальные нормативные акты.

11.4. Контроль за исполнением Инструкции возлагается на ответственного за организацию обработки персональных данных.

12.1. Ответственный за организацию обработки персональных данных:

12.2. __________ ______________

12.3. __________

12.4. Администратор безопасности:

12.5. __________ ______________

12.6. __________

12.7. Руководитель:

12.8. __________ ______________

12.9. __________