УТВЕРЖДАЮ
И.о.главного врача  ГОБУЗ «ЦГКБ» 

Н.М.Маврина  
«15_» 09_ 2012 г.

Политика информационной безопасности 
 информационных систем персональных данных 
ГОБУЗ «ЦЕНТРАЛЬНАЯ ГОРОДСКАЯ КЛИНИЧЕСКАЯ БОЛЬНИЦА»

Редакция 1.0 

	СОГЛАСОВАНО
Заместитель Директора 
ГОБУЗ «МИАЦ»

П.П.Рязанцев

«___» ____________ 2012 г.	

СОДЕРЖАНИЕ

Термины и определения
Вводная часть
Политики, обязательные для исполнения в ГОБУЗ «ЦГКБ»
Политика безопасности жизненного цикла ИСПДн
Политика информирования и обучения по вопросам информационной безопасности
Политика идентификации и аутентификации
Политика аудита событий информационной безопасности
Политика безопасности сервера
Политика администрирования
Политика защиты носителей информации
Политика обеспечения целостности и доступности информационных активов и сервисов автоматизированной системы
Политика физической защиты аппаратных активов, коммуникаций и среды функционирования ИСПДн
Политика управления доступом
Политики, рекомендуемые для исполнения в ГОБУЗ «ЦГКБ»
Политика сопровождения ИСПДн
Политика отслеживания и реагирования на инциденты информационной безопасности
Политика защиты от угроз информационной безопасности, связанных с персоналом
Политика обеспечения безопасности внутрисетевого и межсетевого взаимодействия
Политика управления конфигурацией ИСПДн
Политика использования Интернета
Политика использования мобильных компьютеров

Принятые сокращения

БД – база данных 
ИБ – информационная безопасность
ИБП – источниками бесперебойного питания 
ИСПДн – информационная система персональных данных 
ИТ – информационные технологии 
КЗ – контролируемая зона
МЭ – межсетевой экран 
ОС – операционная система 
ПО – программное обеспечение  
СУБД – система управления базами данных 
НСД – несанкционированный доступ
СЗИ – системы защиты информации
СКЗИ – средство криптографической защиты информации
ЭЦП – электронная цифровая подпись 
BIOS – базовая система ввода-вывода  
IDS – система обнаружения вторжений 
IPS – система предотвращения вторжений 

Термины и определения

Аутентификация - проверка принадлежности субъекту доступа (пользователю, процессу и т.п.) предъявленного им идентификатора (имени пользователя), подтверждение подлинности.
Идентификация - присвоение субъектам и объектам доступа идентификатора (имени пользователя) и/или сравнение предъявляемого идентификатора (имени пользователя) с перечнем присвоенных идентификаторов. 
Аудит событий ИБ – процесс анализа событий ИБ с целью выявления инцидентов ИБ. 
Управление доступом - предотвращение несанкционированного использования какого-либо активов, включая предотвращение использования активом неполномочным способом. 
Инцидент ИБ - действительное, предпринимаемое или вероятное нарушение информационной безопасности.

Вводная часть

Политика безопасности ИСПДн ГОБУЗ «ЦЕНТРАЛЬНАЯ ГОРОДСКАЯ КЛИНИЧЕСКАЯ БОЛЬНИЦА»  – это официально объявленная руководством учреждения стратегия защиты информационных ресурсов ГОБУЗ «ЦЕНТРАЛЬНАЯ ГОРОДСКАЯ КЛИНИЧЕСКАЯ БОЛЬНИЦА» (Далее – ГОБУЗ «ЦГКБ»). Это документ, описывает средства и действия, обеспечивающие безопасность обработки персональных данных в автоматизированных системах. 
Политика безопасности ИСПДн  – это основной способ преобразования общих соображений руководства  о безопасности в конкретные цели и задачи.
Политика безопасности определяет необходимый и достаточный набор  мер, позволяющих уменьшить риски информационной безопасности до приемлемой величины. Эти меры должны оказывать минимальное влияние на производительность труда сотрудников, учитывать особенности работы ГОБУЗ «ЦГКБ».
Эффективность политики безопасности достигается
•	организацией непрерывного контроля выполнения ее правил, фиксацией инцидентов ее нарушения и тщательным анализом  их причин. Основными формами этого контроля являются регулярное проведение внутреннего и внешнего аудита безопасности;
•	непрерывной работой по обучению сотрудников и повышению осведомленности руководителей структурных подразделений в вопросах обеспечения информационной безопасности;
•	регулярным пересмотром и корректировкой правила политики безопасности для поддержания ее в актуальном состоянии. Обеспечение информационной безопасности — непрерывный процесс. Технологии стремительно изменяются, системы устаревают, а многие процедуры теряют эффективность.
Политику безопасности вводит в действие своим приказом Главный врач ГОБУЗ «ЦЕНТРАЛЬНАЯ ГОРОДСКАЯ КЛИНИЧЕСКАЯ БОЛЬНИЦА» и ее реализация  находится под его контролем. 

Политики, обязательные для исполнения в ГОБУЗ «ЦГКБ»

Политика безопасности жизненного цикла ИСПДн
1. Введение 

1.1. Цель 

Определить общие требования по обеспечению информационной безопасности ИСПДн  на всех стадиях жизненного цикла ИСПДн.

1.2. Аудитория  

С данной политикой должны быть ознакомлены: 
•	администратор безопасности ИСПДн;
•	руководители структурных подразделений. 

2. Политика

2.1. ИБ ИСПДн должна обеспечиваться на всех стадиях жизненного цикла ИСПДн, автоматизирующих технологические процессы ГОБУЗ «ЦГКБ», и учитывать специфику деятельности всех структур, вовлеченных в процессы жизненного цикла (разработчиков, заказчиков, поставщиков продуктов и услуг, эксплуатирующих и надзорных подразделений).
2.2. Разработка технических заданий, проектирование, создание и тестирование и приемка средств и систем защиты ИСПДн должны осуществляться по согласованию с администратором безопасности.
2.3. Ввод в действие, эксплуатация, снятие с эксплуатации ИСПДн (составных частей ИСПДн) в части вопросов ИБ должны осуществляться при участии ответственного специалиста по защите информации.
2.4. На стадиях создания ИСПДн (определение требований заинтересованных сторон, анализ требований, архитектурное проектирование, реализация, интеграция и верификация, поставка, ввод в действие), должна быть обеспечена защита от угроз:
— неверной формулировки требований к ИСПДн;
— выбора неадекватной модели жизненного цикла ИСПДн, в том числе неадекватного выбора процессов жизненного цикла и вовлеченных в них участников;
— принятия неверных проектных решений;
— внесения разработчиком дефектов на уровне архитектурных решений;
— внесения разработчиком недокументированных возможностей в ИСПДн;
— неадекватной (неполной, противоречивой, некорректной и пр.) реализации требований к ИСПДн;
— разработки некачественной документации;
— создания ИСПДн разработчиком/производителем с нарушением требований, что приводит к появлению недокументированных возможностей в ИСПДн либо к неадекватной реализации требований;
— неверного конфигурирования ИСПДн;
— приемки ИСПДн, не отвечающей требованиям заказчика;
— внесения недокументированных возможностей в ИСПДн в процессе проведения приемочных испытаний посредством недокументированных возможностей функциональных тестов и тестов ИБ.
2.5. Привлекаемые для разработки и(или) производства средств и систем защиты ИСПДн на договорной основе специализированные организации должны иметь лицензии на  данный вид деятельности в соответствии с законодательством РФ.
2.6. При приобретении компонентов ИСПДн разработчиком (поставщиком) должна быть предоставлена документация, содержащая   описание мер защиты, предпринятых разработчиком (поставщиком) в отношении угроз, перечисленных в п. 2.4.
В договор (контракт) о поставке компонентов ИСПДн  должны быть включены положения по сопровождению поставляемых изделий на весь срок их службы.
В случае невозможности включения в договор (контракт) указанных требований   должна быть рассмотрена возможность приобретения   комплекта рабочей конструкторской документации на изделие, обеспечивающего возможность сопровождения его без участия разработчика. Если оба указанных варианта неприемлемы, например, вследствие высокой стоимости,   должен быть проведен анализ влияния угрозы невозможности сопровождения компонентов на обеспечение непрерывности работы ИСПДн.
2.7. На стадии эксплуатации должна быть обеспечена защита от следующих угроз:
— умышленное несанкционированное раскрытие, модификация или уничтожение информации;
— неумышленная модификация или уничтожение информации;
— недоставка или ошибочная доставка информации;
— отказ в обслуживании или ухудшение обслуживания.
2.8. На стадии сопровождения должна быть обеспечена защита от угроз:
— внесения изменений в ИСПДн, приводящих к нарушению ее функциональности либо к появлению недокументированных возможностей;
— невнесения разработчиком изменений, необходимых для поддержки правильного функционирования и правильного состояния ИСПДн.
2.9. На стадии снятия с эксплуатации компонентов ИСПДн должно быть обеспечено удаление информации, несанкционированное использование которой может нанести ущерб  деятельности, и информации, используемой средствами обеспечения ИБ, из постоянной памяти компонентов ИСПДн или с внешних носителей.
2.10 Требования ИБ должны включаться во все договоры и контракты на проведение работ или оказание услуг на всех стадиях жизненного цикла ИСПДн.

3. Роли и обязанности

•	Администратор безопасности ИСПДн:
•	отвечает за претворение в жизнь настоящей политики;
•	 организует контроль соблюдения требований настоящей политики;
•	осуществляет выбор необходимого набора контрмер и стратегии информирования по вопросам ИБ;
•	осуществляет координацию действий в области обеспечения ИБ;
•	обеспечивает проведение необходимого обучения;
•	осуществляет общее методическое руководство деятельностью администратора безопасности;
•	информирует  руководителей учреждения о состоянии дел в области обеспечения ИБ и обо всех существенных инцидентах нарушения ИБ. 

4. Ответственность за нарушение политики безопасности

4.1. Лица, указанные в разделе 3 настоящей политики, несут персональную ответственность за обеспечение ИБ в соответствии с требованиями настоящей политики безопасности. 
4.2. Лица, нарушившие требования безопасности, изложенные в данной политике, совершившие умышленные действия, направленные на нарушение ИБ, могут быть привлечены к дисциплинарной ответственности в соответствии с действующим законодательством Российской Федерации. 

5. История пересмотра 

Политика информирования и обучения по вопросам информационной безопасности

1. Введение

1.1. Цель 

Цель настоящей политики состоит в том, чтобы гарантировать, что предписанные  процедуры обеспечения ИБ в ИСПДн выполняются правильно, а также для сведения риска нарушения конфиденциальности, целостности и доступности защищаемых активов ИСПДн из-за ошибок пользователей системы, в том числе сотрудников сторонних организаций, имеющих доступ в ИСПДн, к минимуму. 

1.2. Аудитория 

С данной политикой должны быть ознакомлены: 
•	группа по реагированию на инциденты. 

2. Политика

2.1. Все пользователи ИСПДн, в т.ч. сотрудники сторонних организаций, имеющие доступ в ИСПДн, должны быть ознакомлены с документами, содержащими базовую информацию о системе, в том числе и по вопросам обеспечения ИБ в системе. 
2.2. Пользователи должны быть обучены правилам работы в системе, должному обращению с активами ИСПДн и процедурам обеспечения ИБ в системе (например, пользователи должны знать процедуру входа в систему, уметь пользоваться установленными программными продуктами ИТ и т.п.). 
Доступ пользователей в ИСПДн осуществляется только после их обучения и ознакомления с необходимыми документами.
2.3. Системный администратор, администратор безопасности ИСПДн, а также при необходимости и другие сотрудники ГОБУЗ «ЦГКБ», выполняющие роли и имеющие обязанности, существенные с точки зрения влияния на безопасность системы, периодически должны проходить обучение по вопросам ИБ. 

3. Роли и обязанности

Администратор безопасности ИСПДн:
•	отвечает за претворение в жизнь настоящей политики;
•	обеспечивает проведение необходимого обучения;
•	осуществляет общее методическое руководство деятельностью системных администраторов ГОБУЗ «ЦГКБ».
•	проводит контроль за соблюдением требований настоящей политики;
•	осуществляет выбор необходимого набора контрмер и стратегии обучения и информирования по вопросам ИБ;
•	осуществляет координацию действий в области обеспечения ИБ;
•	обеспечивает проведение необходимого обучения;
•	осуществляет общее методическое руководство деятельностью администратора безопасности;
•	информирует руководящий аппарат ГОБУЗ «ЦГКБ» о состоянии дел в области обеспечения ИБ и обо всех существенных инцидентах нарушения ИБ. 
Системный администратор:
•	проводит необходимое обучение пользователей ИСПДн на рабочих местах. 

4. Ответственность за нарушение политики безопасности

4.1. Лица, указанные в разделе 3 настоящей политики, несут персональную ответственность за обеспечение ИБ в соответствии с требованиями настоящей политики безопасности. 
4.2. Лица, нарушившие требования безопасности, изложенные в данной политике, совершившие умышленные действия, направленные на нарушение ИБ, могут быть привлечены к дисциплинарной ответственности в соответствии с действующим законодательством Российской Федерации. 

5. История пересмотра 

Политика идентификации и аутентификации

1. Введение 

1.1. Цель 

Обеспечить надежную идентификацию и аутентификацию в ИСПДн, для снижения рисков несанкционированного доступа и использования защищаемых информационных активов. 

1.2. Аудитория  

С данной политикой должны быть ознакомлены: 
•	системные администраторы ИСПДн;
•	администратор безопасности ИСПДн. 

2. Политика 

2.1. Перед обращением к ресурсам системы пользователи должны пройти процедуру идентификации и аутентификации. Успешная идентификация и аутентификация возможна только в случае ввода пользователем правильных аутентификационных данных (как правило, имени пользователя и пароля). 
2.2. Идентификация и аутентификация пользователя должна осуществляться при входе в систему, разблокировании консоли после определенного периода неактивности, доступе к определенным защищаемым информационным активам ИСПДн и т.п. на этапе ввода пользователем своего имени пользователя и пароля (либо на этапе считывания информации с USB-токена, смарт-карты). 
2.3. Идентификация и аутентификация пользователей, осуществляемая при входе в систему (домен), должна строиться на базе прокола Kerberos. Использование протоколов аутентификации NTLMv1 и LM не допускается. 
Для аутентификации пользователей и сетевых узлов вместо паролей могут использоваться цифровые сертификаты X.509. В этом случае цифровые сертификаты X.509, используемые для аутентификации, выдаются, как правило, в рамках компоненты ОС Windows Server 2003 -  локальной сетевой службы Microsoft CA, развертываемой на одном из серверов ИСПДн.
2.4.  Для аутентификации пользователей в различных приложениях рекомендуется использовать сквозную однократная аутентификация (Single Sing-On).
2.5. По возможности, имена пользователей не должны указывать на уровень привилегий пользователя. Использование следующих имен пользователей: Administrator, Admin, Администратор, supervisor, root, guest, гость и т.п. не рекомендуется. 
2.6. Требования к паролям, которые должны использоваться в системе (минимальной длине пароля, периодичности изменения и т.п.), приводятся в Политике управления доступом. 

3. Роли и обязанности

Администратор безопасности ИСПДн ГОБУЗ «ЦГКБ»: 
•	отвечает за претворение в жизнь настоящей политики;
•	обеспечивает проведение необходимого обучения;
•	осуществляет выбор необходимого набора контрмер и стратегии обеспечения идентификации и аутентификации;
•	осуществляет общее методическое руководство деятельностью системных администраторов ГОБУЗ «ЦГКБ».
•	информирует руководящий аппарат ГОБУЗ «ЦГКБ» о состоянии дел в области обеспечения ИБ и обо всех существенных инцидентах нарушения ИБ;
•	осуществляет координацию действий в области обеспечения ИБ;
•	осуществляет общее методическое руководство деятельностью администратора безопасности;
•	проводит контроль за соблюдением требований настоящей политики.
Системные администраторы ИСПДн:
•	готовит рекомендации по выбору необходимого набора контрмер и стратегии обеспечения идентификации и аутентификации;
•	отвечает за реализацию настоящей политики и соответствующую настройку продуктов ИТ;
•	проводит необходимое обучение пользователей ИСПДн на рабочих местах.

4. Ответственность за нарушение политики безопасности

4.1. Лица, указанные в разделе 3 настоящей политики, несут персональную ответственность за обеспечение ИБ в соответствии с требованиями настоящей политики безопасности. 
4.2. Лица, нарушившие требования безопасности, изложенные в данной политике, совершившие умышленные действия, направленные на нарушение ИБ, могут быть привлечены к дисциплинарной, административной или уголовной ответственности в соответствии с действующим законодательством Российской Федерации. 

5. История пересмотра 

Политика аудита событий информационной безопасности 

1. Введение 

1.1. Цель 

Обеспечить анализ событий ИБ с целью сведения риска нарушения режима ИБ к минимуму, обеспечить сбор доказательств, которые могут потребоваться при проведении внутренних расследований и судебных разбирательств. 

1.2. Аудитория  

С данной политикой должны быть ознакомлены: 
•	системные администраторы ИСПДн;
•	администратор безопасности ИСПДн;

2. Политика 

2.1. В ИСПДн должен проводиться аудит следующих основных событий ИБ, приведенных в таблицах 1, 2, 3. 
Для конкретных средств обеспечения ИБ и изделий ИТ,  осуществляющих аудит событий ИБ (ОС, СУБД, МЭ, IDS/IPS и т.п.), могут быть разработаны свои собственные стандарты ИБ, определяющие перечни событий, подвергаемых аудиту. 

Таблица 1. Перечень основных событий, подвергаемых аудиту в клиентских и серверных ОС
Событие	Регистрируемые данные	Дополнительные регистрируемые данные	
Аудит входа в систему, аудит событий входа в систему	
Блокирование учетной записи в результате превышения максимального числа неуспешных попыток входа в систему 	Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный или неуспешный)		
Отклонение или приятие ОС любого проверенного секрета (пароля, смарт-карты и т.п.)	Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный или неуспешный)		
Все случаи использования механизма аутентификации 	Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный или неуспешный)		
Все случаи использования механизма идентификации пользователя, включая представленный идентификатор пользователя	Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный или неуспешный)		
Все попытки разблокирования интерактивного сеанса 	Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный или неуспешный)		
Все модификации действий предпринимаемых при нарушениях ограничений, связанных с идентификацией и аутентификацией 	Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный или неуспешный)		
Аудит изменения политики 	
Все модификации политики аудита (для Windows XP, Windows Server 2003)	Дата и время события
Тип события
Идентификатор субъекта БД
Результат события (успешный)		
Все модификации настроек по умолчанию разрешающих или ограничивающих правил (для Windows XP, Windows Server 2003)	Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный)	Новое начальное значение
(в случае наличия такой возможности)	
Аудит системных событий 	
Изменения внутреннего представления времени (для Windows XP, Windows Server 2003)	Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный)		
Аудит использования привилегий 	
Все модификации действий предпринимаемых при нарушениях ограничений, связанных с использованием привилегий (для Windows XP, Windows Server 2003)	Для конфигурации High Security (ОС Windows XP) и конфигурации Enterprise Client (ОС Windows Server 2003)
Дата и время события
Тип события
Идентификатор субъекта
Результат события (неуспешный)
Для конфигурации High Security (ОС Windows Server 2003)
Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный или неуспешный)		
Аудит управления учетными записями	
Модификация группы пользователей – исполнителей роли 	Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный или неуспешный)		
Все модификации настроек по умолчанию разрешающих или ограничивающих правил	Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный или неуспешный)	Новое начальное значение
(в случае наличия такой возможности)	
Все модификации действий предпринимаемых при нарушениях ограничений, связанных с управлением учетными записями	Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный или неуспешный)		

Аудит для папок и файлов	
Все запросы на выполнение операций с объектом (папка, файл), на который распространяется политика аудита (для Windows XP, Windows Server 2003)	Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный или неуспешный)	Идентификатор объекта
Полный доступ
Обзор папок / выполнение файлов
Создание файлов / запись данных
Создание папок / дозапись данных
Запись атрибутов
Запись дополнительных атрибутов
Удаление подпапок и файлов
Удаление
Смена разрешений
Смена владельца	
Аудит доступа к объектам 	
Все модификации действий предпринимаемых при нарушениях ограничений, связанных с доступом к объектам (папка, файл (для Windows XP, Windows Server 2003))	Для конфигурации Enterprise Security, High Security (ОС Windows Server 2003)
Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный или неуспешный)		

Таблица 2. Перечень основных событий, подвергаемых аудиту в СУБД
Событие	Регистрируемые данные	Дополнительные регистрируемые данные	
Все запросы на выполнение операций с объектом БД, на который распространяется политика аудита	Дата и время события
Тип события
Идентификатор субъекта БД
Результат события (успешный или неуспешный)	Идентификатор объекта БД
Требуемый доступ
Используемая административная привилегия	
Все случаи использования механизма идентификации пользователя БД, включая представленный идентификатор пользователя БД	Дата и время события
Тип события
Идентификатор субъекта БД
Результат события (успешный или неуспешный)		
Успех и неуспех связывания атрибутов безопасности пользователя БД с субъектом БД	Дата и время события
Тип события
Идентификатор субъекта БД
Результат события (успешный или неуспешный)		
Все модификации значений атрибутов безопасности БД	Дата и время события
Тип события
Идентификатор субъекта БД
Результат события (успешный или неуспешный)	Новое значение атрибута безопасности	
Все модификации настроек по умолчанию разрешающих или ограничивающих правил БД	Дата и время события
Тип события
Идентификатор субъекта БД
Результат события (успешный или неуспешный)	Новое начальное значение	
Все попытки отмены атрибутов безопасности БД	Дата и время события
Тип события
Идентификатор субъекта БД
Результат события (успешный или неуспешный)	Атрибуты безопасности	
Изменения в группе пользователей БД, которые являются частью роли БД	Дата и время события
Тип события
Идентификатор субъекта БД
Результат события (успешный или неуспешный)	Идентификатор пользователя
Уполномоченная роль	
Отклонение нового сеанса с БД, основанное на ограничении множественных параллельных (одновременных) сеансов работы с БД	Дата и время события
Тип события
Идентификатор субъекта БД
Результат события (успешный или неуспешный)		
Все попытки установления сеанса работы с БД	Дата и время события
Тип события
Идентификатор субъекта БД
Результат события (успешный или неуспешный)		

Таблица 3. Перечень основных событий, подвергаемых аудиту в корпоративных МЭ
Событие	Регистрируемые данные	
Все попытки получения сервисов прикладного уровня, блокированные МЭ	Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный или неуспешный)	
Все запросы, адресованные непосредственно МЭ, в т.ч. для получения информации об архитектуре и конфигурации МЭ	Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный или неуспешный)	
Все попытки изменения атрибутов безопасности	Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный или неуспешный)	
Все запросы на получение доступа к аутентификационным данным	Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный или неуспешный)	
Все запросы на использование механизмов аутентификации	Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный или неуспешный)	
Завершение обработки запроса, вызванное рядом неудачных попыток аутентификации	Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный или неуспешный)	
Использование функций, относящихся к администрированию функций безопасности МЭ	Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный или неуспешный)	
Все попытки изменения параметров конфигурации функций безопасности МЭ	Дата и время события
Тип события
Идентификатор субъекта
Результат события (успешный или неуспешный)	

2.2. Для обеспечения расследования инцидентов нарушения ИБ срок хранения системных журналов средств обеспечения ИБ и изделий ИТ, осуществляющих аудит событий ИБ, должен составлять не менее 3 месяцев.
При заполнении всего объема памяти, выделенного для хранения данных аудита, должна осуществляться запись новых событий поверх самых старых событий аудита. 
2.3. Должен осуществляться ежедневный просмотр и анализ событий аудита ИБ с целью обнаружения инцидентов нарушения (попыток нарушения) ИБ и принятия соответствующих действий по предотвращению нарушения ИБ. Требования по реагированию на инциденты ИБ приведены в Политике отслеживания и реагирования на инциденты ИБ. 
2.4. Доступ к данным аудита событий ИБ и к средствам ведения аудита должны иметь только системный администратор, администратор безопасности ИСПДн ГОБУЗ «ЦГКБ». 

3. Роли и обязанности

Администратор безопасности ИСПДн ГОБУЗ «ЦГКБ»: 
•	отвечает за претворение в жизнь настоящей политики;
•	обеспечивает проведение необходимого обучения;
•	осуществляет выбор необходимого набора контрмер и стратегии аудита событий ИБ;
•	осуществляет общее методическое руководство деятельностью системных администраторов ГОБУЗ «ЦГКБ».
•	информирует руководящий аппарат ГОБУЗ «ЦГКБ» о состоянии дел в области обеспечения ИБ и обо всех существенных инцидентах нарушения ИБ;
•	осуществляет координацию действий в области обеспечения ИБ;
•	осуществляет общее методическое руководство деятельностью администратора безопасности;
•	проводит контроль за соблюдением требований настоящей политики.
Системные администраторы ИСПДн:
•	готовит рекомендации по выбору необходимого набора контрмер и стратегии аудита событий ИБ;
•	отвечает за реализацию настоящей политики, соответствующую настройку продуктов ИТ, регулярный просмотр и анализ событий ИБ.

4. Ответственность за нарушение политики безопасности

4.1. Лица, указанные в разделе 3 настоящей политики, несут персональную ответственность за обеспечение ИБ в соответствии с требованиями настоящей политики безопасности. 
4.2. Лица, нарушившие требования безопасности, изложенные в данной политике, совершившие умышленные действия, направленные на нарушение ИБ, могут быть привлечены к дисциплинарной, административной или уголовной ответственности в соответствии с действующим законодательством Российской Федерации. 

5. История пересмотра 

Политика безопасности сервера
1. Введение 

Данная политика относится к серверному оборудованию ИСПДн ГОБУЗ «ЦГКБ».

1.1. Цель 

Определить перечень основных требований по конфигурации и обслуживанию серверного оборудования ГОБУЗ «ЦГКБ» для снижения рисков несанкционированного доступа и использования защищаемых информационных активов ИСПДн. 

1.2. Аудитория  

С данной политикой должны быть ознакомлены: 
•	системные администраторы ИСПДн;
•	администратор безопасности ИСПДн. 

2. Политика

2.1. Все серверы ИСПДн должны быть закреплены за соответствующими сотрудниками   ГОБУЗ «ЦГКБ», ответственными за системное администрирование.
2.2. Конфигурации серверов должны быть задокументирована. 
2.3. Серверы должны быть учтены, как минимум, с указанием следующей информации:
•	адрес сервера и его расположение, а также адрес его резервной копии;
•	оборудование сервера и версия операционной системы;
•	основные функции и приложения.
Информация в системе управления ГОБУЗ «ЦГКБ» должна быть всегда актуальной.
2.4. Серверы должны размещаться в контролируемой зоне в специально выделенном(ых) помещении(ях), оборудованном(ых) необходимыми системами жизнедеятельности и безопасности:
•	системой кондиционирования;
•	системой бесперебойного электропитания;
•	системой охранной и пожарной сигнализации;
•	системой пожаротушения;
•	системой контроля и управления доступом.
Серверные помещения должны быть постоянно закрыты. 
Допуск в эти помещения должен быть максимально ограничен и документально утвержден. 
2.6. Основные требования по конфигурации и управлению сервером:
•	службы и приложения, которые не будут использоваться в рамках решаемых ГОБУЗ «ЦГКБ» задач, должны быть отключены;
•	обновления безопасности необходимо устанавливать сразу после их выпуска для несертифицированных ОС и СУБД. Для сертифицированных ОС и СУБД обновления безопасности необходимо устанавливать сразу после выпуска сертифицированной версии;
•	управление сервером из помещений, расположенных за границами КЗ должно быть запрещено.

3. Роли и обязанности

Администратор безопасности ИСПДн ГОБУЗ «ЦГКБ»: 
•	отвечает за претворение в жизнь настоящей политики;
•	обеспечивает проведение необходимого обучения;
•	осуществляет общее методическое руководство деятельностью системных администраторов, специалиста по защите информации (администратора безопасности) ГОБУЗ «ЦГКБ»;
•	проводит контроль за соблюдением требований настоящей политики;
•	осуществляет выбор необходимого набора контрмер и стратегии информирования по вопросам ИБ;
•	осуществляет координацию действий в области обеспечения ИБ;
•	обеспечивает проведение необходимого обучения;
•	информирует руководящий аппарат ГОБУЗ «ЦГКБ» о состоянии дел в области обеспечения ИБ и обо всех существенных инцидентах нарушения ИБ. 
Системные администраторы ИСПДн:
•	рекомендует перечень необходимых к внедрению мер и средств по повышению уровня ИБ.

4. Ответственность за нарушение политики безопасности

4.1. Лица, указанные в разделе 3 настоящей политики, несут персональную ответственность за обеспечение ИБ в соответствии с требованиями настоящей политики безопасности. 
4.2. Лица, нарушившие требования безопасности, изложенные в данной политике, совершившие умышленные действия, направленные на нарушение ИБ, могут быть привлечены к дисциплинарной ответственности в соответствии с действующим законодательством Российской Федерации. 

5. История пересмотра 

Политика администрирования
1. Введение 

Данная политика определяет полномочия и порядок работы системных администраторов, обладающих повышенным уровнем привилегий и имеющих более полный доступ к данным и системам, чем рядовые пользователи. 
1.1. Цель 

Определить особые требования по поддержке конфиденциальности, целостности и доступности систем, к которым администраторы имеют полный неограниченный доступ. 

1.2. Аудитория  

С данной политикой должны быть ознакомлены:
•	системные администраторы ИСПДн;
•	администратор безопасности ИСПДн;

2. Политика

2.1. Учетная запись системных администраторов и её мониторинг 

2.1.1. Системные администраторы должны использовать учетные записи, принадлежащие одному лицу. 
2.1.2. Ни один пользователь рабочей станции не может быть локальным администратором своей собственной системы. Пользователь не должен знать пароль корневой учетной записи или учетной записи администратора.

2.2. Удаленное администрирование 

2.2.1. Все жизненно важные сетевые устройства и серверы должны быть настроены на поддержку безопасного удаленного управления из места, отличного от расположения сервера, но находящегося в контролируемой зоне. 

2.3. Администрирование целевого использования ресурсов

2.3.1. Системные администраторы могут проверять пользовательские файлы, данные на предмет их целевого использования.
2.3.2. Системные администраторы могут просматривать пользовательские файлы, данные для контроля использования дискового пространства, а также для расширения и планирования объема дискового пространства для хранения данных.
2.3.3. Системные администраторы могут просматривать пользовательские файлы, данные и электронную почту, например, в случаях, необходимых для устранения нарушений в функционировании соответствующих информационных систем.
2.3.4. Любые персональные данные пользователей, их пароли и т.п. не могут разглашаться каким-либо другим лицам, и в случае обнаружения  общедоступных записей о  паролях они должны быть немедленно изменены.

3. Роли и обязанности

Администратор безопасности ИСПДн ГОБУЗ «ЦГКБ»: 
•	отвечает за претворение в жизнь настоящей политики;
•	обеспечивает проведение необходимого обучения;
•	осуществляет общее методическое руководство деятельностью системных администраторов ГОБУЗ «ЦГКБ».
•	проводит контроль за соблюдением требований настоящей политики;
•	осуществляет выбор необходимого набора контрмер и стратегии информирования по вопросам ИБ;
•	осуществляет координацию действий в области обеспечения ИБ;
•	обеспечивает проведение необходимого обучения;
•	информирует руководящий аппарат ГОБУЗ «ЦГКБ» о состоянии дел в области обеспечения ИБ и обо всех существенных инцидентах нарушения ИБ. 
Системные администраторы ИСПДн:
•	готовит рекомендации по применению и корректировке настоящей политики;
•	готовит рекомендации по выбору необходимого набора контрмер и стратегии информирования по вопросам ИБ;
•	рекомендует перечень необходимых к внедрению мер и средств по повышению уровня ИБ.

4. Ответственность за нарушение политики безопасности

4.1. Лица, указанные в разделе 3 настоящей политики, несут персональную ответственность за обеспечение ИБ в соответствии с требованиями настоящей политики безопасности. 
4.2. Лица, нарушившие требования безопасности, изложенные в данной политике, совершившие умышленные действия, направленные на нарушение ИБ, могут быть привлечены к дисциплинарной ответственности в соответствии с действующим законодательством Российской Федерации. 

5. История пересмотра
 
Политика защиты носителей информации

1. Введение

1.1. Цель 

Обеспечить надлежащую защиту носителей конфиденциальной и критически важной производственной информации, используемых в ИСПДн. 

1.2. Аудитория

С данной политикой должны быть ознакомлены: 
•	пользователи ИСПДн (п. 2.1, 2.2, 2.3, 2.4);
•	системные администраторы ИСПДн;
•	администратор безопасности ИСПДн;
•	сотрудники структурных подразделений, уполномоченные на ведение конфиденциального делопроизводства.   

2. Политика

2.1 Доступ к носителям информации

2.1.1. Доступ к конфиденциальной и критически важной производственной информации в печатной форме или на цифровых носителях должен предоставляться только уполномоченным на это лицам.

2.2 Учет носителей информации

2.2.1. Все цифровые носители (дискеты, жесткие диски, CD-ROM, DVD-ROM, USB Flash Drive и т.д.), а также носители на бумажной основе (распечатки на принтере, плоттере), содержащие конфиденциальную информацию, должны быть учтены. Учет проводится сотрудниками структурных подразделений, уполномоченными на ведение конфиденциального делопроизводства, в Журналах учета установленной формы. 
2.2.2. Должен осуществляться учёт копирования конфиденциальной информации на внешние носители.
2.2.3. Передача конфиденциальной информации другим организациям должен осуществляться на основании договоров с оформлением сопроводительных документов.
2.2.4. Хранение, в том числе временное, конфиденциальной информации на неучтенных носителях не допускается. 

2.3 Маркировка носителей информации 

2.3.1. Все цифровые носители, содержащие конфиденциальную информацию, должны быть промаркированы. Маркировка осуществляется сотрудниками структурных подразделений, уполномоченных на ведение конфиденциального делопроизводства, путем проставления следующих реквизитов: учетный номер, дата регистрации, уровень конфиденциальности (для служебного пользования, конфиденциально и т.п.), а также подпись и ФИО сотрудника, выполнившего регистрацию носителя. Маркировку несъемных жестких дисков допускается осуществлять на бумажных ярлыках, размещаемых непосредственно на системном блоке компьютера. В этом случае системный блок должен быть обязательно опечатан. 
2.3.2. Все распечатки, содержащие конфиденциальную информацию, должны быть промаркированы. Маркировка осуществляется при печати документа путем проставления следующих реквизитов в подготовленном для распечатки файле:
•	в правом верхнем углу первой страницы документа – уровень конфиденциальности, экземпляр № , регистрационный (учетный) номер документа;
•	в правом нижем углу каждой страницы документа – номер страницы;
•	в левом нижнем углу на последней странице документа – регистрационный (учетный) номер, количество распечатанных экземпляров и общее количество страниц в документе, куда направляются, ФИО исполнителя документа и дата.

2.4 Хранение носителей информации 

2.4.1. Должно быть обеспечено безопасное хранение носителей конфиденциальной и  критически важной производственной информации (в бумажном или цифровом виде), особенно в нерабочее время. Для безопасного хранения могут использоваться специальные шкафы, в т.ч. и несгораемые, сейфы. 
2.4.2. По возможности носители резервных копий, хранящие важную производственную информацию, должны храниться на безопасном расстоянии от основного рабочего места, чтобы избежать их повреждение в случае аварии или стихийного бедствия (например, в случае пожара, наводнения) на основном рабочем месте (например, в серверном помещении).

2.5 Транспортировка носителей информации

2.5.1. Должна быть обеспечена защита носителей конфиденциальной и  критически важной производственной информации от НСД и повреждения во время транспортировки из ГОБУЗ «ЦГКБ» в другие организации. Для защиты носителей могут использоваться надежные курьеры и транспорт, опечатанные контейнеры закрытого типа, информация, содержащаяся на цифровых носителях, может быть зашифрована или иметь ЭЦП. 

3. Роли и обязанности

Администратор безопасности ИСПДн ГОБУЗ «ЦГКБ»: 
•	отвечает за претворение в жизнь настоящей политики;
•	информирует руководящий аппарат ГОБУЗ «ЦГКБ» о состоянии дел в области обеспечения ИБ и обо всех существенных инцидентах нарушения ИБ; 
•	обеспечивает проведение необходимого обучения;
•	осуществляет выбор необходимого набора контрмер и стратегии защиты носителей информации; 
•	осуществляет координацию действий в области обеспечения ИБ;
•	осуществляет общее методическое руководство деятельностью специалиста по защите информации (администратора безопасности).
Сотрудники структурных подразделений, уполномоченные на ведение конфиденциального делопроизводства, осуществляют учет, маркировку, выдачу и прием носителей конфиденциальной информации. 
Пользователи ИСПДн выполняют предписанные настоящей политикой мероприятия по обеспечению ИБ в части их касающейся.

4. Ответственность за нарушение политики безопасности

4.1. Каждый сотрудник, имеющий доступ в систему, а также лица, указанные в разделе 3 настоящей политики, несут персональную ответственность за обеспечение ИБ в соответствии с требованиями настоящей политики безопасности. 
4.2. Лица, нарушившие требования безопасности, изложенные в данной политике, совершившие умышленные действия, направленные на нарушение ИБ, утратившие конфиденциальные цифровые носители или носители конфиденциальной информации на бумажной основе, могут быть привлечены к дисциплинарной, административной или уголовной ответственности в соответствии с действующим законодательством Российской Федерации. 

5. История пересмотра 

Политика обеспечения целостности и доступности информационных активов и сервисов автоматизированной системы

1. Введение

1.1. Цель 

Свести риски нарушения актуальности и непротиворечивости защищаемых информационных активов ИСПДн к минимуму, обеспечить доступность важных производственных сервисов ИСПДн и защищенность активов ИСПДн от разрушения и несанкционированного изменения. 

1.2. Аудитория

С данной политикой должны быть ознакомлены: 
•	пользователи ИСПДн;
•	системные администраторы ИСПДн;
•	администратор безопасности ИСПДн;

2. Политика

2.1. Обеспечение бесперебойного питания. Корректное автоматическое завершение работы систем при длительном отключении электропитания 

2.2.1. Аппаратные продукты ИТ (серверы, рабочие станции, коммутаторы и т.п.), поддерживающие критически важные производственные сервисы, должны иметь ИБП. ИБП должны соответствовать спецификациям производителей аппаратных продуктов ИТ. 
2.2.2. Для корректного автоматического завершения работы серверов и рабочих станций без потери файлов и данных при длительном отключении электропитания там, где это возможно, должно быть установлено ПО управления ИБП. 

2.2. Резервное копирование информации

2.3.1. Для обеспечения целостности и доступности информационных активов ИСПДн должно осуществляться резервное копирование информации в рамках системы резервного копирования информации. 
2.3.2. Система резервного копирования информации должна быть построена по технологии клиент-сервер (серверная компонента должна предоставлять возможность управления всеми процессами и устройствами резервного копирования; клиентская компонента – предоставлять возможность сохранения или восстановления данных) и обеспечивать: 
•	централизованное управление резервным копированием во всей ИСПДн с выделенных компьютеров; 
•	удаленное резервное копирование данных, содержащихся на серверах ИСПДн; 
•	централизованное использование устройств резервного копирования; 
•	выполнение резервного копирования по расписанию в автоматическом режиме.
2.3.3. Порядок и периодичность осуществления резервного копирования определяется в Регламенте резервного копирования информации в ИСПДн; 
2.3.4. Резервные копии вместе с инструкциями по восстановлению должны храниться в месте, территориально отдаленном от основной копии информации. Для особо важной информации необходимо сохранять три последних копии; 
	2.3.5. К резервным копиям должен быть применен адекватный ряд физических и организационных мер защиты, соответствующий стандартам, принятым для используемых носителей;
	2.3.6. Должна проводиться ежегодная проверка процедур восстановления и практический тренинг персонала с целью поддержания возможности восстановления данных в установленном порядке и за гарантированный промежуток времени. 

2.4. Антивирусная защита и защита от другого вредоносного ПО

2.4.1. Для защиты от компьютерных вирусов, «троянских коней», «червей», spyware/adware на все серверы и рабочие станции ИСПДн ГОБУЗ «ЦГКБ» в рамках Системы антивирусной защиты устанавливается сертифицированный антивиру. Подробные рекомендации по обеспечению антивирусной защиты ИСПДн приводятся в Инструкции по антивирусной защите ГОБУЗ «ЦГКБ».
2.4.2. Антивирусные базы должны обновляться ежечасно в автоматическом режиме. 
2.4.3. Управление механизмами антивирусной защитой должно осуществляться централизовано с использованием сервера централизованного управления.
2.4.4. Антивирус должен функционировать на серверах и рабочих станциях в резидентном режиме. 
2.4.5. Все серверы и рабочие станции не реже 1 раза в неделю должны сканироваться антивирусом на предмет наличия вирусов. 
2.4.6. Запуск файлов, полученных по электронной почте и на цифровых носителях, от сторонних организаций, физических лиц и т.п. без предварительной антивирусной проверки не допускается. В случае необходимости, такая проверка должна быть проведена на автономном компьютере с установленным антивирусом и последними антивирусными базами.
 2.4.7. Запрещается открывать любые электронные письма от незнакомых отправителей, при получении таких писем немедленно их удалять.

2.5. Лицензионность программных продуктов ИТ,  используемых в ИСПДн 

2.5.1. Используемые в ИСПДн системные, прикладные, специализированные программные продукты ИТ должны быть лицензионными.  

2.6. Защита от несанкционированного просмотра конфиденциальной и критичной информации с экранов мониторов, принтеров и других средств ее отображения 

2.8.1. Средства отображения конфиденциальной или критичной информации (монитор, принтер и т.п.), должны располагаться таким образом, чтобы возможность случайного или преднамеренного несанкционированного просмотра, в т.ч. с помощью оптических средств разведки, этой информации неуполномоченными на это лицами была исключена. 
2.8.2. Возможность несанкционированного просмотра вводимых с клавиатуры паролей, посторонними лицами должна быть исключена. 

2.7. Защита аппаратных продуктов ИТ от перехвата информации с помощью возможно внедренных в них закладных устройств 

2.9.1. В случаях возникновения подозрений (как при получении аппаратных продуктов ИТ, так и при их эксплуатации) на то, что в аппаратных продуктах ИТ могут быть внедрены закладные устройства, следует немедленно прекратить их использование и провести работы по их специальным проверкам и специальным исследованиям. 

3. Роли и обязанности

Администратор безопасности ИСПДн ГОБУЗ «ЦГКБ»: 
•	отвечает за претворение в жизнь настоящей политики;
•	обеспечивает проведение необходимого обучения;
•	осуществляет выбор необходимого набора контрмер и стратегии обеспечения целостности и доступности защищаемых активов ИСПДн и сервисов;
•	информирует руководящий аппарат ГОБУЗ «ЦГКБ» о состоянии дел в области обеспечения ИБ и обо всех существенных инцидентах нарушения ИБ;
•	осуществляет координацию действий в области обеспечения ИБ;
•	осуществляет общее методическое руководство деятельностью системных администраторов, специалиста по защите информации (администратора безопасности) ГОБУЗ «ЦГКБ»;
•	осуществляет приобретение лицензионного программного обеспечения для нужд ГОБУЗ «ЦГКБ».
Системные администраторы ИСПДн:
•	готовит рекомендации по выбору необходимого набора контрмер и стратегии обеспечения целостности и доступности защищаемых активов ИСПДн и сервисов;
•	отвечает за реализацию настоящей политики в части организации обновлений программных продуктов ИТ, организации бесперебойного питания аппаратных продукты ИТ (серверов, рабочих станций, коммутаторов и т.п.), поддерживающих критически важные производственные сервисы, организации резервного копирования (восстановления) информации, обеспечения антивирусной защиты, организации защиты информационных активов и программных продуктов ИТ от несанкционированного изменения; 
•	проводит необходимое обучение пользователей ИСПДн на рабочих местах.
Пользователи ИСПДн выполняют предписанные настоящей политикой мероприятия по обеспечению ИБ в части их касающейся.

4. Ответственность за нарушение политики безопасности

4.1. Каждый сотрудник, имеющий доступ в систему, а также лица, указанные в разделе 3 настоящей политики, несут персональную ответственность за обеспечение ИБ в соответствии с требованиями настоящей политики безопасности. 
4.2. Лица, нарушившие требования безопасности, изложенные в данной политике, совершившие умышленные действия, направленные на нарушение ИБ, могут быть привлечены к дисциплинарной, административной или уголовной ответственности в соответствии с действующим законодательством Российской Федерации. 

5. История пересмотра 

Политика физической защиты аппаратных активов, коммуникаций и среды функционирования ИСПДн

1. Введение 

1.1. Цель 

Предотвратить несанкционированный физический доступ к защищаемым аппаратным активам ИСПДн (серверам, рабочим станциям, сетевому коммуникационному оборудованию и т.п.) и к коммуникациям ИСПДн (сетевым кабелям, кабелям электропитания и т.п.), предотвратить их повреждение и компрометацию, а также свети риск возникновения перебоев в работе ГОБУЗ «ЦГКБ» к минимуму. Меры защиты должны быть приняты для минимизации следующих потенциальных угроз: 
    1) кража;
    2) огонь;
    3) взрыв;
    4) дым;
    5) вода; 
    6) пыль;
    8) химические вещества;
    9) побочные электромагнитные излучения и наводки. 

1.2. Аудитория  

С данной политикой должны быть ознакомлены: 
•	пользователи ИСПДн (п. 2.1, п. 2.4);
•	системные администраторы ИСПДн;
•	администратор безопасности ИСПДн;
•	сотрудники охраны.

2. Политика

2.1. Общие положения 

2.1.1. Вынос аппаратных средств ИТ, входящих в состав ИСПДн, за пределы ГОБУЗ «ЦГКБ» без письменного разрешения Администратора безопасности ГОБУЗ «ЦГКБ» не допускается. 
2.1.2. Прием пищи и курение в местах размещения аппаратных продуктов ИТ не допускается. 

2.2. Обеспечение физической защиты аппаратных активов и среды функционирования ИСПДн

2.2.1. Для защищаемых аппаратных активов ИСПДн, поддерживающих критически важные производственные или уязвимые сервисы, хранящих конфиденциальную или критически важную производственную информацию, должна быть обеспечена физическая защита, исключающая несанкционированный доступ к ним, их повреждение и компрометацию. Для этого защищаемые аппаратные активы ИСПДн должны быть размещены в контролируемых (защищенных) зонах, ограниченных определенным периметром безопасности – границами КЗ. Ключевые защищаемые аппаратные активы ИСПДн должны размещаться в КЗ на максимальном удалении от общедоступных мест, арендуемых помещений и т.п.
2.2.2. Для обеспечения физической защиты и защиты среды функционирования ИСПДн должно использоваться соответствующее защитное и сигнальное оборудование (например, металлические двери и решетки на окнах, охранная и пожарная сигнализация, система контроля и управления доступом, системы пожаротушения, системы кондиционирования и т.п.). 
2.2.3. В нерабочее время КЗ должны быть физически недоступны (должны быть закрыты на замки) и периодически проверяться сотрудниками охраны. 
В течение рабочего дня в случаях когда, помещения, входящие в КЗ, покидают все сотрудники ГОБУЗ «ЦГКБ», эти помещения должны закрываться. 
Коммуникационные шкафы с установленным в них оборудованием (серверами, сетевым коммуникационным оборудованием, ИБП и т.п.), входящие в КЗ, должны быть постоянно закрыты на замки за исключением случаев, когда к ним требуется физический доступ (например, при осуществлении их сопровождения уполномоченными на то лицами). 

2.3. Обеспечение физической защиты коммуникаций ИСПДн

2.3.1.  Сетевые кабели ИСПДн (витая пара, волоконно-оптические линии связи) по возможности должны быть проложены в КЗ либо в тяжело доступных посторонним лицам местах или защищены надлежащим образом с помощью других мер и средств. Для защиты конфиденциальной информации передаваемой по сетевым кабелям, проходящим вне КЗ, должны использоваться либо защищенные волоконно-оптические линии связи  либо сертифицированные средства криптографической защиты информации. 
2.3.2. Кабели электропитания ИСПДн по возможности должны быть проведены под землей, в других тяжело доступных посторонним лицам местах или защищены надлежащим образом с помощью других мер и средств. 

2.4. Контроль и управление физическим доступом 

2.4.1. Физический доступ в КЗ следует контролировать в соответствии с утвержденными Списками доступа. К доступу в КЗ допускаются только те лица, которые имеют на это полномочия и указаны в Списке доступа. 
Пересмотр Списков доступа должен осуществляться не реже 1 раза в год. 
Контроль доступа в КЗ осуществляется сотрудниками охраны, в т.ч. с использованием  системы видеонаблюдения. Сотрудники ГОБУЗ «ЦГКБ», находящиеся в КЗ, также должны контролировать санкционированность физического доступа. При этом особое внимание следует обращать на незнакомых лиц, находящихся в КЗ, а при необходимости спрашивать о наличии у них соответствующих мандатов, пропусков, и т.п.
2.4.2. Для управления физическим доступом в КЗ могут использоваться системы контроля и управления доступа. 

3. Роли и обязанности

Администратор безопасности ГОБУЗ «ЦГКБ»: 
•	осуществляет общее методическое руководство деятельностью системных администраторов, специалиста по защите информации (администратора безопасности) ГОБУЗ «ЦГКБ»;
•	санкционирует вынос аппаратных средств ИТ, входящих в состав ИСПДн, за пределы ГОБУЗ «ЦГКБ».
•	информирует руководящий аппарат ГОБУЗ «ЦГКБ» о состоянии дел в области обеспечения ИБ и обо всех существенных инцидентах нарушения ИБ; 
•	осуществляет выбор необходимого набора контрмер и стратегии физической защиты аппаратных активов ИСПДн, коммуникаций и среды функционирования ИСПДн; 
•	осуществляет координацию действий в области обеспечения ИБ;
•	проводит контроль за соблюдением требований настоящей политики.
Сотрудники охраны реализуют выполнение требований в части обеспечения как в рабочее, так и в нерабочее время санкционированности физического доступа в организацию и в КЗ в частности, предотвращают несанкционированный физический доступ, повреждение и компрометацию защищаемых аппаратных активов ИСПДн и коммуникаций ИСПДн, контролируют выполнение запрета по недопущению выноса из здания ГОБУЗ «ЦГКБ» аппаратных средств, входящих в состав ИСПДн, без соответствующего согласования.
Пользователи ИСПДн выполняют предписанные настоящей политикой мероприятия по обеспечению ИБ в части их касающейся.

4. Ответственность за нарушение политики безопасности

4.1. Каждый сотрудник, имеющий доступ в систему, а также лица, указанные в разделе 3 настоящей политики, несут персональную ответственность за обеспечение ИБ в соответствии с требованиями настоящей политики безопасности. 
4.2. Лица, нарушившие требования безопасности, изложенные в данной политике, совершившие умышленные действия, направленные на нарушение ИБ, утратившие конфиденциальные цифровые носители или носители конфиденциальной информации на бумажной основе, могут быть привлечены к дисциплинарной, административной или уголовной ответственности в соответствии с действующим законодательством Российской Федерации. 
5. История пересмотра 
Политика управления доступом 

1. Введение 

1.1. Цель 

Обеспечить контроль и управление доступом к защищаемым информационным активам ИСПДн и минимизировать риски, связанные с несанкционированным доступом к ним. 

1.2. Аудитория

С данной политикой должны быть ознакомлены: 
•	пользователи ИСПДн (п. 2.1, п. 2.4);
•	системные администраторы ИСПДн;
•	администратор безопасности ИСПДн. 

2. Политика 

2.1. Имена пользователей (Login) и пароли (Password), используемые в системе

2.1.1. Все пользователи ИСПДн должны иметь уникальные имена пользователей и пароли. Совместное использование пользователями назначенных им имен пользователей и паролей не допускается. 
2.1.2. Пароли выбираются и поддерживаются самими пользователями. 
2.1.3. Минимальная длина паролей, которые допускается использовать в системе – 8 символов. Для сетевых узлов с повышенными требованиями к ИБ используемые пароли должны составлять – не менее 12 символов.
Используемые в системе пароли должны быть не тривиальными и удовлетворять следующим требованиям: 
•	в пароле должны использоваться символы латинского или русского алфавита верхнего и нижнего регистров, а также цифры (1, 2, 3, 4...) или специальные символы (!, @, #, $...);
•	 среди используемых подряд 24 паролей не может быть двух одинаковых; 
•	пароль не должен основываться на следующих данных: 
-	дата рождения, фамилия, имя или отчество пользователя;
-	месяцы года, дни недели и т.п.;
-	названия и идентификаторы организации; 
-	именах пользователей, идентификаторов групп и других системных идентификаторов и т.п. 
В качестве пароля рекомендуется использовать легко запоминающуюся парольную фразу (например, Бабушка@приехала49, 1357street$even, СИНИЙ_88_иней и т.п.)
2.1.4. Пользователи должны изменять свои пароли не реже, чем раз в 30 дней. 
2.1.5. Пользователи не должны записывать свои пароли на листах бумаги, в незашифрованных электронных файлах, документах и т.п. Также не допускается разглашение или передача пользователями своих паролей или других атрибутов доступа кому бы то ни было (ключей, персональных USB-токенов, смарт-карт и т.п.), в том числе и сотрудникам ГОБУЗ «ЦГКБ», кроме предусмотренных случаев (при увольнении, при переходе на другую должность).
2.1.6. Заданные по умолчанию или пустые пароли должны быть изменены сразу же после установки соответствующих программных (ОС, СУБД и т.п.) или в процессе начальной настройки программно-аппаратных продуктов ИТ (маршрутизаторов, коммутаторов и т.п.). Использование в системе созданных по умолчанию имен пользователя (administrator, guest и т.п.) должно сводиться к минимуму.
2.1.7. Текущие системные и административные пароли (пароли системных администраторов, администратора сервера, администратора безопасности и т.п.) должны храниться в сейфе у ГОБУЗ «ЦГКБ» в запечатанных конвертах. Вскрытие конвертов и использование данных паролей допускается в случае возникновения критического положения в системе.
2.1.8. Временные пароли, используемые в системе (например, при создании новой учетной записи и назначении начального пароля, который будет изменен пользователем при первом входе в систему) должны быть надежными. 

2.2. Предоставление доступа в систему. Прекращение (приостановка)  доступа в систему

2.2.1. Доступ пользователей в систему осуществляется только на основании утвержденной и согласованной Матрицы доступа (дополнений к Матрице доступа). 
Правом утверждения Матрицы доступа обладают следующие должностные лица ГОБУЗ «ЦГКБ»: главный врач. Изменения в Матрицу доступа вносятся по письменному представлению руководителей структурных подразделений ГОБУЗ «ЦГКБ». 
В Матрице доступа указывается следующая информация: должность и ФИО пользователя, назначенное имя пользователя в системе, а также принадлежность к группе (гость, пользователь, опытный пользователь, оператор архива, администратор и т.п.) и полномочия по доступу к защищаемым активам ИСПДн.  
Пересмотр Матрицы доступа должен осуществляться не реже 1 раза в год. 
Предоставление доступа на основании устных распоряжений, каких бы то ни было, должностных лиц ГОБУЗ «ЦГКБ» не допускается. Непосредственное создание учетных записей, назначение для них начальных паролей и наделение пользователей соответствующими полномочиями в системе производится системным администратором.
2.2.2. Прекращение доступа пользователей в систему осуществляется в случаях их увольнения или аннулирования допуска к конфиденциальной информации.   
Приостановка доступа пользователей в систему осуществляется:
•	в случаях грубого нарушения ими требований обеспечения ИБ в системе, совершения пользователями преднамеренных злоумышленных действий, направленных на нарушение целостности, доступности или конфиденциальности защищаемых активов ИСПДн (на момент проведения внутреннего расследования. По результатам расследования пользователю может быть аннулирован допуск к конфиденциальной информации или прекращен доступ в ИСПДн в частности);  
•	в случаях их длительного отсутствия (на время болезни, командировки и т.п.).
Непосредственное прекращение (приостановка) доступа в систему осуществляется системным администратором или администратором безопасности путем удаления или блокировки учетной записи пользователя с внесением соответствующих изменений в Матрицу доступа.

2.3. Назначение полномочий пользователям

2.3.1. Пользователям должны быть предоставлены минимально необходимые полномочия в ИСПДн, которые им требуются для выполнения своих должностных обязанностей. 
2.3.2. Обладать административными правами в системе могут: 
•	сотрудники подразделения по защите информации ГОБУЗ «ЦГКБ» (специалист по защите информации);
•	сотрудники сторонних организаций, осуществляющие сопровождение компонентов ИСПДн, в т.ч. и удаленное в соответствии с договорными обязательствами.  

2.4. Управление доступом в ИСПДн

2.4.1. Каждый раз перед предоставлением доступа в систему пользователям должно быть выведено сообщение о том, что использование ИСПДн контролируется и что неправомочные действия пользователей ИСПДн преследуется в соответствии с действующим законодательством Российской Федерации.
2.4.2. Для предотвращения НСД к своему компьютеру и к защищаемым активам ИСПДн в целом пользователи должны блокировать свой сеанс пользователя даже при кратковременном оставлении своего рабочего места. Блокировка сеанса пользователя производится по запросу пользователя («WinKey» + «L» либо «CTRL» + «ALT» + «DEL» - «Блокировка» для Windows XP) либо по истечении 15 минут неактивности. Разблокировка сеанса пользователя производится только после ввода пользователем правильного имени пользователя и пароля. 
2.4.3. После 50 неуспешных попыток ввода пароля должна осуществляться блокировка учетной записи соответствующего пользователя. Блокировка учетной записи осуществляется на: 30 минут. Сброс счетчика блокировки осуществляется через: 30 минут. 
2.4.4. После 15 минут неактивности должно осуществляться автоматическое отключение сеанса пользователя от серверов ИСПДн. 
2.4.5. Администраторы ИСПДн помимо административных учетных записей должны иметь пользовательские учетные записи, с использованием которых должно осуществляться выполнение неадминистративных задач.
2.4.6. Средства защиты (либо встроенные в ОС, СУБД, либо наложенные средства защиты) должны быть установлены на всех сетевых узлах ИСПДн, вне зависимости от того осуществляется там обработка конфиденциальной информации или нет. 

2.5 Безопасность рабочего места (документов на рабочем столе и на экране монитора)

2.5.1. Документы на всех видах носителей и вычислительная техника, в случае если ими не пользуются, а также в нерабочее время, должны храниться в запираемом помещении.
2.5.2. Ценная информация, когда она не используется, должна храниться в защищенном месте (огнеупорный сейф, выделенное помещение).
2.5.3. Персональные компьютеры, терминалы и принтеры не должны оставаться без присмотра во время обработки информации и должны защищаться блокираторами клавиатуры, паролями или иными методами на время отсутствия пользователя.
2.5.4. Должны быть приняты надежные меры, исключающие несанкционированное использование копировальной техники в нерабочее время.
2.5.5. Распечатки, содержащие ценную (конфиденциальную) информацию должны изыматься из печатающего устройства немедленно.

2.6. Потеря (хищение, разглашение) атрибутов доступа 

2.6.1. В случае потери (хищения, разглашения) атрибутов доступа: ключей, идентификаторов, паролей, USB-токенов, смарт-карт и т.п. должно быть осуществлено немедленное изменение (перевыпуск) соответствующих атрибутов доступа с целью предотвращения НСД к защищаемым активам ИСПДн. 
При необходимости по факту потери (хищения, разглашения) атрибутов доступа может быть назначено внутреннее расследование. 

3. Роли и обязанности

Администратор безопасности ИСПДн:
•	отвечает за претворение в жизнь настоящей политики;
•	обеспечивает проведение необходимого обучения;
•	осуществляет выбор необходимого набора контрмер и стратегии управления доступом;
•	осуществляет общее методическое руководство деятельностью системных администраторов, специалиста по защите информации (администратора безопасности).
•	информирует руководящий аппарат ГОБУЗ «ЦГКБ» о состоянии дел в области обеспечения ИБ и обо всех существенных инцидентах нарушения ИБ;
•	осуществляет координацию действий в области обеспечения ИБ.
Системный администратор:
•	готовит рекомендации по выбору необходимого набора контрмер и стратегии управления доступом;
•	отвечает за реализацию настоящей политики и соответствующую настройку продуктов ИТ;
•	проводит необходимое обучение пользователей ИСПДн на рабочих местах.
Пользователи ИСПДн выполняют предписанные настоящей политикой мероприятия по обеспечению ИБ в части их касающейся.

4. Ответственность за нарушение политики безопасности

4.1. Каждый сотрудник, имеющий доступ в систему, а также лица, указанные в разделе 3 настоящей политики, несут персональную ответственность за обеспечение ИБ в соответствии с требованиями настоящей политики безопасности. 
4.2. Лица, нарушившие требования безопасности, изложенные в данной политике, совершившие умышленные действия, направленные на нарушение ИБ, могут быть привлечены к дисциплинарной, административной или уголовной ответственности в соответствии с действующим законодательством Российской Федерации. 
 
5. История пересмотра 

Политики, рекомендуемые для исполнения в ГОБУЗ «ЦГКБ»

Политика сопровождения ИСПДн
1. Введение 

1.1. Цель 

Обеспечить целостность и доступность сервисов и защищаемых активов ИСПДн в процессе сопровождения ИСПДн. 

1.2. Аудитория 

С данной политикой должны быть ознакомлены: 
•	системные администраторы ИСПДн;
•	сотрудники сторонних организаций, уполномоченные на сопровождение ИСПДн;
•	администратор безопасности ИСПДн. 

2. Политика 

2.1. Должно осуществляться планирование и документирование выполнения действий по сопровождению (поддержке) компонентов ИСПДн.
2.2. Действия по сопровождению ИСПДн, в т.ч. удаленному санкционируются Администратором безопасности ГОБУЗ «ЦГКБ». В Списке персонала, допущенного к сопровождению ИСПДн, указываются: 
•	наименование организации;
•	ФИО исполнительного лица; 
•	предоставляется ли право доступа к конфиденциальной информации при проведении сопровождения ИСПДн (если да, то к какой именно);
•	номер и дата договора на сопровождение ИСПДн (при осуществлении сопровождения сотрудником сторонней организации); 
•	период осуществления сопровождения;
•	перечень сопровождаемых компонентов ИСПДн (например, сопровождение почтового сервера, сопровождение 1С: Бухгалтерия, замена картриджей и т.п.);
•	вид сопровождения: локальный или удаленный (с доступом в ИСПДн / без доступа в ИСПДн); 
В Списке персонала, допущенного к сопровождению ИСПДн, указываются все лица, которым предоставлено право осуществления сопровождения ИСПДн (как сотрудники ГОБУЗ «ЦГКБ», так и сотрудники сторонних организаций). 
2.3. Должен вестись Журнал регистрации действий по сопровождению ИСПДн и изменению конфигурации, включающий:
•	дату и время действий по сопровождению;
•	ФИО исполнительного лица;
•	описание выполненных действий по сопровождению.
2.4. Действия по удаленному сопровождению ИСПДн должны контролироваться и регистрироваться в журналах аудита, с целью их последующего анализа на предмет выявления фактов нарушения (попыток нарушения) ИБ. 
2.5. Использование инструментальных средств сопровождения ИСПДн (анализаторов сетевого трафика, системных утилит, диагностического ПО и т.п.)  должно санкционироваться, отслеживаться и контролироваться. Порядок и особенности предоставления доступа в систему сотрудникам сторонних организаций приводится в Политике управления доступом и в Политике защиты от угроз ИБ, связанных с персоналом.

3. Роли и обязанности

Администратор безопасности ГОБУЗ «ЦГКБ»: 
•	отвечает за претворение в жизнь настоящей политики;
•	утверждает Список персонала, допущенного к сопровождению ИСПДн;
•	осуществляет выбор необходимого набора контрмер и стратегии сопровождения ИСПДн;
•	осуществляет общее методическое руководство деятельностью системных администраторов ГОБУЗ «ЦГКБ».
•	информирует руководящий аппарат ГОБУЗ «ЦГКБ» о состоянии дел в области обеспечения ИБ и обо всех существенных инцидентах нарушения ИБ;
•	осуществляет координацию действий в области обеспечения ИБ;
•	проводит контроль за соблюдением требований настоящей политики.
Системные администраторы ИСПДн:
•	готовит рекомендации по выбору необходимого набора контрмер и стратегии сопровождения ИСПДн;
•	документируют действия по сопровождению ИСПДн; 
•	контролирует и анализирует действия по удаленному сопровождению ИСПДн;
•	осуществляет сопровождение ИСПДн;
•	отвечает за реализацию настоящей политики;
•	формируют Список персонала, допущенного к сопровождению ИСПДн.
Сотрудники сторонних организаций, уполномоченные на сопровождение ИСПДн:
•	документируют действия по сопровождению ИСПДн;
•	осуществляют сопровождение ИСПДн. 

4. Ответственность за нарушение политики безопасности

4.1. Лица, указанные в разделе 3 настоящей политики, несут персональную ответственность за обеспечение ИБ в соответствии с требованиями настоящей политики безопасности. 
4.2. Лица, нарушившие требования безопасности, изложенные в данной политике, совершившие умышленные действия, направленные на нарушение ИБ, могут быть привлечены к дисциплинарной, административной или уголовной ответственности в соответствии с действующим законодательством Российской Федерации. 

5. История пересмотра

Политика отслеживания и реагирования на инциденты информационной безопасности

1. Введение 

1.1. Цель 

Свести ущерб от инцидентов ИБ к минимуму, а также отслеживать такие события с целью совершенствования системы обеспечения ИБ ИСПДн. 

1.2. Аудитория  

С данной политикой должны быть ознакомлены: 
•	пользователи ИСПДн;
•	системные администраторы ИСПДн;
•	администратор безопасности ИСПДн;

2. Политика

2.1. Отслеживание и реагирование на инциденты осуществляет группа реагирования на инциденты ИБ. Состав группы определяется в разделе 3 настоящей политики.
2.2. Все сотрудники ГОБУЗ «ЦГКБ», а также сотрудники сторонних организаций, осуществляющие обслуживание и/или администрирование изделий ИТ, входящих в состав  ИСПДн, должны немедленно уведомлять администратора безопасности и системных администраторов о выявленных слабых местах и инцидентах ИБ. Пользователи не должны использовать имеющиеся в ИСПДн уязвимости. 
2.3. После получения уведомления, а также в случае самостоятельного обнаружения инцидента ИБ системный администратор совместно с администратором безопасности должны отреагировать на инцидент ИБ и принять все меры по:
•	анализу инцидента ИБ (предварительный либо подробный);
•	предотвращению развития инцидента ИБ;
•	устранению инцидента ИБ;
•	восстановлению безопасности после инцидента ИБ; 
•	регистрации инцидента ИБ (при необходимости, и сбору доказательств), проведении внутреннего расследования (при необходимости);
•	формированию рекомендаций по результатам инцидента ИБ по повышению уровня ИБ.
2.4. Информация об инцидентах ИБ, приведших к нарушению безопасности ИСПДн, должна быть задокументирована системным администратором или администратором безопасности, входящими в группы, например, в Отчете об инциденте ИБ, форма которого приведена в Приложении А к настоящей политике. 
2.5. В ГОБУЗ «ЦГКБ» должна осуществляться периодическая проверка эффективности действий по реагированию на инциденты ИБ. Проверка может осуществляться, например, при проведении «Тестов на проникновение» с периодичностью, указанной в Руководстве по тестированию сетевой защищенности ИСПДн. «Тесты на  проникновение» могут проводиться либо уполномоченными на то сотрудниками ГОБУЗ «ЦГКБ» (внутренний аудит), либо экспертами сторонней организации-аудитора, имеющей необходимые лицензии (внешний аудит). 

3. Роли и обязанности

Администратор безопасности ГОБУЗ «ЦГКБ»: 
•	отвечает за претворение в жизнь настоящей политики;
•	осуществляет общее методическое руководство деятельностью системных администраторов, специалиста по защите информации (администратора безопасности) ГОБУЗ «ЦГКБ».
•	информирует руководящий аппарат ГОБУЗ «ЦГКБ» обо всех существенных инцидентах нарушения ИБ и о предпринятых мероприятиях по устранению инцидентов ИБ;
•	обеспечивает проведение необходимого обучения;
•	осуществляет выбор стратегии отслеживания и реагирования на инциденты ИБ;
•	осуществляет координацию действий по предотвращению развития инцидентов ИБ, устранению инцидентов ИБ и восстановлению безопасности после инцидентов ИБ;
•	проводит контроль за соблюдением требований настоящей политики;
•	проводит обновление настоящей политики с учетом полученного опыта в области управления инцидентами ИБ. 
Системные администраторы ИСПДн:
•	проводит предварительный анализ инцидента ИБ;
•	в случае подтверждения наличия уязвимости в системе обеспечения ИБ проводит немедленное уведомление специалиста по защите информации) и администратора безопасности;
•	идентифицируют риск ИСПДн;
•	совместно с администратором безопасности проводит подробный анализ и предпринимает меры по предотвращению развития инцидентов ИБ, устранению инцидентов ИБ и восстановлению безопасности после инцидентов ИБ;
•	рекомендует перечень необходимых к внедрению мер и средств по повышению уровня ИБ;
•	проводит необходимое обучение пользователей ИСПДн на рабочих местах.
Пользователи ИСПДн: 
•	отмечают все аномальные случаи поведения системы, которые могут указывать на проведение атаки на ИСПДн;
•	информируют системных администраторов и специалиста по защите информации (администратора безопасности) о проводимой атаке (либо о подозрении о том, что такая атака может проводиться);
•	сотрудничают с системным администратором и специалистом по защите информации (администратором безопасности) на этапе проведении внутренних расследований по фактам нарушения ИБ.

5. История пересмотра 

Приложение А

Отчет об инциденте ИБ

Конфиденциально 
(по заполнению)

1. Общие сведения
1.1. Наименование организации:
1.2. Адрес электронной почты администратора безопасности ИСПДн (заполняется в случае предоставления отчета в другие организации): 
1.3. Телефон администратора безопасности ИСПДн (заполняется в случае предоставления отчета в другие организации): 
1.4. Другое:

2. Описание атакованного сетевого(ых) узла(ов) 
(отдельно для каждого сетевого узла)
2.1. Имя сетевого узла и/или IP:
2.2. Выполняемые функции: 
2.3. ФИО человека, сетевой узел которого подвергся нападению: 
2.4. Структурное подразделение ГОБУЗ «ЦГКБ», в котором числится человек, сетевой узел которого подвергся нападению:
2.5. Другое: 

3. Описание атаковавшего сетевого(ых) узла(ов) 
(отдельно для каждого сетевого узла)
3.1. Имя сетевого узла и/или IP:
3.2. Часовой пояс: 
3.3. Является ли сетевой узел доверенным: 
3.4. Другое: 

4. Оцененная стоимость предотвращения развития, устранения и/или восстановления безопасности после инцидента ИБ: 

5. Описание инцидента (дата и время нападения; методы и инструментальные средства, использованные при нападении; версия атакованной ОС, СУБД, МЭ, маршрутизатора и т.п. и информация об установленных обновлениях; использованная уязвимость, а также любая другая уместная информация): 

6. Описание выполненных действий по предотвращению развития, устранению и восстановлению безопасности после инцидента ИБ и ФИО исполнительного лица:

7. Выводы:

Политика защиты от угроз информационной безопасности, связанных с персоналом

1. Введение 

1.1. Цель 

Уменьшить риск нарушения ИБ вследствие ошибочных или преднамеренных злоумышленных действий пользователей и администраторов в течение всего жизненного цикла ИСПДн. Уменьшить риск нарушения ИБ при увольнении или перемещении сотрудников ГОБУЗ «ЦГКБ» на другую должность, получении и прекращении полномочий сотрудников ГОБУЗ «ЦГКБ» или сотрудников сторонних организаций по доступу в систему. 

1.2. Аудитория  

С данной политикой должны быть ознакомлены: 
•	пользователи ИСПДн (п. 2.1);
•	системные администраторы ИСПДн;
•	администратор безопасности ИСПДн;
•	сотрудники отдела кадров ГОБУЗ «ЦГКБ» (п. 2.2). 

2. Политика 

2.1. Общие положения 

2.1.1. Все сотрудники ГОБУЗ «ЦГКБ» и сотрудники сторонних организаций, имеющие доступ в систему, должны строго выполнять действующие требования по обеспечению ИБ.
2.1.2. Сотрудникам ГОБУЗ «ЦГКБ» и сотрудникам сторонних организаций не допускается использовать имеющиеся слабости в системе обеспечения ИБ, совершать попытки обхода («взлома») средств обеспечения ИБ и нарушения ИБ.

2.2. Увольнение сотрудников, перемещение их на другую должность

2.2.1. Системный администратор и администратор безопасности ИСПДн должны незамедлительно информироваться об увольнениях всех сотрудников, имевших доступ в ИСПДн. При увольнении сотрудника ему должен быть прекращен доступ в ИСПДн. Кроме того, должен быть обеспечен возврат увольняемым сотрудником, имеющихся у него, атрибутов доступа (ключей, персональных USB-токенов, смарт-карт и т.п.). Порядок прекращения  доступа в систему определен в Политике управления доступом.
2.2.2. При перемещении сотрудника на другую должность должны быть пересмотрены его полномочия в системе с отражением результата пересмотра в Матрице доступа. При необходимости ему должна быть создана новая учетная запись, осуществлен перевыпуск ключей, паролей и т.п. 

2.3. Соглашение о неразглашении конфиденциальной информации 

2.3.1. Согласно действующего законодательства всем сотрудникам ГОБУЗ «ЦГКБ», в т.ч. имеющим доступ в ИСПДн, не допускается разглашение информации, ставшей им известной в связи с исполнением должностных обязанностей, содержащей, сведения конфиденциального характера, а также информации, содержащей сведения, затрагивающие частную жизнь, честь и достоинство граждан. 
2.3.2. Доступ в систему сотрудникам сторонних организаций предоставляется только после утверждения и согласования соответствующих дополнений к Матрице доступа и подписи сотрудником (сторонней организацией) Соглашения о неразглашении конфиденциальной информации (соответствующих пунктов о неразглашении в договоре между организацией и сторонней организацией). При этом сторонние организации должны иметь все необходимые лицензии. 

2.4. Особенности предоставления доступа в систему сотрудникам сторонних организаций

2.4.1. Для сотрудника сторонней организации должна быть создана отдельная учетная запись и предоставлены минимально необходимые полномочия в системе. Действия, проводимые сотрудником сторонней организации в ИСПДн, должны подвергаться особому контролю и регистрироваться в журналах аудита, с целью их последующего анализа на предмет выявления фактов нарушения (попыток нарушения) ИБ. 

3. Роли и обязанности

Администратор безопасности ГОБУЗ «ЦГКБ»: 
•	отвечает за претворение в жизнь настоящей политики;
•	осуществляет общее методическое руководство деятельностью системных администраторов, специалиста по защите информации (администратора безопасности) ГОБУЗ «ЦГКБ».
•	информирует руководящий аппарат ГОБУЗ «ЦГКБ» о состоянии дел в области обеспечения ИБ и обо всех существенных инцидентах нарушения ИБ;
•	обеспечивает проведение необходимого обучения;
•	осуществляет выбор необходимого набора контрмер и стратегии защиты от угроз ИБ, связанных с персоналом; 
•	осуществляет координацию действий в области обеспечения ИБ;
•	проводит контроль за соблюдением требований настоящей политики.
Начальник и сотрудники кадрового подразделения информируют системных администраторов и специалиста по защите информации (администратора безопасности),  безопасности о фактах увольнения сотрудников и перемещения их на другие должности. 
Системный администратор:
•	готовит рекомендации по выбору необходимого набора контрмер и стратегии защиты от угроз ИБ, связанных с персоналом;
•	отвечает за реализацию настоящей политики;
•	проводит необходимое обучение пользователей ИСПДн на рабочих местах.
Пользователи ИСПДн выполняют предписанные настоящей политикой мероприятия по обеспечению ИБ в части их касающейся.

4. Ответственность за нарушение политики безопасности 

4.1. Каждый сотрудник, имеющий доступ в систему, а также лица, указанные в разделе 3 настоящей политики, несут персональную ответственность за обеспечение ИБ в соответствии с требованиями настоящей политики безопасности. 
4.2. Лица, нарушившие требования безопасности, изложенные в данной политике, совершившие умышленные действия, направленные на нарушение ИБ, могут быть привлечены к дисциплинарной, административной или уголовной ответственности в соответствии с действующим законодательством Российской Федерации. 

5. История пересмотра 

Политика обеспечения безопасности внутрисетевого и межсетевого взаимодействия 

1. Введение 

1.1. Цель 

Обеспечить безопасность ИТ, внутрисетевого и межсетевого взаимодействия ИСПДн с использованием стека базовых протоколов TCP/IP.  

1.2. Аудитория

С данной политикой должны быть ознакомлены: 
•	пользователи ИСПДн (п. 2.7, п. 2.8);
•	системные администраторы ИСПДн;
•	администратор безопасности ИСПДн. 

2. Политика

2.1. Сетевое разграничение доступа и управление потоками информации в ЛВС 

2.1.1. Для разграничения сетевого доступа и управления потоками информации в ЛВС должна использоваться технология VLAN (802.1Q). Для каждого структурного подразделения ГОБУЗ «ЦГКБ» может быть создана своя функциональная сетевая группа на базе технологии VLAN.

2.2. Безопасное конфигурирование аппаратных и программных продуктов ИТ

2.2.1. Должно осуществляться такое конфигурирование аппаратных и программных продуктов ИТ, которое позволит обеспечить минимально необходимую функциональность ИСПДн, а также ограничить использование запрещенных функций, протоколов, портов и/или сервисов (служб). 
2.2.2. На сетевых узлах должны быть запущены только необходимые сетевые службы. 

2.3. Протоколы, используемые в ИСПДн

2.3.1. Базовый протокол, используемый в ИСПДн – TCP/IP. Использование других протоколов (например, IPX/SPX) должно быть обосновано.  

2.4.Инструментальные средства обнаружения (предотвращения) вторжений

2.4.1. В ИСПДн для обнаружения вторжений (сетевых атак) должны использоваться IDS. 
2.4.2. В ИСПДн должно обеспечиваться обнаружение следующих сетевых атак: 
•	атаки на серверы, обрабатывающие и хранящие конфиденциальную информацию, обеспечивающие выполнение важных производственных сервисов, направленные как со стороны внешних сетей, так и со стороны внутренних сетевых узлов ИСПДн; 
•	атаки на ИСПДн в целом, направленные со стороны внешних сетей. 
2.4.3. Целесообразность использования IPS должна быть согласована с ГУЗ "МИАЦ".  

2.5. Инструментальные средства анализа уязвимостей 

2.5.1. В ИСПДн для анализа сетевых уязвимостей должны использоваться сканеры сетевых уязвимостей. 
2.5.2. Периодичность проведения анализа сетевой защищенности различных узлов ИСПДн определяется в Плане обеспечения безопасности ИТ.  
2.5.3. Периодичность обновления баз данных уязвимостей сканеров уязвимостей определяется в Плане обеспечения безопасности ИТ. 

2.6. Межсетевое экранирование. Подключение ИСПДн к внешним сетям и 
 удаленный доступ к ИСПДн

2.6.1. Все сетевые подключения ИСПДн к внешним сетям документироваться, подвергаться мониторингу и контролю. Для каждого сетевого подключения ИСПДн к внешним сетям должно быть определено: 
•	наименование сети, к которой осуществляется подключение;
•	состав серверов и рабочих станций, которые будут подключаться к внешним сетям;
•	предполагаемые к использованию сервисы внешних сетей;
•	будет ли при сетевом подключении осуществляться передача конфиденциальной информации (если да, то как и какой именно). Будет ли осуществляться хранение конфиденциальной информации на серверах и рабочих станциях, подключаемых к внешним сетям;
•	состав пользователей, которым предоставлено право использования сервисов внешних сетей;
•	режим подключения ИСПДн к внешним сетям (постоянный, в т.ч. круглосуточный, временный);
•	другая уместная информация. 
Подключения должны быть санкционированы администратором безопасности ГОБУЗ «ЦГКБ». Доступ к внешним сетям должен быть разрешен только тем сотрудникам ГОБУЗ «ЦГКБ», которым он необходим для выполнения задач, возложенных на них в соответствии с должностными обязанностями. Предоставление пользователям полномочий на доступ к сервисам внешних сетей должно осуществляться с учетом принципа минимальной достаточности. 
2.6.2. Все сетевые подключения внешних сетей (компьютеров) к ИСПДн должны документироваться, подвергаться мониторингу и контролю. 
Для каждого удаленного подключения внешним сетей (компьютеров) к ИСПДн должно быть определено: 
•	наименование внешней сети (компьютера), подключаемой к ИСПДн;
•	вид удаленного доступа (удаленный доступ к сервису, удаленное администрирование и/или работа в режиме удаленного узла сети);
•	предполагаемые к использованию внешними пользователями сервисы и/или активы ИСПДн;
•	будет ли при удаленном подключении осуществляться передача конфиденциальной информации (если да, то как и какой именно);
•	состав сотрудников ГОБУЗ «ЦГКБ» и/или сотрудников сторонних организаций, которым предоставлено право удаленного доступа к ИСПДн;
•	другая уместная информация. 
Подключения должны быть санкционированы Администратором безопасности ГОБУЗ «ЦГКБ». Удаленный доступ к ИСПДн должен быть разрешен только тем сотрудникам ГОБУЗ «ЦГКБ» или сотрудникам сторонних организаций, которым он необходим для выполнения задач, возложенных на них в соответствии с должностными обязанностями. Предоставление сотрудникам ГОБУЗ «ЦГКБ» или сотрудникам сторонних организаций  полномочий на доступ к ИСПДн должно осуществляться с учетом принципа минимальной достаточности. 
2.6.3. Для защиты «периметра» ИСПДн должен использоваться сертифицированный на соответствующий класс защиты МЭ. 
Также МЭ, в т.ч. персональные, могут быть использованы для защиты отдельных сетевых узлов или сегментов ИСПДн от возможных атак, как со стороны внешних сетей, так и со стороны внутренних сетевых узлов ИСПДн. 
2.6.4. Настройки МЭ, используемого для защиты «периметра» сети, должны обеспечивать максимально защищенное межсетевое взаимодействие ИСПДн ГОБУЗ «ЦГКБ» с ИСПДн  других организаций.
2.6.5. Начальные требования к параметрам защиты МЭ при осуществлении межсетевого взаимодействия приводятся в таблице 1. Точные параметры настройки устанавливаемых МЭ должны быть определены в разрабатываемых стандартах ИБ на эти МЭ.

Таблица 1
Сервис	Политика 	Примечание	
	Изнутри наружу 	Извне внутрь 		
	Состояние	Состояние		
Почтовый сервер	
SMTP	Да	Да		
SSH 	Да	Да	Используется в случае необходимости осуществления удаленного администрирования постового сервера, 
функционирующего под управлением ОС Linux 	
Proxy-сервер	
HTTP	Да	Нет		
DNS-сервер	
DNS	Да	Да		
Сервер обновлений ПО WSUS	
WSUS	Да	Нет		
Сервер обновлений Dr.Web ES	
Dr.Web ES	Да	Нет		
Серверы АИС 	
АИС 	Определяется в стандартах ИБ на МЭ 	Определяется в стандартах ИБ на МЭ		

Примечания: 
1. Политика по умолчанию запрещает любые соединения. Разрешенные соединения для определенных сетевых узлов представлены выше. 

2.7. Защита электронной почты 

2.7.1. Использование системы электронной почты ИСПДн допускается только сотрудниками ГОБУЗ «ЦГКБ». Использование системы электронной почты ИСПДн другими лицами должно согласовываться с Администратором безопасности ГОБУЗ «ЦГКБ». 
2.7.2. Передача конфиденциальной информации по электронной почте должна быть запрещена.
2.7.3. Для приема и отправки электронной почты может использоваться только утвержденные и предписанные к использованию Администратором безопасности ГОБУЗ «ЦГКБ» программные продукты ИТ (почтовые программы). Использование других почтовых программ не допускается. 
2.7.4. Для отправки и получения всех электронных писем должен использоваться защищенный почтовый сервер. 
2.7.5. Установка и настройка почтовых программ (равно как и других программных и аппаратных продуктов ИТ) осуществляется уполномоченными на то сотрудниками ГОБУЗ «ЦГКБ». 
2.7.6. Все входящие сообщения должны проверяться на наличие компьютерных вирусов, «троянских коней» и  другого вредоносного кода в соответствии с  требованиями Инструкции по антивирусной защите ГОБУЗ «ЦГКБ».
2.7.7. Пользователям ИСПДн не допускается осуществлять посылку электронных писем от имени других сотрудников ГОБУЗ «ЦГКБ». 
2.7.8. Использование пользователями ИСПДн бесплатных почтовых ящиков  (например, имя_пользователя@mail.ru, имя_пользователя@yahoo.com и т.п.) для отправки и получения электронных писем, в т.ч. по служебным надобностям не допускается. 

2.8. Использование беспроводных технологий 

2.8.1. Использование беспроводных технологий в ИСПДн для передачи (приема) конфиденциальной и критичной информации не допускается. Использование беспроводных технологий для передачи (приема) открытой информации должно быть обосновано и согласовано с Администратором безопасности ГОБУЗ «ЦГКБ». 

3. Роли и обязанности

Администратор безопасности ГОБУЗ «ЦГКБ»: 
•	отвечает за претворение в жизнь настоящей политики;
•	обеспечивает проведение необходимого обучения;
•	осуществляет выбор необходимого набора контрмер и стратегии обеспечения безопасности внутрисетевого и межсетевого взаимодействия;
•	осуществляет общее методическое руководство деятельностью системных администраторов ГОБУЗ «ЦГКБ»;
•	санкционирует сетевые подключения ИСПДн к  внешним сетям, а также удаленный доступ внешних сетей к ИСПДн;
•	информирует руководящий аппарат ГОБУЗ «ЦГКБ» о состоянии дел в области обеспечения ИБ и обо всех существенных инцидентах нарушения ИБ;
•	осуществляет координацию действий в области обеспечения ИБ;
•	осуществляет общее методическое руководство деятельностью администратора безопасности;
•	проводит контроль за соблюдением требований настоящей политики.
Системный администратор:
•	готовит рекомендации по выбору необходимого набора контрмер и стратегии обеспечения безопасности внутрисетевого и межсетевого взаимодействия;
•	отвечает за реализацию настоящей политики и соответствующую настройку продуктов ИТ;
•	проводит необходимое обучение пользователей ИСПДн на рабочих местах.
Пользователи ИСПДн выполняют предписанные настоящей политикой мероприятия по обеспечению ИБ в части их касающейся.

4. Ответственность за нарушение политики безопасности

4.1. Каждый сотрудник, имеющий доступ в систему, а также лица, указанные в разделе 3 настоящей политики, несут персональную ответственность за обеспечение ИБ в соответствии с требованиями настоящей политики безопасности. 
4.2. Лица, нарушившие требования безопасности, изложенные в данной политике, совершившие умышленные действия, направленные на нарушение ИБ, могут быть привлечены к дисциплинарной, административной или уголовной ответственности в соответствии с действующим законодательством Российской Федерации. 

5. История пересмотра

Политика управления конфигурацией ИСПДн

1. Введение 

1.1. Цель 

Свести риск отказов ИСПДн (сервисов ИСПДн) и вероятность нарушения ИБ в результате неправильного (несанкционированного) изменения конфигурации ИСПДн к минимуму. 

1.2. Аудитория  

С данной политикой должны быть ознакомлены: 
•	пользователи ИСПДн (п. 2.4, п. 2.6);
•	системные администраторы ИСПДн;
•	сотрудники ГОБУЗ «ЦГКБ», а также сотрудники сторонних организаций, уполномоченные на изменение конфигурации ИСПДн;
•	администратор безопасности ИСПДн. 

2. Политика

2.1. Базовая конфигурация ИСПДн должна быть задокументирована. Документируются:
•	все сетевые подключения ИСПДн к внешним сетям (компьютерам). Описание документируемых сведений приведено в Политике обеспечения безопасности внутрисетевого и межсетевого взаимодействия;
•	все сетевые подключения внешних сетей (компьютеров) к ИСПДн. Описание документируемых сведений приведено в Политике обеспечения безопасности внутрисетевого и межсетевого взаимодействия; 
•	параметры настроек ключевых программных и технических продуктов ИТ и средств обеспечения ИБ (маршрутизаторов, коммутаторов, МЭ, ОС и т.п.);
•	размещение технических изделий ИТ, входящих в состав ИСПДн, с привязкой к границам контролируемой зоны; 
•	состав программных изделий ИТ, входящих в состав ИСПДн;
•	состав средств обеспечения ИБ; 
•	состав технических изделий ИТ, входящих в состав ИСПДн; 
•	топология ИСПДн.
2.2. Изменения в конфигурации ИСПДн, способные привести к нарушению конфиденциальности, целостности и доступности защищаемых активов и производственных сервисов, должны контролироваться и документироваться в Журнале регистрации действий по сопровождению ИСПДн и изменению конфигурации, в котором указываются:  
•	дата и время действий по изменению конфигурации;
•	ФИО исполнительного лица;
•	описание выполненных действий по изменению конфигурации.
2.3. Перед внесением изменений в конфигурацию ИСПДн, способных привести к нарушению конфиденциальности, целостности и доступности защищаемых активов и производственных сервисов, должна производиться оценка возможных последствий от таких изменений. Внесение изменений возможно только в случае если такие изменения не приведут к отказу ИСПДн (сервисов ИСПДн) и/или нарушению ИБ.
2.4. Существенные изменения в конфигурации ИСПДн, способные привести к нарушению конфиденциальности, целостности и доступности защищаемых активов и производственных сервисов, должны быть санкционированы Администратором безопасности ГОБУЗ «ЦГКБ» в письменной форме. Несущественные изменения в конфигурации ИСПДн, способные привести к нарушению конфиденциальности, целостности и доступности защищаемых активов и производственных сервисов, (установка прикладного программного обеспечения на рабочей станции, установка принтера, сканера и т.п. на рабочем месте пользователя и т.п.)  санкционируются системным администратором. 
2.5. Должен осуществляться мониторинг изменений конфигурации ИСПДн с целью подтверждения защищенности ИСПДн после внесения изменений в конфигурацию ИСПДн и анализа их эффективности. 
2.6. Пользователям ИСПДн не допускается вносить изменения в конфигурацию ИСПДн самостоятельно (устанавливать новое, удалять или изменять настройки имеющегося программного обеспечения, устанавливать новые технические продукты ИТ (модемы, принтеры и т.п.), отключать средства обеспечения ИБ и т.п.). 

3. Роли и обязанности

Администратор безопасности ГОБУЗ «ЦЕНТРАЛЬНАЯ ГОРОДСКАЯ КЛИНИЧЕСКАЯ БОЛЬНИЦА»: 
•	отвечает за претворение в жизнь настоящей политики;
•	осуществляет выбор необходимого набора контрмер и стратегии управления конфигурацией ИСПДн;
•	осуществляет общее методическое руководство деятельностью системных администраторов ГОБУЗ «ЦГКБ»;
•	санкционирует существенные изменения конфигурации ИСПДн.
•	информирует руководящий аппарат ГОБУЗ «ЦГКБ» о состоянии дел в области обеспечения ИБ и обо всех существенных инцидентах нарушения ИБ;
•	осуществляет координацию действий в области обеспечения ИБ;
•	осуществляет общее методическое руководство деятельностью администратора безопасности;
•	проводит контроль за соблюдением требований настоящей политики.
Системный администратор:
•	готовит рекомендации по выбору необходимого набора контрмер и стратегии управления конфигурацией ИСПДн;
•	документирует базовую конфигурацию ИСПДн;
•	контролирует и документирует изменения конфигурации ИСПДн;
•	осуществляет санкционированные изменения конфигурации ИСПДн;
•	отвечает за реализацию настоящей политики;
•	проводит мониторинг изменений конфигурации ИСПДн;
•	согласует несущественные изменения в конфигурации ИСПДн.
Сотрудники ГОБУЗ «ЦГКБ», уполномоченные на изменение конфигурации ИСПДн:
•	документируют базовую конфигурацию ИСПДн;
•	документируют изменения конфигурации ИСПДн;
•	осуществляют санкционированные изменения конфигурации ИСПДн. 
Сотрудники сторонних организаций, уполномоченные на изменение конфигурации ИСПДн:
•	документируют изменения в конфигурации ИСПДн;
•	осуществляют санкционированные изменения конфигурации ИСПДн. 
Пользователи ИСПДн выполняют предписанные настоящей политикой мероприятия по обеспечению ИБ в части их касающейся.

4. Ответственность за нарушение политики безопасности

4.1. Каждый сотрудник, имеющий доступ в систему, а также лица, указанные в разделе 3 настоящей политики, несут персональную ответственность за обеспечение ИБ в соответствии с требованиями настоящей политики безопасности. 
4.2. Лица, нарушившие требования безопасности, изложенные в данной политике, совершившие умышленные действия, направленные на нарушение ИБ, могут быть привлечены к дисциплинарной, административной или уголовной ответственности в соответствии с действующим законодательством Российской Федерации. 

5. История пересмотра 

Политика использования Интернета

1. Введение 

1.1. Цель 

Уменьшить риск нарушения ИБ вследствие ошибочных или преднамеренных злоумышленных действий пользователей и администраторов при доступе в Интернет. 
. 
1.2. Аудитория  

С данной политикой должны быть ознакомлены: 
•	пользователи ИСПДн;
•	системные администраторы ИСПДн;
•	администратор безопасности ИСПДн. 

2. Политика

2.1. Допуск сотрудников к Интернету из ГОБУЗ «ЦГКБ» осуществляется согласно утвержденному руководством ГОБУЗ «ЦГКБ» списку.
2.2. Все пользователи, администраторы и руководители подразделений ГОБУЗ «ЦГКБ», имеющие доступ к Интернету, должны пройти начальный инструктаж в области безопасности и периодически проходить его снова.
2.3. Любое использование Интернета в личных целях не должно мешать обычной трудовой деятельности сотрудников ГОБУЗ «ЦГКБ», не должно быть связано с ведением коммерческой деятельности в личных интересах, выходящих за рамки обязанностей сотрудника, и не должно потенциально угрожать ГОБУЗ «ЦГКБ». 
2.4. В качестве почтового клиента использовать программы MS Outlook, The Bat, браузера – MS Internet Explorer, Mozzila, Opera. 
Запрещено пользоваться любыми Интернет-пейджерами.
2.5. Персоналу СТРОГО запрещается:
•	сканировать и пытаться атаковать внутренние ресурсы корпоративной сети и ресурсы в сети Интернет;
•	сообщать кому-либо свои идентификаторы и пароли доступа к корпоративным ресурсам;
•	устанавливать модемы на рабочих местах;  
•	выходить в Интернет под привилегированными учётными записями (с административными правами).

3. Роли и обязанности

Администратор безопасности ГОБУЗ «ЦГКБ»: 
•	отвечает за претворение в жизнь настоящей политики;
•	осуществляет общее методическое руководство деятельностью системных администраторов, специалиста по защите информации (администратора безопасности), сотрудников  ГОБУЗ «ЦГКБ»;
•	проводит контроль за соблюдением требований настоящей политики;
•	осуществляет выбор необходимого набора контрмер и стратегии информирования по вопросам ИБ;
•	осуществляет координацию действий в области обеспечения ИБ;
•	обеспечивает проведение необходимого обучения;
•	информирует руководящий аппарат ГОБУЗ «ЦГКБ» о состоянии дел в области обеспечения ИБ и обо всех существенных инцидентах нарушения ИБ. 
Системный администратор:
•	рекомендует перечень необходимых к внедрению мер и средств по повышению уровня ИБ.
Пользователи ИСПДн выполняют предписанные настоящей политикой мероприятия по обеспечению ИБ.

4. Ответственность за нарушение политики безопасности

4.1. Лица, указанные в разделе 3 настоящей политики, несут персональную ответственность за обеспечение ИБ в соответствии с требованиями настоящей политики безопасности. 
4.2. Лица, нарушившие требования безопасности, изложенные в данной политике, совершившие умышленные действия, направленные на нарушение ИБ, могут быть привлечены к дисциплинарной ответственности в соответствии с действующим законодательством Российской Федерации. 

5. История пересмотра 

Политика использования мобильных компьютеров

1. Введение 

1.1. Цель 

Уменьшить риск нарушения ИБ вследствие утери или утраты мобильных компьютеров или снятия с них информации в неконтролируемой зоне. 
. 
1.2. Аудитория  

С данной политикой должны быть ознакомлены: 
•	пользователи ИСПДн;
•	системные администраторы ИСПДн;
•	администратор безопасности ИСПДн;

2. Политика

2.1. Всем сотрудникам ГОБУЗ «ЦГКБ» не рекомендуется использование мобильных компьютеров для служебных целей.
2.2. В случае крайней необходимости, с разрешения руководства ГОБУЗ «ЦГКБ», можно использовать мобильные компьютеры с физически удалёнными средствами беспроводного доступа. При этом копирование конфиденциальной информации на них  разрешён только в зашифрованном виде.
2.3. Для защиты информации, содержащейся на мобильных компьютерах, необходимо использовать сертифицированные средства шифрования информации.
2.4. Удалённое подключение таких мобильных компьютеров к ИСПДн организации возможен только при использовании ПО ViPNet клиент.
2.5 Обработку информации ИСПДн осуществлять с только использованием технологии терминального доступа.

3. Роли и обязанности

Администратор безопасности ИСПДн ГОБУЗ «ЦГКБ»: 
•	отвечает за претворение в жизнь настоящей политики;
•	осуществляет общее методическое руководство деятельностью системных администраторов, специалиста по защите информации (администратора безопасности) ГОБУЗ «ЦГКБ»;
•	проводит контроль за соблюдением требований настоящей политики;
•	осуществляет выбор необходимого набора контрмер и стратегии информирования по вопросам ИБ;
•	осуществляет координацию действий в области обеспечения ИБ;
•	обеспечивает проведение необходимого обучения;
•	информирует руководящий аппарат ГОБУЗ «ЦГКБ» о состоянии дел в области обеспечения ИБ и обо всех существенных инцидентах нарушения ИБ. 
Системный администратор:
•	рекомендует перечень необходимых к внедрению мер и средств по повышению уровня ИБ.
Пользователи ИСПДн выполняют предписанные настоящей политикой мероприятия по обеспечению ИБ.

4. Ответственность за нарушение политики безопасности

4.1. Каждый сотрудник, имеющий доступ в систему, а также лица, указанные в разделе 3 настоящей политики, несут персональную ответственность за обеспечение ИБ в соответствии с требованиями настоящей политики безопасности. 
4.2. Лица, нарушившие требования безопасности, изложенные в данной политике, совершившие умышленные действия, направленные на нарушение ИБ, могут быть привлечены к дисциплинарной, административной или уголовной ответственности в соответствии с действующим законодательством Российской Федерации. 

5. История пересмотра 
План обеспечения информационной безопасности и бесперебойной работы ИСПДн

Вид мероприятий по обеспечению ИБ	Периодичность проведения	Ответственные исполнители	Примечание	
Управление инцидентами ИБ, включающее анализ инцидента ИБ (предварительный либо подробный), предотвращение развития инцидента ИБ, устранение инцидента ИБ, восстановление безопасности после инцидента ИБ, регистрация инцидента ИБ (при необходимости сбор доказательств), проведение внутреннего расследования (при необходимости), формирование рекомендаций по результатам инцидента ИБ и по повышению уровня ИБ	Ежедневно	Представители  группы реагирования на инциденты нарушения ИБ (CSIRT) в соответствии с требованиями Политики безопасности		
Оценка рисков ИБ, включающая
анализ рисков (определение среды, границ и идентификация активов ИСПДн, идентификация угроз безопасности, анализ мер и средств обеспечения ИБ и идентификация уязвимостей, определение вероятности реализации угроз, оценка уровня ущерба) и оценивание риска	Ежегодно 
либо 
после внесения существенных изменений в ИСПДн, которые могут повлиять на ИБ	Администратор безопасности ГОБУЗ «ЦГКБ»
 Администратор безопасности ИСПДн		
Менеджмент рисков ИБ: перенос риска, снижение риска, сохранение риска или принятие риска в зависимости от значения риска 	По мере необходимости 	Администратор безопасности ГОБУЗ «ЦГКБ»
 Администратор безопасности ИСПДн		
Организация учета, передачи, обращения, хранения и уничтожения конфиденциальных цифровых носителей и носителей на бумажной основе в соответствии с требованиями Политики безопасности	Ежедневно	Администратор безопасности ИСПДн
Уполномоченные на ведение конфиденциального делопроизводства		
Проверка неучтенных цифровых носителей на предмет наличия на них конфиденциальной информации.  Проверка неучтенных распечаток на предмет наличия в них конфиденциальной информации	1 раз в полгода	Администратор безопасности ИСПДн		
Проверка наличия конфиденциальных цифровых носителей и носителей на бумажной основе, правильности их учета в Журналах учета, правильности их маркировки, правильности их хранения	Ежегодно 	Администратор безопасности ГОБУЗ «ЦГКБ»
 Администратор безопасности ИСПДн
Уполномоченные на ведение конфиденциального делопроизводства		
Комиссионное гарантированное удаление особо важной конфиденциальной (критичной) информации, уничтожение цифровых носителей, содержащих конфиденциальную информацию 	По мере необходимости 	Комиссия с включением в ее состав администратора безопасности 		
Обновление антивирусных баз 	Не реже 1 раза в час	Системный администратор	Обновление должно осуществляться в автоматическом режиме 	
Проведение полного сканирования объектов файловой системы серверов и рабочих станций на наличие вирусов, троянских коней, червей и другого вредоносного ПО	Еженедельно 	Системный администратор	Антивирусные проверки должны проводиться в автоматическом режиме по расписанию	
Обновление общесистемных (прикладных) программных продуктов ИТ, предназначенных для обработки, передачи и хранения конфиденциальной и важной производственной информации, а также для средств обеспечения ИБ (клиентских и серверных ОС, СУБД, браузера Internet Explorer, МЭ, IDS/IPS  и т.п.)	Ежедневно (для критических обновлений по безопасности) – Еженедельно 	Системный администратор 		
Проверка и замена (при необходимости) аккумуляторов ИБП на наиболее важных сетевых узлах 	1 раз в полгода 	Системный администратор 
Обслуживающий персонал 		
Осуществление резервного копирования информации 	Определяется в регламенте резервного копирования информации	Системный администратор 		
Проверка корректности восстановления информации из резервных копий	Ежеквартально – 1 раз в полгода	Системный администратор		
Мониторинг санкционированности изменения состава и конфигурации ИСПДн	Ежеквартально 	Системный администратор 
Администратор безопасности ИСПДн		
Осуществление контроля и управления доступом в КЗ, к аппаратным активам ИТ, 
коммуникациям ИСПДн	Ежедневно	Сотрудники службы охраны 
 Администратор безопасности ИСПДн
Пользователи ИСПДн 		
Создание и удаление (блокировка) учетных записей после увольнения сотрудников из ГОБУЗ «ЦГКБ» 	По мере необходимости	Системный администратор 
Администратор безопасности ИСПДн		
Предоставление пользователям полномочий в системе в соответствии с утвержденной Матрицей доступа. Корректировка полномочий после перехода сотрудников на другую должность в ГОБУЗ «ЦГКБ» 	По мере необходимости	Системный администратор 		
Проверка корректности предоставления полномочий пользователям ИСПДн	1 раз в полгода	Системный администратор 	Осуществляется путем проверки корректности нахождения пользователей в тех или иных группах, ролях	
Анализ и удаление (блокировка) неиспользуемых учетных записей	Ежеквартально	Системный администратор 		
Обучение пользователей и администраторов ИСПДн в области обеспечения ИБ	Согласно планам ГОБУЗ «ЦГКБ» 
При приеме на работу 	Обучение пользователей:
 Администратор безопасности ИСПДн
Системный администратор 
Обучение руководителей структурных подразделений, отвечающих, за обеспечение ИБ и специалистов, обеспечивающих ИБ:
специализированные организации, осуществляющие обучение в области ИБ 		
Обсуждение предлагаемых изменений политики безопасности, анализ и утверждение новой версии политики безопасности (стандартов безопасности, регламентов, процедур, руководств), распределение обязанностей за обеспечение ИБ, отслеживание основных угроз которым подвергаются защищаемые активы ИСПДн, анализ и слежение за инцидентами в системе обеспечения ИБ, утверждение основных инициатив, направленных на повышение уровня ИБ	По мере необходимости, но не реже 1 раза в полгода	Группа реагирования на инциденты		
Настройка средств идентификации и аутентификации в соответствии с требованиями Политики и Стандартов безопасности	По мере необходимости	Системный администратор 		
Проверка корректности настройки средств идентификации и аутентификации	По мере необходимости, но не реже 1 раза в квартал	Системный администратор
Администратор безопасности ИСПДн		
Настройка средств управления доступом в соответствии с требованиями Политики и Стандартов безопасности	По мере необходимости	Системный администратор 		
Проверка корректности настройки средств управления доступом	По мере необходимости, но не реже 
1 раза в квартал	Системный администратор
Администратор безопасности ИСПДн		
Анализ журналов удаленного доступа 	2 раза в неделю 	Системный администратор
Администратор безопасности ИСПДн		
Анализ журналов МЭ, используемого для защиты периметра сети 	Ежедневно	Системный администратор		
Анализ журналов IDS 	2 раза в неделю	Системный администратор		
Анализ журналов СУБД 	3 раза в неделю	Системный администратор		
Анализ журналов серверных ОС 	Ежедневно	Системный администратор
Администратор безопасности ИСПДн		
Анализ журналов клиентских ОС, персональных МЭ 	2 раза в месяц	Системный администратор		
Проверка корректности настройки средств ведения аудита событий ИБ	По мере необходимости, но не реже 
1 раза в квартал	Системный администратор
Администратор безопасности ИСПДн		
Обновление баз данных сетевых уязвимостей сканеров уязвимостей	Еженедельно	Системный администратор		
Сетевое сканирование сети	Наиболее важные сетевые узлы 
(серверы, МЭ, IDS):
Постоянно-ежеквартального	Системный администратор	При проведении ежегодных проверок должно осуществляться сканирование всего возможного диапазона 
IP-адресов (сеть класса С, сеть класса B)	
	Типовые сетевые узлы
 (рабочие станции): 
Ежегодно			
Сканирование сетевых уязвимостей	Наиболее важные сетевые узлы:  
еженедельно – ежемесячно	Системный администратор	Сканирование уязвимостей должно проводиться с актуальным базами данных сетевых уязвимостей	
	Наиболее важные сетевые узлы:  
Ежеквартально			
Поиск несанкционированных средств и точек доступа во внешние сети (модемов, мобильных устройств, подключаемых к компьютерам для выхода в Интернет, организации удаленного доступа к ИСПДн и т.п.)	Ежеквартально	Системный администратор
Администратор безопасности ИСПДн		
Проведение тестов на проникновение. Тестирование политики безопасности в области реагирования на инциденты нарушения ИБ и плана обеспечения непрерывной работы ИСПДн ГОБУЗ «ЦГКБ»	Ежегодно 	Администратор безопасности ИСПДн либо 
Организация - внешний аудитор, имеющая необходимые лицензии на деятельность в области защиты информации 		
Проведение ежегодного контроля эффективности применения средств обеспечения ИБ	Ежегодно 	Орган по аттестации 		
Осуществление авторского надзора за ИСПДн в целом и за системой обеспечения ИБ в частности 	По мере необходимости 	Организация – проектировщик ИСПДн и системы обеспечения ИБ