Выступление Натальи Храмцовской о новых стандартах информационной безопасности и о том, как их можно использовать в интересах управления документацией организации, на третьей международной практической конференции «Эффективный документооборот в управлении бизнес-процессами», декабрь 2005 Dr Natasha Khramtsovsky's presentation "New information security standards & records management" at the Records Managers Guild' conference, Moscow, December 2006.

1. 88--99 декабрядекабря 20052005 гг.. КонференцияКонференция ГильдииГильдии УправляющихУправляющих ДокументациейДокументацией 11
НовыеНовые стандартыстандарты попо
информационнойинформационной безопасностибезопасности
ии управлениеуправление документациейдокументацией
организацииорганизации
ХрамцовскаяХрамцовская НатальяНаталья АлександровнаАлександровна
ведущийведущий экспертэксперт попо управлениюуправлению документациейдокументацией
компаниикомпании ««ЭлектронныеЭлектронные ОфисныеОфисные СистемыСистемы»»,,
членчлен ГильдииГильдии УправляющихУправляющих ДокументациейДокументацией ии ARMA InternationalARMA International

2. 88--99 декабрядекабря 20052005 гг.. КонференцияКонференция ГильдииГильдии УправляющихУправляющих ДокументациейДокументацией 22
ЗачемЗачем ISO 17799ISO 17799
нуженнужен специалистамспециалистам ДОУДОУ
ДляДля эффективногоэффективного общенияобщения сс руководствомруководством ии
специалистамиспециалистами ИТИТ ии ИБИБ,, повышенияповышения своегосвоего
статусастатуса вв организацииорганизации
ДляДля ««выбиваниявыбивания»» своейсвоей долидоли ресурсовресурсов ии
финансированияфинансирования,, выделяемыхвыделяемых нана обеспечениеобеспечение ИБИБ
КакКак основаоснова длядля созданиясоздания внутреннихвнутренних нормативныхнормативных
документовдокументов

3. 88--99 декабрядекабря 20052005 гг.. КонференцияКонференция ГильдииГильдии УправляющихУправляющих ДокументациейДокументацией 33
СтандартСтандарт ISO/IEC 17799:2005ISO/IEC 17799:2005 попо
информационнойинформационной безопасностибезопасности
ПерваяПервая версияверсия стандартастандарта
20012001 годгод,, втораявторая –– июньиюнь 20052005
годагода
РазработанныйРазработанный
специалистамиспециалистами вв областиобласти ИТИТ--
технологийтехнологий длядля собственныхсобственных
нужднужд,, впервыевпервые зафиксировалзафиксировал
требованиятребования кк работеработе сс
документациейдокументацией организацииорганизации

4. 88--99 декабрядекабря 20052005 гг.. КонференцияКонференция ГильдииГильдии УправляющихУправляющих ДокументациейДокументацией 44
ОсновныеОсновные информационныеинформационные
ресурсыресурсы,, требующиетребующие защитызащиты
ЭлектронныеЭлектронные документыдокументы ии информацияинформация хранятсяхранятся вв
компьютерныхкомпьютерных системахсистемах ии сетяхсетях
БумажныеБумажные документыдокументы,, хранениехранение которыхкоторых
организованоорганизовано вв защищенныхзащищенных помещенияхпомещениях илиили вв
закрытыхзакрытых шкафахшкафах,, ведётсяведётся регистрациярегистрация ии учётучёт
ЦеннаяЦенная ии важнаяважная информацияинформация,, хранящаясяхранящаяся вв
головахголовах сотрудниковсотрудников

5. 88--99 декабрядекабря 20052005 гг.. КонференцияКонференция ГильдииГильдии УправляющихУправляющих ДокументациейДокументацией 55
СодержаниеСодержание стандартастандарта
1.1. ОбластьОбласть примененияприменения
2.2. ТерминыТермины ии определенияопределения
3.3. СтруктураСтруктура данногоданного стандартастандарта
4.4. ОценкаОценка рисковрисков
5.5. ПолитикаПолитика вв областиобласти безопасностибезопасности
6.6. ОрганизацияОрганизация системысистемы информационнойинформационной безопасностибезопасности
7.7. УправлениеУправление ресурсамиресурсами ((классификацияклассификация ии контрольконтроль))
8.8. КадроваяКадровая безопасностьбезопасность
9.9. ФизическаяФизическая безопасностьбезопасность ии защитазащита отот природныхприродных явленийявлений
10.10. УправлениеУправление операциямиоперациями ии средствамисредствами коммуникациикоммуникации
11.11. УправлениеУправление доступомдоступом
12.12. ЗакупкаЗакупка,, развитиеразвитие ии сопровождениесопровождение информационныхинформационных системсистем
13.13. УправлениеУправление реагированиемреагированием нана инцидентыинциденты вв областиобласти информационнойинформационной
безопасностибезопасности
14.14. ОбеспечениеОбеспечение непрерывностинепрерывности деловойделовой деятельностидеятельности
15.15. ВыполнениеВыполнение законодательнозаконодательно--нормативныхнормативных требованийтребований

6. 88--99 декабрядекабря 20052005 гг.. КонференцияКонференция ГильдииГильдии УправляющихУправляющих ДокументациейДокументацией 66
15.15. ««ВыполнениеВыполнение законодательнозаконодательно--
нормативныхнормативных требованийтребований»»
15.115.1 ВыполнениеВыполнение требованийтребований законодательствазаконодательства
–– 15.1.115.1.1 ВыявлениеВыявление соответствующихсоответствующих требованийтребований
законодательствазаконодательства
–– 15.1.215.1.2 ПраваПрава интеллектуальнойинтеллектуальной собственностисобственности
–– 15.1.315.1.3 ЗащитаЗащита документовдокументов организацииорганизации
–– 15.1.415.1.4 ЗащитаЗащита данныхданных ии персональнойперсональной информацииинформации
–– 15.1.515.1.5 ПредотвращениеПредотвращение несанкционированногонесанкционированного
использованияиспользования системсистем ии средствсредств обработкиобработки информацииинформации
–– 15.1.615.1.6 РегулированиеРегулирование примененияприменения криптографическихкриптографических
средствсредств

7. 88--99 декабрядекабря 20052005 гг.. КонференцияКонференция ГильдииГильдии УправляющихУправляющих ДокументациейДокументацией 77
15.15. ««ВыполнениеВыполнение законодательнозаконодательно--
нормативныхнормативных требованийтребований»»
((продолжениепродолжение))
15.215.2 ВыполнениеВыполнение требованийтребований регламентоврегламентов,, стандартовстандартов
попо безопасностибезопасности ии техническихтехнических требованийтребований
–– 15.2.115.2.1 ВыполнениеВыполнение требованийтребований регламентарегламента ии стандартовстандартов попо
безопасностибезопасности
–– 15.2.215.2.2 ПроверкаПроверка соответствиясоответствия техническимтехническим требованиямтребованиям
15.315.3 ВопросыВопросы аудитааудита информационныхинформационных системсистем
–– 15.3.115.3.1 СредстваСредства аудитааудита информационныхинформационных системсистем
–– 15.3.215.3.2 ЗащитаЗащита средствсредств аудитааудита вв информационныхинформационных системахсистемах

8. 88--99 декабрядекабря 20052005 гг.. КонференцияКонференция ГильдииГильдии УправляющихУправляющих ДокументациейДокументацией 88
СтандартСтандарт ISO 17799:2005ISO 17799:2005
ГлавнаяГлавная идеяидея стандартастандарта вв отношенииотношении
документациидокументации:: обеспечитьобеспечить надлежащуюнадлежащую
информационнуюинформационную безопасностьбезопасность можноможно толькотолько припри
условииусловии,, чточто управлениеуправление документамидокументами нана всехвсех
видахвидах носителейносителей ведётсяведётся единообразноединообразно,, ии чточто
соответствующиесоответствующие требованиятребования распространяютсяраспространяются нана
всевсе информационныеинформационные ресурсыресурсы организацииорганизации..
СтандартСтандарт рассматриваетрассматривает вопросывопросы защитызащиты всехвсех
видоввидов информационныхинформационных ресурсовресурсов

9. 88--99 декабрядекабря 20052005 гг.. КонференцияКонференция ГильдииГильдии УправляющихУправляющих ДокументациейДокументацией 99
ISO 17799ISO 17799 оо сохранениисохранении
документовдокументов организацииорганизации
СущественныеСущественные документыдокументы организацииорганизации должныдолжны
бытьбыть защищенызащищены отот утериутери,, уничтоженияуничтожения ии
фальсификациифальсификации.. МожетМожет оказатьсяоказаться необходимымнеобходимым
сохранятьсохранять вв безопасностибезопасности определённыеопределённые
документыдокументы,, -- каккак длядля исполненияисполнения законодательнозаконодательно--
нормативныхнормативных требованийтребований,, тактак ии длядля поддержанияподдержания
основнойосновной деловойделовой деятельностидеятельности..

10. 88--99 декабрядекабря 20052005 гг.. КонференцияКонференция ГильдииГильдии УправляющихУправляющих ДокументациейДокументацией 1010
ISO 17799ISO 17799 обоб уничтоженииуничтожении
документовдокументов организацииорганизации
СистемаСистема храненияхранения ии обработкиобработки должнадолжна обеспечитьобеспечить
яснуюясную идентификациюидентификацию документовдокументов ии установленногоустановленного
длядля нихних срокасрока храненияхранения
ОнаОна должнадолжна обеспечиватьобеспечивать соответствующеесоответствующее
уничтожениеуничтожение документовдокументов попо истеченииистечении срокасрока
храненияхранения,, еслиесли ониони ужеуже большебольше нене нужнынужны
организацииорганизации.. ……

11. 88--99 декабрядекабря 20052005 гг.. КонференцияКонференция ГильдииГильдии УправляющихУправляющих ДокументациейДокументацией 1111
ТребованияТребования ISO 17ISO 17799799
кк применениюприменению вв организацияхорганизациях
ISO 15489ISO 15489
ВВ стандартестандарте зафиксированозафиксировано требованиетребование,, чточто
управлениеуправление документамидокументами организацииорганизации должнадолжна
осуществлятьосуществлять вв соответствиисоответствии сосо стандартомстандартом ISOISO
1548915489--1,1, которыйкоторый теперьтеперь ужеуже ««официальноофициально»» будетбудет
использоватьсяиспользоваться припри сертификациисертификации попо стандартамстандартам
информационнойинформационной безопасностибезопасности..
ЭтоЭто требованиетребование фактическифактически обязываетобязывает
специалистовспециалистов вв областиобласти информационныхинформационных
технологийтехнологий ии информационнойинформационной безопасностибезопасности
использоватьиспользовать требованиятребования ISO 15489ISO 15489--11 вв своейсвоей
работеработе..

12. 88--99 декабрядекабря 20052005 гг.. КонференцияКонференция ГильдииГильдии УправляющихУправляющих ДокументациейДокументацией 1212
15.1.4.15.1.4. ЗащитаЗащита данныхданных ии
персональнойперсональной информацииинформации
ТребованиеТребование
ЗащитуЗащиту данныхданных ии защитузащиту персональныхперсональных данныхданных
следуетследует обеспечитьобеспечить вв соответствиисоответствии сс
законодательствомзаконодательством,, нормативаминормативами ии контрактнымиконтрактными
обязательствамиобязательствами..

13. 88--99 декабрядекабря 20052005 гг.. КонференцияКонференция ГильдииГильдии УправляющихУправляющих ДокументациейДокументацией 1313
15.1.4.15.1.4. ЗащитаЗащита данныхданных ии
персональнойперсональной информацииинформации
РекомендацииРекомендации
РазработатьРазработать ии реализоватьреализовать политикуполитику организацииорганизации
защитызащиты данныхданных ии персональныхперсональных данныхданных.. ЭтаЭта
политикаполитика должнадолжна бытьбыть сообщенасообщена всемвсем лицамлицам,,
вовлеченнымвовлеченным вв обработкуобработку персональнойперсональной
информацииинформации..
РассмотретьРассмотреть вопросвопрос оо соответствующихсоответствующих
организационнойорганизационной структуреструктуре ии мерахмерах защитызащиты..

14. 88--99 декабрядекабря 20052005 гг.. КонференцияКонференция ГильдииГильдии УправляющихУправляющих ДокументациейДокументацией 1414
15.1.4.15.1.4. ЗащитаЗащита данныхданных ии
персональнойперсональной информацииинформации
РекомендацииРекомендации
НазначитьНазначить сотрудникасотрудника,, ответственногоответственного заза защитузащиту
данныхданных,, вв обязанностиобязанности которогокоторого входитвходит передачапередача
указанийуказаний менеджерамменеджерам,, пользователямпользователям ии
поставщикампоставщикам услугуслуг обоб ихих персональнойперсональной
ответственностиответственности ии информированиеинформирование оо необходимыхнеобходимых
процедурахпроцедурах
ДолжныДолжны бытьбыть реализованыреализованы соответствующиесоответствующие
техническиетехнические ии организационныеорганизационные мерымеры попо защитезащите
персональнойперсональной информацииинформации

15. 88--99 декабрядекабря 20052005 гг.. КонференцияКонференция ГильдииГильдии УправляющихУправляющих ДокументациейДокументацией 1515
СтандартСтандарт ISO 27001ISO 27001
ВВ октябреоктябре 20052005 годагода
опубликованопубликован окончательныйокончательный
вариантвариант
ОписываетОписывает системусистему
управленияуправления информационнойинформационной
безопасностьюбезопасностью,, вв рамкахрамках
которойкоторой можноможно выбиратьвыбирать ии
использоватьиспользовать отдельныеотдельные мерымеры
ПоПо требованиямтребованиям ISO 27001ISO 27001
планируетсяпланируется организоватьорганизовать
проведениепроведение международноймеждународной
сертификациисертификации
ISO 17799ISO 17799 ии ISO 27001ISO 27001 --
взаимосвязанывзаимосвязаны

16. 88--99 декабрядекабря 20052005 гг.. КонференцияКонференция ГильдииГильдии УправляющихУправляющих ДокументациейДокументацией 1616
МеждународнаяМеждународная сертификациясертификация попо
стандартустандарту BS 7799BS 7799--2 (ISO 27001)2 (ISO 27001)
ФормулируетФормулирует требованиятребования кк
системесистеме управленияуправления
информационнойинформационной безопасностьюбезопасностью
ОписываетОписывает системусистему управленияуправления
информационнойинформационной безопасностьюбезопасностью,,
вв рамкахрамках которойкоторой можноможно
выбиратьвыбирать ии использоватьиспользовать
отдельныеотдельные мерымеры изиз ISO 17799ISO 17799

17. 88--99 декабрядекабря 20052005 гг.. КонференцияКонференция ГильдииГильдии УправляющихУправляющих ДокументациейДокументацией 1717
ОбеспечениеОбеспечение информационнойинформационной
безопасностибезопасности –– общаяобщая задачазадача
ОбеспечениеОбеспечение информационнойинформационной безопасностибезопасности
требуеттребует решениярешения многочисленныхмногочисленных проблемпроблем,, ии ихих,,
безусловнобезусловно,, нене подпод силусилу вв одиночкуодиночку решитьрешить нини
службеслужбе ДОУДОУ,, нини службеслужбе персоналаперсонала,, нана службеслужбе ИТИТ,,
нини какойкакой--либолибо другойдругой
ТолькоТолько координированнаякоординированная работаработа всехвсех службслужб подпод
единымединым руководствомруководством,, припри пониманиипонимании ии поддержкеподдержке,,
каккак сосо стороныстороны высшеговысшего руководстваруководства,, тактак ии
персоналаперсонала организацииорганизации можетможет привестипривести кк успехууспеху..

18. 88--99 декабрядекабря 20052005 гг.. КонференцияКонференция ГильдииГильдии УправляющихУправляющих ДокументациейДокументацией 1818
ВместоВместо выводоввыводов:: ещёещё разраз оо
значениизначении стандартастандарта
НашеНаше ««информационноеинформационное оружиеоружие»» вв общенииобщении сс
другимидругими заинтересованнымизаинтересованными подразделениямиподразделениями ии сс
руководствомруководством
ОсноваОснова длядля налаживанияналаживания совместнойсовместной работыработы,, длядля
выработкивыработки общейобщей технологиитехнологии
ВозможностьВозможность привлечьпривлечь вниманиевнимание кк своемусвоему участкуучастку
работыработы вв случаеслучае сертификациисертификации
ВесомыйВесомый аргументаргумент припри вопросахвопросах выделениявыделения
финансированияфинансирования ии ресурсовресурсов

19. 88--99 декабрядекабря 20052005 гг.. КонференцияКонференция ГильдииГильдии УправляющихУправляющих ДокументациейДокументацией 1919
Вопросы?

20. 88--99 декабрядекабря 20052005 гг.. КонференцияКонференция ГильдииГильдии УправляющихУправляющих ДокументациейДокументацией 2020
ЭЛЕКТРОННЫЕЭЛЕКТРОННЫЕ ОФИСНЫЕОФИСНЫЕ СИСТЕМЫСИСТЕМЫ
WWW.EOS.RUWWW.EOS.RU
EE--mail:mail: hramhram@@eos.rueos.ru
107023107023 гг.. МоскваМосква,, улул.. ЭлектрозаводскаяЭлектрозаводская, 52, 52
ТелефонТелефон//факсфакс: 580: 580--7575--1515
ЭлектроннаяЭлектронная почтапочта::
ОтделОтдел консультационныхконсультационных услугуслуг::
antoshechkina@EOS.RUantoshechkina@EOS.RU
СПАСИБО ЗА ВНИМАНИЕ