Обеспечение соответствия требованиям
Использование современных информационных технологий, с одной стороны, дает компаниям существенные конкурентные преимущества, с другой стороны, приводит к появлению новых угроз для компании, ее клиентов и для общества в целом. Поэтому обеспечение информационной безопасности становится важным условием эффективного использования информационных технологий в деятельности компании.
Требования к обеспечению информационной безопасности в компании могут быть обязательными или рекомендательными.
В зависимости от особенностей бизнеса компании обязательные требования по обеспечению информационной безопасности в компании могут определяться:
- законодательством Российской Федерации в виде федеральных законов:
- № 152-ФЗ «О персональных данных»;
- № 98-ФЗ «О коммерческой тайне»;
- № 5485-1 «О государственной тайне»;
- № 128-ФЗ «О лицензировании отдельных видов деятельности», другие законы и подзаконные акты).
- Payment Card Industry Data Security Standard (PCI DSS);
- Требования Банка России (N 242-П «Об организации внутреннего контроля в кредитных организациях и банковских группах»);
- Стандарты ОАО «Газпром» и др.
- нормативными документами регулирующих органов:
- Требования к защите персональных данных ФСТЭК России и ФСБ России;
- Специальные требования по технической защите конфиденциальной информации (СТР К);
- Положение о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (ПКЗ-2005);
- Иные руководящие документы, положения и приказы регуляторов.
Внутренние документы компании по обеспечению информационной безопасности могут включать как индивидуальные требования, так и рекомендации российских и международных стандартов:
- государственные стандарты (ГОСТ) Российской Федерации;
- отраслевые стандарты (например, СТО БР ИББС);
- международные стандарты (например, ISO/IEC 27001:2005, BS 25999-1:2006).
При приведении процессов обеспечения информационной безопасности компании в соответствие различным требованиям возникают сложности с пониманием положений нормативных документов и стандартов, необходимости выполнения конкретных требований и в оценке правильности и достаточности проведенных мероприятий.
Для решения задачи соответствия определенным требованиям по информационной безопасности компанией могут привлекаться внешние консультанты, имеющие опыт в реализации аналогичных проектов.
