Выбор мер по защите ИС - Форум по вопросам информационной безопасности

Добрый день!
Недавно сменил место работы по направлению ИБ. До этого работал в том же направлении, и, впринципе, знаю, какие документы должны быть, как организовать техническую защиту. НО!!! Чувствую внутреннюю неудержимую необходимость понять откуда ноги растут, т.е. сделать все правильно - поэтапно!
Для себя решил:
1. Провести сбор и анализ свдений обо все информационно-телекомуникационной инфраструктуре предприятия (ВЫПОЛНЕНО)
2. Определить защищаемую информацию, где, как и кем она обрабатывается (ВЫПОЛНЕНО)(ПДн не беру в расчет).
3.....
Дальше встал вопрос, существуют ли какие-нибудь механизмы или алгоритмы, классификации (категорирования) информационных систем, чтобы далее исходя из класса или категории определить достаточные меры по технической и организационной защите (тоже желательно какие-то наработаные алгоритмы или что-то в этом роде)?
Прощу говоря, нужно по каким-то признакам информационной системы и обрабатываемой в ней информации сказать, что мы имеем катерогию ИС "N" и далее исходя из этого применять соответствующие данной категории методы и средства защиты.

Что подскажите господа, существуют такие наработки или методики?

P.s. Организация коммерческая

Вообще-то понятие "категория" относится только к гос.тайне. Для нее всё четко расписано в НМД ФСТЭК, в частности, в СТР. Так что это определение совершенно не к месту, если конечно у вас нет ГТ.
Для защиты конфиденциальной информации и определения мер защиты, нужно знать какая именно конфиденциальная информация у вас обрабатывается - служебная тайна, коммерческая тайна и т.д. Если это не ПДн или ГИС - см. СТР-К и РД Гостехкомиссии по классификации АС

Игорь, а если обрабатываются ПДн?

Helen | 52810

Приказ ФСТЭК № 21 от 18.02.2013 г.