Я готовлю пакет документации по информационной безопасности для своей организации.
Подскажите пожалуйста, какие есть требования к таким документам и где их посмотреть?
Если приводить конкретные вопросы, то:
1. В инструкции по организации парольной защиты какие требования к паролям и частоте их смены должны быть? Достаточно длины в 6 символов и смены пароля раз в год. Или надо менять раз в квартал, чтобы было 3 категории символов с диной не менее 8-и?
2. Как часто должны проводиться внутренние проверки, такие как:
- порядок, условия хранения и соблюдение правил доступа к материальным носителям ПДн;
- соблюдение условий доступа в помещения, где обрабатываются ПДн;
- соблюдение правил антивирусной защиты;
- контроль за обновлениями ПО;
- соблюдение правил работы со съемными носителями ПДн;
- контроль за обеспечением резервного копирования;
- поддержание в актуальном состоянии нормативно-организационных документов;
- проведение внутренних проверок на выявление вновь созданных ИС;
- пересмотр матрицы доступа к ПДн;
- проведение внутренних проверок на предмет выявления изменений в режиме обработки и защиты ПДн.
> Достаточно длины в 6 символов и смены пароля раз в год.
Для таких паролей уже есть готовые таблицы хешей. Более-менее стойкие пароли - от 10 символов.
Стандартные рекомендации по сложности - три категории символов и ежемесячная смена паролей.
> 2. Как часто должны проводиться внутренние проверки, такие как...
Контрольные проверки, чтобы персонал не забил на безопасность - раз в год. А так вы перечислили повседневные контрольные функции подразделения ИБ.
