Внутренние проверки в организации - Форум по вопросам информационной безопасности

Доброго времени суток господа!

Возник такой вопрос: каким образом, на основании чего проводить внутренние проверки по соблюдению режима ЗИ в организации. Как это всё оформлять и т.д.

Просто с проверками в таком разрезе столкнулся впервые... не знаю с какой стороны подступиться. Плюс надо же ещё руководству показать, что группа ИБ работает.

Буду очень рад Вашим советам.
С уважением, BitHunter.

На заре рождения ЗИ был такой термин, ныне забытый, а зря: "специальные обследования (без применения ТС)", так вот такие спецобследования можно запланировать в Вашем (предприятия) Руководстве и с заданной периодичностью, указанной в Руководстве, выполнять запланированые (и не только) мероприятия.

Во исполнение требований внутренних документов/приказов (любых по ИБ, они должны предусматривать контроль), можно и внешних делаете план проверок в производной форме. В плане пишите разовые/периодические/внеплановые проверки, ответственные лица(лучше должности, а не поименно).
В этом же плане делаете графу результат, если не будет нарушений, то ставите "нарушейний не обнаружено", если обнаружили - то реквизит акта о выявлении нарушений в результате проверки.
Проверку можно "просто" проводить, максимум делая акт о регистрации нарушений. По уму конечно делать что-то вроде предписания, указывая на соответствие каким документам проходит внутрення проверка. Неплохо будет завести журнал учета таких предписаний и/или актов.

Это как вариант конечно

Если внутренние проверки относятся к аттестованному объекту и требуется их проведение раз в год, то в СТР-К, если мне память не изменяет, написано что должен проводиться ежегодный технический контроль (ЕТК).

В рамках ЕТК и организовывайте внутренние проверки.

А так, можно разработать Регламент по аудиту контроля защищенности, журнал проверок и т.п.

Добавлю, что можно также разработать какое-нибудь "Положение по реагированию на инциденты ИБ" и в рамках этого положения осуществлять превентивные меры, т.е. проводить проверки режима ЗИ.

Технический контроль аттестованного ОИ проводится лицензиатом.
В вопросе как я понял подразумеваются внутренние проверки, не имеющие отнощения к ежегодному техническому контролю.

Как проводить внутренние проверки на неаттестованном объекте, организацич решает сама для себя. Требований и необходимость таких проверок ничем и никем не предъявляется.

Контроль защищенности сугубо внутреннее дело организации. Основанием для организации внутренних проверок может быть приказ руководителя и т.п.

Александр, на счет отсутствия необходимости, я бы не согласился.
Пример:
1. Разрабатываем и утверждаем инструкцию к примеру по парольной защите.
2. Назначаем в ней ответственных специалистов/подразделение за обновление баз.
3. Вводим инструкцию приказом, в котором обязываем строго исполнять ее(т.е. обновлять антивируску).
4. В приказе указывается: Контроль за исполнением приказа возложить на Александра (на вас).
Вот вы и обязаны контролировать исполнение инструкции. Если ответственные лица не будут обновлять и случиться ЧП (вирусное заражение, регуляторы). То втык получат ответственные за обновление, а вы, если не сможете подтвердить, что контролировали, вместе с ними. Вот и планы/акты контроля могут в этом помочь.
Пример про антивируску примитивный, но смысл думаю донес.
Вообще считаю принцип ЗИ: разработка/доработка - внедрение - контроль. Ну и конечно планирование по всем трем этапам.

А что каким образом проводить (на неаттестованом) - это конечно в руках руководства.