Инвентаризация информационных ресурсов - Форум по вопросам информационной безопасности

Добрый день. Ситуация такая...необходимое провести инвентаризацию информационной системы предприятия. Производится впервые. Госты и всякие пособия рассказывают в общем свете....начинаешь поневоле путаться. Кто может поделиться конкретикой или пример. Общий план слаживается такой:

1.Нужно по каждому подразделению определить виды его деятельности...например продажа, закупка, маркетинг и прочее...

2. Далее...ну направления деятельности определили, например закупки....теперь что ?

3.Надо собрать и классифицировать крутящуюся в этом подразделении информацию....вот тут путанница - как ее классифицировать ? Контракты, распоряжения, приказы, заказы ... это будет являться классификацией ? Или по какому признаку можно классифицировать ?

Ну вот берем отдельное подразделение к примеру, там есть информация которая обрабатывается на прикладном ПО, есть информация типа факсов, есть информация в виде служебок, распоряжений, приказов....есть информация которая не обрабатывается прикл.ПО, а в виде экселей всяких, эл.почта...есть телефонные переговоры....


Так вроде просто сначала кажется, а потом ум за разум заходит :)))

Направьте на путь истинный :)

Спасибо.

Цель какая? Инвентаризация ради инвентаризации, или иная?
Номенклатуры дел есть?

Цель...ввод в действие политик и процедур безопасности... номенклатура дел - это перечень документов всяческих для подразделения ?

Дело в том, что бросили на эту работу, а посоветоваться особо не с кем по вопросам ИБ....работал раньше сисадмином...

Предприятие большое - завод.

Максим
Ну лучше будет обозвать это инвентаризацией информационных активов, могу посоветовать подход, который мы применяем при такой задаче.
Если интересно, пишите на почту.

Да, почта turnip@inbox.ru

2SLONIZM, отписал на почту...

Поскольку предприятие большое, лучше для начала все-таки поделить его на отделы: отдел продажи. отдел закупок и т.д. Так инвентаризацию будет делать проще.
После того как подсистемы (отделы то есть) выделены, можно уже классифицировать информацию, которая в этих отделах обрабатывается, и выделять из нее сведения, подлежащие защите.

Потом уже можно приступать к разработке единых для всего завода политики.

А сейчас какие документы по безопасности есть?

Сейчас, ничего нет, только внедряем политики и процедуры. Классифицировать информацию по чем ? По конфиденциальности, доступности и целостности ?