Образец плана мероприятий и мер по защите информации в государственной информационной системе

Что должно быть в документе

• мероприятия по всем стадиям жизненного цикла системы: обработка и хранение информации, создание и развитие (модернизация), эксплуатация, вывод из эксплуатации;
• по каждому мероприятию — периодичность, срок и ответственный, а не только название;
• связь с актуальными угрозами и с составом мер, определённым по классу защищённости (базовый набор, адаптация, верификация);
• мероприятия по контролю защищённости, управлению уязвимостями и обновлениями;
• обучение работников и отработку реагирования на компьютерные инциденты;
• условия пересмотра плана: изменение класса защищённости, структуры системы, угроз, результаты контроля и произошедшие инциденты;
• отметки о выполнении — без них план не отличить от намерения.

Как оформить

1. Определите класс защищённости системы и состав мер: план строится на них, а не на общих формулировках.
2. Выпишите мероприятия по стадиям жизненного цикла системы, а не только по эксплуатации.
3. Проставьте периодичность и сроки, назначьте ответственного по каждому мероприятию.
4. Утвердите план у руководителя и доведите до ответственных работников.
5. Ведите отметки о выполнении — по ним проверяется реальность плана.
6. Пересматривайте план после изменений системы, угроз и по результатам контроля защищённости.

Частые вопросы