Руководство
Простыми словами
Руководство помогает сотруднику выполнить требование политики или стандарта в конкретной ситуации: оно предлагает порядок действий и примеры, но обычно не создаёт обязательство само по себе.
Как применяется
Руководство выпускают для повторяемых задач — безопасной настройки, классификации данных или реагирования. Его согласуют с обязательными документами, поддерживают в актуальном состоянии и проверяют на применимость.
Пример применения
К политике управления доступом организация выпускает руководство с примерами ролей, порядком запроса временных прав и инструкцией по документированию исключений.
Не путать с
- Система менеджмента ИБСМИБ — система управленческих процессов, с помощью которой организация системно выявляет риски ИБ, выбирает меры защиты и постоянно оценивает их результат.
- Область действия СУИБОбласть действия СМИБ — границы организации, процессов, активов, площадок и систем, на которые распространяется система менеджмента ИБ.
- Аудит ИБАудит ИБ — независимая проверка процессов, контролей и доказательств на соответствие заданным критериям.
Как это работает
- Определить обязательное требованиеАвтор связывает руководство с политикой, стандартом или процедурой организации.
- Описать практический способДокумент даёт понятные шаги, примеры и допустимые варианты выполнения.
- Согласовать с исполнителямиВладельцы процесса проверяют применимость и отсутствие противоречий.
- Поддерживать актуальностьРуководство обновляют при изменении технологий, требований и накопленной практики.
Частые вопросы
Проще говоря, «Руководство по информационной безопасности» помогает команде связать защищаемый объект, возможный ущерб, ответственного владельца и проверяемую меру защиты. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как «Руководство по информационной безопасности» применяют на практике?В практике ИБ термин «Руководство по информационной безопасности» используют так: его используют при оценке риска, назначении владельца и выборе контролей; результат закрепляют в реестре рисков, политике или плане обработки. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Чем «Руководство по информационной безопасности» отличается от близких понятий?«Руководство по информационной безопасности» описывает следующее: рекомендательный документ, объясняющий, как применять политику, стандарт или процедуру на практике. «Система менеджмента ИБ» означает: система управленческих процессов, с помощью которой организация системно выявляет риски ИБ, выбирает меры защиты и постоянно оценивает их результат. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.