Инструкция пользователя по работе с конфиденциальной информацией Сыктывкар

Оглавление

1. 
   Общие положения
   
   1. 
      Настоящая Инструкция определяет общие правила работы сотрудников МОУ «СОШ №14» (далее – Учреждение) с конфиденциальной информацией Учреждения.
      
   2. 
      Служебная информация ограниченного распространения в электронном виде обрабатывается в специально выделенных автоматизированных системах, а персональные данные – в информационных системах персональных данных. Также устанавливается особый порядок обработки и хранения служебной информации ограниченного распространения и персональных данных, содержащихся на бумажных носителях.
      
   3. 
      Пользователем является каждый сотрудник Учреждения, участвующий в рамках своих функциональных обязанностей в процессах обработки (автоматизированной, без использования средств автоматизации) конфиденциальной информации и имеющий доступ к аппаратным средствам, программному обеспечению, носителям информации и средствам защиты.
      
   4. 
      Пользователь в своей работе руководствуется настоящей Инструкцией, Правилами обработки персональных данных, руководящими и нормативными документами ФСТЭК России и ФСБ России и другими документами Учреждения, регламентирующие обработку конфиденциальной информации.
      
   5. 
      Методическое руководство работой Пользователя осуществляет Администратор (Оператор) автоматизированной (информационной) системы и ответственный за организацию обработки персональных данных.
      
2. 
   Термины и определения
   
   1. 
      Конфиденциальная информация – информация с ограниченным доступом, не содержащая сведений, составляющих государственную тайну, доступ к которой ограничивается в соответствии с законодательством Российской Федерации (в том числе служебная информация ограниченного распространения и персональные данные).
      
   2. 
      Служебная информация ограниченного распространения − информация, не содержащая сведения, составляющие государственную тайну, касающаяся деятельности Учреждения, ограничения на распространение которой диктуются служебной необходимостью.
      
   3. 
      Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
      
   4. 
      Обработка конфиденциальной информации – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с конфиденциальной информацией, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение конфиденциальной информации.
      
   5. 
      Автоматизированная обработка конфиденциальной информации – обработка конфиденциальной информации с помощью средств вычислительной техники.
      
   6. 
      Распространение конфиденциальной информации – действия, направленные на раскрытие конфиденциальной информации неопределенному кругу лиц.
      
   7. 
      Предоставление конфиденциальной информации – действия, направленные на раскрытие конфиденциальной информации определенному лицу или определенному кругу лиц.
      
   8. 
      Автоматизированная система (АС) – система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций.
      
   9. 
      Информационная система персональных данных (ИСПДн) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
      
   10. 
       Автоматизированное рабочее место (АРМ) – программно-технический комплекс, посредством которого Пользователь выполняет свои должностные обязанности (персональный компьютер, ноутбук, терминал и т.п.).
       
   11. 
       Несанкционированный доступ (НСД) – доступ к информации, нарушающий правила разграничения доступа с использованием штатных средств, предоставляемых средствами вычислительной техники или автоматизированными системами.
       
   12. 
       Посторонние лица – лица, которые не имеют права самостоятельного доступа в помещение и (или) не имеют права самостоятельного доступа в АС или ИСПДн и (или) не имеют допуска к конфиденциальной информации.
       
   13. 
       Средство защиты информации от несанкционированного доступа (СЗИ НСД) – программное, техническое или программно-техническое средство, направленное на предотвращение или существенное затруднение несанкционированного доступа к информации.
       
3. 
   Обязанности Пользователя
   
   1. 
      Не разглашать конфиденциальную информацию, которая будет доверена или станет известна в ходе рабочего процесса во время выполнения должностных (договорных) обязанностей.
      
   2. 
      Не сообщать устно или письменно, не передавать в каком либо виде третьим лицам и не раскрывать публично конфиденциальную информацию без соответствующего разрешения непосредственного руководителя.
      
   3. 
      Знать и выполнять требования законодательных актов Российской Федерации, настоящей Инструкции и других внутренних документов, регламентирующих порядок обработки конфиденциальной информации.
      
   4. 
      Выполнять на АРМ только те процедуры обработки конфиденциальной информации, которые определены должностной инструкцией.
      
   5. 
      Знать и соблюдать установленные требования по режиму обработки конфиденциальной информации, учету, хранению и пересылке носителей информации, обеспечению безопасности конфиденциальной информации.
      
   6. 
      Использовать для хранения конфиденциальной информации только определенные места хранения и учтенные носители конфиденциальной информации.
      
   7. 
      Незамедлительно, в кратчайшие сроки, сообщать директору Учреждения об утрате или недостаче носителей информации, удостоверений, пропусков, ключей от помещений, хранилищ, сейфов и о других фактах, которые могут привести к разглашению конфиденциальной информации.
      
   8. 
      При прекращении работ (трудовых отношений) все материальные носители, содержащие конфиденциальную информацию (флеш-накопители, дискеты, оптические диски, документы, черновики, распечатки на принтерах, кино- и фотоматериалы, модели, промышленные образцы и пр.), передать директору Учреждения.
      
   9. 
      Использовать информационные ресурсы Учреждения и переданные в распоряжение технические средства хранения, обработки и передачи информации исключительно для выполнения порученных работ, должностных (договорных) обязанностей.
      
   10. 
       Соблюдать требования парольной политики (раздел 4).
       
   11. 
       Соблюдать требования антивирусной защиты (раздел 5).
       
   12. 
       Пользователи, имеющие выход в Интернет, обязаны соблюдать правила при работе в сетях связи общего пользования и (или) сетях международного информационного обмена (раздел 6).
       
   13. 
       Пользователи, работающие с электронной подписью или использующие шифрование, обязаны соблюдать Инструкцию по обращению со средствами криптографической защиты информации.
       
   14. 
       Экран монитора в помещении располагать во время работы так, чтобы исключалась возможность несанкционированного ознакомления с отображаемой на них информацией посторонними лицами, шторы на оконных проемах должны быть завешаны (жалюзи закрыты).
       
   15. 
       Обо всех выявленных нарушениях, связанных с порядком обработки конфиденциальной информации, а так же для получений консультаций по вопросам обработки конфиденциальной информации, необходимо обращаться к Администратору автоматизированной системы или ответственному за организацию обработки персональных данных.
       
   16. 
       Пользователям запрещается:
       
       1. 
          Нарушать установленные в Учреждении правила обработки конфиденциальной информации.
          
       2. 
          Использовать компоненты программного и аппаратного обеспечения Учреждения в неслужебных целях.
          
       3. 
          Оставлять свое рабочее место без присмотра, предварительно не заблокировав (штатными средствами операционной системы Windows или Linux – комбинацией клавиш [WIN] + [L] или [CTRL] + [ALT] + [DEL] с дальнейшим нажатием кнопки «Блокировка» появившегося меню, либо при помощи штатных средств защиты информации от несанкционированного доступа при их наличии).
          
       4. 
          Оставлять без присмотра или неубранными в хранилища (шкаф, сейф) носители или документы, содержащие конфиденциальную информацию.
          
       5. 
          Записывать и хранить конфиденциальную информацию на неучтенных носителях информации (оптических дисках, гибких магнитных дисках, флеш-накопителях и т.п.).
          
       6. 
          Самовольно изменять состав и конфигурацию используемых программных, аппаратных, программно-аппаратных средств, самовольно устанавливать программное обеспечение, отключать/подключать оборудование или изменять режимы его работы.
          
       7. 
          Самовольно подключать АРМ или другие средства к ЛВС Учреждения, изменять IP-адрес, MAC-адрес и иные настройки сети АРМ.
          
       8. 
          Производить действия, направленные на получение несанкционированного доступа к АРМ и серверам, равно как и любым другим узлам ЛВС Учреждения или Интернет, в том числе:
          

• 
  действия, направленные на нарушение нормального функционирования элементов сети (компьютеров, другого сетевого оборудования или программного обеспечения);
  
• 
  установка программного обеспечения, осуществляющего перехват информации (информационных пакетов), адресованной другим пользователям;
  
• 
  действия, направленные на получение несанкционированного доступа к информационным ресурсам, в последующем использовании такого доступа;
  
• 
  уничтожение, модификация программного обеспечения или данных без согласования с непосредственным руководителем или владельцами этого ресурса;
  
• 
  попытки подбора паролей к любым информационным ресурсам методом перебора всех возможных вариантов паролей, либо атак по словарю;
  
• 
  умышленные действия по созданию, использованию и распространению вредоносных программ, в том числе направленных на получение несанкционированного доступа к любым информационным и служебным ресурсам (как внутри Учреждения так и вне), либо на нарушение целостности и работоспособности этих систем;
  
• 
  действия по сканированию локальной сети с целью определения ее внутренней структуры, списков открытых портов, наличия существующих сервисов и уязвимостей.
  

1. 1. 
      Самовольно изменять параметры средств защиты информации (в том числе и средств антивирусной защиты), а также завершать их работу и (или) самостоятельно их устанавливать.
      
   2. 
      Самостоятельно разрабатывать или использовать нерегламентированные (без разрешения непосредственного руководителя, не относящиеся к производственному процессу) программы (например: игры; IM-клиенты, такие как Google Messenger, Microsoft Messenger, ICQ и т.п.; P2P-клиенты: Kazaa, eMule, Skype и т.п.).
      
   3. 
      Разрешать посторонним лицам работать под своей учетной записью в АС или ИСПДн.
      
   4. 
      Пересылать конфиденциальную информацию по каналам связи в открытом виде, в том числе Интернет, по телефону, факсу, электронной почте и т.п. (без использования средств шифрования).
      
   5. 
      Получать доступ к конфиденциальной информации с рабочих мест, не оборудованными необходимыми средствами защиты информации.
      
   6. 
      Получать доступ к сети Интернет любыми способами, кроме как установленными настоящей Инструкцией, например, при помощи несанкционированно установленных на АРМ модемов и т. п.
      
   7. 
      Самовольно создавать совместно используемые сетевые ресурсы (папки общего доступа) на своих компьютерах и файловых серверах, несанкционированно удалять или изменять права доступа к ним.
      
   8. 
      В случае возникновения любых механических неисправностей в оборудовании осуществлять самостоятельные попытки их устранения.
      
   9. 
      Препятствовать должностным лицам при проведении проверок и служебных расследований, связанных с обеспечением безопасности информации.
      
   10. 
       Удалять или искажать программы и файлы с конфиденциальной информацией и иной важной информацией (например, системной, необходимой для функционирования АРМ, АС и ИСПДн).
       
   11. 
       Умышленно использовать недокументированные свойства и ошибки в программном обеспечении или в настройках средств защиты, которые могут привести к возникновению внештатной ситуации. Об обнаружении такого рода ошибок – ставить в известность руководителя своего подразделения и сотрудников, ответственных за установку и (или) сопровождение программного обеспечения.
       
   12. 
       Подключать к ЛВС Учреждения личные средства вычислительной техники: ноутбуки, карманные компьютеры, смартфоны и т.п., а так же личные носители и накопители информации. В случае необходимости переноса информации с личных носителей информации обращаться к системному администратору.
       
2. 
   Парольная политика
   
   1. 
      Общие требования к паролям:
      
      1. 
         Минимальное требование: буквенно-цифровой пароль. Желательно использовать буквы в верхнем или нижнем регистрах, цифры или специальные символы (например: ~ ! @ # $ % ^ & * ( ) _ - + = | \ ? / . , : ; ’ ] [ { } < > . и т.п.).
         
      2. 
         Минимальная длина пароля: не менее 6 (шести) символов.
         
      3. 
         Максимальный срок действия пароля: 90 суток.
         
      4. 
         Запрет использования трех ранее использовавшихся паролей.
         
      5. 
         Пароль Пользователя не должен включать в себя легко вычисляемые сочетания символов, общепринятые сокращения, имена, фамилии, должности, год рождения, номер паспорта, табельный номер, иную информацию о Пользователе, доступную другим лицам.
         
      6. 
         Запрещается использовать в качестве пароля один и тот же повторяющийся символ либо повторяющуюся комбинацию из нескольких символов.
         
      7. 
         Запрещается использовать в качестве пароля комбинацию символов, набираемых в закономерном порядке на клавиатуре (например: 1234567, qwerty и т.п.).
         
   2. 
      Правила использования паролей:
      
      1. 
         Хранить в тайне свой пароль, не сообщать его другим лицам.
         
      2. 
         Не давать доступ в АС или ИСПДн другим лицам под своей учетной записью и паролем.
         
      3. 
         Изменять свой пароль при первом требовании политики паролей операционной системы (АС или ИСПДн).
         
      4. 
         Во время ввода паролей необходимо исключить возможность его подсматривания посторонними лицами или техническими средствами (видеокамеры и др.).
         
      5. 
         Немедленно сообщить ответственному по парольной защите об утере, компрометации, несанкционированном изменении паролей и несанкционированном изменении сроков действия паролей.
         
      6. 
         Запрещается записывать свои пароли в очевидных местах, внутренности ящика стола, на мониторе АРМ, на обратной стороне клавиатуры и т.д.
         
      7. 
         Запрещается хранить пароли в записанном виде на отдельных листах бумаги.
         
      8. 
         Смена, удаление личного пароля любого Пользователя производится в следующих случаях:
         

• 
  в случае подозрения на компрометацию пароля;
  
• 
  по окончании срока действия;
  
• 
  в случае прекращения полномочий (увольнение, переход на другую работу внутри Учреждения) Пользователя после окончания последнего сеанса работы в информационных системах;
  
• 
  по указанию Администратора АС или ответственного за организацию обработки персональных данных.
  

1. 1. 
      При увольнении, переходе на новую должность сотрудника, имеющего доступ помимо своей учетной записи к другим ресурсам (межсетевые экраны, маршрутизаторы, серверы, другие учетные записи и т.п.) также производится внеплановая смена паролей к таким ресурсам.
      
   2. 
      Для создания значений паролей могут применяться специальные программные средства (генераторы паролей).
      
2. 
   Антивирусная защита
   
   1. 
      В случае отсутствия штатных функций антивирусной программы, предусматривающих автоматическую проверку файлов, Пользователь обязан осуществлять проверку файлов получаемых:
      

• 
  по электронной почте;
  
• 
  через сеть Интернет;
  
• 
  на магнитном, оптическом диске, флеш–накопителе;
  
• 
  ином съемном носителе информации;
  
• 
  полученные иным способом.
  

• 
  приостановить работу;
  
• 
  немедленно поставить в известность о факте обнаружения вирусного заражения ответственного за антивирусную защиту;
  
• 
  совместно с владельцем зараженных вирусом файлов провести анализ необходимости дальнейшего их использования;
  
• 
  провести лечение или уничтожение зараженных файлов (при необходимости для выполнения требований данного пункта привлечь ответственного за антивирусную защиту).
  

6. 
   Порядок работы в АС, ИСПДн и сети Интернет
   
   1. 
      Подключение к АС, ИСПДн и сети Интернет
      
      1. 
         Целью работы Пользователя в АС, ИСПДн и сети Интернет является сбор, обработка, хранение общедоступной и конфиденциальной информации, обмен электронными сообщениями в служебных целях.
         
      2. 
         Доступ к АС, ИСПДн и сети Интернет предоставляется Пользователям только в том случае, если это не противоречит требованиям по защите информации (требованиям настоящей Инструкции и иными нормативными документами в области защиты информации).
         
      3. 
         Доступ пользователя к АС или ИСПДн для обработки конфиденцмальной информации производится только с рабочих мест, на которых установлены средства защиты информации.
         
      4. 
         Основанием для подключения сотрудника Учреждения к АС, ИСПДн и сети Интернет является мотивированная заявка администратору от непосредственного руководителя Пользователя с указанием полномочий доступа к таким ресурсам и сервисам.
         
      5. 
         Администратор, либо сотрудник, выполняющий его функции, организует подключение к АС, ИСПДн или сети Интернет Пользователей в установленном порядке, осуществляет контроль над использованием данных ресурсов и сервисов.
         
      6. 
         После выполнения задания администратор сообщает пользователю выполнении заявки.
         
      7. 
         Основанием для отключения Пользователя от АС, ИСПДн и сети Интернет являются следующие события:
         

• 
  нарушение инструкций и иных локальных нормативных актов в области защиты информации Учреждения;
  
• 
  в случае нарушения Пользователем действующего законодательства в сфере компьютерной информации;
  
• 
  увольнение Пользователя, либо перевод его в другое подразделение.
  

• 
  умышленное распространение и получение материалов в/из сети Интернет, противоречащих законодательству Российской Федерации, в том числе материалов, пропагандирующих насилие или экстремизм; разжигающих расовую, национальную или религиозную вражду; разъясняющих порядок изготовления и/или применения наркотиков, взрывчатых веществ, оружия и т. п.; материалов порнографического характера; компьютерных вирусов и других вредоносных программ;
  
• 
  передавать в сеть Интернет информацию, к которой в соответствии с законодательством ограничен доступ (персональные данные, служебная информация) без соответствующего разрешения;
  
• 
  фальсифицировать IP-адрес, MAC-адрес, иные адреса, используемые в сетевых протоколах, а также прочую служебную информацию при передаче данных через сеть Интернет.
  
• 
  предоставлять доступ в сеть Интернет со своей рабочей станции кому-либо, в том числе программно-техническими способами через локальную вычислительную сеть Учреждения (например: путем несанкционированной установки локального Интернет-шлюза на рабочую станцию);
  
• 
  получать доступ к сети Интернет любыми способами, не предусмотренными действующими локальными документами (Инструкциями, стандартами Учреждения, положениями, регламентами);
  
• 
  осуществлять несанкционированный доступ к ресурсам и сервисам сети Интернет.
  
• 
  выполнять действия (взлом, DoS (отказ в обслуживании), ARP-spoofing атаки, сканирование локальной вычислительной сети) направленные на нарушение функционирования элементов сети Интернет (коммуникационного оборудования, серверов, рабочих станций, программного обеспечения).
  

7. 
   Порядок работы со съемными носителями информации
   
   1. 
      Под использованием носителей информации в АС и ИСПДн Учреждения понимается их подключение к инфраструктуре АС и ИСПДн с целью обработки, приема/передачи информации между информационными системами и носителями информации.
      
   2. 
      Допускается использование только учтенных носителей информации, которые являются собственностью Учреждения и подвергаются регулярной ревизии и контролю.
      
   3. 
      Учет и выдачу съемных носителей информации осуществляет администратор или лицо, ответственное за организацию обработки персональных данных. Факт выдачи носителя фиксируется в журнале учета съемных носителей информации.
      
   4. 
      Если доступ к АС или ИСПДн производится при помощи персональных идентификаторов (eToken, Rutoken, др.), то факт получения и сдачи данных идентификаторов обязательно фиксируется администратором или лицом, ответственным за организацию обработки персональных данных, в соответствующих журналах.
      
   5. 
      Возможность подключения носителей информации, а также получение учтенных носителей информации предоставляются Пользователям по инициативе руководителей структурных подразделений в случаях:
      

1. 1. 
      Любое взаимодействие (обработка, прием/передача информации) инициированное Пользователем между информационной системой и неучтенными (личными) носителями информации, рассматривается как несанкционированное (за исключением случаев оговоренных с администраторами заранее). Администратор оставляет за собой право блокировать или ограничивать использование носителей информации.
      
   2. 
      Информация об использовании Пользователями носителей информации в информационных системах протоколируется и, при необходимости, может быть предоставлена руководителям структурных подразделений, а также директору Учреждения.
      
   3. 
      В случае выявления фактов несанкционированного и/или нецелевого использовании носителей информации инициируется служебная проверка, проводимая комиссией, состав которой определяется Администратором АС и ответственным за организацию обработки персональных данных. По факту выясненных обстоятельств составляется акт расследования инцидента и передается руководителю структурного подразделения для принятия мер согласно локальным нормативным актам Учреждения и действующему законодательству РФ.
      
   4. 
      При отправке или передаче конфиденциальной информации адресатам на съемные носители записываются только предназначенные адресатам данные.
      
   5. 
      Вынос съемных носителей конфиденциальной информации для непосредственной передачи адресату осуществляется только с письменного разрешения руководителя структурного подразделения.
      
   6. 
      Съемные носители конфиденциальной информации, пришедшие в негодность, или отслужившие установленный срок, подлежат уничтожению. Уничтожение съемных носителей с конфиденциальной информацией осуществляется комиссией, состав которой определяется Администратором АС и ответственным за организацию обработки персональных данных. По результатам уничтожения носителей составляется акт.
      
   7. 
      В случае увольнения или перевода работника в другое структурное подразделение, предоставленные носители конфиденциальной информации изымаются и делаются соответствующие пометки в журнале учета носителей.
      
2. 
   Права пользователя
   
   1. 
      Использовать АС и ИСПДн Учреждения для выполнения служебных обязанностей.
      
   2. 
      Обращаться к системному администратору, Администратору АС, ответственному за организацию обработки персональных данных для консультаций по поводу использования программного обеспечения и АРМ, вопросам обработки конфиденциальной информации.
      
   3. 
      Направлять предложения по установке новых версий существующего программного обеспечения (с обоснованием необходимости замены старых версий на новые).
      
   4. 
      Направлять предложения по модернизации программного обеспечения, разрабатываемого в Учреждении или по заказу Учреждения.
      
   5. 
      Направлять предложения по установке нового (а также дополнительного) программного обеспечения (с указанием цели использования, преимуществ перед существующими аналогами).
      
   6. 
      Направлять предложения по модернизации АРМ (замены на новые аналоги), с обязательным обоснованием замены и указанием преимуществ перед существующими аналогами.
      
   7. 
      Получать консультации и разъяснения по нормативным документам, регламентирующим работу с конфиденциальной информацией в Учреждении.
      
3. 
   Ответственность
   
   1. 
      Пользователь несет персональную ответственность за свои действия или бездействие, которые могут повлечь за собой разглашение конфиденциальной информации, а также за нарушение нормального функционирования АС и ИСПДн или их отдельных компонентов, несанкционированный доступ к информации в соответствие с законодательством Российской Федерации и локальными нормативными актами Учреждения.