ИБ и отдел кадров

[barmalei]

Товарищи, хочу поинтересоваться
Обычно в трудовой договор записываеться обязанность новых сотрудников прочесть и подписаться в листе ознакомления о том они знакомы с внутренними инструкциями по ИБ?

[Пух575]

Лично я для вновь оформляемых состряпал крео на тему "Порядок обращения с информацией, подлежащей защите", в коем в качестве приложения фигурирует "Соглашение о соблюдении требований обращения с защищаемой информацией", подписываемое принимаемым на работу.Счас сей шедевр проверяют на "вшивость" наши юристы...

[barmalei]

А обязанность ознакомления с данным креотивом указали в трудовом договоре?

[Пух575]

barmalei
Пока нет, ибо юристы своего заключения по поводу "вшивости" моего крео ещё не дали.Но, думаю, как только - так сразу...

[Stnslav]

Я думаю, что в трудовой договор нужно забивать пункт про ИБ. Тем более это рекомендации стандартов.

[Баян]

barmalei
Да, конечно. Только не конкретно инструкции по ИБ, а с "Правилами использования внутренних информационных ресурсов ознакомлен"

[exploit]

У меня в трудовой ничего этого не указанно. Что дает такая запись в книжке?

[barmalei]

У меня в трудовой ничего этого не указанно. Что дает такая запись в книжке?

Вы товарищ внимательнее читайте о чем мы тут пишем

2Пух575 А остальные инструкции(по работе с интернет, почтой и т.д.) как же? Человек при приеме на работу должен с ними быть ознакомлен..

Да, конечно. Только не конкретно инструкции по ИБ, а с "Правилами использования внутренних информационных ресурсов ознакомлен"

Будет более широкая трактовка, т.к. правил должно быть дофига.. порядка 70 только по стандарту ЦБ, думаю следует сразу написать широко и от души, что бы потом трудовой договор не править..

По ИББС это
8.2.2.12. Обязанности персонала по выполнению требований ИБ в соответствии с положениями ISOTR 13569 и ISO/IECIS 17799-2005 следует включать в трудовые контракты (соглашения, договоры).

[malotavr]

Товарищи, хочу поинтересоваться
Обычно в трудовой договор записываеться обязанность новых сотрудников прочесть и подписаться в листе ознакомления о том они знакомы с внутренними инструкциями по ИБ?

Если совсем по правильному, то обязанность прочесть, подписаться и выполнять требования ИБ обычно указывают в "Правилах внутреннего трудового распорядка". Обязанность работника ознакомиться с "Правилами..." и выполнять их предусмотрена Трудовым Кодексом.

Фокус в том, что "Правила..." можно миенять в одностороннем порядке, а для того, чтобы внести изменения в трудовой договор, придется заключать доп. соглашение с каждым из уже имеющихся работников. Они, кстати, вправе это доп. соглашение и не подписывать

[barmalei]

2malotavr А что скажете в ответ стандарту?

8.2.2.12. Обязанности персонала по выполнению требований ИБ в соответствии с положениями ISOTR 13569 и ISO/IECIS 17799-2005 следует включать в трудовые контракты (соглашения, договоры).

"Правилах внутреннего трудового распорядка". Обязанность работника ознакомиться с "Правилами..." и выполнять их предусмотрена Трудовым Кодексом.

В этом случае сотрудники опять должны быть оповещены и обязаны подписаться по новыми правилами...

Фокус в том, что "Правила..." можно миенять в одностороннем порядке, а для того, чтобы внести изменения в трудовой договор, придется заключать доп. соглашение с каждым из уже имеющихся работников. Они, кстати, вправе это доп. соглашение и не подписывать

Да геммор соглашусь..
Но, смотрим с другой стороны, Правим трудовой договор.
Новые сотрудники однозначно соответствуют стандарту,
со старыми делаем следующие, выпускаем приказ, ознакомиться и расписаться в листе ознакомления с инструкциями ИБ и направить в отдел кадров, где эти листы подложат к делу сотрудников.
А с допами кто подпишеться, кто нет - нас не особо волнует, главное они ознакомились и понимают всю полноту своей ответственности

[Пух575]

barmalei
А остальные инструкции(по работе с интернет, почтой и т.д.) как же?
IMHO, с остальными инструкциями вновь принимаемый сотрудник должен ознакамливаться уже после создания для него учётной записи и "нарезки" ему прав доступа.Система должна быть гибкой: например, зачем ознакамливать с инструкцией по использованию ресурсов Интернет водителей броневиков и служебных машин, которые практически весь рабочий день проводят на маршруте и в разъездах?С них хватит и ознакомления с "Порядком обращения с информацией..."

[barmalei]

Пух575

IMHO, с остальными инструкциями вновь принимаемый сотрудник должен ознакамливаться уже после создания для него учётной записи и "нарезки" ему прав доступа.

Мне кажеться более правильно, непосредственно перед созданием учетки ознакамливать сотрудника с правилами.
Честно говоря в трудовой договор очень удобно все включать, тогда не появляеться лишней головной боли по поводу ознакомительных листов, их хранения и т.д. А если представить ситуацию что водитель находясь в водительско сел за свободный комп. слил инфу и сказал - а я не знал, что нельзя сливать.

[malotavr]

2malotavr А что скажете в ответ стандарту?

как я уже говорил, стандарт ЦБ является компиляцией западных стандартов, которые не всегда соовтетствуют особенностям российского законодательства.

В трудовой договор всегда включается требоване о соблюдении правиил внутреннего рудового распорядка (это предусмотрено ТК). Так что стандарту ЦБ эито никак не противоречит.

Новые сотрудники...
со старыми...

Это вы отделу кадров расскажите Зачем две процедуры, когда можно обойтись одной? Внесите изменения в Правила и ознакомьте сотрудникаов с новыми правмлами. Сотрудника вправе не соглашаться на измене5ние трудового договора, но не может не соблюдать трудовой распорядок.

[malotavr]

barmalei
А остальные инструкции(по работе с интернет, почтой и т.д.) как же?

IMHO, с остальными инструкциями вновь принимаемый сотрудник должен ознакамливаться уже после создания для него учётной записи и "нарезки" ему прав доступа.

В соответствии со статьей 68 ТК вы обязаны ознакомить работника с этими инструкциями до подписания трулдового договора :P

[malotavr]

Пух575Честно говоря в трудовой договор очень удобно все включать, тогда не появляеться лишней головной боли по поводу ознакомительных листов, их хранения и т.д. А если представить ситуацию что водитель находясь в водительско сел за свободный комп. слил инфу и сказал - а я не знал, что нельзя сливать.

Удобно. А еще удобно расторгать трудовой договор из-за нарушения ТК - все ведь от формулировок и от конкретной ситуации зависит. Чем больше пунктов в договоре, тем выше шанс, что он вступит в противоречие с законодательством. Если обратите внимание, юристы как правило предпочитают заключать рамочные договора, а всю специфику включают в локальные нормативные акты. Так надежнее

[box_roller]

Вариант, когда договор ссылается на нормативные акты, видится более гибким.

[barmalei]

Подскажите как грамотно сослать трудовой договор на нормативный акт по ИБ?
Я так понимаю через правила внутреннего трудового распорядка?

[barmalei]

В трудовой договор всегда включается требоване о соблюдении правиил внутреннего рудового распорядка (это предусмотрено ТК). Так что стандарту ЦБ эито никак не противоречит.

Это не противоречит с одной стороны, но и не соответствует с другой. Понятно что включение строк в Правила.. намного проще, но ведь важно что бы было еще и правильно, по стандарту.

[malotavr]

Ну, не нужно стандарт буквально понимать, он все-таки рекомендательный. Прямого включения такого требования нет, но есть ковенное. Я бы не сказал, что это несоответствие, максимум - 0.75 вместо 1 при оценке.

[barmalei]

2malotavr - Он пока рекомендательный, мы все знаем что он станет обязательным и тогда не особо захочеться такие мелочи переделывать, учитывая сложности - заключение доп. соглашений, сбор подписей и т.д.

Прямого включения такого требования нет, но есть ковенное.

Больше похоже на прямое требование

8.2.2.12. Обязанности персонала по выполнению требований ИБ в соответствии с положениями ISOTR 13569 и ISO/IECIS 17799-2005 следует включать в трудовые контракты (соглашения, договоры).

[barmalei]

Ребят, разработчики стандарта поставили точку.
2malotavr - громадное спасибо за подсказку.

При трудоустройстве (заключении трудового договора) человек подтверждает, что согласен с «Правилами внутреннего трудового распорядка». Т.е. если «Обязанности персонала по выполнению требований ИБ в соответствии с положениями ISO TR 13569 и ISO/IEC IS 17799-2005» включены в правила внутреннего трудового распорядка, с которыми сотрудник ознакомлен под роспись, а в трудовом договоре с ним указано, что он должен соблюдать эти правила (правила внутреннего трудового распорядка), то никаких противоречий с пунктом 8.2.2.12. СТО БР ИББС-1.0-2006 нет.

[barmalei]

Почитал положения стандарта касающиеся Трудоустройства новых сотрудников и ознакомления их с политикой ИБ.
ISO 17799:2005

Как часть своих договорных обязательств, сотрудникам, контрагентам и пользователям третьих сторон следует согласиться с условиями контракта о трудоустройстве и подписать его. В контракте следует сформулировать обязанности по информационной безопасности данных лиц и самой организации.

По стандарту обязанность в ознакомлении с политиками находиться в трудовом договоре, который подписывается всеми сотрудниками.
Получается что все сотрудники должны знать политику ИБ.
Хочу поинтересоваться в жизни не возникает проблем к примеру с уборщицами, водителями, инкассаторами. Они не имеют доступ компьютеру и по ДИ им не положено работать за компами.

[Romsan]

При устройстве на работу работник подписывает некий документ "О не разглашении комтайны"... эту же бумажку, второй раз, он подписывает при увольнении.
При заполнении заявки на доступ к сети - он подписывает правила работы с ресурсами сети(Сеть, АБС, Интернет).
Те кто работает с ключевой информацией(как пользователи так и админы) при каждой смене ключей(получении/сдаче) расписываются в журнале получения ключа, в том числе и за ознакомление с инструкцией работы с ключевой информацией.
Вот такая веревочка.

[Пух575]

Romsan
При устройстве на работу работник подписывает некий документ "О не разглашении комтайны"
А Вы не путайте туризм с эмиграцией!(цэ)
"Разглашение коммерческой тайны" - эт одна статья, а "создание и распространение вредоносных программ" - совсем другая

[barmalei]

а кто на мой вопрос ответит - это третья статья..

[George-on-Don]

Хочу поинтересоваться в жизни не возникает проблем к примеру с уборщицами, водителями, инкассаторами. Они не имеют доступ компьютеру и по ДИ им не положено работать за компами. ИМХО- обязательно нужно чтобы и они подписывали- т.к. уборщицы имеют доступ к нашим "мусоркам"- где можно нарыть все что угодно))), а водители и инкассаторы- так же - являются "распространителями" инофрмации)))

[malotavr]

Хочу поинтересоваться в жизни не возникает проблем к примеру с уборщицами, водителями, инкассаторами. Они не имеют доступ компьютеру и по ДИ им не положено работать за компами.

Да не, не возникает. Они подписывают стандартное положение о конфиденциальности, в котором компьютерной специфики почти нет.

[barmalei]

Они подписывают стандартное положение о конфиденциальности, в котором компьютерной специфики почти нет.

Это понятное дело. Только в стандарте написано что и с ИБ все должны быть знакомы

[malotavr]

Они и знакомы - ровно в том объеме, который им нужен. Положение основано на политике и содержит те ее положения, которые касаются обеспечения конфиденциальности информации.

[barmalei]

2malotavr Положение о комм. тайне или это доп. документ -
Положение по обеспечению конфиденциальности информации?

Как на практике это положение будет перекрывать к примеру такой инцидент - уборщица залезла в открытый комп. и чего-нибудь удалила случайно