Пользователя информационной системы персональных данных
Пользователь информационной системы персональных данных (далее по тексту — ИСПДн) осуществляет обработку персональных данных в ИСПДн.
Пользователем является каждый сотрудник Оператора , участвующий в рамках своих функциональных обязанностей в процессах автоматизированной обработки информации и имеющий доступ к аппаратным средствам, программному обеспечению, данным и средствам защиты.
Пользователь несет персональную ответственность за свои действия.
Пользователь в своей работе руководствуется настоящей инструкцией, Концепцией информационной безопасности, Политикой информационной безопасности, руководящими и нормативными документами ФСТЭК России и регламентирующими документами Оператора.
Методическое руководство работой пользователя осуществляется ответственным за обеспечение защиты персональных данных.
Должностные обязанности
Знать и выполнять требования действующих нормативных и руководящих документов, а также внутренних инструкций, руководства по защите информации и распоряжений, регламентирующих порядок действий по защите информации.
Выполнять на автоматизированном рабочем месте (АРМ) только те процедуры, которые определены для него в Положении о разграничении прав доступа к обрабатываемым персональным данным.
Знать и соблюдать установленные требования по режиму обработки персональных данных, учету, хранению и пересылке носителей информации, обеспечению безопасности ПДн, а также руководящих и организационно-распорядительных документов.
Соблюдать требования парольной политики (раздел 3).
Соблюдать правила при работе в сетях общего доступа и (или) международного обмена — Интернет и других (раздел 4).
Экран монитора в помещении располагать во время работы так, чтобы исключалась возможность несанкционированного ознакомления с отображаемой на них информацией посторонними лицами, шторы на оконных проемах должны быть завешаны (жалюзи закрыты).
Обо всех выявленных нарушениях, связанных с информационной безопасностью Оператора, а так же для получений консультаций по вопросам информационной безопасности, необходимо обратиться к лицу ответственному за обеспечение информационной безопасности ИСПДн.
Для получения консультаций по вопросам работы и настройке элементов ИСПДн необходимо обращаться к Администратору ИСПДн.
— разглашать защищаемую информацию третьим лицам;
— копировать защищаемую информацию на внешние носители без разрешения своего руководителя;
— самостоятельно устанавливать, тиражировать, или модифицировать программное обеспечение и аппаратное обеспечение, изменять установленный алгоритм функционирования технических и программных средств;
— несанкционированно открывать общий доступ к папкам на своей рабочей станции;
— запрещено подключать к рабочей станции и корпоративной информационной сети личные внешние носители и мобильные устройства;
— отключать (блокировать) средства защиты информации;
— обрабатывать на АРМ информацию и выполнять другие работы, не предусмотренные перечнем прав пользователя по доступу к ИСПДн;
— сообщать (или передавать) посторонним лицам личные ключи и атрибуты доступа к ресурсам ИСПДн;
— привлекать посторонних лиц для производства ремонта или настройки АРМ, без согласования с ответственным за обеспечение защиты персональных данных.
Принимать меры по реагированию, в случае возникновения внештатных ситуаций и аварийных ситуаций, с целью ликвидации их последствий, в пределах возложенных на него функций.
Организация парольной защиты
Личные пароли доступа к элементам ИСПДн выдаются пользователям Администратором информационной безопасности, Администратором ИСПДн или создаются самостоятельно.
Полная плановая смена паролей в ИСПДн проводится не реже одного раза в 3 месяца.
Правила формирования пароля:
— пароль не может содержать имя учетной записи пользователя или какую-либо его часть;
— пароль должен состоять не менее чем из 8 символов;
— в пароле должны присутствовать символы трех категорий из числа следующих четырех:
а) прописные буквы английского алфавита от A до Z;
б) строчные буквы английского алфавита от a до z;
в) десятичные цифры (от 0 до 9);
г) символы, не принадлежащие алфавитно-цифровому набору (например, !, $, #, %).
— запрещается использовать в качестве пароля имя входа в систему, простые пароли типа «123», «111», «qwerty» и им подобные, а так же имена и даты рождения своей личности и своих родственников, клички домашних животных, номера автомобилей, телефонов и другие пароли, которые можно угадать, основываясь на информации о пользователе;
— запрещается использовать в качестве пароля один и тот же повторяющийся символ либо повторяющуюся комбинацию из нескольких символов;
— запрещается использовать в качестве пароля комбинацию символов, набираемых в закономерном порядке на клавиатуре (например, 1234567 и т.п.);
— запрещается выбирать пароли, которые уже использовались ранее.
Правила ввода пароля:
— ввод пароля должен осуществляться с учётом регистра, в котором пароль был задан;
— во время ввода паролей необходимо исключить возможность его подсматривания посторонними лицами или техническими средствами (видеокамеры и др.).
Правила хранение пароля:
— запрещается записывать пароли на бумаге, в файле, электронной записной книжке и других носителях информации, в том числе на предметах;
— запрещается сообщать другим пользователям личный пароль и регистрировать их в системе под своим паролем;
— запрещается сообщать другим пользователям личный пароль и регистрировать их в системе под своим паролем.
Лица, использующие паролирование, обязаны:
— четко знать и строго выполнять требования настоящей инструкции и других руководящих документов по паролированию;
— своевременно сообщать Администратору информационной безопасности об утере, компрометации, несанкционированном изменении паролей и несанкционированном изменении сроков действия паролей.
Правила работы в сетях общего доступа и (или) международного обмена
Работа в сетях общего доступа и (или) международного обмена (сети Интернет и других) (далее — Сеть) на элементах ИСПДн, должна проводиться при служебной необходимости.
При работе в Сети запрещается:
— осуществлять работу при отключенных средствах защиты (антивирус и других);
— передавать по Сети защищаемую информацию без использования средств шифрования;
— запрещается скачивать из Сети программное обеспечение и другие файлы;
— запрещается посещение сайтов сомнительной репутации (порно-сайты, сайты содержащие нелегально распространяемое ПО и другие);
— запрещается нецелевое использование подключения к Сети.
