Політики та принципи інформаційної безпеки в Ольгопільській сільській раді

Дата: 18.09.2026 14:09

Кількість переглядів: 56

ЗАТВЕРДЖЕНО:

Рішення виконавчого комітету Ольгопільської сільської ради № 177

від 26 листопада 2025 року

Сільський голова:       Микола САВЧЕНКО

ПОЛІТИКИ ТА ПРИНЦИПИ ІНФОРМАЦІЙНОЇ БЕЗПЕКИ

В ОЛЬГОПІЛЬСЬКІЙ СІЛЬСЬКІЙ РАДІ

1. ВСТУП

Ця Політика визначає принципи, стандарти та правила забезпечення інформаційної безпеки в Ольгопільській сільській раді.

Правові підстави:

• Закон України «Про інформацію»;
• Закон України «Про захист персональних даних»;
• Закон України «Про доступ до публічної інформації»;
• Закон України «Про захист інформації в інформаційно-телекомунікаційних системах»;
• Закон України «Про кібербезпеку»;
• Закон України «Про національну безпеку України»;
• Закон № 4336 від 27.03.2025 «Про основні засади забезпечення кіберзахисту об’єктів критичної інфраструктури»
• Постанова КМУ №373 від 29.03.2006;
• Стандарти ДСТУ ISO/IEC 27001:2023, ДСТУ ISO/IEC 27017:2022, ДСТУ ISO 9001:2015.

2. МЕТА ТА СФЕРА ЗАСТОСУВАННЯ

Метою політики є забезпечення належного рівня захисту інформації та інформаційних активів, підтримка довіри громадян, забезпечення правових зобов’язань, а також безперервності роботи органу місцевого самоврядування.

Політика є обов’язковою до виконання всіма працівниками Ольгопільської сільської ради, включаючи тимчасово залучених осіб, контрагентів та третіх сторін.

3. ОСНОВНІ ТЕРМІНИ І ВИЗНАЧЕННЯ

(термінологія викладена у відповідності до стандартів ISO 27001 та українського законодавства — залишити з оригіналу без змін, структуровано).

3.1.      Типи інформації:

-    усна інформація - переказана, під час розмови;

-    відтворена аудіо-, відеотехнікою;

-    переслана поштою;

-    передана електронним шляхом;

-    збережена в електронній формі;

-    зображена на екрані монітора;

-    надрукована, або записана на папері.

 3.2.     Терміни і визначення

Активи - все те, що має вартість для організації.

Безпека інформації - збереження секретності, інтегральності і доступності інформації.

Секретність - властивість, яка полягає в тому, що інформація не є доступною або виявленою не уповноваженим особам, суб'єктам, або процесам.

Інтегральність - властивість, яка полягає у запевненні точності і повноти активів.

Доступність - властивість бути доступним і корисним на вимогу уповноваженого суб'єкта.

Система управління інформаційною безпекою - це частина цілісної системи управління, яка ґрунтується на підході, що виникає з бізнесового ризику, стосовно розробки, впровадження, експлуатації, моніторингу, підтримки і вдосконалення безпеки інформації.

Політика СУІБ - вираження керівництвом загальних намірів і напрямків діяльності.

Засоби переробки інформації - система, послуга або інфраструктура, яка перетворює інформацію чи фізична локалізація, в якій знаходяться система.

Рекомендація - пояснення, що і як рекомендується зробити, щоб досягти цілей, визначених в політиках.

Третя сторона - це особа або орган, яка в разі вирішення проблеми, вважається незалежною від зацікавлених сторін.

Випадок, пов'язаний з безпекою інформації - є визначеним станом системи, послуги або мережі, який вказує на можливе порушення політики безпеки інформації, помилку забезпечення або невідому донині ситуацію, яка може бути пов'язана з безпекою.

Інцидент, пов'язаний з безпекою інформації - це є поодинокий випадок або серія небажаних чи несподіваних випадків, пов'язаних з безпекою інформації, що створює імовірність порушення бізнесових дій і загрожує безпеці інформації.

Загроза - потенційна причина небажаного інциденту, який може викликати шкоду в системі або організації.

Піддатливість - слабкість активу або групи активів, яка може бути використана щонайменше однією загрозою.

Ризик - комбінація імовірності випадку і його наслідків.

Аналіз ризику - систематичне використання інформації для ідентифікації джерел і оцінювання ризику.

Оцінювання ризику - процес співставлення оціненого ризику з визначеними критеріями з метою визначення значення ризику.

Оцінка ризику - цілісний процес аналізу та оцінювання ризику.

Акцептація (прийняття) ризику - рішення, щоб акцептувати (прийняти) ризик.

Поведінка з ризиком - процес вибору і впровадження модифікаційних засобів.

 «Забезпечення» = «Засіб безпеки» = «Засіб захисту».

Залишковий ризик - ризик, що залишається після процесу дій з ризиком.

Управління ризиком - скоординовані дії керування і управління організацією з врахуванням ризику.

Забезпечення - засоби, що служать управлінню ризиком, разом з політиками, процедурами, рекомендаціями, організаційною практикою та структурами, які можуть мати адміністративну, технічну, юридичну природу або природу управління.

Декларація застосування (положення щодо застосування) - документ, в якому описано цілі застосування безпеки та забезпечення, які відносяться і мають застосування в СУІБ даної організації.

4. СИСТЕМА УПРАВЛІННЯ ІНФОРМАЦІЙНОЮ БЕЗПЕКОЮ (СУІБ)

Виконком Ольгопільської сільської ради розробляє, впроваджує, підтримує та вдосконалює СУІБ, засновану на управлінні ризиками. Відповідальна особа — головний уповноважений з питань інформаційної безпеки.

5. ПОЛІТИКИ І БАЗОВІ ПРИНЦИПИ

5.1 Контроль доступу

• Поділ доступу на фізичний та логічний.
• Доступ лише авторизованим особам.
• Ідентифікація користувачів, застосування паролів.

5.2 Використання програмного забезпечення

• Заборона неавторизованого ПЗ.
• Установлення ПЗ лише за погодженням з відповідальною особою.

5.3 Захист від шкідливого ПЗ

• Систематичне використання антивірусів.
• Перевірка всіх зовнішніх носіїв.

5.4 Обмін інформацією

• Врахування класифікації інформації.
• Захист при передачі — шифрування, цифровий підпис.

5.5 Віддалена робота

• Дозвіл за погодженням керівника.
• Забезпечення логічного й фізичного захисту.

5.6 Політика "чистого столу" та "чистого екрану"

• Захист документів і моніторів у неробочий час.

5.7 Захист особистих даних

• Відповідність Закону України «Про захист персональних даних».
• Призначення відповідальної особи у кожному структурному підрозділі.

5.8 Користування паролями

• Надійність, складність, регулярна зміна.
• Заборона спільного використання.

5.9 Доступ сторонніх осіб

• Визначення зони доступу.
• Супровід гостей та обмеження використання пристроїв запису.

5.10 Робота з носіями даних

• Політика зберігання, переміщення, утилізації.

5.11 Робота з інформацією у паперовій та електронній формі

• Захист згідно з класифікацією.

5.12 Робота з мобільними пристроями

• Використання тільки авторизованих пристроїв.

6. РЕЄСТРАЦІЯ ІНЦИДЕНТІВ ТА ПОРУШЕНЬ

Усі інциденти інформаційної безпеки підлягають реєстрації та розслідуванню. Повідомлення здійснюється відповідальному з ІБ негайно.

7. ПЕРІОДИЧНИЙ ПЕРЕГЛЯД І АКТУАЛІЗАЦІЯ

Політика підлягає перегляду щонайменше один раз на рік або у разі істотних змін у законодавстві чи структурі міської ради.

8. ДОДАТКИ

Додаток 1. Класифікація інформації за рівнем доступу

Публічна інформація — доступна всім.

Службова інформація — призначена для внутрішнього користування.

Конфіденційна інформація — обмежений доступ за посадою.

Інформація з обмеженим доступом — передбачає підвищені заходи захисту.

Додаток 2. Журнал інцидентів інформаційної безпеки (витяг)

Додаток 3. Шаблон угоди про конфіденційність (витяг)

Я, нижчепідписаний(а) ___, зобов’язуюсь не розголошувати, не передавати та не використовувати з будь-якою іншою метою, окрім виконання службових обов’язків, будь-яку конфіденційну інформацію, що стала мені відома під час роботи в Ольгопільській сільській раді.

9. ІНСТРУКЦІЯ ДЛЯ ПЕРСОНАЛУ

Основні правила дотримання інформаційної безпеки:

• Не залишати документи або відкриті програми на робочому місці без нагляду.
• Завжди блокувати комп’ютер під час відсутності.
• Регулярно змінювати паролі, не використовувати прості комбінації.
• Не відкривати листи та файли від підозрілих відправників.
• Використовувати лише офіційно дозволене ПЗ.
• Повідомляти про всі інциденти або підозрілі ситуації відповідальній особі.
• Не передавати службову інформацію стороннім особам.

« повернутися до розділу «Програми»