Ознакомление с правилами ИБ при приёме на работу
Встройте ознакомление с правилами информационной безопасности (ИБ) в первый рабочий день: какие листы подписать до учётки, кто ставит отметку, куда девать дату для метрики охвата. Памятка говорит, что делать с письмом; политика — каких правил держится компания. Сами тексты не переписываем: памятка, политика кибербезопасности, канал сообщений. Годовая программа и фишинг — осведомлённость.
Статья опирается на логику направления «Культура кибербезопасности» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 14 включает подготовку людей, в том числе при появлении в организации: cisecurity.org/controls. Это не российский закон. Кадровые формулировки сверьте с отделом кадров и ТК РФ; это не юридическая консультация.
До учётки, не «когда-нибудь на портале»
| Шаг | Кто | Артефакт |
|---|---|---|
| Выдать пакет: политика, памятка, адрес канала, при необходимости политика ПДн | Кадры в день выхода | Комплект или ссылка с версией документов |
| Короткий разбор 15 минут: куда писать, чего не делать с письмом и флешкой | Наставник или ИБ, не «прочитайте сами 40 страниц» | Отметка в листе |
| Подпись (бумага или электронный документооборот) с датой и версией | Сотрудник | Строка в таблице охвата обучением (дата не старше года) |
| Заявка на доступ | Руководитель новичка | заявка после отметки об ознакомлении |
Правило гигиены: без отметки учётку в продуктив не создают. Исключение — кадровый контур «принять человека», не почта клиентов. Подрядчик с доступом к вашим системам проходит тот же минимум, иначе канал и политика его не касаются «потому что не в штате».
Не подменяйте пакет политикой персональных данных (ПДн) с сайта: она закрывает 152-ФЗ, не пароли и не изменения. Если новичок будет обрабатывать персональные данные — оба документа, две подписи.
Риск: доступ выдали в понедельник, лист подписали через месяц. Тогда при инциденте «не знал канал» нечем крыть, а метрика охвата врёт. Кадры не закрывают табель, пока нет даты; ИТ не видит заявку без этой даты.
Что не совать в первый день
- Полную программу на год и учебную рассылку — они позже.
- Должностную инструкцию ответственного за ИБ — это не для всех.
- Реестр рисков и отчёт директору.
Повтор через 12 месяцев — та же метрика «не старше года», не новый ритуал приёма.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Учётка есть, подписи нет | ИТ не смотрит отметку. Поставьте блок в заявке |
| Подписывают 40 страниц без разбора | Не читают. 15 минут плюс памятка на одну страницу |
| Кадры не знают, какую версию политики дали | В листе нет номера версии. Добавьте |
| Подрядчики вне процесса | Дыра. Тот же минимум до VPN |
Где это в модели зрелости
Материал относится к направлению «Культура кибербезопасности» (хаб: культура, карта: карта зрелости). Программа без входа в первый день оставляет новых людей вне правил до ближайшей лекции. Метрика охвата питается датой из этого процесса, не из «разослали PDF».
Как проверить
- У последних пяти принятых есть дата ознакомления не позже выдачи продуктивной учётки.
- В заявке на доступ есть поле или вложение «ознакомлен, дата, версия».
- Пакет ссылается на действующие памятку, политику и канал, не на устаревший файл в шаре.
- Подрядчик с доступом есть в том же журнале или явно исключён решением.
- Кадры и ИТ называют один и тот же порог «без подписи нет почты клиентов».
Источники
- CIS Controls v8.1, контроль 14: cisecurity.org/controls.
