20 Следует определить и внедрить соответствующий набор процедур для маркировки информации при её обработке, в соответствии с системой классификации, принятой организацией. Процедуры маркировки должны относиться к информационным активам, представленным как в физической, так и в электронной форме. При осуществлении вывода данных из систем следует использовать соответствующий гриф секретности или другой гриф согласно законодательству. В маркировке следует отражать уровень классификации. Следует маркировать напечатанные отчеты, экранные формы, носители информации (ленты, диски, компактдиски, кассеты), электронные сообщения и передаваемые файлы. Для каждого уровня классификации следует определить порядок обращения, включая безопасную обработку, хранение, передачу, деклассификацию и уничтожение. Также следует включить процедуры «цепочки поставок» и фиксировать в журнале любые события, относящиеся к безопасности. В соглашения с другими организациями, предусматривающие совместное использование информации, следует включать порядок установления классификации данной информации и интерпретации меток классификации другой организации. Маркировка и безопасное обращение с классифицированной информацией являются основным требованием к соглашениям по совместному использованию информации. Обычной формой маркировки являются физические метки. Однако некоторые информационные активы, такие, как документы в электронном виде, не могут быть маркированы физически, поэтому необходимо использовать электронные средства, например, уведомляющие метки, которые могут появляться на экранах или дисплеях. В случае нецелесообразности использования маркировки, могут быть применены другие средства назначения уровня классификации информации. В целях обеспечения надлежащий защиты информационных ресурсов, в организации должен вестись учет всех информационных ресурсов. Для этого все ресурсы должны быть идентифицированы и сформированы, а также должен поддерживаться в актуальном состоянии Реестр информационных ресурсов автоматизированных систем организации (далее – Реестр), пример заполнения которого, приведен в приложении №2к настоящему Методическому пособию. Реестр должен включать в себя всю информацию, необходимую для восстановления после катастрофы, включая тип ресурса, его формат, размещение, информацию о резервных копиях и категориях. Этот Реестр не должен без необходимости дублировать другие реестры, но при этом должна быть обеспечена согласованность их содержимого. Для этого, после регистрации ресурса в канцелярии, присвоенный номер списывается на Реестр автоматизированной системы, в котором размещается ресурс. Реестр представляет собой документ (на бумажном или электронном носителе), который регистрируется в канцелярии организации и содержит все информационные ресурсы организации, подлежащие защите. По решению руководителя организации, Реестр может вестись для всей организации, либо для его структурной единицы. Для всех информационных ресурсов должны быть назначены их владельцы, на которых возлагается ответственность за обеспечение безопасности этих ресурсов. Владелец ресурса несет ответственность за обеспечение правильной категоризации ресурса, определение и периодического пересмотра категорий и прав доступа к этому ресурсу. В случае необходимости, владельцы ресурсов могут делегировать ответственность за реализацию и сопровождение механизмов контроля другому персоналу организации, однако ответственность за обеспечение надлежащей защиты ресурса при этом остается за его владельцем.