А у нас только иб создалось. Завод молодой

Так что все будет и у нас

Вообще все должно начинаться со стратегии, а сейчас как раз у вас хороший момент для этого. Политику вы будите писать в рамках какой-то стратегии. Т.е. условно вы вибираете пул показателей и оставите себе их ввиде цели. Далее вы разработает политику это то как вы это делать будете. А дольше уже ОРД , т.е. как именно делать , реализовываться будет на местах, уровень детализации чем меньше тем лучшее, в пределах разумного. Но без политики нормально ОРД сделать нельзя т.к не понятно что именно вы будете организовывать. А без стратегии вам не удастся сделать политику, т.е. возможно вы и сделать ее сможете , но оценить ее эффективность вы не сможете. Т.к. стратегии пишутся к привязки к показателям и целям, которые должны быть достигнуты, а вот политику обычно уже включают цели как константы. Из этого получается часто что в политику прописывают цели которые совсем не нужны , забывая о нужных.

если в начале текста приравнять политику к тактике, то гораздо более  читаемо и понятно выйдет

А с каких пор чеки к санкциям присоединились?

Мне почему-то кажется, что если ВНУТРИ (!, а не на границе) техноЛВС будет работать простейший фв на базе IP ACL, где по принципу белого списка все легитимное разрешено, а остальное закрыто (да, может быть не просто все предусмотреть, но более чем реально, включая вспомогательные вещи, синхронизацию времени, тестовые пинги мониторинга и админа за инж. станецией, удаленный сислог и т.д.), то до срабатывания сетевой IDS дело не дойдет, а если и дойдет когда-то, то это будет что-то из ряда вон, действительно результат сложной, многоступенчайтой супер-пупер подготовленной проф. атаки. На офисе проверено, отлично помогает.

Летом проблемы начались... но может как всегда есть двойные стандарты

Если перейти на военную термиинологию то можно попытаться, но есть опять один тонкий момент, что тактика это временное представление процесса, а политику в которых приписанны  сроки я не наблюдал.

Ну просточтоб понятийно разбить группы документов на два уровня: стратегический и тактический, и отдельно к ним предьявлять требования. Для коллег еще бы пояснить можно какие документы к каким уровням относятся

По описанию похоже на sdn который тут обсуждали выше.

Исследователи безопасности mdm и rgod из 9SG Security Team обнаружили в ПО Eurotherm от Schneider Electric GUIcon три опасные уязвимости. Успешная эксплуатация уязвимостей может привести к выполнению кода в контексте приложения.    
В Eurotherm от Schneider Electric GUIcon исправлены три опасные уязвимости

Ну если только оооочень отдаленно.  Обычные аксесс-листы. На всех уровнях работают при этом классические механизмы маршрутизации по мак-ам, более известная как коммутация :) и ип маршрутизация. Просто ограничиваем трафик на л2 и л3 интерфейсах.

В SDN же доставка сетевых пакетов, базовая, работает совсем по-другому. Да, наверное на базе этого можно получить такой же конечный вариант, только хоть SDN-у уже сколько то времени, на мое имхо это сырая шняга, к ней у телекомщика масса вопросов

Я в общем про zone base policy ещё подумал как способе реализации.

Там документы будут разные все зависит от того что за объект -стратегия; -политика (стратегические документы);  тактические условно отнести можно: приказы о создании коммисии если КИИ, о назначении админов ИБ и ответственнвых , приказ о вводе СЗИ в эксплутацию, план по модернизации на год; план проведения контроля; положении о порядке хранения и уничтожения носителей; Инструкция админа ИБ; Инструкция пользователя; Инструкция по парольной, по антивирусной защите, по работе с носителями; перечень пользователей допущенных к информации и перечень обрабатываемой информации + техпроект это то что приходит в голову сразу, возможно еще нужно что но это все точно нужно

Да конечно нужно МУ, ТЗ а уже после внедрения все документы по испытаниям ПМ опытной,  ПМ приемочных, протоколы и акты

Вообще тему можно расскрыть, если тема интересна

Тему гост 34?

И в том числе, но это скорее , лучшее прочесть самому, гост слишком сжатый документ , короче уже не изложить)

В работе использую, на мой взгляд полный цикл часто необоснован, но ничего не поделаешь уже.