Смена пароля каждые три месяца

А насколько эта мера необходима? ИМХО, лучше минимальную длину ограничить 8 символами и установить требование к используемым символам. У нас требование менять каждые 30 дней, как результат - все ставят пароли простые, чтобы проще было запомнить/набрать.

СЭД нету к сожалению, внедрение данной системы было пилотным, и к моему сожалению многие сотрудники забили на нее, предпочитая привычный им старый способ работы.
Документов нормативных хватает, сочиняют все кому не лень.
Вход снаружи тоже есть, используем OpenVPN.

В общем все ясно, спасибо.

Интранет для документооборота вестимо! БД, прохождение документов, кто за кем над чем работает. Если он есть, конечно, не знаю что в такой маленькой фирме нужно. Обновление нормативных документов. Корпоративные объявления. Обмен сообщениями. Вход снаружи по статическому IP, для удобства можно ссылкой со страницы в интернете. Желательно, конечно, помимо пароля только с фиксированных IP, но в целом не обязательно. Хотя ещё раз - всё это может и не нужно, смотрите сами.

Сотрудники разные:
- юристы
- маркетологи
- финансисты
- проект менеджеры
- офис менеджеры
- HR в кол-ве двух человек.

Так и не понял на счет создания собственного Интранета с доступом в Интернет.
У нас был Интранет сайт на котором была разная информация о компании, а также разные полезные документы типа заявок и т.д.
Но сейчас я его стер, так как сотрудники им не пользуются.

Корпоративный почтовый сервер не давно перенесли на американский хостинг ipage.com.
В живых только остался сервер 1С и прокси на Squid + TP free.

В общем обычная среднестатистическая компания с амбициозными планами.

На вскидку: запрещать все мессенджеры бессмысленно. Во-первых, тот же Маил есть на странице почты в веб-режиме, во-вторых, какой-то должен быть корпоративным стандартом, например Скайп (или по выбору), что крайне полезно если есть вероятность удалённой работы (в т. ч. например заболел ответственный специалист). Тут уж надо смотреть по трафику. Иногда мессенджеры даже полезны: в одной фирме горе-специалистка задрала весь отдел интригами и стукачеством. Умелые сотрудники ломанули её аську и предоставили лог руководству. Выяснилось, что уровень её квалификации ниже нуля, а все успешные действия за неё делал любовник, реальный спец, по аське.

Соцсети закрывать однозначно. Почтовый сервер - ну смотрите сами. Безопаснее конечно свой, но только если обеспечите 100% бесперебойную работу. В противном случае придётся пользоваться публичным, но тут вопрос в уровне защищаемой информации. Гостайну Гмайлу я бы не доверил, а какие-то рабочие материалы, которые не интересны никому за пределами фирмы - вполне.

То же самое с внешними носителями: уровень конфиденциальности информации. Знаю частную лавочку, где тупо закрыты все USB-накопители и CD/DVD на запись, и знаю казённую контору, где внутренними правилами запрещена передача информации кому бы то ни было вне работы, да и сама информация зачастую на втором, а то и третьем допуске секретности и никто не мешает брать её на дом на флэшке и никаких проблем не возникает. Так что тут надо думать не о технических средствах, а о разумности политики. Собственно, хорошим средством от многих проблем является корпоративный интранет с защищённым доступом по интернету. Но это уже нехилая задача для сисадмина.

В общем, мало данных о фирме для серьёзных советов.

Пока вижу следующие запреты:
-    Запрет ICQ и Mail агент

Кхем... Рациональное использование рабочего времени - это хорошо.

Но вот запрещать людям общаться - это производительность труда ухудшает (как ни странно). Если запретите им общаться по электронной связи, они будут выходить "покурить", "попудрить носик" и так далее. Это ещё больше времени отнимет, чем удобное общение по IM-сервису. Кто не работал из-за ICQ и Mail агент, тот обычно и без них не будет работать.

Если есть возможность, стоило бы сделать внутренний Jabber и транспорт (список транспортов здесь: http://jabberworld.info/Категория:Списк … ранспортов). Если что не так - перекроете транспорт, и пользователи будут общаться только внутри сети.

(А ещё лучше - сначала отключить всё, а потом, через недельку, объявить: я уговорил начальство разрешить хотя бы транспорт. Но я этого не писал, а Вы этого не читали    .)

Настройка  компьютера
-      Смена пароля каждые три месяца
-      Убрать элементы запускающие командный процессор cmd.exe
-      Убрать элементы меню настройки компьютера.
-      Тип учетной записи: Обычный Пользователь

Вряд ли кто-то сам начнет для вас эти правила сочинять. Это не зазнайство или высокомерие... просто никто не будет выполнять за вас вашу работу. Вы задавайте конкретные вопросы и вам будут отвечать.

Снобизм? Вопросы, заданные ТС, адекватны, я не увидел в вопросе никакого "сделайте за меня".

Помогите пожалуйста в составлении приложений к основному документу по информационной безопасности.
На данный момент создан документ описывающий основные положения политики безопасности, теперь осталось дополнить документ приложениями в которых будут описываться запрещающие правила. Например запрет использования сайтов таких как соц. сети, запрет на использование месенджеров Mail agent и ICQ.

Конечно я могу и сам это все сделать на коленке, но как говорится нужно знать мнение других уважаемых Гуру, которые эти политики делали в мохнатые года.