8.3. Политика информационной безопасности [3]

Политика информационной безопасности представляет собой документ, на основе которого строится комплексная система обеспечения безопасности информации корпорации. Политика безопасности строится в соответствии со спецификой корпорации и законодательной базой государства.

Формирование политики информационной безопасности включает в себя этапы:

1. Анализ рисков. При анализе рисков выполняются следующие мероприятия: инвентаризация, классификация, выявление угроз, оценка рисков.

Инвентаризация проводится для определения объема необходимой защиты, и в интересах контроля защищенности. Инвентаризации подлежат:

• ресурсы данных: накопители файлов, базы данных, документация: учебные пособия, инструкции и описания по работе с элементами ИС, документы служебного и производственного уровня и т.д.;

• программные ресурсы: системное и прикладное программное обеспечение, утилиты и т.д.;

• материально-техническая база, обеспечивающая информационные ресурсы (вычислительное и коммуникационное оборудование, носители данных (ленты и диски), другое техническое оборудование (блоки питания, кондиционеры), мебель, помещения и т. п).

• коммунальное и хозяйственное обеспечение: отопление, освещение, энергоснабжение, кондиционирование воздуха;

• человеческие ресурсы (наличие необходимых специалистов, уровень их профессионализма, психологические качества, связи в коммерческом мире и т.д.).

Классификация информационных ресурсов производится с целью определения их ценности. В качестве основной переменной, например, можно выбрать степень конфиденциальности информации со следующими значениями:

• информация, содержащая государственную тайну - 3;

• информация, содержащую коммерческую тайну - 2;

• конфиденциальная информация (информация, не представляющая собой коммерческой или государственной тайны, хотя огласка ее нежелательна)-1;

• свободная (открытая) информация - 0.

Другими переменными могут быть выбраны отношение того или иного ресурса к нарушениям основных трех аспектов информационной безопасности (конфиденциальности, целостности, доступности). При этом вводится n-бальная система оценки.

Выявление угроз. Определяются носители, потенциальные источники утечки информации, вероятности реализации разных видов угроз на основе анализа статистического материала. Так, например:

• уничтожение всей информации в результате пожара (стихийного бедствия) может быть 1 раз в 40 лет;

• несанкционированное чтение или копирование сотрудником закрытых сведений (активная угроза) может быть 1 раз в 4 года;

• искажение информации в файле памяти ЭВМ из-за сбоя в аппаратуре или системных программах (пассивная угроза) может быть 1 раз в 10 дней.

Оценка рисков. Для каждого из информационных ресурсов определяется его интегральная ценность и возможные угрозы. Каждая из угроз оценивается с точки зрения её применимости к данному ресурсу, вероятности возникновения и возможного ущерба.

2. Определение стратегии защиты осуществляется по следующим направлениям:

предотвращение (предупреждение) ущерба (например, авторизация персонала на доступ к информации и технологии);

обнаружение угроз - обеспечение раннего обнаружения преступлений и злоупотреблений, даже если механизмы защиты были обойдены;

минимизация размера потерь, если преступление все-таки произошло, несмотря на меры по его предотвращению и обнаружению;

восстановление - обеспечение эффективного восстановления информации в случае ее потери.

3. Составление документов политики информационной безопасности.

Специалисты рекомендует включать в состав документа, характеризующего политику безопасности организации, следующие разделы:

• введение, где определяется отношение высшего руководства к проблемам информационной безопасности корпорации;

• организационный раздел, содержащий описание подразделений, комиссий, групп и т.д., отвечающих за работы в области информационной безопасности, планы и график работы;

• классификационный, описывающий имеющиеся в организации материальные и информационные ресурсы и необходимый уровень их защиты;

• штатный, характеризующий меры безопасности, применяемые к персоналу (описание должностей с точки зрения информационной безопасности, организация обучения и переподготовки персонала, порядок реагирования на нарушения режима безопасности и т.п.);

• раздел физической защиты;

• раздел управления информацией, описывающий подход к управлению компьютерами и компьютерными сетями;

• раздел правил разграничения доступа к производственной информации;

• раздел, характеризующий порядок разработки и сопровождения систем;

• раздел, описывающий меры, направленные на обеспечение непрерывной работы организации;

• юридический раздел, подтверждающий соответствие политики безопасности действующему законодательству.

4. Разработка программы реализации политики информационной безопасности.

На этом этапе выделяются ресурсы, назначаются ответственные, формируется план действий, определяется порядок контроля выполнения программы и т.п.

Таким образом, политика информационной безопасности корпорации представляет собой основной документ, на основе которого строится система обеспечения безопасности информации и который доводится до всех сотрудников.