36. Способы и стадии планирования.

Планирование предполагает постановку и выбор путей выполнения целей и структурирование времени (и других ресурсов). Подфункции планирования: 1. Прогнозирование; 2. Моделирование 3. Программирование.

Виды планов по временным интервалам: 1. Долгосрочные (3-5 лет и более); 2. Среднесрочные (1-3 года); 3. Текущее (1 неделя – 3 мес.).

В качестве конечных точек планирования выступают цели. Цели должны быть: 1. реальными и достижимыми; 2. детализированными с точки зрения комплекса и содержания работа подразделений, обеспечивающих их реализацию; 3. измеримыми; 4. однозначными для понимания (четкими).

Цели задаются также с учетом объема работ и сроков их выполнения, с учетом имеющихся ресурсов и возможностей исполнителей. Виды планирования: Традиционное (календарно-плановое), Деловое, Сетевое.

Стадии планирования: 1. Определение и обоснование целей организации системы ЗИ 2. Формирование перечня задач, которые достигнут поставленных целей 3. Анализ условий для достижения целей планирования 4. Поиск значимых причин, факторов и тенденций во внутренней и внешней среде защищаемого объекта 5. Определение реальных и потенциальных угроз безопасности 6. Анализ ресурсов, которые нужны для обеспечения решения поставленных задач 7. Формирование и выбор стратегических альтернатив организации системы защиты 8. Анализ преимуществ и недостатков 9. Согласование ресурсов, выделяемых для решения задач 10. Определение приоритетов и последовательности решения плановых задач и организации их исполнения 11. Определение эффективных методов решения задач и использования ресурсов 12. Определение видов и способов контроля выполнения плановых задач 13. Документальное и организационное оформление плана.

37. Структура и общее содержание планов организации и функционирования ксзи.

План – это детализация выбранного решения. План организации и функционирования КСЗИ – это детализация выбранного решения в области построения и функционирования КСЗИ.

Данный план может быть разбит в рамках различных подсистем или в рамках структурных подразделений. Для каждой подсистемы создаётся план в общем виде. Детализированный план находится непосредственно у руководителя службы безопасности. Каждый сотрудник может детализировать общий план лично для себя в рамках подсистемы, или структурного подразделения.

Структура и общее содержание. План должен включать: 1. На какую подсистему направлен данный план; 2. Поставленное решение, которое должно быть реализовано в рамках подсистемы; 3. Какими силами и ресурсами должно быть реализовано решение; 4. В какие сроки должен быть выполнен данный план.

Так же план должен содержать: 1. Правовые меры; 2. Организационные меры; 3. Технические меры: выбранные в рамках реализации поставленного решения.

38. Методы сбора, обработки и изучения информации для планирования ксзи.

План– это оценка обстановки и принятие решения, т.е. всё то что нужно сделать для того, чтобы собрать информацию и принять решение.

Для планирования КСЗИ в первую очередь необходима информация о текущей обстановки в области обеспечения ИБ. (Какие существуют угрозы, какие из них наиболее актуальны в данный момент, от какого они могут исходить и т.д.).

Выделяют следующие основные методы сбора информации: 1. Опросы (создаются специальные опросники, с определённым перечнем вопросов помогающих оценить текущую обстановку состояния ИБ). Опросники могут быть обработаны в ручную или специальным автоматизированным способом (сканирование и распознавание). Предназначены для изучения специалистами службы безопасности. 2. Аудит. Данные о проведённом аудите оформляются специальными документами. Часть из этих документов предназначены для изучения руководством, так же вся отчётная документация должна быть проанализирована специалистами службы безопасности. 3. Анализ действующей (существующей) системы управления ИБ. Составляется отчёт о контроле работы системы ИБ. Отчёт предназначен для изучения специалистами службы безопасности.

39. Организация выполнения планов по КСЗИ.

Уже сформированный план должен выполняться следующем образом:

1. Должна быть поставлена задача по выполнению плана;

2. Определенны ресурсы и необходимые силы для выполнения задачи;

3. Необходимо проводить постоянный контроль выполнения плана;

4. Отслеживать изменения и процесс выполнения плана;

5. Необходимо постоянно поддерживать (оказывать всяческую помощь) выполнение данного плана.

Календарно-плановое руководство можно охарактеризовать как функцию слежения за ходом выполнения плана. План подразумевает план работ по времени, ресурсам, исполнителям.

В качестве основного управляющего процесса выступает процесс регулирования, т.е. устранение отклонений от плана.

Процесс регулирования тесно связан с другим важным процессом – координацией. Координацией добиваются согласованности действий во времени и пространстве органов управления и руководителей различных уровней, а также между системой управления и внешней средой.

Функция календарно-планового руководства должна обеспечивать непрерывность процесса управления и взаимосвязь остальных функций.

Вопрос регулирования может быть решен 3 способами:

• система скачком восстанавливает заданное состояние за кратчайшее время, близкое к нулю (возможно, если система обладает практически неограниченными возможностями, в реальной жизни не встречается);

• активное вмешательство в состояние функционирующей системы, которое может быть связано с реорганизацией её структуры, перераспределением средств и использованием других инструментов;

• постепенное медленное выравнивание и достижение необходимого уровня с большим отставанием от времени.

Задачи календарно-планового руководства:

• формирование и поддержание условий для выполнения плановых заданий;

• слежение и анализ хода выполнения плана;

• анализ и оценка изменений в условиях и ходе выполнения плана;

• выработка вариантов корректирующих воздействия;

• разработка, документальное и организационного оформление принятых корректирующих мер.

Алгоритм: сбор информации о ходе выполнения плана и условиях функция системы -> анализ хода выполнения плана и функция системы –> оценка влияния изменений в условиях функция на ход выполнения плана -> оценка необходимости корректировки плана -> корректировка плана -> принятие соответствующих решений и их документальное оформление -> доведение принятых по корректировке решений до исполнителя.

40. Понятие и виды контроля функционирования КСЗИ.

Контроль является одним из важнейших и необходи­мых направлений работ по ЗИ. Цель контроля выявить слабые места системы, допущенные ошибки, своевремен­но исправить их и не допустить повторения.

Процесс контроля включает три стадии:

1. Установление фактического состояния СЗИ;

2. Анализ сравнения фактического положения с заданным режимом, обстановкой и оценка характера допущенных отклонений и недоработок;

3. Разработка мероприятий по улучшению и корректировке процесса управления и принятия мер по их реализации.

При принятии управленческого решения контроль выступает как источник информации, использование которого позволяет судить о содержании управленческой работы, ее качестве, результативности. Отказаться от контроля нельзя, так как это будет означать утрату информации и, следовательно, потерю управления. Контроль не является самоцелью и нужен для того, чтобы качественно обеспечить выполнение принятых решений.

Основными задачами контроля являются:

1. Определение обоснованности и практической целесообразности проводимых мероприятий по ЗИ;

2. Выявление фактического состояния СЗИ в данныйпериод времени;

3. Установление причин и обстоятельств отклоненийпоказателей качества, характеризующих СЗИ, от заданных;

4. Изучение деловых качеств и уровня профессиональной подготовки лиц, осуществляющих ЗИ.

Меры контроля представляют собой совокупность организационных и технических мероприятий, проводимых с целью проверки выполнения установленных требований и норм по ЗИ. Организационные меры контроля включают:

1. Проверку выполнения сотрудниками требований по обеспечению сохранности КТ.

2. Проверку выполнения пропускного режима (проверка наличия постоянных пропусков у сотрудников предприятия, проверка работы охранника);

3. Проверку выполнения сотрудниками правил работы с конфиденциальными документами (правила хранения, размножения и копирования);

4. Проверку наличия защищаемых носителей конфиденциальной информации.

При этом могут применяться следующие виды контроля:

• предварительный;

• текущий;

• заключительный.

Предварительный контроль обычно реализуется в форме определенной политики, процедур и правил. Прежде всего, он применяется по отношению к трудовым, материальным и финансовым ресурсам. Предварительный контроль осуществляется при любых изменениях состава, структуры и алгоритма функционирования СЗИ, т. е. при установке нового технического устройства, при приеме нового сотрудника, при проведении ремонтных работ.

Текущий контроль осуществляется, когда работа уже идет и обычно производится в виде контроля работы подчиненного его непосредственным начальником.

Заключительный контроль осуществляется после того, как работа закончена или истекло отведенное для нее время.

Также с целью обеспечения систематического наблюдения за уровнем защиты может осуществляться периодический контроль. Периодический контроль (ежедневный) проводится сотрудниками предприятия в части проверки наличия носителей информации, с которыми они работают. Периодический контроль может быть:

• гласным;

• негласным.

Гласный периодический контроль эффективности ЗИ проводится выборочно (применительно к отдельным структурным подразделениям или отдельным работам) или на всем предприятии по планам, утвержденным руководством.

Негласный контроль осуществляется с целью объективной оценки уровня ЗИ и, прежде всего, выявления слабых мест в СЗИ. Кроме того, такой контроль оказывает психологическое воздействие на сотрудников, вынуждая их более тщательно выполнять требования по обеспечению ЗИ. Добросовестное и постоянное выполнение сотрудниками требований по ЗИ основывается на рациональном сочетании способов побуждения и принуждения.

Принуждение – способ, при котором сотрудники вынуждены соблюдать правила обращения с носителями конфиденциальной информации под угрозой материальной, административной или уголовной ответственности.

Побуждение предусматривает использование для создания у сотрудников установки на осознанное выполнение требований по ЗИ моральных, этических, психологических и других нравственных мотивов. Поэтому на эффективность защиты влияет климат на предприятии, который формируется его руководством.

Виды контроля:

Цель внутреннего контроля – информационная прозрачность КСЗИ для возможности принятия эффективных решений;

Этапы контроля:

1. установление контролируемых норм;

2. измерение соответствия фактического состояния параметров и сравнения их с нормами;

3. коррекция отклонений.

Сам процесс контроля может иметь 3 стадии:

1. предварительную,

2. текущую,

3. заключительную.

Стадия предварительного контроля осуществляется до фактического начала работ;

Текущий контроль осуществляется непосредственно в ходе проводимых работ. Чаще всего объектами текущего контроля становятся исполнители, а субъектом – непосредственный начальник. Текущий контроль предполагает регулярную проверку работы подчиненных, обсуждение возникающих проблем и предложений по совершенствованию;

Заключительный контроль – самый отработанный на практике этап. Предполагает анализ ошибок и наказание виновных. Этот этап, во-первых, даёт руководству информацию, необходимую для планирования в случае, если аналогичные работы предполагается проводить в будущем, а во-вторых, способствует мотивации и повышению ответственности.

При контроле функционирования КСЗИ должны осуществляться следующие мероприятия:

1. анализ и оценка фактического состояния;

2. выявление недостатков, нарушений, несоответствия требованиям, что может привести к негативным последствиям для нормального функционирования;

3. выявление причин установленных отклонений;

4. выработка предложений, направленных на устранение недостатков и предотвращение нарушений.

Контроль считается эффективным, если он:

• своевременный;

• объективный;

• соответствует характеру контролируемого процесса.

Виды контроля могут определяться, исходя из временных рамок, скорости изменений контролируемых процессов, затрат на проведение измерений и обработку полученных результатов.

Уровень автоматизации контроля:

• неавтоматизированный

• частично автоматизированный

• полностью автоматизированный

Иерархичность объектов контроля:

• контроль системы в целом

• контроль подсистем СЗИ

• контроль отдельных элементов

Последовательность реализации контрольных операций:

• последовательный

• параллельный

• смешанный

Функциональная направленность:

• организационно-правовой

• технический

• ресурсный (кадровый, информационный)

Способ взаимодействия работников, осуществляющих контроль:

• односторонний (принудительный)

• взаимный (двух или многосторонний)

Вид получаемой информации:

• первичный

• сводный

Характер контрольный мероприятий:

• плановый

• внезапный

Периодичность проведения:

• систематический

• периодический

• эпизодический (внезапный)

Полнота охвата объектов:

• локальный

• сквозной

• глобальный

41. Цель и методы и особенности проведения контрольных мероприятий в КСЗИ.

Цель внутреннего контроля – информационная прозрачность КСЗИ для возможности принятия эффективных решений;

Этапы контроля:

4. установление контролируемых норм;

5. измерение соответствия фактического состояния параметров и сравнения их с нормами;

6. коррекция отклонений.

Сам процесс контроля может иметь 3 стадии:

4. предварительную,

5. текущую,

6. заключительную.

Стадия предварительного контроля осуществляется до фактического начала работ;

Текущий контроль осуществляется непосредственно в ходе проводимых работ. Чаще всего объектами текущего контроля становятся исполнители, а субъектом – непосредственный начальник. Текущий контроль предполагает регулярную проверку работы подчиненных, обсуждение возникающих проблем и предложений по совершенствованию;

Заключительный контроль – самый отработанный на практике этап. Предполагает анализ ошибок и наказание виновных. Этот этап, во-первых, даёт руководству информацию, необходимую для планирования в случае, если аналогичные работы предполагается проводить в будущем, а во-вторых, способствует мотивации и повышению ответственности.

Неотъемлемой частью управленческого контроля является аудит.

Определение аудита безопасности – системный процесс получения объективных качественных и количественных оценок о текущем состоянии безопасности фирмы, в соответствии с определенными критериями и показателями безопасности.

Результаты аудита позволяют строить оптимальную по эффективности затрат систему безопасности фирмы, адекватную поставленным задачам по безопасности (целям бизнеса, целям производства).

Основными видами аудита безопасности рассматриваются внутренний и внешний аудит.

Внутренний аудит – регламентированная внутренними документами система контроля за соблюдением установленного порядка обеспечения безопасности.

Функции внутреннего аудита выполняют:

• Специальные службы, в том числе служба безопасности;

• Отдельные аудиторы, имеющиеся в штате;

• Внешние аудиторы (комиссии), привлекаемые для целей внутреннего аудита.

Внешний аудит осуществляется внешними независимыми аудиторами (фирмами), которые в соответствие с законодательством на основе заказов (договоров) с проверяемыми организациями осуществляют аудиторскую проверку.

По масштабам выделяют следующие виды аудитов:

1. Аудит безопасности всей фирмы в комплексе (комплексный аудит);

2. Аудит безопасности отдельных объектов безопасности (здания, выделенные помещения и т.д.);

3. Аудит безопасности оборудования и технических средств;

4. Аудит безопасности отдельных видов и направлений деятельности предприятий (информационный, экономический, финансовый аудит и т.д.).

Целями проведения аудита безопасности являются:

1. Анализ рисков, исходящих от информационных и других видов угроз;

2. Оценка текущего уровня защищенности объекта;

3. Локализация узких мест (уязвимостей) в системе защиты (безопасности);

4. Оценка соответствия объектов защиты существующим стандартам по безопасности;

5. Выработка рекомендаций по внедрению новых и повышению эффективности существующих механизмов по безопасности.

Особенности проведения аудита безопасности:

Типовые методы (приемы) проведения аудита безопасности:

1. Инвентаризация;

2. Лабораторный анализ;

3. Экспертная оценка;

4. Очный опрос;

5. Чтение (ознакомление) разработанных документов по безопасности;

6. Счетная проверка;

7. Сопоставление (сверка) документов по безопасности;

8. Письменный запрос;

9. Экономический анализ;

10. Измерение различных информационных полей и каналов утечки защищаемой информации;

11. и другие методы и приемы.

Основные типовые мероприятия, проводимые в ходе аудита:

1. Планирование аудита (определение сроков, стратегии, тактики аудита);

2. Получение аудиторских доказательств (непосредственная проверка);

3. Использование работы других лиц и контакты с руководителями проверяемого объекта, а также и с третьими сторонами, участвующих в контролируемом процессе;

4. Документирование результатов аудита;

5. Обобщение результатов проверки, формирование выводов о реальном состоянии;

6. Дача рекомендаций о целесообразных мерах по устранению скрытых недостатков.

Особенности проведения внутренних аудитов:

Для проведения внутренних аудитов создается специальная комиссия решением руководителя предприятия, совместно со службой безопасности из числа наиболее квалифицированных сотрудников. Допускается привлечение отдельных сторонних специалистов. Результаты работы комиссии по аудиту оформляются в форме «Справка аудиторской проверки».

В «Справке аудиторской проверки» должны быть представлены:

1. Объекты проверки;

2. Выявленные нарушения и недостатки;

3. Перечень рекомендаций по устранению недостатков

На этапе инициирования (подготовки) аудита определяются границы проведения обследования, которые определяются в следующих категориях:

1. Список обследуемых, физических, программных и информационных ресурсов;

2. Площадки (помещения), попадающие в границы обследования;

3. Основные виды угроз безопасности, рассматриваемые при проведении аудита;

4. Организационные (законодательные, административные, процедурные), физические, программно-технические и прочие аспекты обеспечения безопасности, которые подлежат проверке и их приоритеты.

Суть контроля – своевременный сбор информации об отклонениях, превышающих допустимый предел, оценка степени их влияния на различные аспекты функционирования объекта, выявление их причин.

Контроль является одним из важнейших и необходимых направлений работ по ЗИ. Цель контроля выявить слабые места системы, допущенные ошибки, своевременно исправить их и не допустить повторения.

Этапы контроля: 1. установление контролируемых норм; 2. измерение соответствия фактического состояния параметров и сравнения их с нормами; 3. коррекция отклонений.

Нормы могут выражаться в денежных, временных и других единицах, поддающихся измерению (%, квоты и т.д.);

Сам процесс контроля может иметь 3 стадии: предварительную, текущую и заключительную.

Предварительный – реализуется в форме определенных процедур. Применяется по отношению к трудовым, материальным и финансовым ресурсам. Предварительный контроль осуществляется при любых изменениях состава, структуры и алгоритма функционирования СЗИ, т.е. при установке нового технического устройства, при приеме нового сотрудникам, при проведении ремонтных работ.

Текущий контроль осуществляется, когда работа уже идет и обычно производится в виде контроля работы подчиненного, его непосредственным начальником.

Заключительный контроль осуществляется после того, как работа закончена или истекло отведенное для нее время.

Также существует периодический контроль, который проводится сотрудниками предприятия в части проверки наличия носителей информации, с которыми они работают.

При контроле функционирования КСЗИ должны осуществляться следующие мероприятия: 1. анализ и оценка фактического состояния; 2. выявление недостатков, нарушений, несоответствия требованиям, что может привести к негативным последствиям для нормального функционирования; 3. выявление причин установленных отклонений; 4. выработка предложений, направленных на устранение недостатков и предотвращение нарушений.

Контроль считается эффективным, если он: 1. своевременный; 2. объективный; 3. соответствует характеру контролируемого процесса.

Виды контроля могут определяться, исходя из временных рамок, скорости изменений контролируемых процессов, затрат на проведение измерений и обработку полученных результатов.

Уровень автоматизации контроля: 1. Неавтоматизированный 2. частично автоматизированный 3. полностью автоматизированный

Иерархичность объектов контроля: 1. контроль системы в целом 2. контроль подсистем СЗИ 3. контроль отдельных элементов

Последовательность реализации контрольных операций: 1. Последовательный 2. Параллельный 3. смешанный

Функциональная направленность: 1. организационно-правовой 2. Технический 3. ресурсный (кадровый, информационный)

Способ взаимодействия работников, осуществляющих контроль: 1. односторонний (принудительный) 2. взаимный (двух или многосторонний)

Вид получаемой информации: 1. Первичный 2. сводный

Характер контрольный мероприятий: 1. Плановый 2. внезапный

Периодичность проведения: 1. Систематический 2. Периодический 3. эпизодический (внезапный)

Полнота охвата объектов: 1. Локальный 2. Сквозной 3. глобальный

42. Анализ и использование результатов проведения контрольных мероприятий в КСЗИ.

в результате проверки выявляются уязвимые места и необходимо их нейтрализовать,

43. Технология принятия решений по комплексной ЗИ в условиях чрезвычайной ситуации.

Основные особенности функционирования систем управления в условиях ЧС состоят в том, что проблема (чрезвычайная ситуация) возникает неожиданно, внезапно; возникая она ставит перед системой управления задачи, не соответствующие стационарному режиму работы организации и ее прошлому опыту. Контрмеры должны быть приняты срочно, однако обычный порядок не позволяет этого сделать по ряду причин: А

— существующие планы работы не соответствуют но­вой ситуации;

— возникают новые задачи;

— информация, которую следует изучить и проанали­зировать, поступает мощным потоком.

В этих условиях может возникнуть опасность всеоб­щей паники. Руководители нижнего уровня, оказавшись в неожиданной ситуации, не имея указаний сверху и общей картины ситуации, могут поддаться этой панике и непроду­манными решениями способствовать неразберихе. К тому же следует отметить, что многие руководители не могут изменить стиль своего мышления и деятельности в усло­виях скачкообразных, неожиданных изменений ситуации. Поэтому инициатива снизу, часто повышающая в обычных условиях эффективность принимаемых решений, в услови­ях ЧС теряет свою действенность и может оказаться небе­зопасной.

Функциональная структура системы управления по предупреждению ЧС и действиям в ЧС должна охватывать весь круг проблем, касающихся ЧС, включая этапы их про­гнозирования, предупреждения и подготовки к функцио­нированию в условиях ЧС. а также ликвидации ее последс­твий.

Таким образом, система управления ЧС должна функ­ционировать в следующих четырех режимах:

— режим повседневной деятельности;

• режим повышенной готовности (активная подготов­ка и осуществление превентивных мероприятий);

• чрезвычайный режим (действия в чрезвычайных си­туациях);

• пост чрезвычайный режим (ликвидация долговре­менных последствий ЧС).

Первый режим характеризуется отсутствием информа­ции о явных признаках угрозы возникновения ЧС.

Задача системы управления ЧС в стационарных усло­виях (повседневных) состоят в противоаварийном упреж­дающем планировании, основными целями которого явля­ются сбор информации для прогнозирования возможного развития ЧС и контроля ее последствий, ресурсов, необхо­димых для их ликвидации, разработка специальных про­гнозов, которые позволяют эффективно реагировать на ожидаемые проблемы, паспортизация и категоризация ор­ганизаций, цехов, технологий и т. д. В данном режиме оп­ределяются и создаются нормативные, законодательные и экономические механизмы, направленные на минимиза­цию риска и ущерба от ЧС.

Эффективные подсистемы противоаварийного упреж­дающего планирования должны не только прогнозировать возникновение ЧС, но и предусматривать соответствую­щие меры, причем упор должен делаться на устранение ис­ходных причин, а не возникающих последствий.

Второй режим повышенной готовности характеризует­ся наличием информации о признаках потенциальной угро­зы возникновения ЧС. Задачами системы управления ЧС в

этом режиме являются разработка и осуществление деталь­ных планов мероприятий по предупреждению либо смяг­чению последствий ЧС на основе заранее подготовленных сценариев ее развития и ответных действий.

Прогнозирование возможностей возникновения ЧС и процедуры планирования базируются на регулярной оцен­ке тенденций развития текущей ситуации, а также ресур­сов, необходимых для ее улучшения, стабилизации и сни­жения тяжести последствий развития ЧС.

Отсутствие необходимой информации часто становит­ся основным препятствием для организации системы ран­него предупреждения. Часто это обусловлено недостаточно активным использованием данных. Когда некоторые не­ожиданные факторы лишь начинают влиять на организа­цию (структуру), их воздействие обычно остается скрытым в рамках обычных, нормальных колебаний.

Момент времени, когда накопившиеся данные с вы­сокой степенью вероятности свидетельствуют о том, что ухудшение ситуации становится необратимым и необходи­мо принятие контрмер, назовем моментом начала развития ЧС. Этот момент является самым опасным и критическим для лиц, которые первыми должны среагировать на возник­новение ЧС.

Особое место в управлении КСЗИ отводится для управления в условиях ЧС: поломки, неправильные действия персонала, техногенные или природные катастрофы.