300 Глава 5

Защита осуществляется различными способами. Это может быть

и физическая охрана, осуществляемая охранными предприятиями, и

техническая защита с использованием специализированных средств и

комплексов (например, защита от побочных электромагнитных излучений

или от высокочастотных излучений). Защита конфиденциальной

информации от несанкционированного доступа выполняется с

использованием средств шифрования и без их применения.

Важно правильно выбрать средства защиты информации, исходя

из принципа "необходимой достаточности". Для этого надо реально

оценить возможности конкурентов, разработать модель действий нарушителя,

создать концепцию обеспечения безопасности предприятия.

Комплекс требований (рис. 5.6) к системе обеспечения информационной

безопасности (СОИБ) разрабатывается в соответствии с национальными

и международными стандартами, например с учетом

рекомендаций международного стандарта ISO 15408 "Общие критерии

оценки безопасности информационных технологий".

Комплекс требований

к системе информационной безопасности

Минимальные требования Повышенные требования

ч J

т

Базовый уровень защищенности Полный анализ рисков

1 1

г Уточнение требований Анализ вариантов защиты ^

к конкретной информационной по критерию

^ системе ^ "стоимость ~ эффективность" ^

Политика информационной безопасности

Политика безопасности,

Базовые положения отвечающая повышенным

требованиям

Рис. 5.6. Структура комплекса требований

по информационной безопасности

Информационная безопасность

301

В зависимости от начальных целей система информационной

безопасности может развиваться как по направлению обеспечения

базового уровня защищенности, так и по принципу обеспечения по

вышенных требований защиты информации.

При построении системы информационной безопасности обяза

телен всесторонний подход, обеспечивающий предупреждение реа

лизаций возможных угроз информационной безопасности. Это пред

полагает решение следующих задач.

1. В структуре подразделения, обеспечивающего безопасность

предприятия в целом, должно быть специализированное инженерно-

техническое подразделение по информационной безопасности.

Штатное расписание этого подразделения должно предусматривать

привлечение специалистов высокой квалификации в области информационных

технологий и современных систем связи.

2. Подразделение по информационной безопасности, изучив

структуры, характеристики и точки уязвимости информационных

систем и сетей связи, должно определить предварительную политику

информационной безопасности, которая в дальнейшем должна быть

закреплена официальными внутренними нормативными документами

предприятия, предпроектными и проектными разработками по

созданию системы информационной безопасности.

Международный стандарт ISO 17799 "Практические правила

управления информационной безопасностью" задает определенную

последовательность действий по созданию СОИБ (рис. 5.7).

Все этапы разработок, апробации и практического внедрения защитных

технологий должны сопровождаться мероприятиями по обучению

персонала, разъяснению политики информационной безопасности,

изданию соответствующих нормативных документов для администраторов

сетей и систем, программистов, пользователей.

Защита конфиденциальной информации в организации осуществляется

путем проведения организационных, организационно-технических,

инженерно-технических, программно-аппаратных и правовых

мероприятий.

Организационные мероприятия предусматривают:

• формирование и обеспечение функционирования системы информационной

безопасности;

• организацию делопроизводства в соответствии с требованиями

руководящих документов;