II.1. Управление персоналом

Управление персоналом начинается с составления должностной инструкции. На этом этапе желательно привлечение специалиста по информационной безопасности для определения компьютерных полномочий, связанных с должностью. Существует два общих принципа, которые следует иметь в виду:

- разделение обязанностей;

- минимизация привилегий.

Принцип распределения обязанностей предписывает так распределять роли и ответственность, чтобы один человек не смог нарушить критически важный для организации процесс.

Принцип минимизации привилегий предписывает выделять пользователям только те права доступа, которые необходимы им для выполнения служебных обязанностей. Это позволит уменьшить ущерб от случайных или умышленных некорректных действий пользователя.

С момента заведения системного счета нового сотрудника начинается его администрирование, а также протоколирование и анализ действий.

Ликвидация системного счета пользователя, особенно в случае конфликта между сотрудником и организацией, должна проводится максимально оперативно. Возможно и физическое ограничение доступа к рабочему месту.

Важную роль в обеспечении безопасности имеет обучение. Если сотрудник не знаком с политикой безопасности своей организации, он не сможет стремиться к достижению сформулированных в ней целей, если он не знает мер безопасности, он не будет их соблюдать. С другой стороны, если сотрудник знает, что его действия протоколируются, он, вероятно, воздержится от нарушений. Обучение должно проводиться регулярно и в то же время каждый раз по-иному, иначе оно превратиться в формальность и потеряет эффективность.

II.2. Физическая защита

Безопасность компьютерной системы зависит от окружения, в котором она работает, следовательно, необходимо принять меры для защиты зданий и прилегающей территории, поддерживающей инфраструктуры и самих компьютеров. К основным направлениям физической защиты относятся следующие направления:

- физическое управление доступом;

- противопожарные меры;

- защита поддерживающей инфраструктуры;

- защита от перехвата данных;

- защита мобильных систем.

Меры физического управления доступом позволяют контролировать и при необходимости ограничивать вход и выход сотрудников и посетителей. Контролировать можно все здание организации и, кроме того, отдельные помещения, например те, где расположены серверы, коммуникационная аппаратура.

Необходимо, чтобы посетители отличались от штатных сотрудников, например, у сотрудников могут быть нагрудные идентификационные карточки.

В организации желательно устанавливать противопожарную сигнализацию и автоматические средства пожаротушения.

К поддерживающей инфраструктуре можно отнести системы электро-, водо- и теплоснабжения, кондиционеры, средства коммуникаций. В принципе к ним применимы те же требования целостности и доступности, что и к информационным системам. Для обеспечения целостности нужно защищать оборудование от краж и повреждений.

Для поддержания доступности целесообразно выбирать оборудование с максимальным временем наработки на отказ, дублировать ответственные узлы, иметь запчасти. Отдельную проблему составляют аварии водопровода: при размещении компьютеров следует учитывать расположение водопроводных и канализационных труб.

Мобильные и портативные компьютеры можно легко украсть, т.к. их часто оставляют без присмотра в автомобиле, на работе. Для снижения ущерба от несанкционированного доступа к информации сотрудникам рекомендуется шифрование данных на жестких дисках ПК подобного типа.