38) Регламентация деятельности персонала и пользователей информационных систем по предупреждению внедрения в систему компьютерных вирусов.

Необходима также регламентация деятельности персонала и пользователей информационных систем по предупреждению внедрения в систему компьютерных вирусов. Защиту системы от вирусов предлагается осуществлять путем применения организационно-профилактических мер. Совокупность этих мероприятий получила название «компьютерной гигиены», которая должна предусматривать выполнение ряда рекомендаций при использовании компьютеров в системах, что позволит свести риск уничтожения, модификации компьютерных программ к минимуму.

Среди этих правил можно выделить следующие:

• запрещение использования программ, поведение которых непонятно или неясны выполняемые ими действия;

• использование в работе только такого программного обеспечения, разработчик которого известен и имеет хорошую репутацию;

• избежание копирования математического обеспечения с компьютеров, на которых не соблюдаются требования «компьютерной гигиены»;

• приобретаемое программное обеспечение должно внимательно анализироваться специалистами перед его использованием.

В обязательном порядке должны быть изготовлены рабочие копии (на компьютере, известном как «чистый»), оригинал следует защищать от записи и хранить отдельно; новое математическое обеспечение испытывать на компьютере, не входящем в информационную сеть и не содержащем важной информации;

• периодически необходимо делать резервные копии используемого математического обеспечения и пользовательских данных, что позволит уменьшить потери в случае поражения компьютера вирусом;

• ограничение доступа посторонних лиц к компьютерной технике;

• применение технических средств обнаружения вирусов;

• программы, источники которых ненадежны, должны подвергаться предварительному «карантину» и при обнаружении симптомов «заболевания» необходимо немедленно предупреждать об этом пользователей.

39) Обеспечение точного исполнения нормативных актов.

Следующим элементом структуры правовой защиты компьютерной информации является деятельность по обеспечению точного применения нормативных актов. Особую роль обеспечение исполнения правовых норм играет в условиях информатизации. Именно строгое и точное исполнение правовых предписаний позволяет обеспечить высокий уровень организованности в деятельности органов и организаций, использующих

информационные системы. Выделяются два направления, обеспечивающие реализацию требований нормативных правовых актов.

Первым направлением правоприменительной деятельности является деятельность должностных лиц по обеспечению контроля за неукоснительным применением нормативных правовых актов. Так, общее руководство и контроль за организацией защиты компьютерной информации от несанкционированного доступа на объектах информационных систем осуществляет руководитель данной системы или вышестоящий орган управления. На него возлагаются принятие инструкций по защите компьютерной информации от несанкционированного доступа в информационной системе и осуществление контроля за выполнением требований указанных документов, а также организация проведения расследований по фактам несанкционированного доступа к компьютерной информации на объектах системы.

В подразделениях информационной системы ответственность за организацию и выполнение мероприятий по защите компьютерной информации возложена на начальника подразделения. Он координирует деятельность отделов, служб по этим вопросам и осуществляет следующие функции:

• обеспечивает планирование практических мероприятий по предотвращению несанкционированного доступа и контроль за их осуществлением;

• организует работу по выявлению возможных каналов утечки компьютерной информации и несанкционированного доступа к ней, принимает своевременные меры по их предотвращению;

• организует и проводит работу по внедрению средств защиты компьютерной информации.

Вторым направлением реализации нормативно-правовой базы по защите компьютерной информации является деятельность специальных служб обеспечения безопасности компьютерной информации. Для защиты компьютерной информации от несанкционированного доступа создаются специальные службы или назначаются лица, непосредственно занимающиеся такой работой.

Служба обеспечения безопасности информации (ОБИ) — это специальное штатное подразделение (одно или несколько должностных лиц), создаваемое на этапах ввода информационной системы или ее отдельных элементов в эксплуатацию с соответствующим штатным расписанием. При невозможности создания штатных органов их функции должны возлагаться на других должностных лиц. Службы ОБИ должны комплектоваться лицами, имеющими подготовку программиста. Персонал служб ОБИ допускается к самостоятельной эксплуатации средств защиты компьютерной информации на основании решения начальника объекта после сдачи зачета по знанию используемых на объекте средств защиты, правил их эксплуатации, требований документов по защите охраняемой законом тайны.

Основными функциями специалистов службы ОБИ являются защита компьютерной информации от несанкционированного доступа и обеспечение специальной защиты этой информации от утечки за счет побочных излучений.

В зависимости от решаемых задач, места и структуры системы службы ОБИ подразделяются на объектовые и необъектовые.

Объектовые службы ОБИ создаются непосредственно на объектах компьютерной техники для эксплуатации применяемого на них комплекса технических средств защиты компьютерной информации и выполнения предусмотренных организационных мероприятий, направленных на защиту обрабатываемой компьютерной информации. Состав объектовой службы ОБИ определяется, исходя из наличия и размещения технических средств объекта компьютерной техники. При размещении средств компьютерной техники различных информационных систем в одном или нескольких близко расположенных друг от друга помещениях может создаваться единая объектовая служба ОБИ.

Необъектовые службы ОБИ включаются в состав подразделений, осуществляющих техническую эксплуатацию компьютерных средств, или в состав подразделений, осуществляющих их применение. На необъектовые службы ОБИ возлагаются следующие задачи:

• контроль за организацией и защитой компьютерной информации на объектах компьютерной техники;

• анализ состояния работы по защите компьютерной информации на объектах компьютерной техники;

• оценка эффективности защиты и выработка предложений по ее совершенствованию;

• участие в проведении расследований по фактам несанкционированного доступа к компьютерной информации.

Важным вопросом является обучение персонала и пользователей информационных систем вопросам защиты компьютерной информации. Это обучение целесообразно строить в два этапа.

Общая подготовка по вопросам защиты информации должна проводиться в процессе обучения в учебном заведении, готовящем программистов и других специалистов для работы с компьютерной информацией. Специальная подготовка должна проводиться разработчиками принимаемой в эксплуатацию информационной системы. При сдаче зачета на право самостоятельной работы на средствах ЭВМ в первую очередь обращается внимание на то, насколько усвоены экзаменуемыми правила эксплуатации применяемых средств защиты компьютерной информации, а также знание нормативно-правовых документов, регламентирующих деятельность персонала и пользователей по защите компьютерной информации в информационных сетях. В комиссию по приему зачета в обязательном порядке должен быть включен специалист по защите информации, занимающийся защитой компьютерной информации в информационной системе, в которой будет работать проверяемый. Зачет целесообразно проводить ежегодно и при каждом изменении в системе защиты компьютерной информации.