8 Организационное обеспечение информационной безопасности

36. Аналитические исследования в системе мер по предупреждению утечки (секретной) конфиденциальной информации

Аналитические работы в области информационной безопасности могут проводиться по следующим направлениям:

1) «Комплексный анализ информационных систем компании и подсистемы информационной безопасности на правовом, методологическом, организационно-управленческом, технологическом и техническом уровнях. Анализ рисков».

2) «Разработка комплексных рекомендаций по методологическому, организационно-управленческому, технологическому, общетехническому и программно-аппаратному обеспечению режима ИС компании»,

3) «Организационно-технологический анализ ИС компании»;

4) «Экспертиза решений и проектов».

5) «Работы по анализу документооборота и поставке типовых комплектов организационно-распорядительной документации».

6) «Работы, поддерживающие практическую реализацию плана защиты».

7) «Повышение квалификации и переподготовка специалистов».

Кратко рассмотрим каждое из них.

Исследование и оценка состояния информационной безопасности ИС и подсистемы информационной безопасности компании предполагают проведение их оценки на соответствие типовым требованиям руководящих документов Гостехкомиссии при Президенте РФ, типовым требованиям международных стандартов ISO и соответствующим требованиям компании-заказчика. К первой области также относятся работы» проводимые на основе анализа рисков, инструментальные исследования (исследование элементов инфраструктуры компьютерной сети и корпоративной информационной системы на наличие уязвимостей, исследование защищенности точек доступа в Internet). Данный комплекс работ также включает в себя и анализ документооборота, который, в свою очередь, можно выделить и как самостоятельное направление.

Рекомендации могут касаться общих основополагающих вопросов обеспечения безопасности информации (разработка концепции информационной безопасности, разработка корпоративной политики охраны информации на организационно-управленческом, правовом, технологическом и техническом уровнях), применимых на многих компаниях. Также рекомендации могут быть вполне конкретными и относиться к деятельности одной единственной компании (план защиты информации, дополнительные работы по анализу и созданию методологического, организационно-управленческого, технологического, инфраструктурного и технического обеспечения режима информационной безопасности компании).

Организационно-технологический анализ ИС компании в основном предполагает проведение оценки соответствия типовым требованиям руководящих документов РФ к системе информационной безопасности компании в области организационно-технологических норм и анализ документооборота компании категории «конфиденциально» на соответствие требованиям концепции информационной безопасности, положению о коммерческой тайне, прочим внутренним требованиям компании по обеспечению конфиденциальности информации. При этом собственно внутрифирменная концепция информационной безопасности и положение о коммерческой тайне должны соответствовать действующему законодательству, а именно требованиям Конституции РФ, ст.ст. 128 и 139 Гражданского кодекса РФ, Федерального закона «Об информации, информационных технологиях и о защите информации», других нормативных актов.

Правильная экспертиза решений и проектов играет важную роль в обеспечении функционирования всей системы информационной безопасности и должна соответствовать требованиям по обеспечению информационной безопасности экспертно-документальным методом. Экспертиза проектов подсистем - требованиям по безопасности экспертно-документальным методом.

Работы по анализу документооборота и поставке типовых комплектов организационно-распорядительной документации, как правило, включают два направления:

- анализ документооборота компании категории «конфиденциально» на соответствие требованиям концепции информационной безопасности, положению о коммерческой тайне, прочим внутренним требованиям компании по обеспечению конфиденциальности информации;

- поставку комплекта типовой организационно-распорядительной документации в соответствии с рекомендациями корпоративной политики ИБ компании на организационно-управленческом и правовом уровне.

Работы, поддерживающие практическую реализацию плана информационной безопасности, в частности, заключаются в следующем:

- разработка технического проекта модернизации средств защиты ИС, установленных на фирме по результатам проведенного комплексного аналитического исследования корпоративной сети;

- подготовка компании к аттестации (к аттестации объектов информатизации заказчика на соответствие требованиям руководящих документов Гостехкомиссии при Президенте РФ а также на соответствие требованиям безопасности международных стандартов ISO 15408, ISO 17799, стандарта ISO 9001 при обеспечении требований информационной безопасности компании);

- разработка расширенного перечня сведений ограниченного распространения как части политики безопасности;

- разработка пакета организационно-распорядительной документации в соответствии с рекомендациями корпоративной политики ИБ компании на организационно-управленческом и правовом уровне;

- поставка комплекта типовой организационно-распорядительной документации в соответствии с рекомендациями корпоративной политики ИБ компании на организационно-управленческом и правовом уровнях.

Уровень информационной безопасности компании во многом зависит от квалификации специалистов. В целях повышения квалификации и переподготовки кадров рекомендуется проводить тренинги по применению средств защиты информации, технологии защиты информации, обучать сотрудников основам экономической безопасности. Немаловажную роль играет и ежегодная переоценка состояния информационной безопасности компании.

Проведение аудита состояния информационной безопасности корпоративной информационной системы (КИС) заказчика осуществляется в три этапа:

- проведение комплексного обследования КИС;

- проведение анализа рисков;

- разработка рекомендаций по совершенствованию системы защиты КИС и плана внедрения рекомендаций.

Анализ состояния защиты информации — это комплексное изучение фактов, событий, процессов, явлений, связанных с проблемами ЗИ, в том числе данных о состоянии работы по выявлению возможных КУИ, о причинах и обстоятельствах, способствующих утечке и нарушениям режима секретности (конф-ти) в ходе повседневной деятельности предприятия.

Основное предназначение аналит работы — выработка эффективных мер, предложений и рекомендаций руководству предприятия, направленных на недопущение утечки КИ о деятельности предприятия и проводимых работах. Аналитическая работа должна включать элементы прогнозирования возможных действий противника по получению важной защищаемой информации.

Основные направления аналитической работы на предприятии:

1. анализ объекта защиты;

2. анализ внутренних и внешних угроз ИБ предприятия;

3. анализ возможных каналов НСДИ;

4. анализ системы комплексной безопасности объектов;

5. анализ имеющих место нарушений режима КИ;

6. анализ предпосылок к разглашению информации, а также к утрате носителей КИ.

Функции анализа на предприятии возлагаются на специально создаваемое в его структуре аналитическое подразделение (АП), которое комплектуется квалифицированными специалистами в области ЗИ. Вместе с тем, данные специалисты должны в полной мере владеть информацией по всем направлениям деятельности предприятия: знать виды, характер и последовательность выполнения производственных работ, взаимодействующие организации, специфику деятельности структурных подразделений предприятия и т.д. Как правило, АП включается в состав службы безопасности предприятия.

Основные функции АП:

1. обесп-е своевременного поступления достоверных и всесторонних сведений по проблемам ЗИ;

2. учет, обобщение и постоянный анализ материалов о состоянии дел в системе ЗИ предприятия (его филиалов и представительств);

3. анализ возможных угроз ЗИ, моделирование реального сценария возможных действий конкурентов (злоумышленников), затрагивающих интересы предприятия;

4. обеспечение эффективности работы по анализу имеющейся информации, исключение дублирования при ее сборе, обработке и распространении;

5. подготовка выводов и предложений, направленных на повышение эффективности планируемых и принимаемых мер по ЗИ, а также уточнение (корректировку) организационно-планирующих документов предприятия и его структурных подразделений;

6. выработка рекомендаций по внесению изменений и дополнений в методические документы, регламентирующие алгоритм действий сотрудников предприятия по ЗИ (стандарты предприятия).

С учетом результатов аналитической работы могут вырабатываться след основные меры:

1. уточнение (доработка) планов работы предприятия по ЗИ, включение в них доп мероприятий;

2. уточнение распределения задач и функций между структ подразделениями предприятия;

3. переработка (уточнение) должностных (функциональных) обязанностей сотрудников предприятия, в том числе руководящего звена, совершенствование систем пропускного и внутри-объектового режимов;

4. ограничение круга лиц, допускаемых к КИ по различным направлениям деятельности предприятия;

5. пересмотр степени конф-ти сведений и их носителей;

6. усиление системы охраны предприятия и его объектов, применение особых мер ЗИ на отдельных объектах (в служебных помещениях);

7. принятие решений об ограничении публикации в открытой печати, использования в рекламной и издательской деятельности отдельных материалов (материалов по отдельным темам), доступа командированных лиц, об исключении рассмотрения этих материалов на конференциях, семинарах, встречах и т.д.

Ведение эффективной аналитической работы возможно лишь при наличии необходимой информации. Для ее получения нужна четко сформулированная цель, определяющая конкретные источники инф-ии. Аналитическая работа на предприятии должна вестись последовательно и непрерывно, представлять собой в полной мере целостное исследование.

Основные этапы аналитической работы:

1. формулирование целей аналитической работы, разработка программы исследований, формулирование предварительных гипотез (результатов аналитической работы);

2. отбор и анализ источников информации, сбор и обобщение информации;

3. полноценный анализ имеющейся информации и подготовка выводов.

Основная форма ведения аналитической работы — аналитические исследования. Итогом исследования должны быть выводы, предложения и рекомендации по совершенствованию системы ЗИ.

Содержание и основные виды аналитических отчетов

Основной формой представления результатов аналитических исследований является аналитический отчет. Отчеты могут оформляться в пис виде, также они мб представлены в устной форме, сопровождаться графиками, диаграммами, рисунками, таблицами, поясняющими или отражающими результаты проведенной работы.

Основные разделы аналитического отчета:

1. цели и задачи аналит исследования;

2. ИИ, степень достоверности полученной;

3. обобщение полученной информации;

4. основные и альтернативные версии или гипотезы;

5. недостающая информация (доп информация, необходимая для подтверждения осн версии, ее источники и способы ее получения);

6. заключение, выводы;

7. предложения и рек-ции по совершенствованию работы в области ЗИ.

В зависимости от предназначения используются след осн виды аналит отчетов:

1. Оперативные (тактические) отчеты отражают результаты аналит исследований, проводимых для подготовки и принятия какого-либо оперативного (экстренного) решения по вопросу кратковременного (срочного) характера.

2. Перспективные (стратегические) отчеты содержат информацию, более полную по содержанию.

3. Периодические отчеты предназначены для анализа состояния системы ЗИ (отдельных направлений ЗИ) в соответствии с разработанным и утвержденным руководством предприятия графиком.