7. 3.2 Проектирование организационно-технической защиты информации

На этапе проведения организационных мероприятий необходимо:

• определить перечень сведений с ограниченным доступом, подлежащих технической защите (определяет собственник информации);

• обосновать необходимость разработки и реализации защитных мероприятий с учетом материального или иного ущерба, который может быть нанесен вследствие возможного нарушения целостности информации либо ее утечки по техническим каналам;

• установить перечень выделенных помещений, в которых не допускается реализация угроз и утечка информации с ограниченным доступом;

• определить перечень технических средств, которые должны использоваться как ОТС(основные технические средства);

• определить технические средства, применение которых не обосновано служебной и производственной необходимостью и которые подлежат демонтажу;

• определить наличие задействованных и незадействованных воздушных, наземных, настенных и заложенных в скрытую канализацию кабелей, цепей и проводов, уходящих за пределы выделенных помещений;

• определить системы цепей питания, кабельных сетей для установки в них защитных устройств.

• осуществлять проверку выполнения сотрудниками требований руководящих документов по защите информации;

Немало важным организационным мероприятием является ограничение доступа посторонних лиц в администрацию. Прием граждан, главой администрации, по личным вопросам должен осуществляться в строго определенное время и в отдельном кабинете, чтобы ограничить доступ посторонних лиц в строго охраняемую зону.

Так как работу с секретной информацией осуществляют два человека (глава администрации и начальник мобилизационного отдела), то следует запретить доступ сотрудников к компьютерам этих лиц кроме программиста осуществляющего ремонт ЭВТ.

Еще одним организационным мероприятием является ознакомление сотрудников администрации с ответственностью за разглашение конфиденциальной информации. А также следует взять письменное соглашение о не разглашении конфиденциальной информации находящейся в администрации.

Организационные меры должны включать, прежде всего, мероприятия по эффективному использованию технических средств регламентации и управления доступом к защищаемой информации, а также по порядку и режимам работы технических средств защиты информации.

Для уменьшения влияния человеческого фактора требуется реализовать ряд требований к подсистеме парольной аутентификации:

• задавание максимальной длины пароля для затруднения перебора паролей в лоб;

• использование для составления пароля различных групп символов для усложнения перебора;

• проверка и отбраковка паролей по словарю;

• установка максимального и минимального сроков действия паролей;

• определение попыток ввода паролей;

• использование задержек при вводе неправильных паролей;

• поддержка режима принудительной смены пароля;

• запрет на выбор паролей самими пользователями и назначение паролей администратором, формирование паролей с помощью автоматических генераторов стойких паролей.

В организационных целях следует установить временные, территориальные и режимные ограничения в деятельности сотрудников организации и работе технических средств, направленных на обеспечение безопасности информации. Для этого предлагается использовать регламентацию, которая предусматривает:

• установление границ контролируемых и охраняемых зон;

• определение уровней защиты информации в зонах;

• определение режимов работы технических средств, в том числе сбора, обработки и хранения защищаемой информации на ПЭВМ, передачи

документов;

• правила поведения сотрудников в рабочее время;

К организационным мероприятиям предлагается добавить контроль эффективности защиты. Этот вид деятельности должен проводиться, прежде всего, силами службы безопасности, а также руководителями структурных подразделений.

Предлагается применять следующие виды контроля:

• предварительный;

• постоянный.

Предварительный контроль должен проводиться при любых изменениях состава, структуры и алгоритма функционирования системы защиты информации, в том числе:

• после установки нового технического средства защиты или изменения организационных мер;

• после проведения профилактических и ремонтных работ средств защиты;

• после устранения выявленных нарушений в системе защиты.

Постоянный контроль должен осуществляться выборочно, силами службы безопасности и привлекаемых сотрудников организации с целью объективной оценки уровня зашиты информации и. прежде всего, выявления слабых мест в системе защиты организации. Кроме того, такой контроль оказывает психологическое воздействие на сотрудников организации, вынуждая их более тщательно выполнять требования по обеспечению защиты информации.

Приблизительная стоимость, предложенных инженерно-технических средств защиты, указана в таблице 2.

Таблица 2 Примерная стоимость ИТСЗ.

Наименование	Кол-во	Стоимость (руб.)
Двери Форпост 111TS	2	31000
Решетки на окна	3	9000
Сейф VALBERG KARAT -25	2	16000
МП-1А	2	4800
МП-3	2	6000
Сумма:		66800