13.4. Подбор и обучение персонала

Основные моменты, связанные с подбором и обучением персонала, были названы выше при рассмотрении состава кадрового обеспечения. Остановимся еще на нескольких моментах.

Персонал, вне всяких сомнений, является основным источником приумножения благосостояния предприятии. Вместе с тем и ущерб, который может нанести предприятию недобросовестный работник, особенно если он наделен полномочиями и возможностью доступа к защищаемой информации, может превосходить ущерб от самых масштабных аварий, сбоев в работе и других; нарушений в работе технических систем. При этом даже самые изощренные формы закрепления юридической ответственности такого работника, технические системы контроля за его деятельностью, инструкции и правила не смогут компенсировать просчета, допущенного руководством, кадровыми работниками, службой безопасности при приеме его на работу. В связи с этим представляются оправданными высокие расходы по найму и содержанию квалифицированных сотрудников служб безопасности, владеющих методиками распознавания лиц, склонных к правонарушениям, с признаками деградации личности, «темным» прошлым и т.п.

Обратим внимание и на сравнительно новый для России способ подбора кадров, связанный с проведением психофизиологического исследования с помощью полиграфа («детектора лжи»). Показателем эффективности данного средства может служить информация об его использования в правоохранительных органах.

Что касается обучения персонала, то на современном рынке этой услуги имеется масса возможностей по подготовке (переподготовке) специалистов в области зашиты государственной тайны, конфиденциальной информации, в том числе и по сложным техническим направлениям этой деятельности. Вместе с тем, с нашей Точки зрения, наиболее важной (и эффективной) формой является организация подготовки персонала по вопросам зашиты информации непосредственно на предприятии, под руководством сотрудников службы защиты информации.

Тема 14. Материально-техническое и нормативно-методологическое обеспечение комплексной системы защиты информации План

14.1 Состав и значение материально-технического обеспечения функционирования КСЗИ

14.2 Перечень вопросов ЗИ, требующих документационного закрепления

14.1. Состав и значение материально-технического обеспечения функционирования ксзи

Материально-техническое обеспечение КСЗИ охватывает деятельность службы защиты информации по использованию материально-технической базы, материальных и денежных средств в ходе выполнения задач зашиты информации.

Материально-техническая база КСЗИ включает объекты хозяйственного и технического назначения. К объектам хозяйственного назначения относятся здания и помещения, в которых хранятся носители информации, размешаются подразделения и объекты технического назначения службы, К объектам технического назначения относятся различные технические средства, используемые службой ЗИ, но не предназначенные непосредственно для ЗИ (системы заземления, электронные системы регулирования доступа в помещения, средства охраны, сигнализации, видеонаблюдения и оповещения, средства механизации — бумагоуничтожающие машины, электронные и электрические, замки, электрические звонки и т.п.).

К материальным средствам службы ЗИ относятся все виды средств защиты информации, а также носители информации.

Материально-техническое обеспечение КСЗИ включает:

• планирование и осуществление работы объектов материально-технической базы службы ЗИ;

• своевременное определение потребности, приобретение, учет и хранение всех видов материальных средств, их распределение, выдачу (отправку, передачу) по назначению, обеспечение правильного и экономного расходования и ведение отчетности;

• накопление и содержание установленных запасов материальных средств, обеспечение" их сохранности;

• правильную эксплуатацию, сбережение, своевременное техническое обслуживание и ремонт;

• создание условий для организации и проведения мероприятий ЗИ;

• строительство, ремонт и правильную эксплуатацию зданий и

помещений;

• изучение положения дел, выявление внутренних и внешних факторов, оказывающих влияние на МТО КСЗИ;

• выявление нарушений, ошибок в МТО, оперативное принятие мер по их устранению.

Основными направлениями развития и совершенствования МТО ЗИ являются:

• повышение технической оснащенности объектов ЗИ материально-техническими средствами;

• улучшение планирования МТО ЗИ;

• строительство и эксплуатация объектов ЗИ в строгом соответствии с требованиями безопасности информации;

• оснащение объектов ЗИ новыми СЗИ;

• обучение пользователей правилам работы с СЗИ;

• внедрение в практику методов наиболее экономного и эффективного использования материально-технической базы;

• обеспечение сохранности материальных и денежных средств и предотвращение их утрат.

Должностные лица, ответственные за МТО КСЗИ, обязаны:

• знать и доводить до подчиненных требования нормативных актов предприятия по вопросам МТО КСЗИ;

• определять потребность и знать обеспеченность СЗИ материальными и денежными средствами для обеспечения ЗИ;

• знать наличие, состояние, порядок эксплуатации (хранения); материальных средств ЗИ, в том числе в их подразделениях, правильно определять потребность в них;

• своевременно истребовать и получать положенные материальные средства ЗИ;

• организовывать ведение учета, правильное хранение, сбережение запасов материальных средств КСЗИ, а также их эксплуатацию, ремонт и техническое обслуживание;

• участвовать в организации проектирования, строительства и реконструкции объектов ЗИ;

• осуществлять планирование МТО КСЗИ;

• организовывать работу по экономному, рациональному расходованию материальных средств;

• осуществлять контроль за использованием материальных средств КСЗИ.

14.2. Перечень вопросов ЗИ, требующих документационного закрепления на основе концепции защиты информации (концепции безопасности предприятия), законодательства и иных нормативных документов в информационной области с учетом уставных положений и специфики деятельности предприятия определяется разрабатывается комплект внутренних нормативных и методических документов, как правило, включающий:

• перечни сведений, подлежащих защите на предприятии;

• документы, регламентирующие порядок обращения сотрудников предприятия с информацией, подлежащей защите;

• положения об управлениях и отделах (разделы по ЗИ);

• документы по предотвращению несанкционированного доступа к информационным ресурсам и АС;

• документы, регламентирующие порядок взаимодействия предприятия со сторонними организациями по вопросам, связанным с обменом информацией;

• документы, регламентирующие пропускной и внутриобъек-товый режим;

• документы, регламентирующие, порядок эксплуатации автоматизированных систем предприятия;

• документы, регламентирующие действия должностных лиц и персонала предприятия в условиях чрезвычайных ситуаций, обеспечения бесперебойной работы и восстановления;

• планы зашиты автоматизированных систем предприятия;

• документы, регламентирующие порядок разработки, испытания и сдачи в эксплуатацию программных средств;

• документы, регламентирующие порядок закупки программных и аппаратных средств (в т.ч. средств защиты информации);

• документы, регламентирующие порядок эксплуатации технических средств связи и телекоммуникации.

«Инструкция по обеспечению защиты информации от несанкционированного доступа» содержит:

• определение целей, задач защиты информации в АС и основных путей их достижения (решения);

• требования по организации и проведению работ по защите информации в АС;

• описание применяемых мер и средств защиты информации от рассматриваемых угроз, общих требований к настройкам применяемых средств защиты информации от НСД;

• распределение ответственности за реализацию «Инструкции...» между должностными лицами и структурными подразделениями организации.

«Положение о категорировании ресурсов АС» содержит:

• формулировку целей введения классификации ресурсов (АРМ, задач, информации, каналов передачи) по степеням (категориям) защищенности;

• предложения по числу и названиям категорий защищаемых ресурсов и критериям классификации ресурсов по требуемым степеням защищенности (категориям);

• определение мер и средств защиты информации, обязательных и рекомендуемых к применению на АРМ различных категорий;

• образец формуляра ЭВМ (для учета требуемой степени защищенности (категории), комплектации, конфигурации и перечня решаемых на ЭВМ задач);

• образец формуляра решаемых на ЭВМ АС функциональных задач (для учета их характеристик, категорий пользователей задач и их прав доступа к информационным ресурсам данных задач).

Порядок обращения с информацией, подлежащей защите», содержит:

• определение основных видов защищаемых сведений (информационных ресурсов);

• общие вопросы организации учета, хранения и уничтожения документов и магнитных носителей ИОД;

• порядок передачи (предоставления) ИОД третьим лицам;

• определение ответственности за нарушение установленных правил обращения с защищаемой информацией;

• форму типового «Соглашения (обязательства) сотрудника оргаг Низации о соблюдении требований обращения с защищаемой информацией»,

«План обеспечения непрерывной работы и восстановления» включает:

• общие положения (назначение документа);

• классификацию возможных (значимых) кризисных ситуаций и указание источников получения информации о возникновении кризисной ситуации;

• перечень основных мер и средств обеспечения непрерывности процесса функционирования АС и своевременности восстановления ее работоспособности;

• общие требования к подсистеме обеспечения непрерывной работы и восстановления;

• типовые формы для планирования резервирования ресурсов подсистем АС и определения конкретных мер и средств обеспечения их непрерывной работы и восстановления;

• порядок действий и обязанности персонала по обеспечению непрерывной работы и восстановлению работоспособности системы.

«Положение об отделе технической защиты информации» содержит:

• общие положения, руководство отделом;

• основные задачи и функции отдела;

• права и обязанности начальника и сотрудников отдела, ответственность;

• организационно-штатную структуру отдела. «Обязанности администратора информационной безопасности подразделения» содержат:

• основные права и обязанности по поддержанию требуемого режима безопасности;

• ответственность за реализацию принятой политики безопасности в пределах своей компетенции.

«Памятка пользователю АС предприятия» определяет общие обязанности сотрудников подразделений при работе со средствами АС и ответственность за нарушение установленных порядков.

«Инструкция по внесению изменений в списки пользователей» определяет процедуру регистрации, предоставления или изменения прав доступа пользователей к ресурсам АС.

«Инструкция по модификации технических и программных средств» регламентирует взаимодействие подразделений предприятия по обеспечению безопасности информации при проведении модификаций программного обеспечения и технического обслуживания средств вычислительной техники;

«Инструкция по организации парольной защиты» регламентирует организационно-техническое обеспечение процессов генерации, смены и прекращения действия паролей (удаления учетных записей пользователей) в автоматизированной системе предприятия, а также контроль за действиями пользователей и обслуживающего персонала системы при работе с паролями.

«Инструкция по организации антивирусной защиты» содержит:

• требования к закупке, установке антивирусного программного обеспечения;

• порядок использования средств антивирусной зашиты, регламенты проведения проверок и действия персонала при обнаружении вирусов;

• распределение ответственности за организацию и проведение антивирусного контроля.

Перечень внутренних организационно-распорядительных документов для объекта ВТ:

• техническое задание на СЗИ объекта информатизации;

• технический паспорт объекта вычислительной техники;

• схема размещения основных и вспомогательных средств и систем, устройств защиты и схема прокладки систем электропитания и заземления объекта информатизации в помещении;

• схема контролируемой зоны предприятия;

• инструкция по защите сведений, отнесенных к государственной тайне, при обработке на средствах ВТ;

• приказ «Об организации обработки информации, содержащей ГТ, на объекте ВТ»;

• перечень лиц, которым разрешен доступ к обработке информации на АРМ;

• инструкция пользователя С ВТ;

• положение об администраторе безопасности;

• положение о пропускном и внутриобъектовом режиме;

• руководство по защите информации;

• технологическая схема обработки ИОД на АРМ;

• перечень задач, выполняемых на АРМ;

• паспорта задач, выполняемых на АРМ;

• акт категорирования объекта ВТ;

• заключение и предписание на эксплуатацию ПЭВМ по peзультатам проведения спецпроверки;

• протокол специальных исследований АРМ на базе ПЭВМ;

• заключение по результатам оценки защищенности объекта ВТ;

• предписание на эксплуатацию объекта ВТ;

• документы, подтверждающие освоение учебных программ; должностными лицами и специалистами по ЗИ.