20.Организационные меры информационной безопасности

Основные задачи, которые должны решаться системой компьютерной безопасности:

1.управление доступом пользователей к ресурсам ИС;

2.защита данных, передаваемых по каналам связи;

3.регистрация, сбор, хранение, обработка и выдача сведений обо всех событиях, происходящих в системе и имеющих отношение к ее безопасности;

4.контроль работы пользователей системы со стороны администрации;

5.контроль и поддержание целостности критичных ресурсов системы защиты и среды исполнения прикладных программ;

6.обеспечение замкнутой среды проверенного программного обеспечения с целью защиты от бесконтрольного внедрения в систему потенциально опасных программ, а также внедрения и распространения компьютерных вирусов;

7.управление средствами системы защиты.

Организационные меры – это организационно-технические и организационно-правовые мероприятия по созданию и эксплуатации оборудования (проекты по защите информационных систем, разрабатываются для крупных корпоративных сетей с использованием социальных технологий)

К организационным мерам относятся:

• препятствие – физическое преграждение доступа

• управление доступом через ресурсы системы

• идентификация пользователей, подтверждение полномочий регистрации

• маскировка – метод защиты каналов связи при обработке информации

• регламентация – предписание условий обработки, хранения, передачи защищенной информации

• принуждение – метод выполнения норм и правил безопасности

• побуждение – создание условий не нарушать условия соблюдения информационной безопасности

Существуют следующие универсальные (общие) способы защиты ИС от различных воздействий на нее:

1. Идентификация и аутентификация;

2. Контроль доступа к ресурсам;

3. Регистрация и анализ событий, происходящих в ИС;

4. Контроль целостности объектов ИС;

5. Шифрование данных;

6. Резервирование ресурсов и компонентов

Идентификация - это процесс распознавания элемента системы, обычно с помощью заранее определенного идентификатора или другой уникальной информации; каждый субъект или объект системы должен быть однозначно идентифицируем.

Аутентификация - это проверка подлинности идентификации пользователя, процесса, устройства или другого компонента системы (обычно осуществляется перед разрешением доступа); а также проверка целостности и авторства данных при их хранении или передаче для предотвращения несанкционированной модификации.

Авторизация - это предоставление субъекту прав на доступ к объекту.

Под контролем доступа будем понимать ограничение возможностей использования ресурсов системы программами, процессами или другими системами (для сети) в соответствии с правилами разграничения доступа

Для организации непрерывного процесса обеспечения информационной безопасности органимзуются:

• службы информационной безопасности;

• проекта информационной безопасности.

Служба компьютерной безопасности представляет собой, создаваемое для организации квалифицированной разработки системы защиты информации и обеспечения ее функционирования, обучение пользователей и персонала правилам безопасной обработки информации; организация проверок надежности функционированиям системы защиты; распределение между пользователями необходимых реквизитов защиты; принятие мер при попытках НСД к информации и при нарушениях правил функционирования системы защиты и т.д.

Для организации и обеспечения эффективного функционирования комплексной системы компьютерной безопасности должны быть разработаны организационно-распорядительные документы, определяющие порядок и правила обеспечения безопасности информации и документы, опpеделяющие ответственность при обмене электронными документами.

Проекты информационной безопасности определяют стратегию информационной безопасности фирмы, полномочия рабочего и обслуживающего персонала, режим идентификации и аутентификации пользователей (т.е. какие ключи будут использованы), корректность попыток доступа и контроль доступа. Разрабатываются с помощью CASE – средств.