Глава 6. Организационные мероприятия по обеспечению безопасности информации в комплексах средств автоматизации информационных систем

В процессе подготовки системы к эксплуатации в целях обеспечения безопасности информации в ней необходимо:

        при выделении территории, зданий и помещений обозначить контролируемую зону вокруг размещения комплекса средств автоматизации обработки информации средств автоматизации;

        установить и оборудовать охранную сигнализацию по границам контролируемой зоны;

        создать контрольно-пропускную систему;

        проверить схему размещения и места установки аппаратуры комплекса средств автоматизации обработки информации;

        проверить состояние системы жизнеобеспечения людей, условия функционирования аппаратуры и хранения документации.

Параллельно с указанными мероприятиями провести:

        перестройку структуры организации-потребителя в соответствии с потребностями внедряемой системы;

        подобрать кадры для технического и оперативного обслуживания комплекс средств автоматизации обработки информации;

        при необходимости подобрать специальные кадры для работы по защите информации в автоматизированной системе управления и создать централизованную систему безопасности информации при руководстве организации - потребителе информационной системы;

        провести обучение персонала;

        организовать распределение функциональных обязанностей и ответственности должностных лиц;

        установить полномочия должностных лиц по доступу к техническим средствам и информации;

        разработать должностные инструкции по выполнению функциональных обязанностей технического, оперативного состава должностных лиц, включая службу безопасности информации.

После выполнения указанных мероприятий и приема аппаратуры необходимо выполнить:

        постановку на учет аппаратуры, носителей информации и документации;

        проверку отсутствия посторонней аппаратуры;

        контроль размещения аппаратуры в соответствии с требованиями по разграничению доступа, побочного электромагнитного излучения и наводок информации;

        проверку функционирования подсистемы контроля вскрытия технических средств;

        проверку функционирования комплекса средств автоматизации обработки информации с помощью средств функционального контроля;

        верификацию программного обеспечения;

        проверку побочного излучения и наводок информации аппаратурой комплекса средств автоматизации обработки информации на границах контролируемой зоны;

        проверку на отсутствие штатных и посторонних коммуникаций, выходящих за пределы контролируемой зоны;

        проверку функционирования информационной системы, комплекса средств автоматизации обработки информации, включая систему защиты информации, автономно и в составе автоматизированной системы управления по специальным программам испытаний;

        тренировку оперативного состава должностных лиц, включая службу безопасности информации, по специальным программам.

По положительным результатам указанных проверок и тренировок можно приступать к загрузке штатных прикладных программ и действительной информации, проверке готовности остальных комплексов средств автоматизации обработки информации автоматизированной система управления, после чего начинается непосредственная эксплуатация системы.

В процессе эксплуатации системы служба безопасности информации осуществляет централизованный контроль доступа к информации с помощью терминала и организационными средствами; выполняются функции, перечисленные выше.

В процессе эксплуатации может возникнуть необходимость в доработках комплекса средств автоматизации обработки информации, которые должны проводиться под контролем службы безопасности. Контроль при этом заключается в проверке полномочий лиц, осуществляющих доработку.

Кроме того, в процессе эксплуатации системы рекомендуется проводить:

        периодические проверки полномочий лиц, работающих на комплексе средств автоматизации обработки информации;

        инспектирование правильности и полноты выполнения персоналом мер по обеспечению сохранности необходимых дубликатов файлов, библиотеки программ, оборудования комплекса средств автоматизации обработки информации;

        практическую проверку функционирования отдельных мер защиты;

        контроль недозволенных изменений программ и оборудования;

        контроль всех процедур с библиотеками файлов на носителях и т. д.;

        стимулирование персонала в вопросах обеспечения защиты;

        разработку и обеспечение всех противопожарных мероприятий и обучение персонала действиям по тревоге;

        консультирование всех сотрудников, работающих с комплексом средств автоматизации обработки информации, по вопросам обеспечения защиты информации.

Одна из обязанностей службы безопасности — организация и проведение обучения персонала методам обеспечения защиты информации. Обучение необходимо для всех сотрудников, начиная с момента их поступления на работу, включая руководящий состав организации - потребителя информационной системы.

Все служащие должны знать, что данные и файлы, с которыми они работают, могут быть в высшей степени конфиденциальны. Программы и документы с информацией, подлежащей защите, не следует брать для работы на дом. В детальной степени должны быть определены и идентифицированы все функции и ограничения при выполнении каждой работы. Это связано с необходимостью минимизировать сведения, которыми обладает каждый сотрудник, сохранив при этом их эффективное взаимодействие.

По окончании эксплуатации комплекса средств автоматизации обработки информации (когда-то наступает и такое событие, связанное с заменой информационной системы на более современную) необходимо провести ревизию остатков хранимой информации в комплексе средств автоматизации обработки информации, ценную информацию с обеспечением режима ограниченного доступа переписать на более современные носители, а остальную — уничтожить.