9.4.6. Політика етики

Мета політики етики взагалі – створити культуру відкритості, довірі і цілісності в ділових відносинах. Ефективна етика – це зусилля команди, яке включає участь і підтримку кожного працівника. Всі працівни мають ознайомитися з директивами етики. Жоден працівник не може порушувати правил етикету.

Мета. Наша цель для authoring публикацию на этике должен делать ударение работник и потребительское ожидание лечиться к прекрасным деловым практикам. Эта политика будет обслуживать, чтобы привести деловое поведение, чтобы гарантировать нравственное поведение.

Сфера застосування. Правила ПБ мають виконувати всі працівники організації.

Эта политика обращается к работникам, подрядчикам, консультантам, временным работникам, и другим работникам в <Company Name>, включая весь персонал устанавливаются связи с третьими сторонами.

Зміст політики. Повинні бути сформульовані правила, що містять наступне:

• обов’язки адміністрації щодо правил етики;

• обов’язки працівників щодо правил етики;

• правила моральної та матеріальної підтримки всіх, хто виконує правила етики;

• правила відношення до порушників правил етики.

Відповідальність. Будь-який працівник, що порушує цю політику, повинен піддаватися дисциплінарним стягненням аж до звільнення з роботи.

9.4.7. Політика адміністрування

Мета. Ввести правила адміністрування і упровадити правила інформаційної безпеки.

Правила адміністрування. Повинні бути сформульовані наступні основні правила, які містять і регламентують:

• інструктаж користувачів;

• публікації і повідомлення;

• обов'язки керівництва;

• обов'язки адміністраторів;

• правові санкції і звітність про інциденти;

• правило звільнень;

• дисциплінарні заходи

Звичайно, крім наведених розділів ПБ, в кожній конкретній організації можуть бути сформульовані додаткові разділи залежно від особливостей організації.

Контрольні запитання

1. Назвіть приклади розділів політики безпеки.

2. Яка мета політики пароля?

3. Яка мета політики антивірусного захисту?

4. Які основні правила входять до списку правил адміністрування?

Перелік термінів

Безпека інформації (information security) – стан інформації, у якому забезпечується збереження визначених політикою безпеки властивостей інформації

Автоматизована система (АС) – це організаційно-технічна система, що об'єднує обчислювальну систему, фізичне середовище, персонал і оброблювану інформацію

Захист інформації в АС (information protection, information security, computer system security) – діяльність, яка спрямована на забезпечення безпеки оброблюваної в АС інформації та АС у цілому, і дозволяє запобігти або ускладнити можливість реалізації загроз, а також знизити величину потенційних збитків внаслідок реалізації загроз

Комплексна система захисту інформації (КСЗІ) – сукупність організаційних і інженерних заходів, програмно-апаратних засобів, які забезпечують захист інформації в АС

Політика безпеки (Security Policy) – сукупність норм і правил, що забезпечують ефективний захист системи обробки інформації від заданої множини загроз безпеки

Модель безпеки (Security Model) – формальне представлення політики безпеки.

Дискреційне чи довільне керування доступом (Discretionary Access Control – DAC) – керування доступом, здійснюване на підставі заданої адміністратором множини дозволених відносин доступу

Мандатне чи нормативне керування доступом (Mandatory Access Control – MAC) – керування доступом, засноване на сукупності правил надання доступу, визначених на множині атрибутів безпеки суб'єктів і об'єктів, наприклад, залежно від грифа таємності інформації і рівня допуску користувача

Ядро безпеки (Trusted Computing Base – TCB) – сукупність апаратних, програмних і спеціальних компонентів КС, що реалізують функції захисту і забезпечення безпеки

Ідентифікація (Identification) – процес розпізнавання сутностей шляхом присвоєння їм унікальних міток (ідентифікаторів)

Автентифікація (Authentication) – перевірка дійсності ідентифікаторів сутностей за допомогою різних (переважно криптографічних) методів

Адекватність (Assurance) – показник реально забезпечуваного рівня безпеки, що відбиває ступінь ефективності і надійності реалізованих засобів захисту і їхніх відповідностей поставленим задачам (у більшості випадків це задача реалізації політики безпеки)

Кваліфікаційний аналіз, кваліфікація рівня безпеки (Evaluation) – аналіз КС з метою визначення рівня її захищеності і відповідності вимогам безпеки на основі критеріїв стандарту безпеки; кваліфікація рівня безпеки є кінцевим етапом технологічного циклу створення захищених систем, безпосередньо передує процедурі сертифікації, і завершується присвоєнням КС того чи іншого класу чи рівня безпеки

Таксономія (Taxonomy) – наукова дисципліна, що займається систематизацією і класифікацією складноорганізованих об'єктів і явищ, що мають ієрархічну будівлю (від грецького taxis – лад, порядок і nomos – закон); на відміну від звичайної класифікації, що встановлює зв'язки і відношення між об'єктами (ієрархія будується знизу – нагору), таксономія заснована на декомпозиції явищ і поетапному уточненні властивостей об'єктів (ієрархія будується зверху – вниз)

Прямий вплив (Trusted Path) – принцип організації інформаційної взаємодії (як правило, між користувачем і системою), що гарантує, що передана інформація не піддається перехопленню чи перекручуванню

Конфіденційність інформації (confidentiality)– властивість інформації, яка полягає в тому, що вона не може бути доступною для ознайомлення користувачам і/або процесам, які не мають на це відповідних повноважень

Цілісність інформації (integrity) – це властивість, яка полягає в тому, що вона не може бути доступною для модифікації користувачам і/або процесам, які не мають на це відповідних повноважень; цілісність інформації може бути фізичною і/або логічною

Доступність інформації (availability)– це властивість, що полягає в можливості її використання за вимогами користувача, який має відповідні повноваження

Спостереженість інформації (accountability) – це властивість інформації, яка полягає в тому, що процес її обробки повинен безупинно знаходитися під контролем деякого керуючого захистом органа

Канал витоку інформації – сукупність джерела інформації, матеріального носія або середовища розповсюдження сигналу, що несе указану інформацію, і засобу виділення інформації з сигнала або носія

Порушник (user violator) – користувач, який здійснює НСД до інформації

Алфавіт – кінцева множина використовуваних для кодування інформації знаків

Текст – упорядкований набір з елементів алфавіту

Шифрування – процес перетворення: вихідний текст, що носить також назву відкритого тексту, заміняється шифрованим текстом

Дешифрування – зворотний шифруванню процес; на основі ключа шифрований текст перетворюється у вихідний

Ключ – інформація, яка необхідна для безперешкодного шифрування і дешифрування певним методом.