3. Основные элементы плана защиты и их содержание

Основным планирующим документом из всей совокупности является План защиты.

План защиты информации представляет собой вербально-графический документ, который должен содержать следующие сведения:

- характеристика защищаемого объекта: назначение, перечень решаемых задач, размещение технических средств и программного обеспечения и их характеристики; (информационно-логическая структура объекта защиты);

- цели и задачи защиты информации, перечень пакетов, файлов, баз данных, подлежащих защите и требований по обеспечению доступности, конфиденциальности, целостности этих категорий информации;

- перечень и приоритетность значимых угроз безопасности, от которых требуется защита и наиболее вероятных путей нанесения ущерба;

- политика информационной безопасности (организационные и технические мероприятия, определяющие – разграничение по уровням конфиденциальности, контроль целостности технической и программной среды, контроль за действиями пользователей, защиту от НСД, антивирусную защиту, организацию доступа на объект, контроль помещений и технических каналов утечки информации и ряд других;

- функциональная схема системы защиты и план размещения средств защиты информации на объекте;

- порядок ввода в действие средств защиты (календарный план проведения организационно-технических мероприятий);

- перечень мероприятий, проводимых единовременно, периодически, по необходимости и постоянно;

- ответственность персонала;

- смета затрат на внедрение системы защиты;

- порядок пересмотра плана и модернизации средств защиты.

Не менее важным является план действий персонала в критических ситуациях и перечень способов сохранения информации. Такой план, назначение которого состоит в снижении возможных потерь, связанных с разрушением данных и программ или отказом оборудования, называется планом обеспечения непрерывной работы и восстановления информации и содержит следующие пункты:

- цели обеспечения непрерывности процесса функционирования объекта, своевременности восстановления ее работоспособности и чем она достигается;

- перечень и классификация возможных кризисных ситуаций;

- требования, меры и средства обеспечения непрерывности функционирования и восстановления процесса обработки информации (порядок ведения текущих, долговременных и аварийных архивов (резервных копий), а также использования резервного оборудования);

- обязанности и порядок действий различных категорий персонала в кризисных ситуациях по ликвидации последствий кризисных ситуаций, минимизации наносимого ущерба и восстановлению нормального процесса функционирования объекта.

Еще одним важным документом является Положение о коммерческой тайне, включающее:

- перечень сведений, составляющих коммерческую тайну;

- материалы обоснования предложений экспертной комиссии по включению сведений в развернутый перечень;

- номенклатуру должностей работников, допускаемых к сведениям, составляющим коммерческую тайну;

- договор-обязательство (контракт) о сохранении коммерческой тайны;

- специальные обязанности руководителей подразделений по защите коммерческой тайны;

- специальные обязанности лиц, допущенных к сведениям, составляющим коммерческую тайну.

Весьма важным организационным документом является Положение о защите информации, включающее:

- организационную и функциональную структуру системы защиты информации;

- обобщенную структуру законодательных и нормативных документов по безопасности информации;

- положение об отделе защиты информации;

- положение об администраторе безопасности (инструкция администратора);

- правила назначения прав доступа;

- порядок допуска посторонних лиц на объект;

- порядок допуска персонала и посетителей в помещения, в которых обрабатывается критичная информация;

- порядок проведения служебного расследования по факту нарушения информационной безопасности;

- требования к процессу разработки программных продуктов;

- порядок приема-сдачи программного обеспечения в эксплуатацию;

- инструкцию по обеспечению безопасности речевой информации;

- правила ведения телефонных переговоров;

- порядок проведения конфиденциальных переговоров;

- требования к оснащению выделенных помещений;

- инструкцию пользователю по соблюдению режима информационной безопасности.

Детально и качественно разработанные документы плана защиты информации – залог дальнейших успехов в деятельности службы информационной безопасности или администратора безопасности сети.