Информационная безопасность / Derbin - Obespecheniye informatsiooonoy bezopasnosti 2013

2.1.3. ОРГАНИЗАЦИОННАЯ ЗАЩИТА ИНФОРМАЦИОННЫХ ОБЪЕКТОВ

ОРГАНИЗАЦИОННАЯ ЗАЩИТА – это регламентация производственной дея-

тельности и взаимоотношений исполнителей на нормативно-правовой основе,

исключающей или существенно затрудняющей неправомерное овладение конфиденциальной информацией и проявление внутренних и внешних угроз,

обеспечивающая: организацию охраны, режима, работу с кадрами, документами; использование технических средств безопасности; информационно-

аналитическую деятельность по выявлению внутренних и внешних угроз предпринимательской деятельности.

Косновным организационным мероприятиям следует отнести:

организацию режима и охраны с целью исключения возможности тайного проникновения на территорию и в помещения посторонних лиц;

организацию работы с сотрудниками, предусматривающую подбор и расстановку персонала (ознакомление с сотрудниками, их изучение, обучение правилам работы с конфиденциальной информацией, ознакомление с мерами ответственности за нарушение правил защиты информации и др.);

организацию работы с документами и документированной информацией

(разработка документов и носителей конфиденциальной информации, их учет, исполнение, возврат, хранение и уничтожение);

организацию использования технических средств сбора, обработки,

накопления и хранения информации;

организацию работы по анализу внутренних и внешних угроз информационной безопасности и выработке мер по обеспечению ее защиты;

организацию работы по проведению систематического контроля за работой персонала с конфиденциальной информацией, порядком учета, хранения и

11

2.2. СИЛЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ.

2.2.1. СИЛЫ, ОБЕСПЕЧИВАЮЩИЕ ИНФОРМАЦИОННУЮ БЕЗОПАСНОСТЬ ПРЕДПРИЯТИЯ

34

2.2.2.ЗАДАЧИ СЛУЖБЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

определение перечня сведений, составляющих коммерческую тайну, а также круга лиц, которые имеют к ним доступ;

определение участков сосредоточения сведений, составляющих коммерческую тайну;

формирование требований к системе защиты в процессе создания и участие в проектировании системы защиты, ее испытаниях и приемке в эксплуатацию;

планирование, организация и обеспечение функционирования системы ЗИ;

распределение между пользователями необходимых реквизитов защиты (установка паролей, управление средствами защиты коммуникаций и криптозащиту;

координация действий с аудиторской службой, совместное проведение аудиторских проверок, контроль функционирования системы защиты и ее элементов;

организация обучения сотрудников в соответствии с их функциональными обязанностями; обучение пользователей правилам безопасной обработки информации;

определение круга предприятий, на которых возможен выход из-под контроля сведений, составляющих коммерческую тайну предприятия;

выявление лиц на предприятии и предприятий (в том числе иностранных), заинтересованных в овладении коммерческой тайной;.

расследование нарушений защиты, принятие мер реагирования на попытки НСД к информации и нарушениям правил функционирования системы защиты;

выполнение восстановительных процедур после нарушения безопасности;

анализ, оценка состояния и разработка предложений по совершенствованию СОИБ предприятия; внедрение достижений науки и техники, передового опыта;

совместная работа с представителями других организаций по вопросам безопасности, непосредственный контакт или консультации с партнерами или клиентами;

постоянная проверка соответствия принятых в организации правил безопасной обработки информации существующим правовым нормам

35

2.3. ТЕХНОЛОГИИ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ПРЕДПРИЯТИЯ

Под технологией обеспечения информационной безопасности в АС понимается определенное распределение функций и регламентация порядка их исполнения, а также взаимодействия подразделений и сотрудников по обеспечению комплексной защиты ресурсов АС в процессе ее эксплуатации.

Требования к технологии :

•соответствие современному уровню развития информационных технологий;

•учет особенностей построения и функционирования различных подсистем АС;

•точная и своевременная реализация политики безопасности организации;

•минимизация затрат на реализацию самой технологии обеспечения безопасности.

Для реализации технологии обеспечения безопасности в АС необходимо:

•наличие полной и непротиворечивой правовой базы (системы взаимоувязанных нормативно-методических и организационно-распорядительных документов) по вопросам ОИБ;

•распределение функций и определение порядка взаимодействия подразделений и должностных лиц организации по вопросам ОИБ на всех этапах жизненного цикла подсистем АС, обеспечивающее четкое разделение их полномочий и ответственности;

•наличие специального органа (подразделения обеспечения информационной безопасности), наделенного необходимыми полномочиями и непосредственно отвечающего за формирование и реализацию единой политики информационной безопасности организации и осуществляющего контроль и координацию действий всех подразделений и сотрудников организации по вопросам ОИБ.

37

2.3.2. РЕАЛИЗАЦИЯ ТЕХНОЛОГИЙ, ОБЕСПЕЧИВАЮЩИХ ИНФОРМАЦИОННУЮ БЕЗОПАСНОСТЬ ПРЕДПРИЯТИЯ

• назначение и подготовка должностных лиц, ответственных за организацию, реализацию функций и осуществление мероприятий;

•строгий учет всех подлежащих защите ресурсов системы (информации, ее носителей, процессов обработки) и определение требований к организационнотехническим мерам и средствам защиты;

•разработка реально выполнимых и непротиворечивых организационнораспорядительных документов по вопросам обеспечения ИБ;

•реализация технологических процессов обработки информации с учетом требований ИБ;

•принятие эффективных мер сохранности и обеспечения физической целостности технических средств и поддержку необходимого уровня защищенности компонентов АС;

•применение физических и технических (программно-аппаратных) средств защиты ресурсов системы и непрерывную административную поддержку;

•регламентация всех процессов обработки информации и действий сотрудников на основе утвержденных организационно-распорядительных документов;

•четкое знание и строгое соблюдение всеми сотрудниками, использующими и обслуживающими аппаратные и программные средства, требований организаци- онно-распорядительных документов;

•персональная ответственность за свои действия каждого сотрудника, участвующего в процессах автоматизированной обработки информации и имеющего доступ к ресурсам АС;

•эффективный контроль за соблюдением сотрудниками подразделений и обслуживающим АС персоналом требований по обеспечению ИБ;

•проведение постоянного анализа эффективности и достаточности принятых мер и применяемых средств защиты информации, разработку и реализацию

2.3.3. СУЩНОСТЬ, РОЛЬ И МЕСТО ПОЛИТИК БЕЗОПАСНОСТИ

Основы безопасности

информационно-телекоммуникационных технологий (ИТТ)

уточняются в детальных и специфических целях, политике и процедурах во всех сферах интереса организации (управление финансами, персоналом и безопасностью)

Политика безопасности информации в организации (англ. Organizational security policy) – совокупность документированных технических, организационных, административных, юридических, физических правил, процедур, практических приѐмов или руководящих принципов, регламентирующих все вопросы обеспечения безопасности информации, которыми руководствуется организация в своей деятельности.

Политика безопасности информационно-телекоммуникационных технологий (ИТТ) (англ. ІСТ security policy) – правила и сложившаяся практика, которые определяют, как управлять активами организации, в том числе критичной информацией, защищать их и распределять в пределах информационнотелекоммуникационных технологий

ГОСТ Р ИСО/МЭК 13335-1 - 2006

40