53.Требования фстэк России по обеспечению безопасности государственных информационных систем.

В информационной системе объектами защиты являются информация, содержащаяся в информационной системе, технические средства, общесистемное, прикладное, специальное ПО, информационные технологии, а также СЗИ.

9. Для обеспечения защиты информации, содержащейся в информационной системе, оператором назначается структурное подразделение или должностное лицо (работник), ответственные за защиту информации.

11. Для обеспечения защиты информации, содержащейся в информационной системе, применяются СЗИ, прошедшие оценку соответствия в форме обязательной сертификации на соответствие требованиям по безопасности информации.

Организационные и технические меры защиты информации должны быть направлены на исключение:

• неправомерных доступа, копирования, предоставления или распространения информации (обеспечение конфиденциальности информации);

• неправомерных уничтожения или модифицирования информации (обеспечение целостности информации);

• неправомерного блокирования информации (обеспечение доступности информации).

13. Для обеспечения защиты информации, содержащейся в информационной системе, проводятся следующие мероприятия:

• формирование требований к защите информации, содержащейся в информационной системе;

• разработка системы защиты информации информационной системы;

• внедрение системы защиты информации информационной системы;

• аттестация информационной системы по требованиям защиты информации (далее - аттестация информационной системы) и ввод ее в действие;

• обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы;

• обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации.

Билет номер 14

14.Понятие «обеспечение информационной безопасности организации». Примеры методов и средств защиты информации.

Обеспечение информационной безопасности организации - это комплекс мер и действий, направленных на защиту конфиденциальной информации от несанкционированного доступа, изменения и уничтожения. (на минимизацию ущерба от возможной реализации таких угроз).

Примеры методов и средств защиты информации:

1. Антивирусное ПО для защиты от вирусов и других вредоносных программ.

2. Файрволл для защиты сети от внешних атак.

3. VPN-сервер для безопасного удаленного доступа к сети организации.

4. Криптографические методы защиты данных, такие как шифрование и электронная подпись.

5. Аутентификация пользователей с помощью паролей, биометрических данных или двухфакторной аутентификации.

6. Обучение сотрудников правилам информационной безопасности и регулярные проверки на утечки данных.

7. Резервное копирование данных для защиты от потери информации в случае сбоя системы или атаки.

ЗАДАЧИ ОРГАНИЗАЦИОННОГО ОБЕСПЕЧЕНИЯ ИБ Организационное обеспечение информационной безопасности заключается в установлении правил и норм, а также в контроле их исполнения.

ЗАДАЧИ ОРГАНИЗАЦИОННОГО ОБЕСПЕЧЕНИЯ ИБ

• Составление и регулярное обновление состава защищаемой информации предприятия, составление перечня защищаемых бумажных, машиночитаемых и электронных документов, регламентация обновления и ведения перечня защищаемой информации и её носителей.

• Создание иерархической системы разграничения доступа персонала к защищаемой информации.

• Выявление угроз защищаемой информации и угроз системе, в которой обрабатывается эта информация.

• Выявление помещений и рабочих зон, выделенных для работы с конфиденциальной информацией, определение необходимости проведения аттестации этих помещений.

• Определение средств защиты информации и охраны, предназначенных для обработки защищаемой информации.

РАБОТА С ПЕРСОНАЛОМ

• Определение методов отбора персонала для работ с защищаемой информацией, методов воспитательной работы с персоналом, требований к обучению и инструктированию сотрудников. • Регламентация порядка защиты ценной информации предприятия от случайных или умышленных несанкционированных действий персонала, а также при внештатных ситуациях.

• Осуществление и регламентация контроля соблюдения сотрудниками порядка защиты информации.

ОРГАНИЗАЦИЯ ЗАЩИЩЁННОГО ДОКУМЕНТООБОРОТА

• Создание и регламентация технологии защиты, обработки и хранения бумажных, электронных документов предприятия, внемашинной технологии защиты электронных документов.

• Ведение перечня защищаемых бумажных, электронных документов, регламентация обновления и ведения перечня защищаемой информации и её носителей.

ОРГАНИЗАЦИЯ ПРОПУСКНОГО РЕЖИМА И ФИЗИЧЕСКОЙ ЗАЩИТЫ ОБЪЕКТА

• Создание и регламентация пропускного и внутриобъектового режима на территории, в здании и помещениях предприятия, предназначенных для обработки защищаемой информации. Оснащение техническими средствами защиты.

• Регламентация порядка защиты информации при проведении совещаний, заседаний, переговоров, приёме посетителей, работе с представителями рекламных агентств, средств массовой информации.

ОРГАНИЗАЦИЯ ПОДРАЗДЕЛЕНИЯ БЕЗОПАСНОСТИ

• Формирование и организация деятельности подразделения по обеспечению безопасности (включая физическую охрану) или информационной безопасности.

• Регламентация работы по управлению системой защиты информации.

• Регламентация эксплуатации средств защиты информации.