Основы ИБ

Организационная структура государственной системы защиты информации,

подведомственной органу государственной власти, несет основную нагрузку по формиро-

ванию и развитию системы защиты информации в отдельной отрасли, ведомстве или ре-

гионе. Такие службы входят в состав аппаратов органов государственной власти и, как правило, осуществляют следующие функции по обеспечению безопасности и защиты ин-

формации в сфере компетенции органа государственной власти:

разработка нормативно-методических документов отраслевого (ведомственного,

регионального) уровня по выполнению соответствующих нормативных правовых актов;

разработка и проведение контрольных и надзорных мероприятий в пределах уста-

новленной сферы компетентности органа государственной власти и оформление результатов проведения таких мероприятий;

выдача предписаний об устранении нарушений требований нормативных докумен-

тов отраслевого уровня;

подготовка мотивированных предложений о полном или частичном прекращении деятельности подведомственных объектов управления, в случае, если иными мера-

ми нарушения требований нормативных документов устранить невозможно;

проведение в ходе государственного контроля (надзора) разъяснительной работы по выполнению требований нормативных правовых актов в области обеспечения безопасности и защиты информации.

Специализированные предприятия - разработчики комплексов и средств обеспечения, а также поставщики услуг в области безопасности и защиты информации за-

нимают особое место в государственной системе защиты информации. Именно от степени их развития, уровня и качества поставляемой продукции и услуг зависит безопасность,

устойчивость и надежность функционирования государственных объектов управления, в

том числе ключевых систем информационной инфраструктуры страны. Поэтому недаром одним из обязательных требований к указанным предприятиям и организациям является лицензирование их деятельности уполномоченным органом государственной власти в со-

ответствии с законодательством о государственном регулировании отдельных видов дея-

тельности.

Предлагаемые на рынке этими предприятиями услуги организационного ха-

рактера можно классифицировать в соответствии с этапами жизненного цикла систем обеспечения информационной безопасности:

 обследование (аудит) - услуги, которые могут достаточно сильно различаться у

разных поставщиков. Это может быть только анализ защищенности используемых

55

информационных технологий, либо обследование системы документооборота с уг-

лубленным уровнем детализации, обследование организации в целом, то есть ана-

лиз влияния существующего документооборота на защищенность бизнес-

процессов, проверка (экспертиза) деятельности организации в соответствии с тре-

бованиями нормативных правовых документов и тому подобное;

проектирование системы обеспечения, когда охватывается не только технический уровень, но и все механизмы защиты, включая организационнонормативные ас-

пекты. Такой комплексный подход предполагает разработку концепции информа-

ционной безопасности, нормативно-распорядительных документов, положений и инструкций, причем опережающими темпами по сравнению с технической частью проекта;

внедрение системы защиты информации на договорной основе. Как правило, ис-

пользование специализированной подрядной организации, имеющей соответст-

вующую лицензию, дает больший эффект за счет снятия проблемы привлечения значительного количества штатных специалистов по информационной безопасно-

сти для выполнения работ единовременного характера;

сопровождение систем информационной безопасности третьих лиц (аутсорсинг) и

работ по защите информации – оказание специализированной оперативной помощи

в случае внештатных ситуаций, периодическое обновление специального и обще-

системного программного обеспечения в случае появления новых атак и уязвимо-

стей и так далее;

разработка, изготовление и продажа отдельных технических средств защиты ин-

формации.

Активно развивается также рынок образовательных услуг по обучению специали-

стов по информационной безопасности, руководителей служб безопасности, руководите-

лей IT-подразделений, пользователей отдельных технологий и средств защиты, так как необходимым условием получения лицензии на деятельность в области защиты информа-

ции является наличие персонала необходимого уровня квалификации и подготовки.

Сертификационно-испытательные центры и лаборатории

Среди предприятий и организаций – лицензиатов в области обеспечения безопасности и защиты информации необходимо выделить особую группу организацион-

ных структур, обеспечивающих организационную поддержку сферы технического регу-

лирования. Наряду с лицензированием своей деятельности в области защиты информации такие центры должны пройти дополнительно обязательную процедуру - аккредитацию в качестве сертификационно-испытательные структур, которая в настоящее время осущест-

56

вляется исключительно уполномоченными органами государственной власти. Реформиро-

вание в области технического регулирования, видимо, видоизменит правовую основу ис-

пользования обязательной сертификации как механизма независимого подтверждения ка-

чества продукции и услуг по обеспечению информационной безопасности. Но, в целом наработанные практикой за более чем десятилетний период организационно-

технологические процедуры не претерпят больших изменений и существующие сертифи-

кационно-испытательные центры (лаборатории) по-прежнему будут играть ключевую роль в процессах подтверждения соответствия средств, комплексов и систем защиты ус-

тановленным требованиям по безопасности информации.

Аттестационные центры

Как правило, по объему и характеру организационных процедур аттестаци-

онные центры не имеют существенных отличительных особенностей по сравнению с сер-

тификационно-испытательными центрами, а наиболее известные отечественные компании

– поставщики услуг в области защиты информации имеют аккредитацию по обоим видам деятельности, соответственно, примерно одинаковую организационную структуру.

Службы безопасности и защиты информации объектового уровня незави-

симо от форм собственности являются самой распространенной организационной струк-

турой. Их совокупность по существу и составляет основу (фундамент) системы обеспече-

ния информационной безопасности предприятий, организаций и страны в целом. Поэтому целесообразно рассмотрение вопросов их функционирования выделить в отдельный раз-

дел.

7.7 Службы безопасности объектового уровня

Задачи и функции организационных структур, осуществляющих реализацию спе-

циальных защитных мероприятий на уровне предприятия (организации) определяется ре-

альными потребностями бизнес-процессов, их спецификой и масштабами.

Традиционной задачей таких структур (служб безопасности) хозяйствующих субъ-

ектов является, прежде всего, обеспечение так называемой физической защиты, под кото-

рой подразумевается охрана имущества, материальных и финансовых ценностей, а также в отдельных случаях защита персонала, в частности, руководства от преступных посяга-

тельств. Для решения этой задачи служба безопасности должна обеспечить выполнение следующих функций:

организация пропускного режима, разграничение физического доступа на защищаемые объекты;

57

организация инженерно-технической защиты охраняемых зданий и помеще-

ний объекта;

обнаружение проникновения внешнего нарушителя на охраняемую террито-

рию и принятие соответствующих мер противодействия;

противодействие противоправным действиям нарушителей по отношению к имуществу и активам предприятия;

организация личной охраны персонала.

Менее традиционной, но все более значимой, становится задача обеспечения безо-

пасности бизнес-процессов и всей системы управления объектом, включающая в себя за-

щиту нематериальных активов и информационных ресурсов (информационная безопас-

ность), а также участие в управлении персоналом в части обеспечения лояльности и бла-

гонадежности. Реализация такой задачи подразумевает выполнение следующих дополни-

тельных функций:

разведка и контрразведка, в том числе изучение криминальных аспектов рынка, организация противодействия экономическому шпионажу, сбор на законных основаниях информации о деловых партнерах и других лицах,

имеющих контакты с предприятием;

организация противодействия недобросовестной конкуренции, выявление фактов противоправного использования нематериальных активов и интел-

лектуальной собственности;

организация секретного и конфиденциального делопроизводства и ведения конфиденциальных переговоров;

обеспечение безопасности автоматизированных информационных техноло-

гий, а также информации, циркулирующей в компьютерных сетях;

противодействие технической разведке, то есть способам несанкциониро-

ванного съема информации с помощью технических средств;

проведение служебных расследований обстоятельств разглашения сведений,

составляющих различные виды тайн;

оценка лояльности и благонадежности персонала путем проведения в рам-

ках, установленных законом, оперативно-розыскных мероприятий и выяв-

ление неблагонадежных сотрудников (группы риска) с помощью различных методов тестирования;

58

подготовка персонала, в том числе нештатных сотрудников, формирование правосознания и культуры поведения всех сотрудников предприятия по во-

просам обеспечения его безопасности;

оценка эффективности работы структурных подразделений, входящих в со-

став службы безопасности и защиты информации.

Вслучае создания полномасштабной собственной системы безопасности и защиты информации наиболее эффективной является трехуровневая структура стратегического,

тактического и оперативного управления. На уровне стратегического управления осу-

ществляется задание жизненно важных интересов объекта, его бизнес-процессов и крите-

риев обеспечения их защищенности, выделение необходимого ресурсного обеспечения.

Очевидно, что решение этих задач должно быть сосредоточено на уровне высшего руко-

водства, в структуре топ-менеджмента объекта, которое утверждает соответствующую концепцию его развития. Тактическое управление осуществляет руководитель службы безопасности или должностное лицо, на которое возложены соответствующие обязанно-

сти, его заместители и руководители структурных подразделений. Основная задача такти-

ческого управления – формирование корпоративной нормативно-методической базы, за-

дание требований по обеспечению безопасности, их реализация и контроль выполнения.

Оперативное управление включает в себя практическую реализацию защитных функций,

в том числе эксплуатацию специализированных технических средств и проведение орга-

низационных процедур, и осуществляется как штатными, так и нештатными сотрудника-

ми службы безопасности, выполняющими соответствующие функции наряду с основной деятельностью.

Полномасштабный комплекс обеспечения безопасности предприятия включает в себя следующие штатные и нештатные структуры:

совет или комиссии по различным вопросам обеспечения безопасности, воз-

главляемые топ-менеджментом предприятия;

руководство службой безопасности и руководимые им консультативно-

экспертные группы;

охранное подразделение;

инженерно-техническое подразделение;

аналитическую группу;

подразделение секретного делопроизводства и ведения конфиденциальных переговоров;

противодействия технической разведке и технической защиты информации;

59

администрирования информационно-управляющих систем по требованиям безопасности информации;

оценки лояльности и благонадежности персонала, его подготовки в области обеспечения безопасности;

аудиту систем обеспечения безопасности и оценки их эффективности.

Конкретная реализация структуры службы безопасности находится в компетенции первого руководителя предприятия. Номенклатура штатных и нештатных должностей службы безопасности на уровне предприятия может включать в себя все перечисленные выше должности специализированных организационных структур. Кроме этого, в подраз-

делениях системы управления предприятием, не связанных напрямую с обеспечением безопасности, на практике часто вводится штатная либо нештатная должность админист-

ратора информационной безопасности. Основной обязанностью такого специалиста яв-

ляется обеспечение защиты информационных ресурсов и администрирование соответст-

вующих средств защиты информации на уровне конкретного подразделения.

Для малых предприятий с небольшими объемами бизнеса и численностью работ-

ников обязанности по выполнению ряда вышеперечисленных функций возлагаются на от-

дельных ответственных сотрудников. На предприятиях среднего масштаба создается от-

дельное относительно небольшое подразделение, координирующее и контролирующее выполнение функций по обеспечению безопасности другими подразделениями предпри-

ятия. Крупные фирмы и корпорации развивают службу безопасности до полномасштабной структуры, имеющей все необходимые полномочия и ресурсы для решения поставленных задач.

При этом следует иметь в виду, что выполнение охранных функций, в том числе защиту личного состава, в соответствии с действующим законодательством могут осуще-

ствлять либо вневедомственная охрана МВД России, либо частные охранные предпри-

ятия, действующие на основе законодательства о частной детективной и охранной дея-

тельности. Частным охранным предприятиям разрешается оказывать различные услуги, в

том числе по вооруженной охране имущественных ценностей при транспортировке и за-

щиты жизни и здоровья персонала. Кроме этого, охранные предприятия обеспечивают проектирование, монтаж и обслуживание средств охранно-пожарной сигнализации, кон-

салтинговые услуги по вопросам правомерной защиты от противоправных посягательств.

Другой пример использования договорных услуг по обеспечению требований ин-

формационной безопасности характерен для предприятий и организаций негосударствен-

ных форм собственности, не имеющих собственных подразделений по защите государст-

венной тайны. По действующему законодательству они в случае необходимости могут за-

60

ключать с государственными организациями договоры об использовании услуг их режим-

но-секретных органов (РСО), обеспечивающих секретное делопроизводство и режимные мероприятия в соответствии с лицензией на проведение работ с использованием сведений,

составляющих государственную тайну, и на оказание услуг по защите указанных сведе-

ний.

В ходе информатизации малые и средние предприятия все чаще используют такую форму договорных услуг как аутсорсинг информационных технологий, включая вопросы обеспечения информационной безопасности.

Одной из распространенных форм организационного обеспечения безопасности объекта, отражающей комплексный характер рассматриваемой проблемы и один из мето-

дов ее решения, является создание отдельных комиссий. Такие нештатные структуры вы-

полняют на временной или постоянной основе отдельные экспертные или контрольно-

ревизионные функции по обеспечению безопасности, в частности инвентаризацию иму-

щественных ценностей, нематериальных активов и информационных ресурсов, эксперти-

зу материалов, подготовленных к публикации в средствах массовой информации, аттеста-

цию персонала. Включение в комиссии сотрудников различных подразделений из струк-

туры управления предприятием позволяет скоординировать их взаимодействие и в целом повысить эффективность совместной деятельности.

7.8 Корпоративная нормативная база по защите информации

В силу множественности форм собственности, возможных вариантов структурного построения корпораций (предприятий, организаций, учреждений) и организации ими биз-

нес-процессов, корпоративные нормативные требования отличаются значительным разно-

образием.

Основное назначение корпоративной нормативной базы состоит в обеспечении ме-

тодологического и концептуального единства при решении всех вопросов зашиты инфор-

мации. Основываясь на законодательных нормах, корпоративные акты должны обеспе-

чить нормативно-правовое регулирование процессов защиты информации на конкретном объекте с учетом специфики и масштабов его бизнес-процессов. В соответствии с обще-

признанным принципом методологического и концептуального единства всех решений по защите информации нормативная база должна образовывать единую упорядоченную сис-

тему документов, построенную на так называемых типовых образцах. Под типовым об-

разцом понимается такой документ, который отработан в соответствии с действующим законодательством, прошел достаточно широкую общественную апробацию и согласован

61

уполномоченными ФОИВ. Часто в качестве аналога типовых документов используются так называемые «хорошие практики», то есть методические рекомендации, получившие общественное признание в кругу специалистов, в том числе на мировом уровне.

Документы корпоративного уровня, регламентирующие различные аспекты орга-

низации деятельности по защите информации на рабочих местах, должны составлять наи-

более представительную группу нормативной базы. В минимальный набор таких доку-

ментов входят, в частности, положения о службе безопасности объекта и ее структурных подразделениях. Типовой формат таких документов предусматривает наличие следующих разделов:

общая часть, в которой формулируется цель создания той или иной структу-

ры, ее основные задачи;

источники норм или перечень нормативных актов, на основе которых орга-

низована деятельность службы и ее структурных подразделений;

функции службы, включающие подробное изложение тех специальных ме-

роприятий, которые должна осуществлять служба безопасности и ее под-

разделения для выполнения поставленных перед ними задач;

структура и состав службы как организационной основы осуществления функциональной деятельности;

номенклатура должностей, определяющая квалификационные требования к штатному и нештатному персоналу службы;

права и обязанности руководителя службы и его подразделений, на основе которых задается правовой статус службы безопасности в общей системе управления предприятием, и меры ответственности за выполнение постав-

ленных задач.

Особую подгруппу корпоративных нормативных документов так называемого про-

цедурного уровня составляют инструкции по организации конкретных функциональных видов деятельности по обеспечению безопасности объекта (специальных мероприятий). В

перечень таких инструкций входят, в частности:

порядок организации охраны предприятия;

организация пропускного и внутриобъектового режима;

организация эксплуатации технических средств охраны и защиты информа-

ции;

организация секретного делопроизводства;

порядок взаимодействия с правоохранительными органами;

62

порядок применения физической силы и огнестрельного оружия;

организация служебных расследований по фактам нарушения установлен-

ных требований безопасности;

администрирование комплексов и средств защиты информации и т.д.

Общий объем необходимых инструкций, их содержание и структура определяется службой безопасности с учетом специфики и масштабов бизнес-процессов корпорации и утверждается на уровне руководства корпорации, что позволяет применить к нарушите-

лям установленных требований меры дисциплинарного воздействия.

Не менее актуальным в составе корпоративной нормативной базы является массив должностных инструкций конкретных работников, входящих в состав службы безопасно-

сти и его подразделений. Типовая структура должностной инструкции предусматривает наличие описания функциональных обязанностей сотрудника, его права по их выполне-

нию, а также меры ответственности за нарушение своих обязанностей.

Корпоративная нормативная база, как и любое другое средство защиты информа-

ции, имеет свой срок морального старения, определяющий жизненный цикл документов.

При нынешних условиях бурной информатизации процессов управления корпорацией,

широкого внедрения современных информационных технологий их срок жизненного цик-

ла оценивается от одного до трех лет. Такой же период необходимо устанавливать и для пересмотра, переработки и переутверждения нормативных документов корпоративного уровня.

В последнее время широкое внедрение компьютерных технологий и острая по-

требность в обеспечении их информационной безопасности привели к появлению ряда интересных решений проблемы унификации и стандартизации в рассматриваемой сфере.

Эти решения являются «хорошими практиками», утвержденными на уровне международ-

ных и отечественных национальных стандартов. В частности, предложены унифициро-

ванные подходы по формированию нормативно-методической базы по управлению (ме-

неджменту) комплексами обеспечения информационной безопасности на основе так на-

зываемой политики безопасности корпорации.

7.9 Политика безопасности

Существуют различные подходы к определению понятия политика безопасности.

Так согласно стандарту ГОСТ Р ИСО/МЭК 15408–1÷3–2002 «Информационная техноло-

гия. Методы и средства обеспечения безопасности. Критерии оценки безопасности ин-

формационных технологий» [7.25], более известным как «Общие критерии», политика

63

безопасности – это одно или несколько правил, процедур, практических приемов или ру-

ководящих принципов в области безопасности, которыми руководствуется организация в своей деятельности.

Однако существуют и другие, в целом аналогичные, толкования этого термина:

формальная спецификация правил и рекомендаций, на основе которых поль-

зователи используют, накапливают и распоряжаются информационными ре-

сурсами и технологическими ценностями[7.26];

набор норм, правил и практических приемов, которые регулируют управле-

ние, защиту и распределение ценной информации;

полное описание всех информационных потоков, с указанием, откуда, куда,

кому и какими протоколами разрешен доступ к внутренним и внешним ре-

сурсам, а также набор организационных документов, в которых прописан регламент предоставления данных услуг, прекращения их предоставления,

регламент выделения ресурсов и т.д.;

совокупность документированных управленческих решений, направленных на защиту информационных ресурсов организации. Это позволяет обеспе-

чить эффективное управление и поддержку политики в области информаци-

онной безопасности со стороны руководства организации.

Некоторое различие в указанных определениях подтверждает возможное многооб-

разие подходов к практической реализации комплексов обеспечения информационной безопасности. Обобщая их, под политикой безопасности объекта будем понимать упоря-

доченную документированную совокупность управленческих и проектно-

технологических решений по созданию необходимого комплекса обеспечения информа-

ционной безопасности.

Традиционные документы процедурного характера (положения, инструкции) яв-

ляются нормативными предписаниями, как организовать то или иное конкретное меро-

приятие или механизм защиты информации. В отличие от них политика скорее должна ответить на вопрос, что нужно сделать, чтобы в условиях ограниченных ресурсов, тем не менее, обеспечить непрерывность бизнес-процессов за счет эффективной защиты ресур-

сов и активов. Именно при наличии хорошей политики безопасности можно применить продуманные (плановые, программные) методы создания соответствующего эффективно-

го организационно-технологического комплекса. Ведь правильная постановка задачи – это уже половина успеха.

Требования к процессу создания политики безопасности должны отражать реаль-

ные потребности и не противоречить традициям и внутренней культуре организации. Это

64