60. Организационные методы защиты информации

Организационные методы защиты включают:

1. физическое ограничение доступа

Территориальное ограничение доступа включает:

– выделение специальной территории для размещения средств автоматизации

– размещение по периметру специальных ограждений и охранной сигнализации

– сооружение специальных зданий и других построек

– выделение специальных помещений в здании

– создание контрольно-пропускного режима на территории здания и помещений.

2. контроль доступа к аппаратуре

Предоставить каждому пользователю отдельные компьютеры сложно, поэтому используются системы контроля вскрытия аппаратуры.

Установка таких систем имеет смысл при перекрытии всех технических подходов к аппаратуре, включая пульты управления компьютерами, средства загрузки программ, внешние кабельные соединители.

Контроль вскрытия аппаратуры необходим не только для защиты данных, но и для соблюдения технологической дисциплины.

Часто при эксплуатации параллельно решению основных задач производится ремонт или профилактика аппаратуры и может оказаться, что случайно забыли подключить кабель или изменили программу обработки данных. В подобных случаях контроль доступа к аппаратуре сигнализирует об этом.

3. контроль доступа к данным и носителям информации

Начинается с разграничения доступа к данным, циркулирующим в системе, т.е. деление доступа к данным на части и организация доступа к ним должностных лиц в соответствии с их должностными обязанностями и полномочиями.

Основная задача – это защита данных от нарушителя среди законных пользователей.

Препятствие — метод физического преграждения пути злоумышленнику к защищаемой информации (к аппаратуре, носителям информации и т.д.).

Управление доступом — методы защиты информации регулированием использования всех ресурсов ИС и ИТ. Эти методы должны противостоять всем возможным путям несанкционированного доступа к информации. Управление доступом включает следующие функции защиты:

• идентификацию пользователей, персонала и ресурсов системы

(присвоение каждому объекту персонального идентификатора);

• опознание (установление подлинности) объекта или субъекта по предъявленному им идентификатору;

• проверку полномочий (проверка соответствия дня недели, времени суток; запрашиваемых ресурсов и процедур установленному регламенту);

• разрешение и создание условий работы в пределах установленного регламента;

• регистрацию (протоколирование) обращений к защищаемым ресурсам;

• реагирование (сигнализация, отключение, задержка работ, отказ в запросе и т.п.) при попытках несанкционированных действий.

Механизмы шифрования — криптографическое закрытие информации.

Эти методы защиты все шире применяются как при обработке, так и при хранении информации на магнитных носителях. При передаче информации по каналам связи большой протяженности этот метод является единственно надежным.

Противодействие атакам вредоносных программ предполагает комплекс разнообразных мер организационного характера и использование антивирусных программ. Цели принимаемых мер — это уменьшение вероятности инфицирования АИС, выявление фактов заражения системы; уменьшение последствий информационных инфекций, локализация или уничтожение вирусов; восстановление информации в ИС.

Системный подход к построению системы защиты, означающий оптимальное сочетание взаимосвязанных организационных программных, аппаратных, физических и других свойств, подтвержденных практикой создания отечественных и зарубежных систем защиты и применяемых на всех этапах технологического цикла обработки информации.

При рассмотрении вопросов безопасности информации такая деятельность относится к организационным методам защиты информации. Организационные методы защиты информации включают меры, мероприятия и действия, которые должны осуществлять должностные лица в процессе создания и эксплуатации КС (компьютерные системы) для обеспечения заданного уровня безопасности информации.

Организационные методы защиты информации тесно связаны с правовым регулированием в области безопасности информации. В соответствии с законами и нормативными актами в министерствах, ведомствах, на предприятиях (независимо от форм собственности) для защиты информации создаются специальные службы безопасности (на практике они могут называться и иначе). Эти службы подчиняются, как правило, руководству учреждения. Руководители служб организуют создание и функционирование систем защиты информации. На организационном уровне решаются следующие задачи обеспечения безопасности информации в КС:

- организация работ по разработке системы защиты информации;

- ограничение доступа на объект и к ресурсам КС;

- разграничение доступа к ресурсам КС;

- планирование мероприятий;

- разработка документации;

- воспитание и обучение обслуживающего персонала и пользователей;

- сертификация средств защиты информации;

- лицензирование деятельности по защите информации;

- аттестация объектов защиты;

- совершенствование системы защиты информации;

оценка эффективности функционирования системы защиты информации;

контроль выполнения установленных правил работы в КС.

Организационные методы являются стержнем комплексной системы защиты информации в КС. Только с помощью этих методов возможно объединение на правовой основе технических, программных и криптографических средств защиты информации в единую комплексную систему.

Среди организационных мероприятий по обеспечению безопасности информации важное место занимает охрана объекта, на котором расположена защищаемая АИТ (территория здания, помещения, хранилища информационных носителей). При этом устанавливаются соответствующие посты охраны, технические средства, предотвращающие или существенно затрудняющие хищение средств вычислительной техники, информационных носителей, а также исключающие несанкционированный доступ к АИТ и линиям связи.

Организационные средства осуществляют своим комплексом регламентацию производственной деятельности в ИС и взаимоотношений исполнителей на нормативно-правовой основе таким образом, что разглашение, утечка и несанкционированный доступ к конфиденциальной информации становится невозможным или существенно затрудняется за счет проведения организационных мероприятий. Комплекс этих мер реализуется группой информационной безопасности, но должен находиться под контролем первого руководителя.