18. Организационно-распорядительные мероприятия.

Организационные мероприятия для обеспечения защиты информации от утечки, модификации или уничтожения включают:

1. Физическая охрана периметра здания офиса;

2. Контроль доступа в помещения АСОИ посторонних лиц, особенно в нерабочее время, должна функционировать пропускная система входа в здание предприятия;

3. Распоряжения о персональном доступе в кроссовое помещение;

4. Учёт ключей и их выдача лицам, утверждённым в специальном списке, имеющим доступ к серверным помещениям, активному оборудованию и конфиденциальной информации; все действия, выполняемые в этих помещениях, должны документироваться и регистрироваться;

5. Документ о конфиденциальных ресурсах и регламент порядка доступа к этой информации;

6. Положения о пользователях АИС, т.е. должны быть указаны какие права и обязанности должен соблюдать пользователь при работе с данной АИС, а также координаты сотрудника или отдела, куда можно обращаться за помощью, если возникли проблемы в процессе работы с системой; права доступа утверждаются руководителем предприятия.

7. Положение об администраторе системы и приказ о его назначении;

8. Заключение договора о конфиденциальности с сотрудниками общества;

9. Регламент о резервном копировании и архивировании, который описывает: кто отвечает за эти действия, а также график их выполнения (предусмотреть количество создаваемых экземпляров при проведении резервного копирования, очередность их перезаписи; архивные копии должны храниться отдельно в разных помещениях, а лучше в разных зданиях).

10. Запрет использования переносных устройств информации (съемные винчестеры, flash-устройства);

11. Должен быть разработан список доступа пользователей к информационным объектам: матрица доступа (каждый сотрудник, использующий АС должен иметь доступ только к той информации, с которой он непосредственно работает);

12. Описание конфигурации серверов, все конфигурационные файлы должны быть зарезервированы (сохранены);

13. Регламент антивирусной защиты;

14. Регламент очистки памяти после выполнения задач, связанных с защищаемой информацией;

15. Регламент действий по восстановлению системы после сбоев;

16. Резервирование аппаратных ресурсов системы (обязательное наличие горячих ресурсов при выходе из строя активного оборудования);

17. Создан список исполнителей регламентов.

19. Проектирование средств защиты информации. Горизонтальная структура.

В разрабатываемой подсистеме (системе) в зависимости от используемых ролей настраиваются права конкретного пользователя, при этом оговариваются набор доступных ему подсистем и перечень операций, которые он может выполнять в каждой из них.

Все пользователи системы, а также файловый сервер должны быть соединены в сеть. Компьютеры пользователей соединены между собой специальным устройствам (Switch/Hub), которые позволяют объединить компьютеры в небольшую локальную сеть. Пользователи должны иметь в своём распоряжении все необходимые дополнительные устройства (сканер, принтер, плоттер и т.д.).

Угрозы безопасности могут быть как внутренние (внутри ЛВС), так и внешние (если к сети есть доступ из внешнего мира, например прямой выход в Internet или при работе с удаленными пользователями).

Внутренние угрозы:

1. Физический доступ к серверам и активному оборудованию: перезагрузка, выключение, выведение из строя противоправными действиями:

1. Обеспечение физической охраны помещения;

2. Выделение отдельного специального помещения для серверов и активного оборудования;

3. Регламент на посещение помещений с активным оборудованием, контроль ключей.

2. Физический доступ к ПЭВМ пользователей: материальный ущерб оборудованию, незаконный доступ к информации с рабочего места пользователя:

1. Обеспечение физической охраны;

2. Регламент работы пользователей в своих помещениях (контроль окон и дверей);

3. Использование на рабочих местах пользователей хранителей экрана;

4. Желательно убрать все устройства для физических носителей;

3. Физический доступ к принтеру: извлечение конфиденциальной информации, напечатанной на данном принтере:

1. Сгруппировать сотрудников предприятия, таким образом, чтобы внутри отдельной группы велась работа только с одной конфиденциальной информацией;

2. произвести настройки сетевых ресурсов, так, чтобы сотрудники выделенных групп могли осуществить печать только на “отведенных” для них устройствах печати.