3.3. Принципы обеспечения информационной безопасности

Принципы построения безопасности информации: комплексность, своевременность и непрерывность, обоснованность и экономическая целесообразность, законность, баланса интересов граждан, общества, государства.

Соблюдение принципа комплексности говорит о том, что бы добиться эффективной безопасности информации, необходимо проводить работы по всем направлениям работ по защите информации (правовые, организационные, технические), перекрытием всех возможных каналов утечки, перехвата информации.

Построение системы обеспечения информационной безопасности акционерного общества должно основываться на следующих основных принципах:

• законность;

• системность и комплексность;

• своевременность и упреждающий характер реализации мер защиты;

• экономическая целесообразность и разумная достаточность;

• научно-техническая обоснованность и практическая реализуемость;

• специализация и профессионализм;

• взаимодействие и координация;

• обязательность и эффективность контроля;

• простота применения защитных мер и средств;

• преемственность и непрерывность совершенствования.

Законность предполагает разработку системы информационной безопасности, на основе использования федерального законодательства в области информации, информатизации и защиты информации, законодательных актов Правительства Российской Федерации, руководящих и нормативно-методических документов ФСТЭК России и ФСБ России (в пределах их компетенции), а также организационно-распорядительных документов Министерств и ведомств по обеспечению информационной безопасности, с применением всех дозволенных методов обнаружения и пресечения правонарушений, при работе с информацией ограниченного доступа.

Системность и комплексность предполагают:

обеспечение безопасности информационных ресурсов в течение всего их жизненного цикла, начиная с анализа её конфиденциальности, на всех этапах их обработки (преобразования) и использования, во всех режимах функционирования технических средств, при информационном взаимодействии, как между отдельными подсистемами, входящими в состав объекта информатизации, так и с внешними информационными системами;

обеспечение равнопрочной защиты информации от всевозможных угроз всеми доступными методами, способами, организационными мерами и техническими средствами;

способность объекта информатизации к развитию и совершенствованию в соответствии с возможными изменениями условий функционирования.

Своевременность и упреждающий характер реализации мер обеспечения информационной безопасности предполагают постановку задач и реализацию мер по комплексной защите информации акционерных обществ, на основе анализа и прогнозирования состояния мирового рынка технических и программных средств и информационных технологий, угроз информационной безопасности.

Экономическая целесообразность и разумная достаточность предполагают адекватность уровня затрат на обеспечение информационной безопасности, ценности информационных ресурсов и величине возможного ущерба от их разглашения, утраты, утечки, уничтожения и искажения.

Научно-техническая обоснованность и практическая реализуемость предполагают, что предлагаемые технические и программные средства и информационные технологии, средства и меры защиты информации должны быть реализованы на современном уровне развития науки и техники, научно обоснованы и технически реализуемы с точки зрения достижения требуемого уровня информационной безопасности и должны соответствовать установленным нормам и требованиям по безопасности информации.

Специализация и профессионализм предполагают привлечение к разработке объектов информатизации и внедрению мер, средств защиты информации специализированных организаций, наиболее подготовленных к деятельности по обеспечению безопасности информационных ресурсов, имеющих опыт практической работы и государственную лицензию на право оказания услуг в этой области. Эксплуатация системы, техническое обслуживание средств защиты информации и контроля за эффективностью их использования, должны осуществляться профессионально подготовленными специалистами.

Взаимодействие и координация предполагают осуществление мер обеспечения информационной безопасности на основе взаимодействия всех заинтересованных структурных подразделений организаций и специализированных организаций-лицензиатов в области защиты информации, привлекаемых для разработки и сопровождения объектов информатизации, обеспечения информационной безопасности их информационных ресурсов, а также координации усилий для достижения поставленных целей обеспечения информационной безопасности.

Обязательность и эффективность контроля предполагают непременное и своевременное обнаружение и пресечение попыток нарушения информационной безопасности, на основе используемых систем и средств защиты информации при совершенствовании критериев и методов оценки эффективности этих систем и средств.

Простота применения защитных мер и средств предполагает, что используемые меры и средства защиты информации не должны приводить к значительным дополнительным трудозатратам при работе законных пользователей, необходимости выполнения ими рутинных операций, заметно ухудшающих экономические показатели работы объектов информатизации (ввод нескольких паролей, имен и т.п.).

Преемственность и непрерывность совершенствования предполагают постоянное совершенствование мер и средств защиты информации на основе преемственности организационных и технических решений, анализа функционирования объектов информатизации, с учётом изменений в методах и средствах защиты информации, нормативных требований по обеспечению информационной безопасности, достигнутого отечественного и зарубежного опыта в этой области.

Принцип своевременности и непрерывностиговорит о том, что система защиты информации не может быть постоянна в неизменном виде и должна периодически анализироваться, и с учётом изменяющихся обстоятельств по реализации угроз (появление или совершенствование систем съёма (перехвата) информации, появление новых внешних и внутренних источников угроз) изменяться (совершенствоваться).

Принцип баланса интересов граждан, общества и государства в информационной сфере предполагает законодательное закрепление приоритета этих интересов в различных областях жизнедеятельности общества, использование общественного контроля деятельности органов государственной власти. Реализация гарантий конституционного права и свобод гражданина, касающегося деятельности в информационной сфере, - важнейшая задача государства в области информационной безопасности.