3. Принципы организации и этапы разработки комплексной системы защиты информации.

Обеспечение безопасности предприятия должно основываться на следующих основных принципах: системности; комплексно­сти; своевременности; непрерывности защиты; разумной достаточно­сти;

Принцип системности требует применения системного под­хода при анализе и синтезе комплексной системы защиты информации. Суть его заключается в том, что при оценке эффективности мероприятий безопасности не огра­ничиваются рассмотрением только самой системы, но и учитыва­ют влияния на нее внешних факторов.

Принцип комплексности предполагает, что система защиты предприятия должна включать совокупность объектов защиты, сил и средств, принимаемых мер, проводимых мероприятий и действий по обеспечению безопасности.

Принцип своевременности означает, что меры защиты не дол­жны «запаздывать». Например, бесполезно выводить охранную сиг­нализацию на пульт дежурного, который сможет прибыть в слу­чае тревоги на объект охраны лишь спустя полчаса.

Принцип непрерывности: в настоящее время общепринятым является процессный подход к обеспечению безопасности инфор­мации. Защита информации — это не совокупность проведенных мероприятий и установленных средств защиты, а непрерывный целенаправленный процесс, предполагающий принятие соответ­ствующих мер на всех этапах жизненного цикла систем предпри­ятия.

Принцип разумной достаточности учитывает тот факт, что создать абсолютно непреодолимую систему защиты принципи­ально невозможно. При достаточном количестве времени и средств можно преодолеть любую защиту, поэтому имеет смысл вести речь только о некотором приемлемом уровне безопасности.

Принцип простоты применения состоит в том, что механиз­мы защиты должны быть интуитивно понятны и просты в ис­пользовании.

Основными этапами работ по созданию КСЗИ являются:

1. Обследование организации.

Услуги по обследованию организации могут достаточно силь­но различаться у разных поставщиков услуг. Это может быть ана­лиз защищенности вычислительной системы, обследование вы­числительной системы (гораздо более глубокий уровень детализа­ции), обследование организации в целом

- На стадии обследования организации:

• устанавливается наличие секретной (конфиденциальной) ин­формации в разрабатываемой КСЗИ, оценивается уровень кон­фиденциальности и объемы;

• определяется наличие аттестованных помещений, средств за­щиты от утечки по техническим каналам;

• определяются режимы обработки информации

• изучаются принятые в организации правила бумажного доку­ментооборота;

• анализируется возможность использования имеющихся на рынке сертифицированных средств защиты информации;

• определяется степень участия персонала, функциональных служб, специалистов и вспомогательных работников объекта ав­томатизации в обработке информации, характер их взаимодей­ствия между собой и со службой безопасности;

• определяются мероприятия по обеспечению режима секрет­ности на стадии разработки.

  2. Проектирование системы защиты информации.

При проектировании системы информационной безопасности могут быть охвачены как все три уровня защиты — организацион­ный, технический и программно-аппаратный, так и исключительно технический уровень. Это два принципиально разных типа работ и по сути, и по объемам, так как первый предполагает разработку концепции (политики) информационной безопасности, норматив­но-распорядительных документов, различных регламентов и только потом — технического проекта.

2. Внедрение системы защиты информации.

Заказчику выгодно использовать подрядную организацию и не иметь проблем с единовременным привлечением большого коли­чества специалистов по информационной безопасности, контро­лем качества выполняемых работ, выработкой единой политики безопасности.

2. Сопровождение системы информационной безопасности. Оперативное реагирование на внештатные ситуации, периоди­ческое обновление специального ПО, установка необходимых «за­плат» на общесистемное ПО, отслеживание появления новых атак и уязвимостей.

3. Обучение специалистов по защите информации. Обучение руководителей служб безопасности, руководителей IT-подразделений, пользователей средств защиты.

Билет № 11