7.3 Организационные механизмы

После того, как сформулирована политика безопасности, можно приступать к составлению программы ее реализации и собственно к реализации. Программа безопасности должна решить следующие задачи:

• Определение, какие данные и насколько серьезно необходимо защищать;

• Определение, кто и какой ущерб может нанести организации в информационном аспекте;

• Вычисление рисков и определение схемы уменьшения их до приемлемой величины.

Построение программы безопасности включает последовательное выполнение следующих шагов (этапов):

Этап 1 – идентификация активов, то есть определение всех объектов, нуждающихся в защите.

Этап 2- Анализ угроз и их последствий

Этап 3 -Оценка рисков (вычисление рисков) - выяснение насколько серьезный ущерб может принести организации раскрытие или иная атака на каждый конкретный информационный объект.

Этап 4 - Выбор защитных мер и их реализация;

Этап 5 -Оценка остаточного риска.

Перечисление этапов показывает, что управление рисками — процесс циклический. По существу, последний этап — это оператор конца цикла, предписывающий вернуться к началу. Риски нужно контролировать постоянно, периодически проводя их переоценку. Перерасчет таблицы рисков и, как следствие, модификация политики безопасности фирмы чаще всего производится раз в два года.

7.4 Физическая защита

Безопасность компьютерной системы зависит от окружения, в котором она работает. Следовательно, необходимо принять меры для защиты зданий и прилегающей территории, поддерживающей инфраструктуры и самих компьютеров.

Выделим следующие направления физической защиты:

• физическое управление доступом,

• противопожарные меры,

• защита от перехвата данных,

• защита мобильных систем.

Меры физического управления доступом позволяют контролировать и при необходимости ограничивать вход и выход сотрудников и посетителей. Контролироваться может все здание организации и, кроме того, отдельные помещения, например, те, где расположены серверы, коммуникационная аппаратура и т.п. Средства физического управления доступом известны давно — это охрана, двери с замками, перегородки, телекамеры, датчики движения и многое другое.

Так например, для организации охраны оборудования (узлов и блоков компьютеров, средств передачи данных) и перемещаемых носителей информации (дискеты, магнитные ленты, распечатки) можно использовать:

• различные замки (механические, с кодовым набором, с управлением от микропроцессора, радиоуправляемые), которые устанавливают на входные двери, ставни, сейфы, шкафы, устройства и блоки системы, микровыключатели, фиксирующие открывание или закрывание дверей и окон;

• специальные наклейки из фольги или другого магнитопроводного материала, которые наклеиваются на все документы, приборы, узлы и блоки системы для предотвращения их выноса из помещения. При этом около выхода из охраняемого помещения размещается специальная установка, принцип действия которой аналогичен действию детектора металлических объектов. Эта установка подает сигнал тревоги при любой попытке вынести за пределы помещения предмет с наклейкой;

• специальные сейфы и металлические шкафы для установки в них отдельных узлов и блоков компьютера для вычислительной системы (принтер, файл-сервер т.п. ) и перемещаемых носителей информации (магнитные ленты, диски, распечатки).

Под физической защитой здесь понимается не только отражение попыток несанкционированного доступа, но и предохранение от вредных влияний окружающей среды (жары, холода, влаги, магнетизма).

Пожары по-прежнему случаются и наносят большой ущерб. Отметим лишь крайнюю желательность установки противопожарной сигнализации и автоматических средств пожаротушения.

Мобильные и портативные компьютеры — заманчивый объект кражи. Их довольно часто оставляют без присмотра, в автомобиле или на работе, и унести и спрятать такой компьютер весьма несложно. Следует настоятельно рекомендовать шифрование данных на жестких дисках ноутбуков и лэптопов.