1.1 Категории пользователей ас, режимы использования и уровни доступа к информации

Описывается штатное расписание предприятия, количество сотрудников, задействованных при работе с ПК и их должностные обязанности, уровень доступа сотрудников к информации; группы пользователей, и функции, которые они выполняют в АИС, например: администраторы серверов (файловых серверов, серверов приложений, серверов баз данных) и ЛВС; администраторы информационной безопасности.

1.2 Карта информационной системы организации

Описывается схема локально-вычислительной сети, активное оборудование (router, switch и т.д.), управляющее оборудование (серверы, регистраторы и т.д.) их роль, конфигурация и настройки, а также используемое программное обеспечение.

1.3 Нормативные документы, регулирующие информационную безопасность

В данном разделе рассматривается правовая основа концепции информационной безопасности организации, и указываются нормативные документы.

Например: Безопасность информации в автоматизированной системе НАЗВАНИЕ ОРГАНИЗАЦИИ определяет систему взглядов на проблему обеспечения безопасности информации в АС организации и представляет собой систематизированное изложение целей и задач защиты, основных принципов построения, организационных, технологических и процедурных аспектов обеспечения безопасности информации в АС организации. Законодательной основой настоящей Концепции являются Конституция Российской Федерации, Гражданский и Уголовный кодексы, законы, указы, постановления, другие нормативные документы действующего законодательства Российской Федерации, документы Государственной технической комиссии при Президенте Российской Федерации (Гостехкомиссии России), Федерального агентства правительственной связи и информации при Президенте Российской Федерации (ФАПСИ), а также нормативно-методические материалы и организационно-распорядительные документы организации, отражающие вопросы обеспечения информационной безопасности автоматизированной системы.

Следует описать современное состояние, а также ближайшие перспективы развития автоматизированной информационной системы. Также рассматриваются, на какие объекты информационной системы она распространяется, и для чего будет являться методологической основой. В завершение данного раздела нужно описать, какие принципы были положены в основу построения системы информационной безопасности.

1.4 Категории информационных ресурсов, подлежащих защите

Описываются уровни конфиденциальности, типы документов, циркулирующих в документообороте АИС, информация, подлежащая защите и на основании каких нормативных документов (в основном это Федеральный закон «Об информации, информатизации и защите информации» от 20 февраля 1995 г. ? 24-ФЗ.).

1.5 Разработка моделей угроз информационной безопасности и моделей нарушителя

В этом разделе описывается модель возможного нарушителя, рассматриваются различные возможности утечки информации по техническим каналам, дается определение умышленным действиям различными лицами, какие пути могут быть для реализации неправомерных действий и какие вообще могут быть угрозы безопасности информации и ее источники.

1.6 Уязвимость основных компонентов АС

Перечислить какие объекты в АИС наиболее уязвимы, что необходимо защищать и для каких целей могут нарушители использовать тот или иной объект автоматизированной информационной системы.

2 Обзор программных и аппаратных средств, обеспечивающих информационную безопасность

Данная глава посвящается рассмотрению таких программных и аппаратных продуктов, как брандмауэры, межсетевые экраны, антивирусные пакеты, систем контроля доступа и др.

3 Разработка основных положений системы управления информационной безопасностью предприятия

3.1 Цели защиты

Основной целью является защита субъектов информационных отношений (интересы которых затрагиваются при создании и функционировании АИС) от возможного нанесения им ощутимого материального, физического, морального или иного ущерба посредством случайного или преднамеренного несанкционированного вмешательства в процесс функционирования АИС или несанкционированного доступа к циркулирующей в ней информации и ее незаконного использования.

Указанная цель достигается посредством обеспечения и постоянного поддержания следующих свойств информации и автоматизированной системы ее обработки: доступность, сохранность, целостность, аутентичность.