5. Административный уровень информационной безопасности.

На  программно-технические методы защиты информации опираются организационные меры. К ним можно отнести:

1.   Разработку политики безопасности;

2.   Проведение анализа рисков;

3.   Планирование обеспечения информационной безопасности;

4.   Планирование действий в чрезвычайных ситуациях;

5.   Подбор механизмов и средств обеспечения информационной безопасности.

Первые два этапа обычно трактуются как выработка политики безопасности и составляют так называемый административный уровень системы ОБИ предприятия.

Третий и четвертый этапы заключаются в разработке процедур безопасности. На этих этапах формируется  уровень планирования системы ОБИ.

На последнем этапе практических мероприятий определяется программно-технический уровень системы ОБИ.

Законы и стандарты в области информационной безопасности являются лишь отправным нормативным базисом системы ОБИ информационной системы. Основой практического построения интегрированной системы является создание административного уровня системы, определяющего генеральное направление работ по ОБИ.

Целью административного уровня является разработка программы работ в области информационной безопасности и обеспечение ее выполнения. Программа представляет официальную политику безопасности, отражающую собственный концептуальный подход организации к ОБИ. Конкретизация политики безопасности выражается в планах по информационной защите АС.

6. Управление рисками.

Риск представляет функцию вероятности

- что данный источник угроз осуществит конкретную уязвимость

- результирующего влияния нежелательного события на организацию

Общая оценка рисков включает следующие шаги:

- характеристика системы

- идентификация угроз

- идентификация уязвимостей

- анализ средств защиты (контроля)

- определение вероятностей (ранжирование частот появление)

- анализ влияния

- определение риска

- рекомендации по средствам защиты (контроля)

- результирующая документация

Операции уменьшения риска:

- принятие риска

- уклонение от риска

- отграничение риска

- планирование риска

- исследование и подтверждения риска

- передача риска

7. Процедурный уровень информационной безопасности.

Классы мер:

- управление персоналом

- физическая защита

- поддержание работоспособности

- реагирование на нарушение режима безопасности

- планирование восстановительных работ

Управление персоналом

Выделяют два общих принципа:

- разделение обязанностей

т.е. распределение ролей и обязанностей, чтобы один человек не мог нарушить критически для организации процесс

- минимизация привилегий

т.е. выделение для пользователей только тех прав, которые необходимы им для выполнения служебных обязанностей

Физическая защита

Информационная безопасность зависит от окружения

«Непрерывная защита в пространстве и времени»

Основные направления:

- физическое управление доступом

- противопожарные меры

- защита поддерживающей инфраструктуры

- защита от перехвата данных

- защита мобильных устройств

Меры физического управления

Позволяют контролировать вход и выход сотрудников и посетителей

Применяется объектный подход:

1. определение периметра безопасности

2. выделение объектов и связей между ними контролируемой территории (декомпозиция)

Средства: двери, замки, перегородки, видеокамеры, датчики движения и прочее

Поддержание работоспособности

Повседневные мероприятия, направленные на поддержание работоспособности информационной системы

Выделяют следующие направления:

- поддержка пользователей

- поддержка ПО

- конфигурационное управление

- резервное копирование

- управление носителями

- документирование

- регламентные работы

Реагирование на нарушения режима безопасности

Действия должны быть заранее спланированы

Основные цели:

- локализация инцидента и уменьшение наносимого вреда

- выявление нарушителя

- предупреждение повторных нарушений

(!) выявление нарушителя и остановка последствий нарушения

Наличие человека из персонала, который постоянно доступен и способен принимать меры по реагированию на нарушение

Планирование восстановительных работ

Основные этапы:

- выявление критически важных функций организации (установка приоритетов)

- идентификация ресурсов, необходимых для выполнения критически важных функций

- определения перечня возможных аварий

- разработка стратегии восстановительных работ

- подготовка к реализации выбранной стратегии

- проверка стратегии