Текст лекції
з дисципліни: «Організація та управління службою захисту інформації»
Тема «Задачі та принципи організації підрозділу захисту інформації»
Лекція «Задачі та принципи організації підрозділу захисту інформації»
План проведення заняття
Навчальні питання
Вступ |
1. Задачі служби інформаційної безпеки (найменування першого питання) |
|
|
|
|
2. Взаємодія служби захисту інформації з ІТ-підрозділом (найменування другого питання) |
3. Сфера охоплення інформаційних систем (найменування третього питання) |
4. Оцінка ефективності роботи служби захисту інформації (найменування четвертого питання) |
Контрольні запитання. |
Задачі служби інформаційної безпеки
Взаємодія її з іншими службами
Розміщення служби інформаційної безпеки;
Ієрархія підпорядкування.
Необхідно визначити, де в штатній структурі підприємства повинна бути розташована служба інформаційної безпеки, як вона буде взаємодіяти з іншими підрозділами (особливо з підрозділом інформаційних технологій), скільки начальників повинно стояти між керівником служби безпеки та директором підприємства.
Існує низка рекомендацій щодо питань розміщення, взаємодії та підпорядкування служби безпеки, як сучасні, за правило західні, орієнтовані на електронний світогляд, так і застарілі, радянські, які прийшли до нас від перших відділів. Зазначені процедури дуже залежать від великої кількості факторів конкретного підприємства, може бути навіть таких, як склались неофіційні відносини між співробітниками.
Основними завданнями персоналу є:
адмініструвати наявні засоби безпеки (міжмережеві екрани, антивірусні пакети, системи виявлення атак тощо),
розробляти моделі та схеми захисту інформації, приймати рішення щодо придбання нових засобів безпеки,
контролювати роботу користувачів інформаційного простору підприємства.
Напрямками основного фокусу уваги служби – на внутрішніх користувачів (за статистикою більша кількість порушень інформаційної безпеки – як свідомо так і несвідомо – відбувається всередині установи) або на захист доступа із зовнішнього інформаційного простору.
Питання інформаційної безпеки повинні бути враховані у кожному із перелічених пунктів. Однак прикладне застосування може бути різним і залежати від багатьох причин, які заправило не передбачені західними рекомендаціями, наприклад таких, як брак кваліфікованого персоналу.
Як приклад різних рішень можуть бути дві наступні ситуації: служба інформаційної безпеки тільки виконує аналіз ситуації, розробку моделі та приймає рішення щодо необхідності придбання засобів захисту, а його адміністрування виконується в межах звичайної роботи підрозділу інформаційних технологій. Протилежний варіант – придбання засобів захисту проводиться в межах загальної стратегії розвитку інформаційних технологій установи або підприємства, а конкретні роботи щодо установки та підтримки засобу захисту виконує інформаційної безпеки.