12. Планирование информационной безопасности.

Защита информации в современных условиях является уже обязательной функцией любой информационной технологии. Защита информации включает в себя комплекс мероприятий, направленных на обеспечение информационной безопасности. На практике под этим понимается поддержание целостности, доступности и если необходимо конфиденциальности информации и ресурсов, используемых для ввода, хранения, обработки и передачи данных. Информационная безопасность - это защищенность данных и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесению ущерба владельцам или пользователям.

Стоимость программно-аппаратных средств и мероприятий по организации защиты входит в капитальные и эксплуатационные затраты соответственно.

Оценка и анализ угроз с точки зрения вероятности реализации и ущерба от реализации угрозы проводится совместно специалистами по ИТ и ТОР-менеджерами на основе предлагаемых шкал (таблица № 8):

1. Шкала оценки вероятности реализации угрозы:

• очень вероятна – 9-10 баллов,

• вероятна - 5-8 баллов,

• маловероятна -3-5 баллов.

• практически невероятна 1-2 балла.

2. Шкала оценки степени ущерба от реализации угрозы:

• полная потеря данных – 9-10 баллов,

• частичная потеря данных - 3-8 балла,

• возможная потеря данных - 1-2 балла.

Таблица № 8

Оценка угроз

Вид угрозы	Вероятность реализации (бал)	Ущерб (бал)	Общая оценка угрозы (бал)
Угрозы из внешней среды: Отказы источников питания и скачки напряжения, Природные явления (молния, бури и т.д.), Пожары.	9	2	18
	5	6	30
	3	3	9
Ошибки пользователей, операторов	5	5	25
Воровство или вандализм	3	8	24
Несанкционированный доступ к ресурсам	4	4	16
Компьютерные вирусы	8	6	48
Сбои программного обеспечения	3	9	27
Сбои аппаратного обеспечения	4	9	36
Механические повреждения кабеля	2	10	20

Общая оценка угрозы (бал.) определяется произведением вероятностью реализации (бал.) на ущерб от угрозы. Шкалы могут меняться в зависимости от положения предприятия в окружающей среде, положения на рынке, мощности службы безопасности, наличия уже выполненных мероприятий по информационной безопасности и пр. Шкалы могут меняться как по составу угроз, так и по их оценке в баллах в зависимости от результатов рассмотрения этой проблемы специалистами предприятия. Оценка вероятности реализации угрозы и степень ущерба, понесенного в результате ее реализации, максимальной будет для компьютерных вирусов, и менее значимой – для сбоев аппаратного обеспечения. Исходя из порядка ранжирования видов угроз (который определен значением общей оценки угрозы таблицы № 8) формируется очередность мероприятий по защите информации или план организации информационной безопасности. Экспертная оценка вероятности реализации угрозы и степень ущерба для каждого предприятия может быть своя, поэтому, используя методику составления таблицы № 8 для конкретного предприятия, можно составить план организации его информационной безопасности.

Для обеспечения информационной безопасности сети можно применить следующие средства:

• источники бесперебойного питания,

• разграничение прав доступа пользователей,

• пароли и шифрование при входе в сеть,

• специальные средства ЗАС

• защиту от вирусов с помощью специальных программных и/или аппаратных средств,

• организационные и профилактические средства.

В качестве примера разграничения прав доступа пользователей (групп пользователей) к информационным ресурсам можно предложить таблицу 9.

Таблица № 9