внутренние субъективные источники угроз безопасности информации - действия лиц, имеющих доступ к работе со штатными средствами ИС и (или) допуск в пределы контролируемой зоны.

К объективным источникам относятся:

• стихийные источники потенциальных угроз информационной безопасности, которые являются внешними по отношению к ИС и под которыми понимаются прежде всего природные явления (пожары, землетрясения, наводнения и т.п.);

• источники, связанные с техническими средствами ИС, которые являются внутренними по отношению к ИС и включают в себя:

1. передачу информации по проводным и волоконно-оптическим каналам передачи данных;

2. дефекты, сбои и отказы технических средств ИС (средств обработки информации и программно-технических средств защиты информации ИС);

3. отказы и сбои программных средств обработки информации.

Виды угроз

Угрозы информационной безопасности ИС можно разделить на следующие виды:

• атаки;

• угрозы, не являющиеся атаками.

Атака является целенаправленным действием нарушителя с использованием технических и (или) программных средств, с целью нарушения заданных характеристик безопасности защищаемых ресурсов ИС или с целью создания условий для этого.

Атаки на информационные ресурсы ИС подразделяются на следующие виды:

• атаки, реализуемые через каналы, возникающие за счет использования технических средств съема (добывания) информации, обрабатываемой в ИС (технические каналы утечки информации);

• атаки, реализуемые за счет несанкционированного доступа к защищаемой информации в ИС с применением программных и программно-аппаратных средств.

Угрозы, не являющиеся атаками, могут быть следующими:

• угрозы, не связанные с деятельностью человека (стихийные бедствия и природные явления);

• угрозы социально–политического характера (забастовки, саботаж, локальные конфликты и т.д.);

• угрозы техногенного характера (отключение электропитания, системы заземления, разрушение инженерных сооружений, неисправности, сбои аппаратных средств, нестабильность параметров системы электропитания, заземления, помехи и наводки, приводящие к сбоям в работе аппаратных средств и т.д.);

• ошибочные или случайные действия и (или) нарушения тех или иных требований лицами, взаимодействующими с ресурсами ИС в рамках своих полномочий (непреднамеренные действия пользователей ИС).

Атаки и угрозы, не являющиеся атаками, способны привести к совершению НСД к защищаемым ресурсам ИС и нарушению принятых для ИС характеристик безопасности, а именно:

• нарушению конфиденциальности защищаемой информации;

• нарушению целостности защищаемой информации и (или) аппаратно-программных средств ИС;

• нарушению доступности защищаемой информации и (или) аппаратно-программных средств ИС.

В связи с тем, что модель угроз предназначена для разработки требований, определяющих организационно-режимные и технические мероприятия по защите информации в ИС, а все факторы воздействия, характерные для угроз, несвязанных с деятельностью человека, также могут быть вызваны действиями нарушителя, угрозы, не связанные с деятельностью человека (стихийные бедствия и природные явления, угрозы техногенного и социально–политического характера), в рамках данной модели не рассматриваются.

Таким образом, угрозы информационной безопасности ИС полностью реализуются через действия потенциальных нарушителей, т.е. через атаки.

По способу реализации угрозы информационной безопасности подразделяются на:

• угрозы, связанные с НСД к ПДн (в том числе угрозы внедрения вредоносных программ);

• угрозы утечки ПДн по техническим каналам утечки информации;

• угрозы специальных воздействий на ИС.

Угрозы НСД в ИС могут осуществляться как при непосредственном доступе к ТС ИС, так и с использованием каналов связи. Угрозы НСД в ИС могут осуществляться с применением:

• средств общесистемного программного обеспечения;

• специально разработанных средств НСД;

• вредоносного ПО.

Так как на практике атаки, связанные с НСД к ПДн, как правило, осуществляются комбинацией вышеперечисленных способов реализации, в рамках данной модели принята классификация угроз НСД по каналу доступа нарушителя – непосредственный доступ или доступ с использованием протоколов межсетевого взаимодействия.

Угрозы утечки по техническим каналам включают в себя:

• угрозы утечки видовой информации;

• угрозы утечки речевой информации;

• угрозы утечки по каналам ПЭМИН.

Угрозы утечки по техническим каналам могут осуществляться как в пределах КЗ, так и из-за границы КЗ.

Специальные воздействия включают в себя, в том числе механические, термические и электромагнитные воздействия. Угрозы специальных воздействий на ИС могут осуществляться при непосредственном физическом доступе на объекты, в которых размещаются ТС ИС.

Ход выполнения практической работы:

1. Повторить теоретические вопросы, связанные с определением источников, способов и результатами дестабилизирующего воздействия. Проанализировать угрозы безопасности информации и последствия от их реализации, представленные в таблице 1.

Таблица 1 – Угрозы безопасности информации и последствия от их реализации

Продолжение таблицы 1

Продолжение таблицы 1

Продолжение таблицы 1

2 Определить и описать возможные угрозы для заданного объекта информатизации по схеме, предлагаемой в таблице 2

Таблица 2 – Возможные угрозы

3. Проанализировать возможные каналы утечки информации. В выводах перечислить возможные каналы утечки информации. Дополнительно результаты продемонстрировать с помощью схемы (например, рис.1).

Рисунок 1 – Обобщенная схема технических каналов утечки информации:

1 - утечка за счет структурного звука в стенах и перекрытиях; 2 - съем информации с ленты принтера, плохо стертых дискет и т.п.; 3 - съем информации с использованием видеозакладок; 4 - программно-аппаратные закладки и ПК; 5 - радиозакладки в стенах и мебели; 6 - съем информации по системе вентиляции; 7 - лазерный съем акустической информации с окон; 8 - производственные и технологические отходы; 9 - компьютерные вирусы, логические бомбы и т.д.; 10 - съем информации за счет наводок и «навязывания»; 11 - дистанционный съем видеоинформации (оптика);12 - съем акустической информации с использованием диктофонов; 13 - хищение носителей информации; 14 - высокочастотный канал утечки в бытовой технике; 15 - съем информации направленным микрофоном;16 - внутренние каналы утечки информации (через обслуживающий персонал); 17 - несанкционированное копирование; 18 - утечка за счет побочного излучения информации; 19 - съем информации за счет использования «телефонного уха»; 20 - съем информации с клавиатуры по акустическому каналу; 21 - съем информации с дисплея по электромагнитному каналу; 22 - визуальный съем информации с дисплея и принтера; 23 - наводки по линии коммуникации и сторонние проводники; 24 - утечка через линии связи; 25 - утечка по цепям заземления; 26 - утечка по сети электрочасов; 27 - утечка по трансляционной сети и громкоговорящей связи; 28 - утечка по охранно-пожарной сигнализации; 29 - утечка по сети; 30 - утечка по сети отопления, газо - и водоснабжения, электропитания

Практическая работа № 4 Построение модели нарушителя

Задачи практической работы:

– Дать характеристики основных групп нарушителей;

– Определить возможных нарушителей защиты рассматриваемого объекта информатизации;

– Определить каналы, используемые нарушителем для доступа к защищаемым ресурсам ИС

Исходные данные:

Исходными данными являются данные полученные в практической работе №1, 2, 3

Теоретический материал

Модель нарушителя ИС

Модель нарушителя типовой ИС разрабатывается для определения типового перечня угроз информационной безопасности ИС.

Модель нарушителя ИС содержит предположения о возможностях нарушителя, которые он может использовать для реализации угроз, а также об ограничениях на эти возможности. Угрозы (атаки) готовятся и проводятся нарушителем, причем возможность реализации угрозы обусловлена возможностями нарушителя, а именно его информационной и технической вооруженностью.

Описание потенциального нарушителя информационной безопасности ИС

Под нарушителем понимается физическое лицо, случайно или преднамеренно совершающее действия, следствием которых является нарушение безопасности защищаемой информации при ее обработке в ИС.

Целями несанкционированных действий нарушителя, способных привести к совершению НСД к защищаемым ресурсам ИС и нарушению принятых для ИС характеристик информационной безопасности, являются:

• нарушение целостности защищаемых ресурсов;

• нарушение конфиденциальности защищаемых ресурсов;

• нарушение доступности защищаемых ресурсов;

• создание условий для последующего проведения атак.

Возможными направлениями несанкционированных действий нарушителя в том числе являются:

• доступ к защищаемой информации с целью нарушения ее конфиденциальности (хищение, ознакомление, перехват);

• доступ к защищаемой информации с целью нарушения ее целостности (модификация данных);

• доступ к техническим и программным средствам ИС с целью постоянного или временного нарушения доступности защищаемой информации для легального пользователя;

• доступ к техническим и программным средствам ИС с целью внесения в них несанкционированных изменений, создающих условия для проведения атак;

• доступ к средствам защиты информации с целью изменения их конфигурации.

При разработке Модели предполагалось, что доступ к защищаемой информации нарушитель может получить путем:

• преодоления (обхода) средств и системы защиты информации, систем контроля доступа;

• использования специальных программных средств (в том числе вредоносного ПО) или уязвимостей легально используемого ПО;

• использования специализированных средств съема (добывания) информации по техническим каналам;

• использование средств специальных воздействий;

• внедрения аппаратных закладных устройств.

Закладные устройства, как правило, активируются путем программно-математических воздействий, реализованных при непосредственном физическом доступе к ТС, либо путем удаленного сетевого воздействия.

Типы нарушителей информационной безопасности ИС

Нарушители информационной безопасности ИС могут быть следующих типов:

• внешние нарушители, осуществляющие атаки из-за пределов контролируемой зоны ИС;

• внутренние нарушители, осуществляющие атаки, находясь в пределах контролируемой зоны ИС.

В зависимости от категории обрабатываемых персональных данных изменяются категории лиц, заинтересованных в несанкционированном получении информации ограниченного доступа, то есть изменяются возможности потенциального нарушителя информационной безопасности. В таблице Error: Reference source not found актуальность угрозы для каждой категории персональных данных определяется по колонке «Категории ПДн».

Внешний нарушитель

К внешним нарушителям ИС относятся следующие группы лиц:

• представители криминальных структур;

• другие физические лица, пытающиеся получить доступ к информации в инициативном порядке, в том числе «хакеры» и т.п.

Внешний нарушитель может осуществлять попытки НСД к информации из-за границы КЗ, в том числе с использованием каналов передачи данных.

Предположения об информационной и технической вооруженности внешнего нарушителя

Внешний нарушитель может обладать следующей информацией и данными об ИС:

• знаниями функциональных особенностей ИС;

• высоким уровнем знаний в области технических средств;

• сведениями о средствах защиты информации (в том числе применяемых в ИС);

• данными об уязвимостях ИС, включая данные о недокументированных возможностях технических средств ИС;

• информацией о возможных и существующих способах (методах) реализации атак;

• знаниями в области программирования и вычислительной техники.

Средства, используемые внешним нарушителем для доступа к защищаемой информации ИС

Состав и характеристики имеющихся у нарушителя средств существенно определяются имеющимися у него возможностями по их приобретению или разработке. Возможности нарушителя по использованию имеющихся средств зависят от реализованной в ИС политики безопасности.

Внешний нарушитель может использовать следующие средства доступа к защищаемой информации:

• средства, подключаемые к сетям связи общего пользования;

• средства активации аппаратных закладок;

• имеющиеся в свободной продаже программные средства прослушивания каналов передачи данных;

• имеющиеся в свободной продаже программные средства модификации данных при их передаче по каналам связи;

• специальные программные средства для осуществления несанкционированного доступа, в том числе вредоносное ПО.

Внутренний нарушитель

Возможности внутреннего нарушителя ИС существенным образом зависят от действующих в пределах КЗ ограничительных факторов, основными из которых являются организационные, режимные, инженерно-технические и другие меры, направленные на:

• предотвращение и пресечение несанкционированных действий лиц, имеющих доступ в КЗ ИС;

• подбор и расстановку кадров для работы с ИС;

• организацию контроля и разграничения доступа физических лиц в КЗ, а также к штатным средствам ИС и в помещения, в которых они расположены;

• контроль над порядком проведения работ;

• контроль над соблюдением требований документации, определяющей политику безопасности ИС (в том числе, контроль над выполнением режимных мер, регламентирующих порядок обращения с информацией, обрабатываемой в ИС).

Исходя из прав доступа лиц к ресурсам ИС, потенциальных внутренних нарушителей можно разделить на следующие категории:

Категория I: зарегистрированный пользователь с полномочиями администратора ИС (системного администратора, администратора безопасности). Лица данной категории являются доверенными (в силу реализованных организационных, режимных и кадровых мероприятий), и как нарушители информационной безопасности не рассматриваются. Администраторы ИС проходят инструктаж по вопросам обработки информации в ИС, допускаются к работе с ресурсами ИС после проверки знаний ими положений соответствующих должностных инструкций, в связи с чем рассмотрение их ошибочных действий, способных привести к нарушению информационной безопасности ИС, в рамках данной модели не проводится.

Категория II: зарегистрированный пользователь ресурсов АС.

Нарушитель категории II может обладать следующей информацией и данными о ИС:

• атрибутами, обеспечивающими доступ к некоторому подмножеству ресурсов (например, паролем, легальным именем доступа);

• сведениями о структуре, функциях, принципах, механизмах действия и правилах работы технических средств и средств защиты информации в объеме эксплуатационной документации;

• знаниями функциональных особенностей ИС;

• сведениями о ресурсах ИС: порядок и правила создания, хранения и передачи информации, форматы сообщений, структура и свойства информационных потоков;

• данными об уязвимостях ИС, включая данные о недокументированных возможностях технических средств ИС;

• данными о реализованных в системе и средствах защиты информации принципах и алгоритмах;

• сведениями о возможных для ИС каналах атак;

• информацией о способах атак.

Нарушитель категории II обладает следующими средствами доступа к ресурсам ИС:

• штатными средствами ИС (компьютером, подключаемым непосредственно к СВТ ИС);

• имеющимися в свободной продаже программными средствами прослушивания каналов передачи данных;

• имеющимися в свободной продаже программными средствами модификации данных при их передачи по каналам связи;

• общедоступными компьютерными вирусами;

• общедоступным программным обеспечением, предназначенным для подготовки и осуществления применения программных средств скрытого информационного воздействия.

Лица категории II могут исключаться из числа потенциальных нарушителей в зависимости от организационных и кадровых мероприятий, принятых в учреждении, эксплуатирующем ИС, с учетом категории персональных данных: предполагается, что лица категории II могут быть заинтересованы в получении ПДн категории I и II.

Категория III: лица, имеющие санкционированный доступ в помещения с размещаемыми ТС из состава ИС, но не имеющие санкционированного доступа к ресурсам ИС.

Нарушитель категории III может обладать следующей информацией и данными о ИС:

• знаниями об «именах» (логинах) зарегистрированных пользователей;

• знаниями функциональных особенностей ИС;

• любыми фрагментами информации о топологии сети (коммуникационной части подсети) и об используемых в ИС коммуникационных протоколах и их сервисах;

• данными об уязвимостях ИС, включая данные о недокументированных возможностях технических и программных средств ИС;

• данными о реализованных в системе и средствах защиты информации ИС принципах и алгоритмах;

• сведениями о возможных для ИС каналах атак;

• информацией о способах атак.

Нарушитель категории III обладает следующими средствами доступа к ресурсам ИС:

• оставленными без присмотра штатными средствами ИС;

• имеющимися в свободной продаже программными средствами прослушивания каналов передачи данных;

• имеющимися в свободной продаже программными средствами модификации данных при их передаче по каналам связи;

• общедоступными компьютерными вирусами;

• общедоступным программным обеспечением, предназначенным для подготовки и осуществления применения программных средств скрытого информационного воздействия.

Категория IV: сотрудники подразделений (организаций), выполняющие разработку прикладного программного обеспечения, ремонт и восстановление работоспособности ТС ИС.

Лица категории IV:

• обладают информацией о программах обработки информации ИС, а также о реализованных в данных программах алгоритмах;

• обладают возможностями внесения ошибок (в том числе вредоносного ПО) в ИС на стадии разработки и сопровождения;

• могут располагать любыми фрагментами информации о топологии ЛВС, технических средствах обработки и средствах защиты информации, применяемых в типовой ИС.

Каналы, используемые нарушителем для доступа к защищаемым ресурсам ИС

Возможные каналы доступа к ресурсам ИС

При попытке доступа к защищаемым ресурсам ИС (попытке атаки) нарушитель в общем случае может использовать следующие каналы:

• каналы непосредственного доступа к объекту атаки (визуальный, физический);

• общедоступные каналы связи, по которым осуществляется передача информации ограниченного доступа;

• технические каналы утечки информации.

На основании анализа организационно-режимных мероприятий, регламентирующих эксплуатацию ИС, особенностей размещения типовых ИС (ИС эксплуатируется внутри КЗ соответствующих подразделений, в объеме помещения сосредоточено большое количество однородных СВТ, используются качественные сбалансированные симметричные и экранированные линии) и обработки информации (в ИС используются современные способы кодирования данных и низкоэнергетические шумоподобные способы модулирования сигналов), а также анализа возможностей групп лиц, заинтересованных в осуществлении НСД к информации ИС (п. 3.2.1, 3.2.2) можно сделать вывод о том, что утечка ПДн по ТКУИ не позволяет получить в течение обозримого периода времени доступ к существенному объему ПДн и потенциальный внешний нарушитель не обладает необходимыми знаниями и средствами (в том числе финансовыми и временными ресурсами) для осуществления перехвата защищаемой информации по техническим каналам утечки, использование технических средств разведки внутренним нарушителем исключается организационно-режимными мероприятиями.

С учетом реализованных на объектах Операторов организационно-технических мер по ограничению доступа в помещения, в которых размещаются ТС ИС, внесение в пределы КЗ средств осуществления специальных воздействий исключен.

Таким образом, возможность съема нарушителем обрабатываемой в ИС информации по каналам ПЭМИН и угрозы специальных воздействий в данной модели не рассматриваются.

В типовых ИС не предусмотрены голосовой ввод и воспроизведение информации конфиденциального характера, а также ее обсуждение в процессе обработки, в связи с чем угрозы утечки акустической информации в данной модели не рассматриваются.

Каналы, используемые внутренним нарушителем для доступа к защищаемым ресурсам ИС

Для осуществления доступа к ресурсам ИС внутренний нарушитель может использовать следующие каналы атак:

• визуальный канал утечки информации;

• физический доступ к штатным программно-аппаратным средствам из состава ИС;

• носители информации, в том числе съемные;

• каналы связи ИС, по которым осуществляется передача ПДн.

Каналы, используемые внешним нарушителем для доступа к защищаемым ресурсам ИС

Для осуществления доступа к ресурсам ИС внешний нарушитель может использовать следующие основные каналы атак:

• визуально-оптический канал;

• носители информации (НЖМД, flash-накопители, оптические диски и т.д.), использованные в процессе эксплуатации ИС и оказавшиеся за пределами КЗ;

• общедоступные каналы связи, по которым осуществляется передача информации ограниченного доступа.

Ход выполнения практической работы:

1. Составить модель нарушителя на основании квалификации в области информационных технологий (приложение В). Результаты оформить в таблице 3.

Таблица 3 – Образец составления модели нарушителя

2 На основании полученных результатов сделать выводы и дать письменное описание каждого возможного нарушителя.

ПРИЛОЖЕНИЕ В

РУКОВОДЯЩИЙ ДОКУМЕНТ Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации

Утверждена решением Государственной технической комиссии при Президенте Российской Федерации от 30 марта 1992 г.

1. Общие положения

1.1. Настоящий документ излагает систему взглядов, основных принципов, которые закладываются в основу проблемы защиты информации от несанкционированного доступа (НСД), являющейся частью общей проблемы безопасности информации.

1.2. Концепция предназначена для заказчиков, разработчиков и пользователей СВТ и АС, которые используются для обработки, хранения и передачи требующей защиты информации.

2. Определение нсд

2.1. При анализе общей проблемы безопасности информации выделяются те направления, в которых преднамеренная или непреднамеренная деятельность человека, а также неисправности технических средств, ошибки программного обеспечения или стихийные бедствия могут привести к утечке, модификации или уничтожению информации.

Известны такие направления исследования проблемы безопасности информации, как радиотехническое, побочные электромагнитные излучения и наводки, акустическое, НСД и др.

2.2. НСД определяется как доступ к информации, нарушающий установленные правила разграничения доступа, с использованием штатных средств, предоставляемых СВТ или АС.

Под штатными средствами понимается совокупность программного, микропрограммного и технического обеспечения СВТ или АС.

3. Основные принципы защиты от нсд

3.1. Защита СВТ и АС основывается на положениях и требованиях существующих законов, стандартов и нормативно-методических документов по защите от НСД к информации.

3.2. Защита СВТ обеспечивается комплексом программно-технических средств.

3.3. Защита АС обеспечивается комплексом программно-технических средств и поддерживающих их организационных мер.

3.4. Защита АС должна обеспечиваться на всех технологических этапах обработки информации и во всех режимах функционирования, в том числе при проведении ремонтных и регламентных работ.

3.5. Программно-технические средства защиты не должны существенно ухудшать основные функциональные характеристики АС (надежность, быстродействие, возможность изменения конфигурации АС).

3.6. Неотъемлемой частью работ по защите является оценка эффективности средств защиты, осуществляемая по методике, учитывающей всю совокупность технических характеристик оцениваемого объекта, включая технические решения и практическую реализацию средств защиты.

3.7. Защита АС должна предусматривать контроль эффективности средств защиты от НСД. Этот контроль может быть либо периодическим, либо инициироваться по мере необходимости пользователем АС или контролирующими органами.

4. Модель нарушителя в ас

4.1. В качестве нарушителя рассматривается субъект, имеющий доступ к работе со штатными средствами АС и СВТ как части АС.

Нарушители классифицируются по уровню возможностей, предоставляемых им штатными средствами АС и СВТ. Выделяется четыре уровня этих возможностей.

Классификация является иерархической, т.е. каждый следующий уровень включает в себя функциональные возможности предыдущего.

4.2. Первый уровень определяет самый низкий уровень возможностей ведения диалога в АС - запуск задач (программ) из фиксированного набора, реализующих заранее предусмотренные функции по обработке информации.

Второй уровень определяется возможностью создания и запуска собственных программ с новыми функциями по обработке информации.

Третий уровень определяется возможностью управления функционированием АС, т.е. воздействием на базовое программное обеспечение системы и на состав и конфигурацию ее оборудования.

Четвертый уровень определяется всем объемом возможностей лиц, осуществляющих проектирование, реализацию и ремонт технических средств АС, вплоть до включения в состав СВТ собственных технических средств с новыми функциями по обработке информации.

4.3. В своем уровне нарушитель является специалистом высшей квалификации, знает все об АС и, в частности, о системе и средствах ее защиты.

5. Основные способы нсд

К основным способам НСД относятся:

- непосредственное обращение к объектам доступа;

- создание программных и технических средств, выполняющих обращение к объектам доступа в обход средств защиты;

- модификация средств защиты, позволяющая осуществить НСД;

- внедрение в технические средства СВТ или АС программных или технических механизмов, нарушающих предполагаемую структуру и функции СВТ или АС и позволяющих осуществить НСД.

6. Основные направления обеспечения защиты от нсд

6.1. Обеспечение защиты СВТ и АС осуществляется:

- системой разграничения доступа (СРД) субъектов к объектам доступа;

- обеспечивающими средствами для СРД.

6.2. Основными функциями СРД являются:

- реализация правил разграничения доступа (ПРД) субъектов и их процессов к данным;

- реализация ПРД субъектов и их процессов к устройствам создания твердых копий;

- изоляция программ процесса, выполняемого в интересах субъекта, от других субъектов;

- управление потоками данных в целях предотвращения записи данных на носители несоответствующего грифа;

- реализация правил обмена данными между субъектами для АС и СВТ, построенных по сетевым принципам.

6.3. Обеспечивающие средства для СРД выполняют следующие функции:

- идентификацию и опознание (аутентификацию) субъектов и поддержание привязки субъекта к процессу, выполняемому для субъекта;

- регистрацию действий субъекта и его процесса;

- предоставление возможностей исключения и включения новых субъектов и объектов доступа, а также изменение полномочий субъектов;

- реакцию на попытки НСД, например, сигнализацию, блокировку, восстановление после НСД;

- тестирование;

- очистку оперативной памяти и рабочих областей на магнитных носителях после завершения работы пользователя с защищаемыми данными;

- учет выходных печатных и графических форм и твердых копий в АС;

- контроль целостности программной и информационной части как СРД, так и обеспечивающих ее средств.

6.4. Ресурсы, связанные как с СРД, так и с обеспечивающими ее средствами, включаются в объекты доступа.

6.5. Способы реализации СРД зависят от конкретных особенностей СВТ и АС. Возможно применение следующих способов защиты и любых их сочетаний:

- распределенная СРД и СРД, локализованная в программно-техническом комплексе (ядро защиты);

- СРД в рамках операционной системы, СУБД или прикладных программ;

- СРД в средствах реализации сетевых взаимодействий или на уровне приложений;

- использование криптографических преобразований или методов непосредственного контроля доступа;

- программная и (или) техническая реализация СРД.

РУКОВОДЯЩИЙ ДОКУМЕНТ

Автоматизированные системы. Защита от несанкционированного доступа к информации Классификация автоматизированных систем и требования по защите информации

Утверждено решением председателя Государственной технической комиссии при Президенте Российской Федерации от 30 марта 1992 г.

2. Требования по защите информации от нсд для ас

2.1. Защита информации от НСД является составной частью общей проблемы обеспечения безопасности информации. Мероприятия по защите информации от НСД должны осуществляться взаимосвязано с мероприятиями по специальной защите основных и вспомогательных средств вычислительной техники, средств и систем связи от технических средств разведки и промышленного шпионажа.

2.2. В общем случае, комплекс программно-технических средств и организационных (процедурных) решений по защите информации от НСД реализуется в рамках системы защиты информации от НСД (СЗИ НСД), условно состоящей из следующих четырех подсистем:

- управления доступом;

- регистрации и учета;

- криптографической;

- обеспечения целостности.

2.3. В зависимости от класса АС в рамках этих подсистем должны быть реализованы требования в соответствии с пп. 2.4, 2.7 и 2.10. Подробно эти требования сформулированы в пп. 2.5, 2.6, 2.8, 2.9 и 2.11-2.15.

2.4. Требования к АС третьей группы

Обозначения:

- " - " - нет требований к данному классу;

- " + " - есть требования к данному классу.

2.5. Требования к классу защищенности 3Б:

Подсистема управления доступом:

должны осуществляться идентификация и проверка подлинности субъектов доступа при входе в систему по паролю условно-постоянного действия, длиной не менее шести буквенно-цифровых символов.

Подсистема регистрации и учета:

должна осуществляться регистрация входа (выхода) субъектов доступа в систему (из системы), либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения АС.

В параметрах регистрации указываются:

- дата и время входа (выхода) субъекта доступа в систему (из системы) или загрузки (останова) системы;

- должен проводиться учет всех защищаемых носителей информации с помощью их любой маркировки и с занесением учетных данных в журнал (учетную карточку).

Подсистема обеспечения целостности:

должна быть обеспечена целостность программных средств СЗИ НСД, обрабатываемой информации, а также неизменность программной среды.

При этом:

- целостность СЗИ НСД проверяется при загрузке системы по наличию имен

(идентификаторов) компонент СЗИ;

- целостность программной среды обеспечивается отсутствием в АС средств разработки и отладки программ;

- должна осуществляться физическая охрана СВТ (устройств и носителей информации), предусматривающая контроль доступа в помещения АС посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения АС и хранилище носителей информации, особенно в нерабочее время;

- должно проводиться периодическое тестирование функций СЗИ НСД при изменении программной среды и персонала АС с помощью тест-программ, имитирующих попытки НСД;

- должны быть в наличии средства восстановления СЗИ НСД, предусматривающие ведение двух копий программных средств СЗИ НСД и их периодическое обновление и контроль работоспособности.

Практическая работа № 5 Разработка модели угроз информационной безопасности

Задачи практической работы:

– . Изучить теоретический материал по теме практической работы;

– Определить способы реализации атак на ИС, источники угроз (нарушителей) и категории видов тайн.

– Заполнить таблицу

Исходные данные:

Исходными данными являются данные полученные в практической работе №1, 2, 3

Теоретический материал

Модель угроз информационной безопасности ИС

Модель угроз предназначена для выявления актуальных угроз информационной безопасности ИС с целью последующей разработки требований, определяющих организационно-режимные и технические мероприятия по защите информации ограниченного распространения, обрабатываемой в типовой ИС, а также передаваемой техническими средствами типовой ИС по незащищенным каналам передачи данных.

Пример типовой модели угроз безопасности ИС

Для ИС Операторов в общем случае актуальны следующие типовые угрозы:

• угрозы, связанные с НСД к ПДн (в том числе угрозы внедрения вредоносных программ):

• угрозы, осуществляемые при непосредственном физическом доступе к ТС ИС:

1. кража (утеря) носителей информации;

2. несанкционированный доступ к информации, хранящейся на съемных носителях (в том числе оказавшихся за пределами КЗ);

3. восстановление защищаемой информации и информации об ИС путем анализа выведенных из употребления носителей информации;

4. несанкционированный доступ к ПДн;

5. модификация, уничтожение, блокирование информации;

6. нарушение работоспособности АРМ из состава ИС;

7. нарушение работоспособности коммутационного оборудования, каналов связи ИС;

8. несанкционированное (в том числе непреднамеренное) отключение средств защиты информации;

9. внедрение вредоносного ПО;

10. проведение атак, основанных на использовании уязвимостей и НДВ средств, взаимодействующих со средствами защиты информации и способных повлиять на их функционирование;

11. установка ПО, не предназначенного для исполнения служебных обязанностей;

12. установка аппаратных закладок в приобретаемые ПЭВМ;

13. внедрение аппаратных закладок посторонними лицами после начала эксплуатации ИС;

14. подбор аутентифицирующей информации пользователей (администраторов);

15. вывод информации на неучтенные носители (в том числе вывод на печать);

16. утечка защищаемой информации;

17. модификация технических средств ИС, внесение неисправностей в технические средства;

18. модификация программных средств ИС;

19. модификации программных средств защиты, изменение их настроек;

20. модификация ведущихся в электронном виде регистрационных протоколов;

• угрозы, осуществляемые с использованием протоколов межсетевого взаимодействия:

1. анализ сетевого трафика с перехватом передаваемой из ИС и принимаемой в ИС из внешних сетей информации;

2. модификация защищаемой информации при ее передаче по каналам связи;

3. получение сведений об программно-аппаратных средствах ИС путем прослушивания каналов связи;

4. разглашение информации путем передачи ее по электронной почте, системам обмена моментальными сообщениями и т.п.;

5. внедрение по сети вредоносных программ;

6. создание нештатных режимов работы программных (программно-аппаратных) средств за счет преднамеренных изменений служебных данных;

7. создание нештатных режимов работы программных (программно-аппаратных) средств за счет преднамеренных изменений передаваемой информации;

8. получение доступа (проникновение) в операционную среду АРМ с использованием штатного программного обеспечения и протоколов сетевого взаимодействия (средств операционной системы или прикладных программ общего применения);

9. отказ в обслуживании;

10. выявление паролей;

11. навязывание ложного маршрута путем несанкционированного изменения маршрутно-адресных данных внутри сети;

12. навязывание ложного маршрута путем несанкционированного изменения маршрутно-адресных данных во внешних сетях;

13. сканирование, направленное на выявление типа или типов используемых операционных систем, сетевых адресов рабочих станций ИС, топологии сети, открытых портов и служб, открытых соединений и др.;

14. внедрение ложного объекта как в ИС, так и во внешних сетях;

15. подмена доверенного объекта;

• угрозы утечки по техническим каналам утечки информации:

1. просмотр информации на дисплее лицами, не допущенными к обработке ПДн;

• просмотр информации на дисплее лицами, не допущенными к обработке ПДн с использованием технических (в т.ч. оптических) средств.

Способы атак определяют типовой перечень актуальных угроз безопасности ИС, то есть определяют типовую модель угроз безопасности.. Описание типовой угрозы включает в себя:

• способ реализации угрозы;

• источник угрозы – категорию нарушителя ;

• тип информационной системы, для которого данная угроза актуальна (см. таблицу Error: Reference source not found);

• категории персональных данных , для которых данная угроза актуальна.

Ход выполнения практической работы:

1. Определить способы реализации атак на ИС, источники угроз (нарушителей) и категории видов тайн. Заполнить этими данными таблицу 1.

Таблица 1 – Типовой перечень угроз безопасности ИС

Добавить в таблицу данные по угрозам при работе с коммерческой и конфиденциальной информацией.

Практическая работа № 6 Разработка проекта подсистемы защиты информации для автоматизированной системы (ас)

Задачи практической работы:

– Разработать проект подсистемы защиты информации для автоматизированной системы (АС);

– Создать подсистему опознания и разграничения доступа для АС;

– Создать матрицу разграничения полномочий

– Создать журнал входа-выхода в/из системы для регистрации событий

Исходные данные:

Исходными данными являются данные полученные в практической работе №1, 2, 3, 4

Теоретический материал

1. Разработать проект подсистемы защиты информации для автоматизированной системы (АС). Согласно РД Гостехкомиссии РФ «Концепция ….» (Приложение В) основной подсистемой защиты от НСД является система разграничения доступа (СРД). СРД состоит из обеспечивающей и функциональной части.

В документе «Политика безопасности на предприятии» (Приложение А) в разделе «Основные требования и рекомендации по защите информации» говорится: «АС, обрабатывающая информацию на предприятии «ЗАО «Спецстрой»», содержащая сведения, составляющие служебную тайну или персональные данные, имеют класс защищенности не ниже 3Б, 2Б, и 1Г».

Создаваемая подсистема должна удовлетворять требованиям класса 3Б (приложение В).

Сформировать требования для проектируемой подсистемы управления доступом класса 3Б, привести их в соответствующем разделе «Требования к подсистеме контроля и управления доступом в автоматизированной системе».

2. Создать подсистему опознания и разграничения доступа для АС, субъекты которой: сметчик, начальник отдела кадров, инженер-проектировщик, бухгалтер, системный администратор. Данные АС структурированы в таблицу (базу данных), содержащую следующие поля: фамилия работника, табельный номер, оклад, квалификация сотрудника, код проекта, стоимость проекта.

Создать таблицу кодов паролей по образцу, приведённому в таблице 1.

Таблица 1 – Таблица кодов паролей

3. Создать матрицу разграничения полномочий по образцу (табл.2). Матрица разграничения полномочий является математической моделью подсистемы разграничения доступа (тип доступа: RW - «чтение/запись», R – «чтение»).

Согласно требованиям класса защищенности 3Б необходимо регистрировать вход в систему всех пользователей.

Таблица 2 – Матрица разграничения полномочий

4 Создать журнал входа-выхода в/из системы для регистрации событий (табл. 3).

Таблица 3 – Журнал входа-выхода в/из системы для регистрации событий

Признаки:

1- успешный вход

2 – попытка НСД

3- блокировка

Практическая работа № 7 Разработка модели защиты

Задачи практической работы:

– Изучить теоретические вопросы разработки модели защиты;

– Заполнить таблицу методов защиты

Исходные данные:

Исходными данными являются данные полученные в практической работе №1, 2, 3

Теоретический материал

Типовая модель защиты

В типовой модели защиты ИС предлагается ряд организационных и технических мер и механизмов, которые необходимо предпринять для реализации защиты информации в типовых ИС.

На основании типовой модели защиты и частной модели угроз ИС Оператора разрабатывается частная модель защиты ИС Оператора. Данная модель включает в себя меры и механизмы противодействия актуальным для ИС Оператора угрозам. При формировании модели защиты ИС Оператора допускается осуществлять выборку методов и механизмов защиты, основываясь на показателе опасности конкретной угрозы. Этот показатель имеет три значения:

• низкая опасность – применяется, если реализация угрозы может привести к незначительным негативным последствиям для субъектов персональных данных;

• средняя опасность – применяется, если реализация угрозы может привести к негативным последствиям для субъектов ПДн;

• высокая опасность – применяется, если реализация угрозы может привести к значительным негативным последствиям для субъектов ПДн.

В случае, если угроза имеет высокую опасность, должны быть применены все механизмы защиты Типовой модели. В случае определения низкого или среднего показателя опасности допускается исключение части механизмов при условии реализации соответствующих организационных мер.

Например, если в ИС обрабатываются персональные данные 2 категории жителей одного района, угроза установки ПО, несвязанного с выполнением служебных обязанностей, является актуальной, но имеет низкий показатель опасности, а в случае, если в ИС обрабатываются данные жителей города – высокую. В первом случае достаточно реализации организационных мер, препятствующих установке ПО, несвязанного с исполнением служебных обязанностей, во втором - необходимо использовать весь комплекс мер Типовой модели защиты, включая средства реализации замкнутой программной среды.

Типовая модель защиты информации в ИС представлена в таблице 1.

Таблица 1 – Угрозы и меры по их нейтрализации

Таблица 2- Типовая модель защиты информации в ИС

Практическая работа № 8 Выбор основных механизмов и средств обеспечения безопасности информации.

Задачи практической работы:

– Проанализировать материал по выбору механизмов и средств обеспечения безопасности информации;

– Заполнить таблицу методов защиты

Исходные данные:

Исходными данными являются данные полученные в практической работе №1, 2, 3

Ход выполнения практической работы

1. Заполните таблицу

При выборе программно-технических мер защиты можно воспользоваться предлагаемым перечнем средств защиты:

Системы антивирусной защиты

1. Лаборатория Касперского:

Open Space Security Suite.

2. ООО «Доктор Веб»:

Dr.Web Enterprise Security Suite.

3. Компания ESET:

ESET NOD32 Business Edition;

ESET NOD32 Business Edition Smart Security.

4. Symantec:

Symantec Endpoint Protection;

Другие продукты линейки безопасности Symantec.

5. Trend Micro:

Trend Micro Enterprise Security Suite.

6. McAfee:

McAfee Total Protection for Endpoint — Enterprise Edition;

Другие продукты линейки безопасности McAfee.

7. Avira:

Avira Business Bundle.

8. BitDefender:

BitDefender© Client Security;

9. Microsoft:

Forefront Protection Suite.

10. AVAST

avast! Enterprise Suite

11. Panda:

Panda Security for Enterprise.

Системы защиты информации от несанкционированного доступа

1. СЗИ от НСД Dallas Lock 7.7

Производитель: ООО «Конфидент»

СЗИ от НСД Dallas Lock 7.7 предназначена для защиты информации от НСД на ПЭВМ в ЛВС, а также для разграничение полномочий пользователей по доступу к файловой системе и другим ресурсам компьютера. Разграничения касаются всех пользователей – локальных, сетевых, доменных, терминальных.

2. Программно-аппаратный модуль «Аккорд-NT /2000»

Производитель: ОКБ САПР

Программно-аппаратный комплекс средств защиты информации (ПАК СЗИ) Аккорд-NT/2000 V3.0 предназначен для разграничения доступа пользователей к рабочим станциям, терминалам и терминальным серверам.

3. DeviceLock 6.4.1

Производитель: Смарт Лайн Инк

Система идентификации и аутентификации пользователей

1. Сертифицированные ключи eToken

Производитель: Aladdin

Электронные ключи eToken – персональное средство аутентификации и защищённого хранения данных, аппаратно поддерживающее работу с цифровыми сертификатами и электронной цифровой подписью (ЭЦП).

2. eToken TMS (Token Management System)

Производитель: Aladdin

eToken TMS (Token Management System) — система, предназначенная для внедрения, управления, использования и учета аппаратных средств аутентификации пользователей (USB-ключей и смарт-карт eToken) в масштабах предприятия.

3. Система одноразовых паролей Aladdin eToken OTP

Производитель: Aladdin

eToken NG-OTP (Java) — комбинированный USB-ключ с генератором одноразовых паролей. Обладает всем функционалом электронных ключей eToken PRO (Java) для использования в PKI-системах и автономным режимом работы без подключения к компьютеру.

Криптографические средства защиты

1.Система Secret Disk NG (производство Alladin) предназначена для защиты информации на ПК и съемных носителях информации.

2. Программное решение ViPNet SafeDisk предназначено для организации безопасного хранения конфиденциальной информации и удобной работы с ней на персональном компьютере.

3. ViPNet CUSTOM — VPN

4. КриптоПро CSP и КриптоПро УЦ. С помощью данных решений компании КриптоПро возможно построение удостоверяющего центра организации и использования криптографической защиты.

Сетевая защита (системы предотвращения (IPS) вторжений)

1. Cisco IPS 4240

Производитель: Cisco

Cisco IPS 4240 обнаруживает вредоносную активность в сети за счет выявления аномалий на уровне протоколов или общего трафика, либо сопоставления событий, описываемых сигнатурами, с состоянием TCP-соединения и предотвращает её.

2. Check Point IPS-1

Производитель: Check Point

3. ПО Honeypot Manager

Производитель: Информзащита

ПО Honeypot Manager позволяет сымитировать систему хранения данных с помощью специальных сенсоров, отслеживает активность на имитируемой СУБД и уведомляет о фактах НСД к данным.

Cистемы фильтрации содержимого (почта, Internet)

1. InfoWatch Traffic Monitor Enterprise

Производитель: InfoWatch

InfoWatch Traffic Monitor Enterprise – комплексное модульное программное решение, предназначенное для защиты корпоративной информации от утечки или несанкционированного распространения.

2. Websense Data Security

Производитель: Websense

Websense Data Security Suite предотвращает утечки конфиденциальной информации за счет оперативного анализа данных и автоматического применения политик безопасности, независимо от того, работают пользователи в корпоративной сети, или вне ее.

3. Symantec Data Loss Prevention

Производитель: Symantec

Symantec Data Loss Prevention упрощает обнаружение и защиту наиболее ценной информации организации – интеллектуальной собственности.

Анализ защищенности

1. Positive Technologies:

Система контроля защищенности и соответствия стандартам MaxPatrol;

Сетевой cканер безопасности XSpider 7.x.

2. GFI:

Сетевой сканер безопасности GFI LANguard.

3. eEye Digital Security:

Сканер web-приложений Retina Web Security Scanner;

Сетевой сканер безопасности Retina Network Security Scanner.

4. Lumension:

Сканер безопасности Lumension® Scan.

5. Imperva:

Сканер безопасности баз данных Scuba.

6. Outpost24:

Система периметральной оценки уязвимостей Outpost24 Outscan;

Система внутренней оценки уязвимостей Outpost24 HIAB.

7. Acunetix:

Сканер web-уязвимостей Web Vulnerability Scanner.

8. Tenable Network Security:

Сканер безопасности Tenable Nessus.

9. Qualys:

Система автоматического аудита и сканирования уязвимостей QualysGuard Vulnerability Management.

10. Fortify:

Система тестирования безопасности веб-приложений HP WebInspect.

11. SAINT:

Сканер безопасности SAINTscanner™.

12. IBM:

Продукты линейки IBM ISS и IBM Tivoli.

13. ЗАО НПО «Эшелон»:

Система комплексного анализа защищенности «Сканер-ВС».

14. ЗАО «ЦБИ – сервис»:

Сетевой сканер «Ревизор сети»

Анализатор сетевого трафика «Астра»

Для поиск альтернативных программно-аппаратных средств защиты информации можно воспользоваться сайтами поставщиков и производителей:

http://www.confident.ru

http://www.cobra.ru

www.gas-is.spb.ru

www.guardnt.ru

www.okbsapr.ru

www.securitycode.ru

www.ancud.ru

www.fstec.ru

http://www.cps.tver.ru

Практическая работа № 9 Распределение функций по защите информации

Задачи практической работы:

– Ознакомиться с обеспечением взаимодействия между субъектами, защищающими и использующими информацию ограниченного доступа

– Распределить функции по защите информации в соответствии с занимаемыми должностями.

Теоретический материал

Обеспечение взаимодействия между субъектами, защищающими и использующими информацию ограниченного доступа

Взаимодействие между персоналом предприятия и службой защиты информации может быть обеспечено путем определения соответствующих обязанностей персонала предприятия и предоставления соответствующих полномочий службе защиты информации.

Полномочия службы защиты информации могут быть закреплены в должностных обязанностях персонала, а также в положении о службе защиты информации (или разделе положения о службе безопасности предприятия). Наиболее важными из этих полномочий являются:

• подчиненность сотрудников службы защиты информации строго определенным должностным лицам (как правило, руководителю предприятия, его заместителю по безопасности и должностным лицам службы защиты информации — по подчиненности);

• предоставление права проверять наличие материалов, содержащих информацию ограниченного доступа и порядок обращения с ними у всего персонала предприятия;

• персонал предприятия обязан выполнять требования представителей службы защиты информации, связанные с соблюдением установленного порядка разработки, обращения, хранения, передачи (пересылки), уничтожения носителей информации ограниченного доступа;

• службе защиты информации предоставляется право проводить служебные расследования по фактам нарушений установленного порядка разработки, обращения, хранения, передачи (пересылки), уничтожения носителей информации ограниченного доступа разработки;

• персонал обязан давать объяснения представителям службы защиты информации по вопросам, связанным с нарушением установленного порядка разработки, обращения, хранения, передачи (пересылки), уничтожения носителей информации ограниченного доступа.

Кроме того, руководство предприятия может осуществлять негласный контроль за действиями персонала согласно Закону Российской Федерации 1992 г. «О частной детективной и охранной деятельности в Российской Федерации»*. В этих целях в установленных случаях должна быть получена лицензия на частную детективную деятельность, а устав (положение) о службе безопасности предприятия, согласованный с органами внутренних дел, предусматривает следующие виды деятельности (приведен пример из действующего устава службы безопасности одной из коммерческих фирм):

• сбор сведений по гражданским делам;

• изучение рынка, сбор информации для деловых переговоров, выявление некредитоспособных или ненадежных деловых партнеров;

• установление обстоятельств неправомерного использования в предпринимательской деятельности фирменных знаков и наименований, недобросовестной конкуренции, а также разглашения сведений, составляющих коммерческую тайну;

• выяснение биографических и других характеризующих личность данных об отдельных гражданах (с их письменного согласия) при заключении ими трудовых и иных контрактов;

• поиск утраченного имущества;

• сбор сведений по уголовным делам;

• защита жизни и здоровья граждан;

• охрана имущества собственников, в том числе при его транспортировке;

• проектирование, монтаж и эксплуатационное обслуживание средств охранно-пожарной сигнализации;

• консультирование и подготовка рекомендаций клиентам по вопросам правомерной защиты от противоправных посягательств;

• изучение деятельности фирмы, открытой информации о конкурирующих фирмах для своевременного внесения предложений по разработке и корректировке перечня сведений, составляющих коммерческую тайну; после утверждения перечня руководителем незамедлительное ознакомление с ним исполнителей закрытых работ в части, касающейся их;

• осуществление контроля за правильностью засекречивания и рассекречивания работ, документов, изданий, материалов;

• оценка классифицированных документов с целью предотвращения включения в них излишних данных;

• подготовка списка лиц, имеющих право классифицировать информацию;

• составление плана размещения и ведение учета помещений, в которых руководителем после соответствующей аттестации разрешено постоянное или временное хранение носителя коммерческой тайны, а также проведение закрытых работ;

• составление и корректировка списка лиц, которые могут быть допущены к закрытым сведениям, необходимым им для выполнения служебных обязанностей;

• разработка разрешительной системы доступа сотрудников и командированных к носителям охраняемых сведений и определение места выполнения работ с ними, анализ эффективности этой системы;

• принятие мер, исключающих разглашение охраняемой информации фирмы, в процессе контроля оформления документов, предназначенных для передачи заказчику, отправки и вывоза за границу, переписки с инофирмами;

• организация и ведение закрытого делопроизводства, размножение документов, содержащих экономические секреты, их учет, хранение, выдача исполнителям работ, уничтожение;

• участие в разработке мер по обеспечению безопасности при обработке сведений, составляющих коммерческую тайну, различными техническими средствами и системами при пользовании ЭВМ;

• планирование и осуществление режимных мероприятий при проведении всех видов работ, в которых используются закрытая информация и классифицированные носители;

• содействие руководителям подразделений фирмы в разработке и осуществлении мер защиты сведений в процессе научной, конструкторской, производственной, коммерческой и иной деятельности;

• организация и проведение защитных мероприятий при испытаниях, хранении, транспортировке, уничтожении продукции, содержащей коммерческую тайну;

• разработка и осуществление мер по предупреждению утечки информации при оформлении материалов, предназначенных к опубликованию в открытой печати, для использования на конференциях, выставках, в рекламной деятельности, а также при проведении совещаний, конференций, выставок на территории объекта и вне его;

• систематический контроль за соблюдением правил обращения с носителями коммерческой тайны на рабочих (выделенных) местах, их движением, возвратом, размножением и уничтожением;

• разработка положений, инструкций, правил по обеспечению режима работы для исполнителей закрытых работ, специалистов службы безопасности;

• осуществление комплекса профилактических мероприятий по предупреждению правонарушений (уголовных, административных и гражданских) на территории фирмы;

• организация обучения лиц, допущенных к закрытым работам, проверка уровня их режимной подготовки;

• организация работ по повышению квалификации сотрудников службы безопасности (в т.ч. с участием приглашенных специалистов);

• организация и контроль состояния пропускного и внутриобъектового режимов;

• участие в подборе лиц, планируемых для работы с представителями инофирм, проведение их инструктажа.

Функции руководства предприятия

Функции руководства предприятия по защите информации зависят от ряда факторов, основными из которых являются:

• виды тайн, используемых на предприятии (государственная, коммерческая, служебная, персональные данные и т.д.);

• форма собственности и организационно-правовая форма предприятия;

• подчиненность (подведомственность) предприятия (для предприятий государственной формы собственности);

• сфера деятельности.

Эти функции в самом общем виде определяются в уставных и внутренних распорядительных документах организации. Вместе с тем они могут быть возложены на руководителей непосредственно нормативными правовыми актами. Так, на руководителей предприятий, использующих в своей деятельности сведения, составляющие государственную тайну, законодательство возлагает определенные функции, права и обязанности.

Одними из документов определяющих функции руководителей являются:

1. Закон РФ «О государственной тайне».

2. Инструкция о порядке допуска должностных лиц и граждан Российской Федерации к государственной тайне.

Реализация всего комплекса функций по защите информации ограниченного доступа на предприятии (с учетом ее объемов) требует наличия специального подразделения (или подразделений, например, по видам информации ограниченного доступа). Задача руководителя предприятия в этом процессе должна заключаться в принятии управленческих решений, контролю их выполнения и, при наличии необходимости, применению управленческих воздействий, направленных на достижение поставленных в решениях задач.

Функции службы защиты информации

Учитывая разнообразие видов тайн, специфику нормативных требований по защите каждой из них, под службой ЗИ в общем виде будем понимать структурные подразделения предприятия, специально созданные для выполнения задач защиты информации (независимо от ее вида).

Функции специальных комиссий

Использование различных видов информации ограниченного доступа в управленческой и производственной деятельности предприятия является сложным процессом, тонкости которого не могут быть в полном объеме известны специалистам службы защиты информации ввиду необходимости узкоспециальных знаний, технической сложности и разнообразия производственных процессов. Вместе с тем знание таких «тонкостей» является важнейшим условием принятия эффективных решений по защите информации ограниченного доступа, начиная со стадии отнесения информации к таковой и заканчивая внедрением сложных технических средств защиты информации.

Учитывая изложенное, рядом нормативных документов, а также исходя из практики деятельности по защите информации, на предприятиях предусматривается создание целого ряда комиссий, являющихся нештатными рабочими органами руководителя предприятия, призванными обеспечить принятие эффективных решений по защите информации.

К таким специальным комиссиям относятся:

а) в области защиты государственной тайны — экспертные комиссии, предусмотренные ст. 14 Закона РФ «О государственной тайне» и постановлением Правительства Российской Федерации от 04.09.1995 г. № 870 «Об утверждении правил отнесения сведений, составляющих государственную тайну, к различным степеням секретности»*, а также постоянно действующие технические комиссии предприятий по защите государственной тайны, создаваемые в соответствии с Положением, утвержденным совместным приказом Гостехкомиссии России и ФСБ России 2001 г. № 309/405;

б) экспертные комиссии, создаваемые в соответствии с Основными правилами работы архивов организаций (одобр. Коллегией Росархива от 06.02.2002 г.), «Перечнем типовых управленческих документов, образующихся в деятельности организаций, с указанием сроков хранения» (утв. Росархивом 06.10.2000 г.), Типовой инструкцией по делопроизводству в федеральных органах исполнительной власти (приказ Минкультуры РФ от 08.11.2005 г. № 536, зарегистрирован в Минюсте РФ 27.01.2006 г. № 7418);

в) внутренние проверочные комиссии, назначаемые руководителем предприятия для проверки наличия носителей информации ограниченного доступа, соблюдения порядка обращения с ними; аналогичные комиссии, назначаемые для проверок в подчиненных организациях (дочерних, филиалах и т.п.), ликвидационные комиссии.

В последнее время в практике работы предприятий используются так называемые Советы по безопасности, в числе прочих задач выполняющие функции консультативных органов по защите информации ограниченного доступа при руководителе предприятия. В состав советов, как правило, включаются:

• специалисты подразделений предприятия, использующих в своей работе информацию ограниченного доступа;

• специалисты службы безопасности (по вопросам охраны, физической защиты объектов и т.п.);

• специалисты подразделений по защите информации;

• представители организаций-заказчиков.

Основной задачей советов по безопасности в области защиты информации является выработка рекомендаций руководству предприятия по защите информации ограниченного доступа при решении следующих вопросов:

Обязанности пользователей защищаемой информации

Обязанности персонала предприятия по защите информации определяются в коллективном договоре, трудовых договорах, должностных (функциональных) обязанностях, инструкциях, правилах, положениях и других организационно-распорядительных документах.

Ход выполнения практической работы:

1. Распределите в таблицу 1 перечисленные функции и обязанности в соответствии с занимаемыми должностями или структурными подразделениями.

Таблица 1 –Распределение функций по защите информации

Перечень функций по защите информации:

• обоснование необходимости отнесения к государственной тайне сведений, полученных (разработанных) на предприятии;

• передача в собственность государства сведений, составляющих государственную тайну, полученных (разработанных) на предприятии;

• знать основы законодательства, устанавливающего ответственность (гражданскую, административную, уголовную) за разглашение информации ограниченного доступа или утрату ее носителей,

• ведение учета осведомленности работников в информации ограниченного доступа;

• участие в обеспечении пропускного режима, охраны предприятия и режимных территорий, контроле несения службы охраной;

• получение разрешения на передачу сведений, составляющих государственную тайну, в другие организации, с санкции органа государственной власти, в распоряжении которого находятся сведения;

• создание условий по защите сведений, составляющих государственную тайну, полученных от других организаций;

• знать правила обращения, разработки, учета, хранения уничтожения носителей информации ограниченного доступа;

• организация и ведение учета носителей информации ограниченного доступа;

• контроль наличия лицензий на проведение работ, связанных с использованием сведений, составляющих государственную тайну, у организаций, по отношению к которым предприятие является заказчиком работ;

• обеспечение защиты государственной тайны при изменении функций, формы собственности, ликвидации предприятия или прекращении работ, связанных с использованием сведений, составляющих государственную тайну;

• контроль соблюдения установленного порядка работы с носителями информации ограниченного доступа.

• отнесении сведений к различным видам информации ограниченного доступа, определении степени ее конфиденциальности;

• ответственность за организацию защиты государственной тайны;

• создание структурных подразделений защиты государственной тайны;

• проведение инструктажа работников, допущенных к информации ограниченного доступа, контроль знания ими требований нормативных документов по режиму обеспечения ее сохранности;

• участие в определении эффективности инженерно-технических средств охраны и разработке предложений по их совершенствованию;

• принятие решения о допуске подчиненных лиц к государственной тайне;

• принятие решения об отказе в допуске к государственной тайне подчиненным лицам ;

• участвовать в определении круга сотрудников подразделения, допускаемых к документам и работам, содержащим информацию ограниченного доступа;

• участвовать в работе комиссий по проверке наличия и уничтожения документов, содержащих информацию ограниченного доступа.

• обязанность и право прекращения допуска к государственной тайне подчиненных лиц в установленных законодательством случаях;

• организация доступа должностных лиц и сотрудников предприятия к государственной тайне и персональная ответственность за создание таких условий, при которых они могут ознакомиться только со сведениями, необходимыми для выполнения должностных обязанностей;

• контроль разработки и осуществление мероприятий по защите информации ограниченного доступа;

• осуществление мероприятий, обеспечивающих доступ к информации ограниченного доступа только тех работников, которым она необходима для выполнения должностных обязанностей;

• получение лицензии на допуск к проведению работ, связанных с использованием сведений, составляющих государственную тайну, и прохождение государственной аттестации.

• размножать (тиражировать, копировать) носители информации ограниченного доступа только в порядке, установленном соответствующими правилами и инструкциями, с использованием разрешенных для этого средств и с разрешения уполномоченных лип; своевременно передавать вновь размноженные носители информации ограниченного доступа в подразделения, ведущие их учет;

• персональная ответственность за подбор лиц, допускаемых к государственной тайне ;

• контроль за соответствием формы допуска фактической степени секретности сведений, с которыми ознакамливаются работники;

• организация проведения профилактической работы с работниками предприятия по соблюдению режима обеспечения сохранности информации ограниченного доступа;

• разработка перечней должностей работников, подлежащих допуску к информации ограниченного доступа;

• своевременно информировать службу защиты информации или непосредственных начальников о замеченных нарушениях режима обеспечения зашиты информации ограниченного доступа, допущенных другими работниками, о неисправностях технических средств или других событиях, могущих привести к разглашению информации ограниченного доступа;

• определение перечня должностей сотрудников, подлежащих оформлению на допуск к государственной тайне;

• прекращение допуска к государственной тайне в установленных случаях;

• анализ деятельности предприятия по защите информации ограниченного доступа, выявление возможных каналов ее утечки и подготовка предложений по их закрытию;

• учет и анализ нарушений режима обеспечения сохранности информации ограниченного доступа;

• организации методического обеспечения и проведения аналитической работы по предупреждению несанкционированного Распространения информации ограниченного доступа;

• передавать информацию ограниченного доступа другим сотрудникам предприятия только в порядке, установленном соответствующими инструкциями и с разрешения полномочных должностных лиц;

• допуск к секретным сведениям без проведения проверочных мероприятий, в том числе руководителей организаций, в отношении которых предприятие является заказчиком;

• организация планирования, разработки и проведения мероприятий по защите информации ограниченного доступа при проведении работ с ее носителями;

• координация деятельности структурных подразделений предприятия по вопросам защиты информации ограниченного доступа, контроль выполнения ими нормативных документов по защите такой информации;

• персональная ответственность за обеспечение режима секретности допущенными к секретным сведениям лицами, не достигшими 16-летнего возраста;

• обеспечение разграничения доступа к государственной тайне при приеме командированных лиц.

• производить работы с носителями информации ограниченного доступа только в предназначенных для этого помещениях, с соблюдением мер по защите ее конфиденциальности, установленных соответствующими правилами и инструкциями;

• разработке, создании, испытаниях объектов информатизации и производстве продукции, содержащей информацию ограниченного доступа;

• участие в работе по отнесению сведений к различным категориям информации ограниченного доступа, разработке перечней такой информации, нормативно-методических документов по обеспечению ее защиты;

• участие в проведении служебных расследований в случае утраты либо хищения носителей информации ограниченного доступа, других нарушений режима обеспечения сохранности такой информации, а также по фактам ее разглашения;

• не использовать информацию ограниченного доступа в целях, не связанных с выполнением должностных обязанностей, не сообщать ее посторонним, при обращении в другие организации и учреждения, средства массовой информации и т.п.;

• не вести переговоры по незащищенным техническим средствам связи и телекоммуникации, связанные с обсуждением информации ограниченного доступа.

• устанавливать и поддерживать строгий порядок в обращении с информацией ограниченного доступа;

• обеспечивать правильное определение степени конфиденциальности информации ограниченного доступа, своевременное уничтожение утративших практическую надобность документов (носителей информации ограниченного доступа);

• разработке нормативных, научно-технических и методических документов по вопросам выявления и закрытия возможных каналов утечки информации ограниченного доступа, технической защите информации, совершенствованию физической защиты объектов;

• пересылать (передавать) носители информации ограниченного доступа контрагентам предприятия и их сотрудникам только в порядке, определенном соответствующими правилами и инструкциями, с разрешения уполномоченных должностных лиц;

• не выносить за пределы предприятия носители информации ограниченного доступа без разрешения уполномоченных должностных лиц;

• осуществлять контроль исполнения требований регламентирующих документов по защите информации ограниченного доступа;

• постоянно изучать и анализировать все стороны деятельности подразделения с целью принятия эффективных мер закрытия возможных каналов утечки информации ограниченного доступа в процессах разработки, обращения, хранения и рассылки документов, содержащих информацию с учетом решаемых подразделением задач, условий обстановки и реальных возможностей;

• обеспечению охраны объекта, организации пропускного и внутриобъектового режимов, выборе средств автоматизации этих процессов;

• знать и неукоснительно выполнять требования организационно-распорядительных документов предприятия по защите информации ограниченного доступа;

• рассмотрении проектов договоров и технических заданий на проведение работ, конструкторской, технологической и отчетной документации по ним с целью определения достаточности мероприятий по обеспечению режима сохранности информации ограниченного доступа, используемой при проведении работ;

• принимать меры дисциплинарного воздействия к лицам, допускающим нарушения требований по защите информации ограниченного доступа;

• доводить до подчиненных требования регламентирующих документов по защите информации ограниченного доступа;

• знать содержание перечней информации ограниченного доступа, к которой имеет отношение в силу служебных обязанностей; уметь правильно определять наличие и степень конфиденциальности информации ограниченного доступа, используемой им при выполнении должностных обязанностей; своевременно проставлять установленные нормативными правовыми документами отличительные реквизиты на ее носителях;

• определять сотрудникам подразделения их задачи и обязанности по защите информации ограниченного доступа;

• требовать от сотрудников подразделения обеспечивать сохранность информации ограниченного доступа и принимать меры по предотвращению случаев ее разглашения;

• рассмотрение вопроса о величине ущерба в случае разглашения информации ограниченного доступа, возможности снятия ограничений на распространение информации ограниченного доступа и др.

• своевременно сдавать не нужные для дальнейшей работы носители информации ограниченного доступа в подразделения, ведущие их учет;

• знать требования руководящих и нормативных документов, Регламентирующих вопросы обеспечения режима обеспечения Защиты информации ограниченного доступа;

• знать фактическое состояние дел по обеспечению защиты информации ограниченного доступа в своем подразделении и организовывать постоянную работу по выявлению возможных каналов ее утечки и их закрытию;

• черновики, перепечатанные и испорченные листы документов, содержащих информацию ограниченного доступа, сдавать для уничтожения в подразделения, ведущие учет таких документов;

Практическая работа № 10 Внутренние нормативные и методические документы по защите информации

Задачи практической работы:

– Изучить материал по содержанию комплекта внутренних нормативных и методических документов по защите информации;

Теоретический материал

На основе концепции защиты информации (концепции без­опасности предприятия), законодательства и иных нормативных документов в информационной области с учетом уставных поло­жений и специфики деятельности предприятия определяется и разрабатывается комплект внутренних нормативных и мето­дических документов, как правило, включающий:

• перечни сведений, подлежащих защите на предприятии;

• документы, регламентирующие порядок обращения сотруд­ников предприятия с информацией, подлежащей защите;

• положения об управлениях и отделах (разделы по ЗИ);

• документы по предотвращению несанкционированного до­ступа к информационным ресурсам и АС;

• документы, регламентирующие порядок взаимодействия пред­приятия со сторонними организациями по вопросам, связанным с обменом информацией;

• документы, регламентирующие пропускной и внутриобъектовый режим;

• документы, регламентирующие порядок эксплуатации авто­матизированных систем предприятия;

• документы, регламентирующие действия должностных лиц и персонала предприятия в условиях чрезвычайных ситуаций, обес­печения бесперебойной работы и восстановления;

• планы защиты автоматизированных систем предприятия;

• документы, регламентирующие порядок разработки, испыта­ния и сдачи в эксплуатацию программных средств;

• документы, регламентирующие порядок закупки программных и аппаратных средств (в т.ч. средств защиты информации);

• документы, регламентирующие порядок эксплуатации техни­ческих средств связи и телекоммуникации.

«Инструкция по обеспечению защиты информации от не­санкционированного доступа» содержит:

• определение целей, задач защиты информации в АС и основ­ных путей их достижения (решения);

• требования по организации и проведению работ по защите информации в АС;

• описание применяемых мер и средств защиты информации от рассматриваемых угроз, общих требований к настройкам при­меняемых средств защиты информации от НСД;

• распределение ответственности за реализацию «Инструкции...» между должностными лицами и структурными подразделениями организации.

«Положение о категорировании ресурсов АС» содержит:

• формулировку целей введения классификации ресурсов (АРМ, задач, информации, каналов передачи) по степеням (категориям) защищенности;

• предложения по числу и названиям категорий защищаемых ресурсов и критериям классификации ресурсов по требуемым сте­пеням защищенности (категориям);

• определение мер и средств защиты информации, обязательных и рекомендуемых к применению на АРМ различных категорий;

• образец формуляра ЭВМ (для учета требуемой степени защи­щенности (категории), комплектации, конфигурации и перечня решаемых на ЭВМ задач);

• образец формуляра решаемых на ЭВМ АС функциональных задач (для учета их характеристик, категорий пользователей задач и их прав доступа к информационным ресурсам данных задач).

«Порядок обращения с информацией, подлежащей защите», содержит:

• определение основных видов защищаемых сведений (инфор­мационных ресурсов);

• общие вопросы организации учета, хранения и уничтожения документов и магнитных носителей ИОД;

• порядок передачи (предоставления) ИОД третьим лицам;

• определение ответственности за нарушение установленных правил обращения с защищаемой информацией;

• форму типового «Соглашения (обязательства) сотрудника орга­низации о соблюдении требований обращения с защищаемой информацией».

«План обеспечения непрерывной работы и восстановления» включает:

• общие положения (назначение документа);

• классификацию возможных (значимых) кризисных ситуаций и указание источников получения информации о возникновении кризисной ситуации;

• перечень основных мер и средств обеспечения непрерывно­сти процесса функционирования АС и своевременности восста­новления ее работоспособности;

• общие требования к подсистеме обеспечения непрерывной работы и восстановления;

• типовые формы для планирования резервирования ресурсов подсистем АС и определения конкретных мер и средств обеспече­ния их непрерывной работы и восстановления;

• порядок действий и обязанности персонала по обеспечению непрерывной работы и восстановлению работоспособности си­стемы.

«Положение об отделе технической защиты информации» содержит:

• общие положения, руководство отделом;

• основные задачи и функции отдела;

• права и обязанности начальника и сотрудников отдела, от­ветственность;

• организационно-штатную структуру отдела. «Обязанности администратора информационной безопасно­сти подразделения» содержат:

• основные права и обязанности по поддержанию требуемого режима безопасности;

• ответственность за реализацию принятой политики безопас­ности в пределах своей компетенции.

«Памятка пользователю АС предприятия» определяет об­щие обязанности сотрудников подразделений при работе со сред­ствами АС и ответственность за нарушение установленных по­рядков.

«Инструкция по внесению изменений в списки пользовате­лей» определяет процедуру регистрации, предоставления или из­менения прав доступа пользователей к ресурсам АС.

«Инструкция по модификации технических и программных средств» регламентирует взаимодействие подразделений предпри­ятия по обеспечению безопасности информации при проведении модификаций программного обеспечения и технического обслу­живания средств вычислительной техники;

«Инструкция по организации парольной защиты» регламен­тирует организационно-техническое обеспечение процессов ге­нерации, смены и прекращения действия паролей (удаления учет­ных записей пользователей) в автоматизированной системе пред­приятия, а также контроль за действиями пользователей и обслу­живающего персонала системы при работе с паролями.

«Инструкция по организации антивирусной защиты» содер­жит:

• требования к закупке, установке антивирусного программно­го обеспечения;

• порядок использования средств антивирусной защиты, рег­ламенты проведения проверок и действия персонала при обнару­жении вирусов;

• распределение ответственности за организацию и проведение антивирусного контроля.

Перечень внутренних организационно-распорядительных до­кументов для объекта ВТ:

• техническое задание на СЗИ объекта информатизации;

• технический паспорт объекта вычислительной техники;

• схема размещения основных и вспомогательных средств и систем, устройств защиты и схема прокладки систем электропи­тания и заземления объекта информатизации в помещении;

• схема контролируемой зоны предприятия;

• инструкция по защите сведений, отнесенных к государствен­ной тайне, при обработке на средствах ВТ;

• приказ «Об организации обработки информации, содержа­щей ГТ, на объекте ВТ»;

• перечень лиц, которым разрешен доступ к обработке инфор­мации на АРМ;

• инструкция пользователя СВТ;

• положение об администраторе безопасности;

• положение о пропускном и внутриобъектовом режиме;

• руководство по защите информации;

• технологическая схема обработки ИОД на АРМ;

• перечень задач, выполняемых на АРМ;

• паспорта задач, выполняемых на АРМ;

• акт категорирования объекта ВТ;

• заключение и предписание на эксплуатацию ПЭВМ по ре­зультатам проведения спецпроверки;

• протокол специальных исследований АРМ на базе ПЭВМ;

• заключение по результатам оценки защищенности объек­та ВТ;

• предписание на эксплуатацию объекта ВТ;

• документы, подтверждающие освоение учебных программ должностными лицами и специалистами по ЗИ.

Практическая работа № 11 Подготовка мероприятий по защите информации в условиях чрезвычайной ситуации

Задачи практической работы:

– Повторить теоретический материал по управлению комплексной системой защиты информации в условиях чрезвычайных ситуаций;

– Изучить документы по планированию мероприятий защиты информации в условиях ЧС;

– Заполнить таблицы по определению ответственных за мероприятия по защите информации в условиях ЧС.

Теоретический материал

Управление комплексной системой защиты информации в условиях чрезвычайных ситуаций

Понятие и основные виды чрезвычайных ситуаций

Чрезвычайная ситуация — это обстановка на определенной территории, сложившаяся в результате аварии, опасного природ­ного явлении, катастрофы, стихийного или иного бедствия, кото­рые могут повлечь или повлекли за собой человеческие жертвы, ущерб здоровью людей или окружающей природной среде, зна­чительные материальные потери и нарушение условий жизнедея­тельности людей.

В соответствии с нормативно-правовыми документами в Российской Федерации принята следующая классификация ЧС:

• по источникам происхождения — природного или техноген­ного характера;

• по масштабам, в зависимости от количества пострадавших, размеров материального ущерба или границ распространения по­ражающих факторов ЧС — локальные, местные, территориаль­ные, региональные, федеральные и трансграничные.

При подготовке внутренних нормативных документов предпри­ятия по вопросам ликвидации ЧС необходимо также учитывать требование законодательства о том, что ликвидация ЧС осуще­ствляется силами и средствами предприятий, учреждений и орга­низаций независимо от их организационно-правовой формы, ор­ганов местного самоуправления, органов исполнительной власти субъектов Российской Федерации, на территориях которых сло­жилась ЧС, под руководством соответствующих комиссий по чрез­вычайным ситуациям:

• ликвидация локальной ЧС осуществляется силами и средства­ми организации;

• ликвидация местной ЧС осуществляется силами и средствами органов местного самоуправления;

• ликвидация территориальной ЧС осуществляется силами и сред­ствами органов исполнительной власти субъекта Российской Феде­рации;

• ликвидация региональной и федеральной ЧС осуществляется силами и средствами органов исполнительной власти субъект Российской Федерации, оказавшихся в зоне ЧС.

При недостаточности собственных сил и средств для ликвида­ции локальной, местной, территориальной, региональной и фе­деральной ЧС соответствующие комиссии по ЧС могут обращать­ся за помощью к вышестоящим комиссиям по ЧС.

Хотелось отметить особую опасность ЧС, возникших в резуль­тате террористических акций и различного рола действий крими­нального характера.

Технология принятия решений в условиях ЧС

Управление мероприятиями по предупреждению и ликвида­ции ЧС включает:

• организацию и осуществление мероприятий по поддержанию готовности предприятия к действиям в ЧС;

• изучение, анализ и оценку потенциально опасных объектов и прогнозирование возможной обстановки на них;

• принятие решений на ликвидацию ЧС, возникших на объек­тах предприятия;

• постановку задач подчиненным должностным лицам, орга­нам управления и подразделениям (силам) на ликвидацию ЧС;

• планирование и организацию подразделений (сил) при воз­никновении ЧС;

• организацию и поддержание взаимодействия;

• организацию и выполнение мероприятий по всестороннему обеспечению подразделений (сил), задействованных в ликвида­ции ЧС и ее последствий;

• организацию системы управления при ликвидации ЧС;

• организацию выполнения поставленных задач в ходе ликви­дации ЧС.

При возникновении ЧС управление осуществляется, как пра­вило, через специально создаваемую оперативную группу (штаб), состав которой определяется в зависимости от места возникновения, масштаба и характера ЧС. Оперативная группа (штаб) создаются заблаговременно. В её состав, как правило, включаются:

• руководитель предприятия и его заместители:

• руководители основных производственных подразделений;

• руководители (ответственные представители) службы без­опасности, отдела кадров, отдела по установлению контактов с общественностью, финансового отдела.

Оперативная группа (штаб) не только предпринимает меры в случае возникновения ЧС, но занимается также разработкой ме­роприятий по их предупреждению.

Цель планирования действий в условиях ЧС заключается в минимизации отрицательных последствий независимо от их ха­рактера и масштаба.

Факторы, влияющие на принятие решений в условиях ЧС

Анализ источников ЧС и физической природы их проявления позволяет сделать вывод, что основными факторами, влияющими на адекватность принимаемых решений условиям реально склады­вающейся обстановки, вызванной чрезвычайной ситуацией, будут:

• неопределенность. связанная со сложностью сбора и обра­ботки информации в условиях воздействия источников ЧС, с воз­можными повреждениями линий и аппаратуры связи, нанесени­ем ущерба или уничтожением автоматизированных систем управ­ления, комплексным проявлением негативных воздействий ис­точников ЧС (природные источники ЧС рано или поздно «запус­кают в действие» техногенные и т.п.);

• ограниченность во времени, связанная с необходимостью приня­тия решений в сжатые сроки, высокой скоростью изменения об­становки, фактором наличия инициативы на стороне «противника» (независимо от формы его проявления — наводнение или крими­нальная группа), необходимостью сработать «на опережение»;

• физио-психологическое состояние лиц, принимающих ре­шения и их исполнителей, вызванное неблагоприятным воздей­ствием источников чрезвычайных ситуаций (страх, голод, холод, жара и т.п.).

Подготовка мероприятий на случай возникновения ЧС

Очевидно, что сглаживание воздействия перечисленных ранее и других неблагоприятных факторов возможно исключительно за счет заблаговременного планирования (с максимально возмож­ной детализацией, по всем наиболее вероятным вариантам), под­готовки материально-технического обеспечения, обучения и грс ниш а персонала (на заключительном лапе обучения — путем про ведения учений в условиях, близких к чрезвычайным ситуациям).

Относительно зашиты информации такое планирование долж­но предусматривать:

• меры по защите наиболее важных и ценных носителей ин­формации, потеря которых может привести к значительному ущербу (как в плане потери конфиденциальности, так и в отношении ущерба производственным процессам); к таким мерам относятся назначение ответственных за организацию сохранности; категорирование носителей информации по степени важности и их мар­кирование; заблаговременная подготовка тары, средств транспор­тировки, мест эвакуации и лиц, ответственных за охрану;

• подробные инструкции каждому работнику, определяющие перечень и последовательность его действий (ранжированные с учетом приоритетов), места нахождения используемых средств, взаимодействие с другими работниками и т.д.;

• создание резервных копий информации, потеря которой мо­жет привести к срыву производственных процессов или восста­новление которой требует значительных затрат;

• заблаговременное распределение обязанностей и ответствен­ности работников за сохранность носителей информации при воз­никновении ЧС;

• материально-техническое обеспечение мероприятий, имена, адреса и номера телефонов сотрудников, справочную информацию о взаимодействующих правоохранительных органах, вспомогатель­ную информацию (маршруты перевозок, карты, адреса, и т.д.).

Планирование мероприятий, проведение тренировок должны осуществляться исходя из того, что при минимальных затратах от них свести к минимуму последствия ЧС.

В качестве одного из примеров и вариантов планирования пред­лагаем рассмотреть «Примерную инструкцию о порядке работы государственных архивов при чрезвычайных ситуациях», утверж­денную приказом Росархива от 28 марта 2001 г. № 24.

ФЕДЕРАЛЬНАЯ АРХИВНАЯ СЛУЖБА РОССИИ

ПРИКАЗ от 28 марта 2001 г. Ns 24

о введении в действие «Примерной инструкции о порядке работы государственных архивов при чрезвычайных ситуациях»

В целях совершенствования работы государственных архивов в усло­виях режима чрезвычайных ситуаций (ЧС) и ликвидации их последствий приказываю:

Утвердить и ввести в действие согласованную с Министерством Российской Федерации по делам гражданской обороны, чрезвычайным ситуациям и ликвидации последствий стихийных бедствий «Примерную инструкцию о порядке работы государственных архивов при чрезвычай­ных ситуациях» (прилагается).

Возложить на директоров федеральных государственных архивов — руководителей объектов и председателей комиссий по чрезвычайным ситуациям объектов ответственность за принятие необходимых реше­ний и действия при введении режима ЧС и ликвидации се последствий.

Директорам федеральных государственных архивов обеспечить вне­дрение Примерной инструкции, организовав уточнение в соответствии с се требованиями имеющихся организационно-методических докумен­тов о порядке действий архивов при чрезвычайных ситуациях различно­го характера, а также изучение положений Инструкции в системе повы­шения квалификации кадров.

Рекомендовать руководителям органов управления архивным де­лом субъектов Российской Федерации организовать внедрение Пример­ной инструкции на основе разработки комплекса организационно-методических документов о порядке действий государственных архивов при чрезвычайных ситуациях различного характера, изучение се положений в системе повышения квалификации кадров.

Отделу обеспечения сохранности и государственного учета архи­вных документов (Ф.И.О.) совместно с режимным отделом Объедине­ния по эксплуатации и техническому обслуживанию федеральных архивов (Ф.И.О.) и начальником штаба по делам гражданской обороны и чрезвычайных ситуаций Росархива (Ф.И.О.) оказать помощь в органи­зации внедрения Примерной инструкции.

Приказ Росархива от 13.05.94 № 42 «Об утверждении «Инструкции о порядке работы федеральных архивов, центров хранения документов при чрезвычайных обстоятельствах считать утратившим силу.

Контроль за исполнением настоящего Приказа возложить на заме­стителя Руководителя Росархива (Ф.И.О.).

Руководитель Росархива (Ф.И.О.)

Примерная инструкция о порядке работы государственных архивов при чрезвычайных ситуациях

Настоящая Примерная инструкция определяет порядок подготовки и действий на случай чрезвычайных ситуаций (ЧС) в государственных ар­хивах, центрах хранения документации (далее — архив) в целях преду­преждения их возникновения и развития, снижения размеров ущерба и потерь, ликвидации последствии ЧС. Инструкция подготовлена в соот­ветствии с Федеральными законами от 21.12.1994 г. N? 68-ФЗ «О защите населения и территорий от чрезвычайных ситуаций природного и техно­генного характера» и от 21.12.1994 г. № 69-ФЗ «О пожарной безопасно­сти», Постановлениями Правительства Российской Федерации от 05.11.1995 г. № 1113 «О единой государственной системе предупрежде­ния и ликвидации чрезвычайных ситуаций», от 03.08.1996 г. № 924 «О силах и средствах единой государственной системы предупреждения и ликвидации чрезвычайных ситуаций», от 05.01.2000 г. № 14-1 «Об утверждении Положения о защите в военное время документов Архи­вного фонда Российской Федерации, хранящихся в федеральных госу­дарственных архивах» и другими правовыми и нормативными актами в области зашиты населения и территорий от чрезвычайных ситуаций.

Чрезвычайные ситуации

Чрезвычайными ситуациями в деятельности архивов являются такие обстоятельства, при которых невозможно выполнение в полном объеме возложенных на архив задач в соответствии с требованиями нор­мативных документов, создастся угроза жизни и здоровью персонала и посетителей, сохранности документов Архивного фонда Российской Федерации.

К основным причинам возникновения чрезвычайных ситуаций на архивных объектах могут относиться:

Объявление в государстве (регионе, республике, крае, области, городе, районе) режима чрезвычайного положения.

Пожар или бедствия природного и техногенного характера.

Аварии систем жизнеобеспечения архива, а также здания архива.

Проникновение в архив посторонних лиц или другие противо­правные действия, повлекшие кражу или порчу архивных документов, имущества.

Отказ от обслуживания архива милицейской, противопожар­ной или другой вневедомственной охраной.

Забастовка или иные действия, связанные с отказом от выпол­нения служебных обязанностей части работников архива.

Другие обстоятельства, вынуждающие руководство архива при­нять решение о приостановке деятельности архива.

Обязанности архивов в области зашиты персонала, посетителей и архивных объектов от чрезвычайных ситуаций

Планирование и осуществление необходимых мер в области за­шиты персонала, посетителей и архивных объектов от чрезвычайных ситуаций.

Планирование и проведение мероприятий по повышению устой­чивости функционирования архивных объектов.

Обеспечение создания, подготовки и поддержания в готовности сил и средств по предупреждению и ликвидации чрезвычайных ситуа­ций, обучение работников архива способам защиты и действиям в чрез­вычайных ситуациях.

Поддержание в постоянной готовности технических средств опо­вещения о чрезвычайных ситуациях.

Организация и обеспечение проведения аварийно-спасательных и других неотложных работ в случае чрезвычайных ситуаций.

Создание резервов материальных ресурсов для ликвидации чрез­вычайных ситуаций.

Предоставление в установленном порядке информации в области зашиты персонала, посетителей и архивных объектов от чрезвычайных ситуаций, а также оповещение вышестоящего органа управления архи­вным делом и работников архива об угрозе возникновения или о воз­никновении чрезвычайных ситуаций.

Принятие решения о наступлении чрезвычайных ситуаций

При наступлении чрезвычайных ситуаций руководство архива немедленно (по телефону, телеграфу, факсу или лично) сообщает об этом руководству вышестоящего органа управления архивным делом.

Решение о наступлении чрезвычайных ситуаций принимается директором архива (или лицом, его замещающим) по согласованию с руководством вышестоящего органа управления архивным делом в соот­ветствии с п. 1.2 настоящей Примерной инструкции.

Переход на работу в режиме чрезвычайных ситуаций оформляет­ся приказом директора архива.

В случае необходимости приостановить деятельность архива при на­ступлении чрезвычайных обстоятельств, указанных в п. 5, 6. 7. 8 насто­ящей Примерной инструкции, директор архива издает приказ, в соот­ветствии с которым работники, не связанные с обеспечением функцио­нирования систем жизнедеятельности, освобождаются от работы до осо­бого распоряжения с сохранением заработной платы в соответствии со ст. 94 КЗоТ Российской Федерации.

Работники, занятые охраной здания архива, обеспечением его по­жарной безопасности, контролем за работой систем жизнедеятельности, ответственные за сохранность документов, обязаны выполнять свои функ­ции в соответствии с установленным для них приказом директора архи­ва режимом.

При прекращении чрезвычайных обстоятельств по приказу ди­ректора архива его работники должны возвратиться на свои рабочие ме­ста и приступить к исполнению должностных обязанностей.

Подготовка к чрезвычайным ситуациям

Каждый архив обязан иметь утвержденные директором планы мероприятий, другие документы (положения, инструкции, памятки и др.; далее — планы мероприятий) на случай возможных чрезвычайных ситу­аций различного характера (прил. I). Планы мероприятий предусматри­вают конкретные как превентивные (по предупреждению и подготовке) действия, так и меры по ликвидации последствий чрезвычайных ситуа­ций, а также определяют ответственных должностных лиц, необходимые силы и средства.

К разработке планов мероприятий привлекаются соответствую­щие специалисты в области строительства сооружений и их технической эксплуатации, пожарного дела, вневедомственной охраны, гражданской обороны и т.п.

Мероприятия, направленные на предупреждение чрезвычайных ситуаций, а также на максимально возможное снижение размеров ушер- 6а и потерь п случае их возникновения, проводятся заблаговременно. Объем и содержание указанных мероприятий определяются исходя из возможностей имеющихся сил и средств и их использования на основе принципов необходимой достаточности.

Меры по защите архивных документов при чрезвычайных ситуациях осуществляются с учетом их ценности и потенциальной долговечности

Независимо от характера возможной чрезвычайной ситуации в планах мероприятий заблаговременно предусматриваются следующие превентивные меры:

• усиление технической устойчивости архивных объектов, реализа­ция требовании пожарной безопасности и охранного режима, поддержа­ние в нормативном состоянии систем жизнеобеспечения зданий;

• определение состава и объема документов в зависимости от их цен­ности (уникальные, особо ценные, пенные), маркировка дел и их разме­щение в местах, наиболее удобных для эвакуации;

• подготовка расчетов материальных и людских ресурсов, необходи­мых для выполнения мероприятий по защите документов;

• определение в соответствии с нормативами видов и количества медикаментов, необходимых для аптечки первой медицинской помощи;

• определение объема и видов тары (количество мешков, контейне­ров, вес и т.п.), необходимых для упаковки документов, подлежащих перемещению в целях спасения при чрезвычайных ситуациях;

• определение видов и количества оборудования, упаковочного ма­териала (мешки, шпагат, бумага оберточная, брезентовые и деревянные лотки, веревка крепежная, синтетическая пленка или брезент для укры­тия документов и т.п.), необходимых для выполнения мероприятий по защите документов;

• приобретение необходимого упаковочного материала, а также дру­гих средств, необходимых для выполнения мероприятий по защите пер­сонала, посетителей и документов (медикаменты, средства связи и опо­вещения. противопожарный инвентарь, электрические фонари и т.п.);

• решение с соответствующими службами вопросов закрепления за архивом мест для укрытия документов, транспорта, необходимого для их перемещения;

• организация формирований, необходимых для выполнения меро­приятий по защите персонала, посетителей и документов;

• проведение обучения работников архива действиям при чрезвы­чайных ситуациях.

Обязательным элементом планов мероприятий является перечень практических действий работников, предпринимаемых сразу же при воз­никновении чрезвычайной ситуации (прил. 2, 3).

Превентивные меры, предусмотренные планами мероприятий, включаются в годовые планы работы архивов с соответствующим фи­нансовым. техническим и кадровым обеспечением.

Работники архива, ответственные за выполнение конкретных мероприятий, систематически проходят специальную подготовку и пе­реподготовку (обучение, инструктаж и др.).

Для реализации задач, определенных п. 2 настоящей Примерной инструкции, в архиве создается комиссия по чрезвычайным ситуациям.

Порядок работы архива при объявлении в государстве (регионе, рес­публике, крае, области, городе, районе) режима чрезвычайною положения

При объявлении чрезвычайного положения приказом директора вводится особый режим работы архива, который предусматривает меры по усилению безопасности архивных объектов, защите персонала, посе­тителей и документов.

Меры по обеспечению безопасности архивных объектов включают:

Усиление противопожарной безопасности и охраны объектов жизнеобеспечения деятельности архива путем привлечения его работ­ников для дежурства на этих объектах.

Круглосуточное дежурство руководящих работников архива, членов комиссии по ЧС, эвакокомиссии и других формирований на пе­риод действия чрезвычайного положения.

Оформление и получение документов, разрешающих передви­жение работников архива, примеченных к работе на период действия комендантского часа, а также закрепленного за архивом автотранспорта, необходимого для оперативного решения служебных вопросов вне рабо­чего времени.

Отмену всех местных и других командировок, не связанных с оперативным решением служебных вопросов по обеспечению жизнеде­ятельности архива.

В целях организации зашиты персонала, посетителей и докумен­тов выполняются следующие мероприятия:

Приведение в готовность средств связи и оповещения.

Дооборудование мест зашиты персонала, посетителей и доку­ментов, не подлежащих эвакуации.

Оборудование для работников, переведенных на круглосуточ­ный режим работы, мест отдыха.

Упаковка документов и подготовка их к перемещению.

Проведение аварийно-спасательных работ в случае возникно­вения опасности для документов.

Организация своевременного прибытия автотранспорта для транс­портировки документов в соответствии с графиком и утвержденными мар­шрутами. Обеспечение автотранспорта необходимым количеством огне­тушителей и другого противопожарного инвентаря, а также охраной.

Погрузка (разгрузка) документов и их транспортировка (пере­мещение) к местам зашиты.

Обеспечение своевременного информирования вышестоящих организаций и штабов ГО согласно табелю срочных донесений.

Объявление о прекращении действия особого режима произво­дится приказом директора архива.

Порядок работы архива при пожаре или бедствии природного и техногенного характера

6.1. При возникновении в здании архива возгорания любого масшта­ба каждый работник, обнаруживший возгорание, прежде всего, сообщает о нем по телефону в пожарную службу, затем членам добровольной по­жарной дружины (ДПД) и руководству архива и до прибытия пожарных или членов ДПД принимает меры к локализации и тушению пожара подручными средствами.

Конкретные действия по борьбе с пожаром, спасению персонала, посетителей, архивных документов и имущества определяются специ­альной инструкцией, разрабатываемой в каждом архиве с учетом его специфики.

Непосредственное руководство тушением пожара осуществляет­ся прибывшим на пожар руководителем тушения пожара. Указания ру­ководителя тушения пожара обязательны для исполнения всеми должностными лицами архива, в котором осуществляются боевые действия по тушению пожара.

Должностные лица архива обязаны оказывать содействие по­жарной охране при тушении пожара, установлении причин и условии его возникновения и развития, а также при выявлении лиц, виновных в нарушении требований пожарной безопасности и возникновении по­жара.

В случае внезапных бедствий природного и техногенного харак­тера действия должностных лиц аналогичны действиям при пожаре и определяются соответствующими документами.

В случае получения извещения о приближающемся стихийном бедствии или нахождении архива в зоне стихийного бедствия директор архива принимает меры по обеспечению безопасности работников архи­ва, освобождая их от работы и направляя в укрытия, убежища или дру­гие места, обеспечивающие сохранение им жизни и здоровья. Свои слу­жебные обязанности выполняют лишь те сотрудники, присутствие кото­рых необходимо в сложившейся ситуации и заранее определено в соот­ветствующих документах.

Порядок работы архива при авариях систем жизнеобеспечения, а также здания архива

При аварии систем жизнеобеспечения архива: отопления, энер­госнабжения, канализации, водопровода немедленно извещается руко­водство архива и соответствующие аварийные службы.

Если при аварии пострадали архивные документы, то немедлен­но организуется проведение аварийно-спасательных мероприятий и при­нимаются меры по защите документов.

Если при аварии создается ситуация, связанная с угрозой жизни или здоровью работников архива, директор вправе принять решение о временном переводе работников на другую работу (ст. 26 КЗоТ Россий­ской Федерации) или временном освобождении от работы до ликвида­ции аварии или на иной период тех работников, присутствие которых не требуется для ликвидации аварии, поддержания функционирования си­стем жизнедеятельности архива и обеспечения сохранности документов.

При длительном отключении систем жизнеобеспечения архива, которое привело к ситуациям, аналогичным названным в п. 8.2, 8.3, при­нимаются меры, предусмотренные этими пунктами.

Порядок работы архива в случае проникновения в него посторон­них лиц или других противоправных действий, повлекших хищение или порчу архивных документов, имущества

8.1. При обнаружении факта проникновения в архив посторонних людей немедленно извещается руководство архива и территориальное отделение милиции. До прибытия представителей милиции принимаются меры по задержанию посторонних. Допуск любых лиц к месту про­никновения в архив не разрешается, за исключением специалистов тех­нических служб в случаях, требующих их экстренного вмешательства: возгорание, повреждение коммуникаций и т.п.

В соответствии с заключением работников милиция, других спе­циалистов руководство архива может установить на определенный пери­од ограничительный режим допуска работников архива и других лиц к месту проникновения в архив или обнаруженных повреждений.

При обнаружении факта проникновения посторонних лиц в ар­хивохранилище руководство архива вправе прекрати» любую работу с документами в этом архивохранилище до завершения следственных дей­ствий и проверки наличия дел.

9. Порядок работы при отказе от обслуживания архива милицейской, противопожарной или другой вневедомственной охраной

9.1. При отказе охраны архива выполнять свои функции руководство архива незамедлительно принимает меры по охране архива силами его работников.

9.2 В соответствии с приказом директора работники архива обязаны принимать участие в его охране по утвержденному графику и на основе ст. 26 КЗоТ.

При организации охраны исходят из расчета 4 человека на I пост (сутки дежурства, трое суток отдыха).

При осуществлении охраны архива силами его работников все входы в архив, кроме основного, закрываются, опечатываются и исполь­зуются только при крайней необходимости с разрешения директора или назначенного им ответственного за охрану архива дежурного.

Послe завершения рабочего дня охрана архива передается ответ­ственным за охрану на пульт охраны. Дежурство на пульте охранной сигнализации архива осуществляется круглосуточно работниками архи­ва по утвержденному приказом директора графику.

Ответственный за охрану архива перед сдачей его на пульт охраны осматривает состояние всех дверей, печатей на них, состояние окон, пожарных лестниц и входов с них в помещение архива. В случае обнару­жения каких-либо нарушений о них информируется директор архива и делается запись в специальном журнале.

Открытие дверей архива возможно только ответственным за охрану или директором после предварительного осмотра их состояния и снятия с пульта охраны. При обнаружении каких-либо нарушений состояния дверей, запоров, печатей, повреждении окон ответственный за охрану до открытия архива извещает о нарушениях директора архива и составляет вместе с ним акт о нарушениях, а также делает соответствующую запись в специальном журнале. О выявленных фактах нарушений информиру­ется территориальное отделение милиции.

На время отказа охраны архива выполнять свои функции прекра­щается работа читальных залов и допуск в архив посетителей.

При отказе от обслуживания архива пожарными военизирован­ными формированиями функции контроля за противопожарной безо­пасностью архива передаются приказом директора архива добровольной пожарной дружине.

Деятельность добровольной пожарной дружины регламентируется положением о ней (см. Правила пожарной безопасности для государственных архивов. ППБ-0-145-1986. –М.. 1988). Под наблюдение и под ответственность каждого участника добровольной пожарной дружины передается строго определенный участок в архиве.

Руководство архива обеспечивает взаимодействие с сотрудника­ми территориального отделения милиции и пожарной охраны.

10. Порядок работы архива при забастовках или иных действиях, свя­занных с отказом от выполнения своих служебных обязанностей части работников архива

При забастовках или иных действиях, связанных с отказом от выполнения своих служебных обязанностей части работников, руко­водство архива перераспределяет обязанности между продолжающи­ми работать сотрудниками так. чтобы в первую очередь гарантировать деятельность жизнеобеспечивающих систем и сохранность докумен­тов.

Работа по другим направлениям деятельности осуществляется при наличии сотрудников, не занятых выполнением функций, указан­ных в п. 10.1.

Дирекция архива, трудовой коллектив и забастовочный комитет обязаны при любом числе участвующих в забастовке обеспечить жизне­деятельность архива, сохранность документов и имущества.

ПРИЛОЖЕНИЕ 1

ПРИМЕРНЫЙ ПЕРЕЧЕНЬ

организационно-методических документов, подлежащих подготовке в соответствии с Примерной инструкцией о порядке работы государственных архивов при чрезвычайных ситуациях

Проекты приказов директора архива:

• о переходе на работу в режиме чрезвычайной ситуации;

• о прекращении работы в режиме чрезвычайной ситуации.

Планы мероприятий, положения, инструкции на случай чрезвы­чайных ситуаций различного характера в соответствии с п. 6. 7. 8. 9. 10 Примерной инструкции, в том числе:

• Инструкция по противопожарной безопасности.

• Инструкция по организации охраны архива в случае снятия вне­ведомственной охраны, включающая схемы размещения постов охраны силами работников архива.

• Положение о добровольной пожарной дружине (пожарно-технической комиссии, посте пожарной охраны).

• Расчеты материальных и людских ресурсов, необходимых для выполнения мероприятий по защите персонала и документов.

• Схемы эвакуации персонала и документов.

ПРИЛОЖЕНИЕ 2

ПЕРЕЧЕНЬ

практических действий работников при чрезвычайных ситуациях

ПРИЛОЖЕНИЕ 3

СПИСОК ТЕЛЕФОНОВ ЭКСТРЕННОЙ ПОМОЩИ

СПИСОК ТЕЛЕФОНОВ ДЕЖУРНЫХ СПЕЦИАЛИСТОВ

Ход выполнения практической работы:

1. Изучите теоретический материал и примеры документов по организации мероприятий защиты информации в условиях ЧС

2. Заполните таблицы приложений 2 и 3 в соответствии с приведенными примерами для заданных объектов защиты в практической работе №1..

Рекомендации по выполнению внеаудиторной самостоятельной работы студентов

Информацию по темам внеаудиторной самостоятельной работы можно найти в учебниках, периодических изданиях (журналах) по информационной безопасности, а также на сайтах, рассматривающих вопросы защиты информации.

Примерный перечень литературы и источников для выполнения работ

1. Грибунин В.Г., Чудовский В.В. Комплексная защита информации на предприятии. – М.: Издательский центр «Академия», 2009. – 416 с.

2. Гришина Н. В. Организация комплексной системы защиты инфор­мации. — М.: Гелиос АРВ, 2007. — 256 с.

3. Завгородний В.И. Комплексная защита информации в компьютерных системах. –М.: Логос, 2001. – 256 с.

4. Лепешкин О.М., Копытов В.В., Жук А.П. Комплексные средства безопасности и технические средства охранно-пожарной сигнализации: Учебное пособие. – М.: Гелиос АРВ, 2009. – 288 с.

5. Партыка Т.Л., Попов И.И. Информационная безопасность. Учебное пособие для студентов учреждений СПО. – 2-е изд., испр. и доп. М.: ФОРУМ: ИНФРА-М, 2007. – 368 с.

6. Северин В.А. Комплексная защита информации на предприятии. / Под ред. Б.И. Пугинского. –М.: Издательский дом «Городец», 2008. – 368 с.

7. http://www.itsec.ru/main.php Журнал "Information Security/Информационная безопасность"

8. http://www.securitypolicy.ru/index.php/Заглавная_страница SecurityPolicy.ru/Документы по информационной безопасности

9. http://sec-it.ru/Информационная безопасность. Все о защите информации

Аттестационно-педагогические измерительные материалы

по дисциплине «Эксплуатация комплексной системы защиты информации»

для специальности 090108 «Информационная безопасность»

ВВЕДЕНИЕ

АПИМ по дисциплине «Эксплуатация комплексной системы защиты информации» для специальности ФГОУ СПО «ЖГМК» 090108 «Информационная безопасность» разработаны для использования в процедурах самообследования и аккредитации колледжа с целью оценки уровня подготовки студентов, завершивших изучение данной дисциплины. Уровень сложности заданий и их содержание полностью соответствует требованиям ГОС по дисциплине «Эксплуатация комплексной системы защиты информации».

1. Апим (тест) по дисциплине «Эксплуатация комплексной системы защиты информации» для специальности 090108 «Информационная безопасность»

Назначение: итоговый контроль знаний

Время выполнения: 60 мин.

Количество заданий: 50

Тип заданий: закрытый

1.1 Выписка из гос спо специальности 090108 «Информационная безопасность» по дисциплине «Эксплуатация комплексной системы защиты информации»

СД.ДС.05.

Сущность и задачи комплексной системы защиты информации (КСЗИ); принципы организации КСЗИ; факторы, влияющие на организацию КСЗИ; состав защищаемой информации; объекты защиты; анализ и оценка угроз безопасности информации; выявление и оценка источников, способов и результатов дестабилизирующего воздействия на информацию; определение потенциальных каналов и методов несанкционированного доступа к защищаемой информации; определение возможностей несанкционированного доступа к защищаемой информации; определение компонентов КСЗИ; определение условий функционирования КСЗИ; разработка модели КСЗИ; технологическое и организационное построение КСЗИ; кадровое обеспечение функционирования КСЗИ; материально-техническое и нормативно-методическое обеспечение функционирования КСЗИ; назначение, структура и содержание управления КСЗИ; принципы и методы планирования функционирования КСЗИ; обеспечение надежности КСЗИ; контроль, обслуживание и диагностика элементов КСЗИ; управление КСЗИ в условиях чрезвычайных ситуаций.

1.2 Дидактические единицы (де) дисциплины «Эксплуатация комплексной системы защиты информации»

1. Сущность и задачи комплексной системы защиты информации (КСЗИ); принципы организации КСЗИ; факторы, влияющие на организацию КСЗИ;

2. Состав защищаемой информации; объекты защиты;

3. Угрозы безопасности информации; источники, способы и результаты дестабилизирующего воздействия на информацию;

4. Каналы и методы несанкционированного доступа к защищаемой информации; определение возможностей несанкционированного доступа к защищаемой информации;

5. Компоненты КСЗИ; условия функционирования КСЗИ; модели КСЗИ; методы построения КСЗИ;

6. Кадровое, материально-техническое и нормативно-методическое обеспечение функционирования КСЗИ;

7. Назначение, структура и содержание управления КСЗИ; принципы и методы планирования функционирования КСЗИ; обеспечение надежности КСЗИ; контроль, обслуживание и диагностика элементов КСЗИ;

8. Управление КСЗИ в условиях чрезвычайных ситуаций.

1.3 Форма тестовых заданий

Тест состоит из закрытых заданий, в которых правильные ответы предъявляются студенту:

– для выбора одного правильного ответа из нескольких предложенных;

– для выбора нескольких правильных ответов (более одного) из нескольких предложенных.

Вопросы и варианты ответов задаются автоматизированный информационной системой в случайном порядке.

1.4 Алгоритм проверки результатов тестирования:

Алгоритм проверки:

- за правильный ответ тестируемый получает 1 балл;

- за неправильный ответ тестируемый получает 0 баллов.

Максимально возможное количество баллов по результатам тестирования: 50

1.5 Характеристика заданий

Все предлагаемые задания в тестах по дисциплине «Эксплуатация комплексной системы защиты информации» 2 уровня сложности (решение типовой задачи – известное сочетание типовых действий); время решения в минутах каждого из них равно примерно 1-2 минутам.

1.6 Критерии оценки результатов тестирования

Критерием освоения раздела дисциплины составляет 60-70% выполненных заданий из группы заданий одинаковой трудности для каждого раздела дисциплины. Критерием выполнения требований государственного образовательного стандарта является 100 % освоение дидактических единиц (разделов) не менее чем 50% тестируемых (т.е. не менее 50% студентов получают зачет по всем разделам АПИМ).

1.7 Структура АПИМ по дисциплине «Эксплуатация комплексной системы защиты информации» и соответствие содержательной структуры теста требованиям ГОС СПО специальности 090108 «Информационная безопасность»

2 Тестовые задания