- •Введение
- •1. Организационное обеспечение информационной безопасности
- •1.1. Методы, обеспечивающие безопасность информации
- •1.2. Проблема информационной безопасности
- •1.3. Основные составляющие информационной безопасности
- •1.4. Информация конфиденциального характера
- •1.5. Стратегия информационной безопасности и её цели
- •1.6. Административный уровень информационной безопасности
- •2. Концептуальные положения организационного обеспечения информационной безопасности
- •2.1. Концепции национальной безопасности рф
- •3. Угрозы информационной безопасности на объекте
- •3.1. Виды угроз безопасности
- •3.2. Модель угроз безопасности Меры защиты
- •3.3. Принципы комплексной системы защиты информации
- •3.4. Система обеспечения информационной безопасности
- •Литература
- •3.5. Предпосылки появления угроз
- •3.6. Угрозы безопасности информации и их классификация
- •4. Организация службы безопасности объекта
- •4.1. Концептуальная модель информационной безопасности
- •5. Концепция информационной безопасности
- •6. Овладение конфиденциальной информацией
- •6.1. Уязвимые места в информационной безопасности
- •6.2. Направления обеспечения информационной безопасности
- •6.3. Задачи службы безопасности предприятия
- •6.4. Концепция создания физической защиты важных объектов
- •7. Организационная структура системы обеспечения информационной безопасности
- •8. Основные мероприятия по созданию и обеспечению функционирования комплексной системы защиты
- •9. Система организационно-распорядительных документов по организации комплексной системы защиты информации
- •10. Разработка технико-экономического обоснования создания сфз и комплекса итсо
- •10.1. Правовые основы создания службы безопасности
- •10.2. Структура службы экономической безопасности
- •11. Технология защиты от угроз экономической безопасности
- •11.1. Служба безопасности и проверка контрагентов
- •12 . Подбор сотрудников и работа с кадрами
- •12.1. Обеспечение безопасности коммерческих структур
- •12.2. Организация внутриобъектового режима
- •13. Требования и рекомендации по защите информации
- •13.1. Требования по технической защите информации
- •14. Организация охраны объектов
- •14.1. Контрольно-пропускной режим на предприятии
- •14.2. Подготовка исходных данных
- •14.3. Оборудование пропускных пунктов
- •14.4. Организация пропускного режима
- •15. Организационно-правовые способы нарушения безопасности информации
- •15.1. Цель и задачи защиты информации
- •15.2. Основные направления деятельности по защите информации
- •15.3. Основы организации защиты информации
- •16. Система защиты информации и ее задачи
- •16.1. Организационная система защиты информации
- •1) Координационный Совет по защите информации при полномочном представителе Президента Российской Федерации.
- •2) Управление Государственной технической комиссии при Президенте Российской Федерации.
- •17. Государственная политика и общее руководство деятельностью по защите информации
- •17.1. Направления формирования системы защиты информации
- •17.2. Этапы реализации концепции защиты информации
- •17.3. Финансирование мероприятий по защите информации
- •17.4. Результаты реализации концепции защиты информации
- •Контрольные вопросы к экзамену
- •Стандартизованные термины и их определения
- •1. Основные понятия
- •2. Организация защиты информации
- •Информационное законодательство рф
- •Библиографический список
- •Организационное обеспечение информационной безопасности
- •6 80021, Г. Хабаровск, ул. Серышева, 47.
- •Л.П. Березюк
- •Учебное пособие Хабаровск
9. Система организационно-распорядительных документов по организации комплексной системы защиты информации
В Уставе организации (основном документе, в соответствии с которым организация осуществляет свою деятельность), во всех положениях о структурных подразделениях организации (департаментов, управлений, отделов, служб, групп, секторов и т. п.) и в функциональных обязанностях всех сотрудников, участвующих в процессах автоматизированной обработки информации, должны быть отражены требования по обеспечению информационной безопасности при работе в АС.
Задачи организации и функции по ОИБ ее подразделений и сотрудников в перечисленных выше документах должны формулироваться с учетом положений действующего в России законодательства по информатизации и защите информации (Федеральных Законов, Указов Президента РФ, Постановлений Правительства РФ и других нормативных документов).
Конкретизация задач и функций структурных подразделений, а также детальная регламентация действий сотрудников организации, их ответственность и полномочия по вопросам ОИБ при эксплуатации АС должны осуществляться как путем дополнения существующих документов соответствующими пунктами, так и путем разработки и введения в действие дополнительных внутренних организационно-распорядительных документов по ОИБ.
В целях обеспечения единого понимания всеми подразделениями и должностными лицами (сотрудниками) организации проблем и задач по обеспечению безопасности информации в организации целесообразно разработать «Концепцию обеспечения информационной безопасности» организации. В Концепции на основе анализа современного состояния информационной инфраструктуры организации и интересов организации в области обеспечения безопасности должны определяться основные задачи по защите информации и процессов ее обработки, намечаться подходы и основные пути решения данных задач.
Необходимым элементом организации работ по обеспечению безопасности информации, ее носителей и процессов обработки в АС организации является категорирование, т. е. определение требуемых степеней защищенности (категорий) ресурсов АС (информации, задач, каналов взаимодействия задач, компьютеров). Для обеспечения управления и контроля за соблюдением установленных требований к защите информации и с целью обеспечения дифференцированного подхода к защите конкретных АРМ различных подсистем АС организации необходимо разработать и принять «Положение об определении требований по защите (категорировании) ресурсов» в АС организации. В этом документе необходимо отразить вопросы взаимодействия подразделений организации при определении требуемой степени защищенности ресурсов АС организации в зависимости от степени ценности обрабатываемой информации, характера обработки и обязательств по ОИБ перед сторонними организациями и физическими лицами.
Целесообразно введение классификации защищаемой информации, включаемой в «Перечень информационных ресурсов, подлежащих защите», не только по уровню конфиденциальности (конфиденциально, строго конфиденциально и т. д.), но и по уровню ценности информации (определяемой величиной возможных прямых и косвенных экономических потерь в случае нарушения ее целостности и несвоевременности представления – своевременности решения задач).
В данном Перечне необходимо также указывать подразделения организации, являющиеся владельцами конкретной защищаемой информации и отвечающие за установление требований к режиму ее защиты.
Любые изменения состава и полномочий пользователей подсистем АС должны производиться установленным порядком согласно специальной «Инструкции по внесению изменений в списки пользователей АС и наделению их полномочиями доступа к ресурсам системы».
Меры безопасности при вводе в эксплуатацию новых рабочих станций и серверов, а также при изменениях конфигурации технических и программных средств существующих компьютеров в АС должны определяться «Инструкцией по установке, модификации и техническому обслуживанию программного обеспечения и аппаратных средств компьютеров АС».
Разработка ПО задач (комплексов задач), проведение испытаний разработанного и приобретенного ПО, передача ПО в эксплуатацию должна осуществляться в соответствии с утвержденным «Порядком разработки, проведения испытаний и передачи задач (комплексов задач) в эксплуатацию».
«Инструкция по организации антивирусной защиты» должна регламентировать организацию защиты АС от разрушающего воздействия компьютерных вирусов и устанавливать ответственность руководителей и сотрудников подразделений, эксплуатирующих и сопровождающих АС, за их ненадлежащее выполнение.
«Инструкция по организации парольной защиты» призвана регламентировать процессы генерации, смены и прекращения действия паролей пользователей в автоматизированной системе организации, а также, контроль за действиями пользователей и обслуживающего персонала системы при работе с паролями.
При использовании в некоторых подсистемах АС средств криптографической защиты информации и средств электронной цифровой подписи, необходим еще один документ, регламентирующий действия конечных пользователей, – «Порядок работы с носителями ключевой информации».
Для пользователей защищенных АРМ (на которых обрабатывается защищаемая информация или решаются подлежащие защите задачи и на которых установлены соответствующие средства защиты) должны быть разработаны необходимые дополнения к функциональным обязанностям и технологическим инструкциям, закрепляющие
требования по обеспечению информационной безопасности при работе в АС и ответственность сотрудников за реализацию мер по обеспечению установленного режима защиты информации.
Регламентация предусматривает введение таких ограничений и внедрение таких приемов работы сотрудников, которые, не создавая помех для исполнения ими своих функциональных обязанностей (технологических функций), минимизируют возможности .
Разработка технико-экономического обоснования создания СФЗ и комплекса ИТСО
С целью достижения оптимального уровня защиты, защищаемые предметы и подобъекты классифицируются по важности (значимости) на категории безопасности. В качестве критерия классификации обычно используется характер или масштаб возможного ущерба в случае реализации основных угроз безопасности данному объекту.
Для объектов высшей категории безопасности должен быть установлен максимальный уровень защищенности.
Основными последующими задачами концептуального проектирования являются:
Разработка структуры СФЗ и вариантов построения комплекса ИТСО объекта с оценкой стоимости их реализации.
Количественная оценка уязвимости предлагаемой СФЗ с различными вариантами структуры комплекса ИТСО и выбор оптимального варианта комплекса по критерию «эффективность – стоимость» (максимум эффективности при минимуме затрат).
От успешного проведения работ на стадии «Концептуального проекта» зависит оптимальность будущих проектно-технических решений. Именно на этой стадии с использованием методов системного анализа и моделирования происходит обоснование и выбор оптимальной структуры и состава СФЗ и комплекса ИТСО по критерию «эффективность – стоимость».
Сравнительная количественная оценка эффективности вариантов комплекса ИТСО позволяет на начальной стадии выбрать оптимальный вариант комплекса, обладающий достаточно высокой эффективностью при минимальных затратах на его создание и внедрение в систему охраны объекта.
Такой подход позволяет избежать серьезных ошибок в рабочем проекте, а следовательно, и излишних затрат на возможную доработку системы при ее эксплуатации.
Результаты работы этой стадии являются основной составной частью «Концепции...» или технико-экономического обоснование (ТЭО) создания комплекса ИТСО объекта (или группы объектов) и используются в качестве исходных данных для разработки технического задания на рабочее проектирование оборудования объектов комплексами ИТСО.
Результаты работы оформляются в виде ТЭО, которое содержит все необходимые сведения по концепции безопасности, структуре и составу СФЗ и комплекса ИТСО, количественной оценке уязвимости объекта и эффективности существующей и предлагаемой СФЗ, ожидаемые тактические, технические и экономические показатели комплекса ИТСО.
В ТЭО приводятся также рекомендации по организации оперативных действий сил охраны с применением комплекса ИТСО, ориентировочный расчет необходимой численности технического персонала для обслуживания комплекса, необходимой численности сил охраны, а также стоимости всех этапов работ по оборудованию объекта предлагаемым комплексом ИТСО.
Этот документ может быть использован службой безопасности заказчика в качестве руководства по организации СФЗ и планированию работ по оборудованию объекта комплексом ИТСО или его подсистемами.
Дальнейшим развитием в обеспечении безопасности объектов на современном этапе является создание комплексных (интегрированных) систем безопасности и управления системами жизнеобеспечения объектов (КИСБ).