–определение реальных и потенциальных угроз безопасности;

–анализ ресурсов, необходимых для обеспечения решения поставленных

задач;

–формирование и выбор стратегических альтернатив организации системы защиты;

–анализ сравнительных преимуществ и недостатков;

–согласование ресурсов, выделяемых для решения задач;

–определение приоритетов и последовательности решения плановых задач и организации их исполнения;

–определение эффективных методов решения задач и использования ре-

сурсов:

–определение видов и способов контроля выполнения плановых задач;

–документальное и организационное оформление плана.

24. Сущность и содержание контроля функционирования КСЗИ

Контроль является одним из важнейших и необходимых направлений работ по ЗИ. Цель контроля: выявить слабые места системы, допущенные ошибки, своевременно исправить их и не допустить повторения.

Основные требования к контролю: комплексность, своевременность, стандартизация, простота, доступность, гибкость, объективность, экономичность.

Основные методы контроля: проверка, изучение, испытания, наблюдения, зачеты, экзамены, тестирование, провокации аварийных ситуаций, атаки и др.

Основными задачами контроля являются [2, 11, 31]:

–определение обоснованности и практической целесообразности проводимых мероприятий по ЗИ;

–выявление фактического состояния СЗИ в данный период времени;

–анализ сравнения фактического состояния с заданным режимом, обстановкой и оценка характера допущенных отклонений и недоработок;

–установление причин и обстоятельств отклонений показателей качества, характеризующих СЗИ, от заданных;

–разработка мероприятий по улучшению и корректировке процесса управления и принятия мер по их реализации.

–изучение деловых качеств и уровня профессиональной подготовки лиц, осуществляющих ЗИ.

89

Меры контроля представляют собой совокупность организационных и технических мероприятий, проводимых с целью проверки выполнения установленных требований и норм по ЗИ. Организационные меры контроля включают проверку:

–выполнения сотрудниками требований по обеспечению сохранности коммерческой тайны;

–выполнения пропускного режима (проверка наличия постоянных пропусков у сотрудников предприятия, проверка работы охранников);

–выполнения сотрудниками правил работы с конфиденциальными документами (правила хранения, размножения и копирования);

–наличия защищаемых носителей конфиденциальной информации.

При проведении технического контроля осуществляется проверка мер технической защиты информации установленным требованиям или предельно допустимым значениям (нормам). В зависимости от объема проверяемых каналов возможной утечки информации технический контроль может быть:

–комплексный, проверка всех каналов;

–целевой, проверка одного из каналов;

–выборочный, проверка наиболее вероятных каналов утечки. Кроме того, контроль функционирования КСЗИ может быть:

–внешний, проводимый различными государственными органами;

–внутренний, проводимый службой безопасности предприятия.

При классификации видов контроля используются временные рамки, скорость изменения контролируемых процессов, затраты на проведение измерений и обработку результатов и др. (см. приведенную ниже таблицу).

Впоследнее время широко применяются следующие виды контроля:

–мониторинг – непрерывное поступление информации;

–контроллинг – оценка экономичности;

–бенчмаркинг – внедрение технологий, стандартов и методов деятельности более успешных организаций-аналогов.

Всамом процессе контроля выделяют следующие стадии: предварительная, текущая и заключительная.

Заключительный контроль даёт руководству информацию для: анализа причин нарушений и недостатков в организации и обеспечении ЗИ; выработки рекомендаций по их устранению и планирования проведения аналогичных работ в будущем.

25. Управление КСЗИ в условиях чрезвычайных ситуаций

Чрезвычайная ситуация (ЧС) – это катастрофические изменения состояния некоторого объекта (здания, предприятия, территории), сложившиеся в результате аварии, опасного природного явления, катастрофы, стихийного или иного бедствия и повлекшие за собой большие людские, материальные или финансовые потери.

ЧС классифицируются: по источникам происхождения и по масштабам (количеству пострадавших, размеру материального ущерба, территории распространения).

Выделяют следующие причины возникновения ЧС:

–природные (ураганы, землетрясения, наводнения и т.д.);

–техногенные (поломки, аварии, взрывы);

–антропогенные источники ЧС (неосторожность персонала, злой умысел

ит.д.), связанные с деятельностью человека;

–терроризм.

На принятие решений в условиях ЧС существенное влияние оказывают следующие факторы:

–неопределенность, связанная со сложностью сбора и обработки оперативной информации, а также возможным разрушением АС управления;

–недостаток резервов и ресурсов;

–ограниченность времени на принятие решения;

–психофизиологическое состояние лиц, принимающих решения, и тех, кто испытал на себе последствия ЧС (шок, кровопотеря, страх, голод, и т.п.).

91

Главное в ЧС – это сохранение жизни людей и нормальное функционирование систем жизнеобеспечения, в том числе КСЗИ.

Все ЧС имеют 3 классических периода:

1)угрожаемый;

2)нейтрализации или предотвращения;

3)восстановления функционирования КСЗИ.

Вэтой связи чрез вычайно важной является подготовка мероприятий на случай возникновения ЧС. Это может быть:

1. Заблаговременная подготовка, включающая:

– прогнозирование потерь при ЧС;

– расчет и формирование резерва, необходимого для сокращения потерь;

– поддержание ресурсов в необходимой степени готовности.

2. Непосредственная подготовка – привлечение (частичное или полное) подготовленного резерва к работам по ликвидации последствий ЧС.

Для КСЗИ в условиях ЧС необходимо разработать:

– меры по защите наиболее важных и ценных носителей информации;

– подробные инструкции, регламентирующие деятельность каждого сотрудника;

– распределение обязанностей и ответственности за сохранность носителей информации;

– материально-техническое обеспечение ЧС (маршруты перевозок, карты, адреса, и. т.п.).

Особое внимание необходимо уделить созданию резервных копий жизненно важной для функционирования комплексной системы информации.

Различают следующие виды резервирования:

1)организационное; 2) техническое; 3) информационное.

Среди методов резервирования выделяют:

–полное дублирование;

–инкрементальное (наращиваемое) резервирование;

–дифференциальное резервирование.

Полное резервирование обычно затрагивает всю КСЗИ и все защищаемые документы. Еженедельное, ежемесячное и ежеквартальное резервирование подразумевает полное резервирование.

При инкрементальном резервировании происходит копирование только тех файлов, которые были изменены с тех пор, как в последний раз выполнялось полное или добавочное резервное копирование. Последующее резервиро-

92