Таким образом классификация угроз информационной безопасности различается по характеру угрозу, видов воздействия, по .. объекту угроз,причине

Утечка- безконтрольный выход конфиденциальной информации за пределы организации или круга лиц, которым она была доверена. Под каналом утечки понимается физ путь от источника официальной информации к злоумышленнику по которому возможна утечка или несанкционированное получение охраняемых сведений.

Все каналы утечки можно разделить на косвенные и прямые. Косвенный канал утечки не требует непосредственного доступа тех средствам ИС. Прямые требуют доступ к АО и данным ИС(кража или утеря носителей информации, исследование не уничтоженного мусора, фотографирование, прослушка ). Инсайдеры прямое утечка вследствие несоблюдения коммерческой тайны. Каналы утечки информации можно разделить по физ свойствам и принципам функционирования:

1 Акустические – прослушка

2 Оптические – ф-в- съемка

3 Электромагнитные- копирование полей путем снятия индуктивных н

Водок

4 Материальные – информация на бумаге

Правовое обеспечение ИБ

Доктрина ИБ РФ представляет собой савокупность оф взглядов на цели, задачи и основные направления ИБ РФ. Доктрина служит для:

1 формирования гос политики в области обеспечения ИБ РФ

2 для подготовки к совершению нового методического, правового, НТ обеспечения ИБ РФ

3 Для разработки целевых программ обеспечения ИБ РФ

Концепция отражает совокупность официально принятых гос взглядов на состояния целей задач основные направления и первоочередные мероприятия по дальнейшему развитию системы правового регулирования общественных отношений в области обеспечения ИБ РФ. Концепция создает методологическую основу согласования деятельности в области совершенствования правового обеспечения ИБ РФ всех субъектов законодательной инициативы федерального уровня, уровня субъектов РФ а также органов исполнительной власти, осуществляющих подготовку проектов международных договоров и может быть использовано:

1 При разработке планов законодательной работы президента РФ, Депутатов Гос. думы правительства РФ, а так же верховного и высшего судов РФ по предметам их ведения.

2 Использовано при разработке планов законотворческой деятельности субъектов РФ в области формирования региональных систем обеспечения информационной безопасности

3 При разработке правовых доктрин регулирования отношений по отдельным вопросов в соответствии правового отношения ИБ РФ а также концепций нормативных правовых актов регулирующих отношения в области обеспечения ИБ

4 При разработке планов подготовки международных договоров РФ.

ФЗ РФ от 27 июля 2006г. № 149-ФЗ «об информации, информационных технологиях и о защите информации»

Статьи 272-274 «Преступление в сфере компьютерной информации: неправомерный доступ к компьютерно информации (272), создание использование и хранение вредоносных программ ЭВМ, нарушение правил эксплуатации ЭВМ или сети»

Учитывая влияние на трансформацию идеи ИБ развитие средств информационных коммуникаций можно выделить следующие этапы:

1 до начала 19 века характеризуется использованием естественно возникавших средств информационных коммуникаций; в этот период основная задача ИБ заключалась в защите сведений о событиях, фактах, имуществе, и др. данных имеющих для человека лично или общества которому он принадлежал жизненное значение.

2 с 19 века связан с началом использования искусственно создаваемых тех средств и радиосвязи. Для обеспечения скрытности и помехозащищенности необходимо было использовать опыт первого периода ИБ на более высоком тех уровне, а именно применение помехоустойчивого кодирования сигнала с последующим декодированием принятого сообщения.

3 с 1935 связан с появлением радиолокационных и гидроакустических средств. Основным способом обеспечения ИБ в этот период было сочетание организационных и тех мер направленных на повышение защищенности радиолокационных средств от воздействия на их приемные устройства, активно маскирующими и пассивными, имитирующими радиолокационными помехами

4 1946 связан с изобретением и внедрением в практическую деятельность ЭВМ. Задачи ИБ решались в основном способами физ защиты ограничения доступа к оборудованию.

5 1965 обусловлен созданием и развитием локальных информационных коммуникационных сетей, задачей ИБ решались способами физ защиты ограничения доступа к оборудованию, но оно было объединено в локальные сети

6 1973 связан с использованием сверх мобильных устройств с широким спектром задач. Потребовалась разработка новых критериев безопасности. Образовались сообщества людей-хакеров. Формируется информационное право.

7 1985 связан с созданием и развитием глобальных информационных коммуникационных сетей с использованием космических средств. Для решения ИБ на этом этапе необходимо создание макросистемы ИБ человечества под эгидой международных идущих форумов.

Организационно технические и организационно правовые мероприятия осуществляемые в процессе создания и эксплуатации системы обработки и передачи данных целью защиты информации; кроме того организационные мероприятия охватывают все структурные элементы системы защиты на всех этапах их жизненного цикла(ЖЦ): строительство помещений, проектирование системы, монтаж и наладка оборудования, испытание и проверка в эксплуатации(аппаратуры, оргтехники, средств передачи и обработки данных). Первым шагом в создании эффективной защиты организации от технического проникновения конкурентами или злоумышленниками должна стать оценка основных методов промышленного шпионажа которыми могут воспользоваться конкуренты, изучение характеристик имеющихся на вооружении средств съема информации с отдельным помещением и тех средств организации. Предварительный анализ уязвимости помещений и тех средств организации от промышленного шпионажа позволяет сделать выводы о наиболее вероятных методах съема информации которые может использовать конкурент. Такой анализ дает возможность службе безопасности организации выработать необходимые организационные, технические и специальные меры защиты объекта организации. Организационные меры защиты базируются на законодательных и нормативных документах по безопасности информации они должны охватывать все основные пути сохранения информационных ресурсов и включать:

1. Ограничение физ доступа к объектам обработки данных и реализацию режимных мер

2. Ограничение возможностей перехвата информации вследствие существования физ полей

3. Ограничение доступа к информационным ресурсам и другим элементам системы обработки данных путем установления правил разграничения доступа, криптографическое закрытие каналов передачи данных, выявление и уничтожения вредоносных программ.

4. Создание твердых копий важных с точки зрения утраты массивов данных.

5. Проведение профилактических и других мер от внедрения вредоносны программ.

По содержанию все множество организационных мероприятий можно условно разделить на следующие группы:

1. Мероприятия осуществляемые при создании системы обработки, накопления, хранения и передачи данных заключающиеся в учете требований защиты при: разработке общего проекта системы, и ее элементов строительстве или переоборудовании помещений, разработке математического программного информационного или лингвистического обеспечения, монтаже и наладке оборудования, испытания при приеме системы. Особое значение на данном этапе придается определению действительной возможностей механизмов защиты, для чего целесообразно осуществлять целый комплекс испытаний и проверок.

2. Мероприятия осуществляемые процессе эксплуатации систем обработки данных: организация пропускного режима, организация автоматизированной обработки данных, распределение реквизитов разграничения доступа, организация ведения протоколов, контроль выполнения требований служебных инструкций.

3. Мероприятия общего характера: учет требований защиты при подбое и подготовки кадров, организация проверок механизмов защиты, планирование всех мероприятий по защите информации, обучение персонала, проведение занятий с привлечением ведущих организаций, участие в семинарах и конференциях по проблемам информационной безопасности.

Одна из важнейших организационных мер защиты информации является создание службы

безопасности организации.

___________-------------------__________________-----------------____________

1. Обеспечение бехопасности производственно торговой деятельности и защиты информации являющейся коммерческой тайной

2. Организация работы по правовой и инженерно технической защиты коммерческой тайны.

3. Организация специального дело производства исключающего несанкционированного получения сведений являющегося коммерческой тайной.

4. Предотвращение необоснованного доступа и допуска к сведениям и работам являющемся коммерческой тайной.

5. Выявление и локализации возможных каналов утечки конфиденциальной информации в процессе повседневной производственной деятельности а так же в экстремальных или аварийных ситуациях

6. Обеспечение режима безопасности при проведении всех видов деятельности включая различные встречи, переговоры совещания связанные с деловым сотрудничеством как на национальном и международном уровнях.

7. Обеспечение охраны зданий помещений и оборудования, продукции и тех средств обеспечения производственной деятельности.

8. Обеспечение личной безопасности руководства, ведущих сотрудников и специалистов

9. Оценка маркетинговых ситуаций и неправомерных действий злоумышленников и конкурентов.

Общие функции службы безопасности

1. Организует и обеспечивает пропускной и внутри объектовый режим в зданиях и помещениях, порядок внесения службы охраны, контролирует соблюдение требования режима сотрудниками партнерами и посетителями.

2. Руководит работами по правовому и организационному регулированию отношений по защите коммерческой тайны

3. Участвуют в разработке основополагающих документов с целю закрепления в них требований обеспечения безопасности и защиты коммерческой тайны

4. Разрабатывает и осуществляет совместно с другими предприятиями мероприятия по обеспечению работы с документами содержащими сведения являющимися коммерческой тайной.

5. Организует и контролирует выполнение требований инструкции по защите коммерческой тайны.

6. Изучает все стороны коммерческой производственной финансовой и другой деятельности для выявления и закрытия возможных каналов утечки информации, ведет учет и анализ нарушений режима безопасности, накапливает и анализирует данные о злоумышленных устремлениях конкурентов и других организаций о деятельности предприятия и его клиентов, партнеров и тд.

7. Организует и проводит служебное расследование по фактом разглашения сведений утрат документов и других нарушений безопасности предприятия.

8. Разрабатывает, ведет, пополняет перечень сведений составляющих коммерческую тайну и другие нормативные акты регламентирующие порядок обеспечения безопасности и защиты информации.

9. Обеспечивает строгое выполнение требований нормативных документов по защите коммерческой тайны.

10. Осуществляет руководство службами и подразделениями безопасности подведомственных предприятий.

11. Организует и регулярно проводит учебу сотрудников предприятия и службы безопасности по всем направлениям защиты коммерческой тайны добиваясь чтобы в защите был глубоко осознанный подход.

12. Ведет учет сейфов специальных хранилищ и других помещений в которых разрешено постоянное или временное хранение конфиденциальных документов.

13. Ведет учет выделенных для конфиденциальной работы помещений, тех средств в них обладающих потенциальными каналами утечки информации.

14. Поддерживает контакты с правоохранительными органами и службами безопасности соседних предприятий в интересах изучения криминогенной обстановки в районе.

Состав службы безопасности

Службой безопасности является самостоятельной организационной единицей подчиняющейся непосредственно руководителю предприятия. Возглавляет службу начальник в должности заместителя руководителя предприятия по безопасности. Организационно состоит из следующих структурных единиц:

1. Отдела режима и охраны

2. Специального отдела в составе сектора обработки секретных документов и сектора обработки документов с грифом коммерческая тайна.

3. Инженерно- технической группы,

4. Группы безопасности внешней деятельности.

--------------------__________________-----------------------------_____________________

Обследование существующей системы ИБ позволит установить, соответствует ли уровень безопасности информационно технологических ресурсов компании выдвигаемым требованиям, то есть необеспеиваются необходимые параметры конфиденциальноости, Целостности и доступности ресурсов ИС. Существует несколько видов обследования:

1. Предпроектное диагностическое обследованиет(выполняется при модернизации и остроении системы ИБ.

2. Аудит системы ИБ на соответствие требованием внутрикорпоративных стандартов или нац стандартов. Примером может служить сертификационный аудит системы управлений ИБ по ISO 27001

3. Спец виды обследования, например при расследовании компьютерных инцидентов.

При проведении аудита системы ИБ последовательно выполняются след работы:

Сбор данных и описание текущего состояние системы ИБ. Опеделение критериев защищенности ИС анализ соответствия системы Иб  отчет о проведенном обследования с рекомендации по сравнению выделенны недостатков

Каждый этап работ имеют реальный контролируемый результат, что позволяет обеспечить эффективный контроль объекта на всем его продвижении.

В процессе обследовании Иб и анализов системы ИБ также идентифицируюся влядельцами IT ресурсов и лица ответственные за целостность сетевых ресурсов. Устанавливаются трубования системы разделение прав доступа(пароли, разрешения), включая все правила доступа к ИС компонента. IT ресурсы классифицируются по степень важности. Проверяются все процедуры безопасности в том числе поддежка системы ИБ в процессе есслидрования системы ИБ. Организация системы резервного копирования раграничени прав пользования, процедуры удаленного доступа, защитаа учетны записей.Оределяются лица ща ответственные за развите и поддержку ИБ. В ходе анализа моделированияя возможнвх сценариев а также атаку ИВ выявдяются ситуаци которые могут вести нормальную систему прокета.

Интегрирования система Иб

К идеологии комплексного создания аритектуре системы ИБ комания TopsBI пришла после многих лет работы с крупными компаниипо проектам обеспечеения ИБ. Высоеач нты представлены ке

Ыыективнось ИБ может гарантироваться еслив се ее компоненты функционируют как комплекс и имеют централзванное управление.

Система безопасности должна строиться на основе аализа, и стоимось ее внедрения и поддержки должны быть адекватны угрозам.

Интегрированный набор системы ИБ разделают: