Тема 7. Реализация мер безопасности

Защита сети подразумевает не единичные действия, а комплексный подход, включающий следующие меры защиты:

• Законодательные меры;

• Управленческие решения;

• Организационные меры;

• Физические решения;

• Программно-технические меры.

7.1 Законодательные меры

К правовым мерам относится часть уголовного кодекса, определяющая ответственность за совершения преступлений в области современных информационных технологий.

Законы:

• "Об информатизации". Закон Республики Беларусь «Об информации, информатизации и защите информации» от 10.11.2008г. №455-З

• "О патентах на изобретения".

• О ПАТЕНТАХ НА ИЗОБРЕТЕНИЯ, ПОЛЕЗНЫЕ МОДЕЛИ, ПРОМЫШЛЕННЫЕ ОБРАЗЦЫ

• "О Национальном архивном фонде и архивах в Республике Беларусь".

• "Об авторском праве и смежных правах"

• Указ Президента Республики Беларусь «О мерах по совершенствованию использования национального сегмента сети Интернет» от 02.02.2010

• и т.д.

Следует также упомянуть Указы Президента РБ, которые касаются, прежде всего, вопросов формирования государственной политики в сфере информатизации, (включая организационные механизмы), создания системы правовой информации и информационно-правового сотрудничества с государствами СНГ, обеспечения информацией органов государственной власти, мер по защите информации. Например, УКАЗ ПРЕЗИДЕНТА РЕСПУБЛИКИ БЕЛАРУСЬ «ОБ УТВЕРЖДЕНИИ НАЦИОНАЛЬНОЙ КОНЦЕПЦИИ БЕЗОПАСНОСТИ РЕСПУБЛИКИ БЕЛАРУСЬ»

7.2 Управленческие решения

Главная цель мер, предпринимаемых на управленческом уровне, — сформировать программу работ в области информационной безопасности и обеспечить ее выполнение, выделяя необходимые ресурсы и контролируя состояние дел. Основой программы является политика безопасности.

Под политикой безопасности мы будем понимать совокупность документированных управленческих решений, направленных на защиту информации

С практической точки зрения политику безопасности целесообразно подразделить на два уровня: верхнего, или центрального, который охватывает всю организацию, и нижнего, или сервисного, который относится к отдельным сервисам.

К верхнему уровню можно отнести решения, затрагивающие организацию в целом. Они носят общий характер и, как правило, исходят от руководства организации. Примерный список подобных решений может включать в себя следующие элементы:

• Решение сформировать или пересмотреть комплексную программу обеспечения информационной безопасности, определение ответственных за продвижение программы.

• Формулировка целей, которые преследует организация в области информационной безопасности, определение общих направлений в достижении этих целей.

• Обеспечение базы для соблюдения законов и правил.

• Формулировка управленческих решений по тем вопросам реализации программы безопасности, которые должны рассматриваться на уровне организации в целом.

К нижнему уровню можно отнести вопросы, касающиеся отдельных аспектов информационной безопасности, но важные для различных систем, эксплуатируемых организацией. Примеры таких вопросов — отношение к передовым (но, возможно, недостаточно проверенным) технологиям, доступ к Internet (как сочетать свободу получения информации с защитой от внешних угроз?), использование домашних компьютеров, применение пользователями неофициального программного обеспечения и т.д.

Для данного уровня должна для каждого аспекта освещать следующие темы:

• Описание аспекта. Например, если рассмотреть применение пользователями неофициального программного обеспечения, последнее можно определить как обеспечение, которое не было одобрено и/или закуплено на уровне организации.

• Область применения. Следует специфицировать, где, когда, как, по отношению к кому и чему применяется данная политика безопасности. Например, касается ли политика по поводу неофициального программного обеспечения организаций-субподрядчиков? Затрагивает ли она работников, пользующихся портативными и домашними компьютерами и вынужденных переносить информацию на производственные машины?

• Позиция организации по данному аспекту. Продолжая пример с неофициальным программным обеспечением, можно представить себе позиции полного запрета, выработки процедуры приемки подобного обеспечения и т.п. Позиция может быть сформулирована и в гораздо более общем виде, как набор целей, которые преследует организация в данном аспекте. Вообще стиль документов по политике безопасности (как и перечень этих документов) может быть существенно разным для разных организаций.

• Роли и обязанности. В "политический" документ необходимо включить информацию о должностных лицах, отвечающих за проведение политики безопасности в жизнь. Например, если для использования работником неофициального программного обеспечения нужно официальное разрешение, должно быть известно, у кого и как его следует получать. Если должны проверяться дискеты, принесенные с других компьютеров, необходимо описать процедуру проверки. Если неофициальное программное обеспечение использовать нельзя, следует знать, кто следит за выполнением данного правила.

• Законопослушность. Политика должна содержать общее описание запрещенных действий и наказаний за них.

• Точки контакта. Должно быть известно, куда следует обращаться за разъяснениями, помощью и дополнительной информацией. Обычно "точкой контакта" служит должностное лицо, а не конкретный человек, занимающий в данный момент данный пост.