Файл: Виды и состав угроз информационной безопасности (Основные определения и критерии классификации угроз).pdf

Система мер по защите информации в широком смысле слова должна строиться исходя из тех начальных условий и факторов, которые, в свою очередь, определяются состоянием устремлен­ности разведок противника либо действиями конкурента на рын­ке товаров и услуг, направленными на овладение информацией, подлежащей защите. Это правило действует как на государствен­ном уровне, так и на уровне конкретного предприятия.

Используются два примерно равнозначных определения орга­низационной зашиты информации.

Организационная защита информации - составная часть систе­мы защиты информации, определяющая и вырабатывающая по­рядок и правила функционирования объектов защиты и деятель­ности должностных лиц в целях обеспечения защиты информа­ции.

Организационная защита информации на предприятии - регла­ментация производственной деятельности и взаимоотношений субъектов (сотрудников предприятия) на нормативно-правовой основе, исключающая или ослабляющая нанесение ущерба дан­ному предприятию.

Первое из приведенных определений в большей степени пока­зывает сущность организационной защиты информации. Второе — раскрывает ее структуру на уровне предприятия. Вместе с тем оба определения подчеркивают важность нормативно-правового ре­гулирования вопросов защиты информации наряду с комплекс­ным подходом к использованию в этих целях имеющихся сил и средств. Основные направления организационной защиты инфор­мации приведены на рис. 3.1.

Рис. 3.1

Основные принципы организационной защиты информации:

принцип комплексного подхода — эффективное использование сил, средств, способов и методов защиты информации для решения поставленных задач в зависимости от конкретной складываю­щейся ситуации и наличия факторов, ослабляющих или усилива­ющих угрозу защищаемой информации;

принцип оперативности принятия управленческих решений (существенно влияет на эффективность функционирования и гибкость системы защиты информации и отражает нацеленность руководства и персонала предприятия на решение задач защиты информации);

принцип персональной ответственности — наиболее эффективное распределение задач по защите информации между руководством и персоналом предприятия и определение ответственности за полноту и качество их выполнения.

Среди основных условий организационной защиты информации можно выделить следующие:

• непрерывность всестороннего анализа функционирования системы защиты информации в целях принятия своевременных мер по повышению ее эффективности;
• неукоснительное соблюдение руководством и персоналом предприятия установленных норм и правил защиты конфиденциальной информации.

При соблюдении перечисленных условий обеспечивается наиболее полное и качественное решение задач по защите конфиденциальной информации на предприятии.

3.2 Источники конфиденциальной информации и каналы ее утечки

Основными источниками конфиденциальной информации являются:

• персонал предприятия, допущенный к конфиденциальной информации;
• носители конфиденциальной информации (документы, изделия);
• технические средства, предназначенные для хранения и обработки информации;
• средства коммуникации, используемые в целях передачи информации;
• передаваемые по каналам связи сообщения, содержащие конфиденциальную информацию.

Способы обмена конфиденциальной информацией (например, между сотрудниками предприятия) могут носить как непосредственный (личный) характер, так и характер передачи формируемых на основе информации сообщений посредством технических средств и средств коммуникаций (различных средств и систем связи).

Из существующих способов обмена конфиденциальной информацией необходимо выделить организационные каналы передачи и обмена информацией:

• конфиденциальное делопроизводство (защищенный документооборот);
• совместные работы, выполняемые предприятием по направлениям его производственной и иной деятельности;
• совещания (конференции), в ходе которых обсуждаются вопросы конфиденциального характера;
• рекламная и издательская (публикаторская) деятельность;
• различные мероприятия в области сотрудничества с иностранными государствами (их представителями и организациями), связанные с обменом информацией;
• научные исследования, деятельность диссертационных и иных советов учреждений и организаций;
• передача сведений о деятельности предприятия и данных о его сотрудниках в территориальные инспекторские и надзорные органы.

Организационные каналы передачи и обмена конфиденциальной информацией в ходе их функционирования могут быть подвергнуты негативному воздействию со стороны злоумышленников, направленному на получение этой информации. Данное воздействие, в свою очередь, может привести к возникновению каналов утечки конфиденциальной информации и потребовать от руководства предприятия, руководителей структурных подразделений и персонала принятия мер по защите конфиденциальной информации, направленных на недопущение ее утечки и несанкционированного распространения (утраты носителей конфиденциальной информации).

Для определения необходимых мер по защите информации. Нужно провести классификацию всех возможных каналов утечки информации в зависимости от направлений и специфики деятельности предприятия, видов конфиденциальной информации, особенностей функционирования системы защиты информации и иных факторов.

Организационные каналы утечки конфиденциальной информации, возникающие в процессе деятельности предприятия, подразделяйся следующим образом:

• по источникам угроз защищаемой информации (внешние и утренние);
• по видам конфиденциальной информации или тайн (государственная, коммерческая, служебная или иная тайна; персональные данные сотрудников предприятия);
• по источникам конфиденциальной информации (персонал, носители информации, технические средства хранения и обработки информации, средства коммуникации, передаваемые или принимаемые сообщения и т.п.);
• по способам или средствам доступа к защищаемой информации (применение технических средств, непосредственная и целее направленная работа с персоналом предприятия, осуществление непосредственного доступа к информации, получение доступа к защищаемой информации агентурным путем);
• по характеру взаимодействия с партнерами (каналы утечки, возникающие в отсутствие взаимодействия, при осуществлении взаимодействия, в условиях конкурентной борьбы);
• по продолжительности или времени действия (каналы утечки постоянного, кратковременного, а также периодического или эпизодического действия);
• по направлениям деятельности предприятия (каналы утечки, возникающие в обычных условиях или при повседневной деятельности предприятия, при выполнении совместных работ, осуществлении международного сотрудничества, проведении совещаний, выезде персонала за границу, в ходе рекламной и публикаторской или издательской деятельности, при проведении научных исследований или командировании сотрудников предприятия);
• по причинам возникновения каналов утечки информации Действия злоумышленников, ошибки персонала, разглашение конфиденциальной информации, случайные обстоятельства);

Далее по тексту термин «защита информации» распространяется только на Формацию, в установленном порядке отнесенную к конфиденциальной информации, если иное не оговорено особо.

• по каналам коммуникации, используемым для передачи, приема или обработки конфиденциальной информации (каналы утечки, возникающие при хранении, приеме-передаче, обработке или преобразовании информации, а также в канале связи, по которому передается информация);
• по месту возникновения каналов утечки информации (каналы утечки, возникающие за пределами территории предприятия или на территории предприятия — в служебных помещениях, на объектах информатизации, объектах связи и в других местах);
• по используемым способам и методам защиты информации (каналы утечки, возникающие при нарушении установленных требований по порядку отнесения информации к категории конфиденциальной, обращения с носителями информации, ограничения круга допускаемых к информации лиц, непосредственного доступа к информации персонала предприятия или командированных лиц, а также по причине нарушения требований пропускного или внутриобъектового режимов).

Задачи по исключению возможных каналов утечки конфиденциальной информации решаются как отдельными должностными лицами (персоналом), так и структурными подразделениями предприятия, создаваемыми и функционирующими по различным направлениям защиты информации. Успешное решение этих задач невозможно без применения совокупности средств и методов защиты информации. Классификация сил, средств, способов и методов защиты информации, а также порядок их применения (использования) рассмотрены в соответствующих главах учебника.

Для более полного представления о системе защиты информации предприятия, силах, средствах, способах, методах защиты информации, мероприятиях, планируемых и проводимых в целях обеспечения информационной безопасности, необходимо рассмотреть основы организационной составляющей системы защиты конфиденциальной информации предприятия как наиболее важного направления деятельности предприятия по защите информации.

4. ОРГАНИЗАЦИЯ АНАЛИТИЧЕСКОЙ РАБОТЫ В ОБЛАСТИ ЗАЩИТЫ ИНФОРМАЦИИ НА ПРЕДПРИЯТИИ

4.1 Основные направления аналитической работы. Функции аналитического подразделения

Анализ состояния защиты информации — это комплексное изу­чение фактов, событий, процессов, явлений, связанных с про­блемами защиты информации, в том числе данных о состоянии работы по выявлению возможных каналов утечки информации, о причинах и обстоятельствах, способствующих утечке и наруше­ниям режима секретности (конфиденциальности) в ходе повсед­невной деятельности предприятия.

Основное предназначение аналитической работы — выработка эффективных мер, предложений и рекомендаций руководству предприятия, направленных на недопущение утечки конфиден­циальной информации о деятельности предприятия и проводи­мых работах. Аналитическая работа должна включать элементы прогнозирования возможных действий противника по получению важной защищаемой информации.

Основные направления аналитической работы на предприятии следующие:

• анализ объекта защиты;
• анализ внутренних и внешних угроз информационной без­
  опасности предприятия;
• анализ возможных каналов несанкционированного доступа к
  информации;
• анализ системы комплексной безопасности объектов;
• анализ имеющих место нарушений режима конфиденциаль­ности информации;
• анализ предпосылок к разглашению информации, а также к
  утрате носителей конфиденциальной информации.

Функции анализа на предприятии возлагаются на специально создаваемое в его структуре аналитическое подразделение, кото­рое комплектуется квалифицированными специалистами в обла­сти защиты информации. Вместе с тем, данные специалисты дол­жны в полной мере владеть информацией по всем направлениям деятельности предприятия: знать виды, характер и последовательность выполнения производственных работ, взаимодействующие организации, специфику деятельности структурных подразделений предприятия и т.д. Как правило, аналитическое подразделение включается в состав службы безопасности предприятия.

Аналитическое подразделение должно обеспечивать руководство предприятия достоверной и аналитически обработанной информацией, необходимой для принятия эффективных управленческих решений по всем направлениям защиты информации. Основными функциями аналитического подразделения являются:

• обеспечение своевременного поступления достоверных и всесторонних сведений по проблемам защиты информации;
• учет, обобщение и постоянный анализ материалов о состоянии дел в системе защиты информации предприятия (его филиалов и представительств);
• анализ возможных угроз защите информации, моделирование реального сценария возможных действий конкурентов (злоумышленников), затрагивающих интересы предприятия;
• обеспечение эффективности работы по анализу имеющейся информации, исключение дублирования при ее сборе, обработке и распространении;
• мониторинг ситуации на рынке продукции, товаров и услуг, а также во внешней среде в целях выявления событий и фактов, которые могут иметь значение для деятельности предприятия;
• обеспечение безопасности собственных информационных ресурсов, ограничение доступа сотрудников предприятия к аналитической информации;
• подготовка выводов и предложений, направленных на повышение эффективности планируемых и принимаемых мер по защите информации, а также уточнение (корректировку) организационно-планирующих документов предприятия и его структурных подразделений;
• выработка рекомендаций по внесению изменений и дополнений в методические документы, регламентирующие алгоритм действий сотрудников предприятия по защите информации (стандарты предприятия).