Файл: Виды и состав угроз информационной безопасности (Технические средства защиты информации).pdf

Организация деятельности предприятия по обеспечению информационной безопасности обязаны соответствовать современным международным запросам в данной области. Стандарт информационной безопасности ISO/IEC 27002 – это информационные технологии.

Технологии безопасности. Утилитарные правила менеджмента информационной безопасности (англ. Information technology — Security techniques — Code of practice for information security management). разработаны в 2005 году на основе версии ISO 17799.

Стандарт предоставляет оптимальные практические рекомендации по менеджменту информационной безопасности для тех, кто несет ответственность за разработку, реализацию или сервисное обслуживание систем менеджмента информационной безопасности. Информационная безопасность обусловливаться стандартом как сохранение конфиденциальности, целостности и доступности информации.

Нынешняя версия стандарта заключается в следующих основных разделах:

Политика безопасности (Security policy);

Организация информационной безопасности (Organization of information security);

Физическая безопасность и безопасность окружения (Physical and environmental security);

Управление ресурсами (Asset management);

Безопасность персонала (Human resources security);

Приобретение, разработка и поддержка систем (Information systems acquisition, development and maintenance);

Управление коммуникациями и операциями (Communications and operations management);

Управление доступом (Access control);

Управление бесперебойной работой организации (Business continuity management);

Управление инцидентами информационной безопасности (Information security incident management);

Соответствие нормативным требованиям.

3.7 Нормативно-методическое обеспечение защиты информации

Нормативно-методическое обеспечение защиты информации определена для регламентации про­цессов обеспечения безопасности информации предприятия, в этом числе и работа персонала с конфиденциальной информацией, до­кументами, делами и базами данных.

Оно заключает в себе ряд непременных организационных, ин­структивных и информационных документов, определяющих принципы, требования и способы противодействия бездейственным и активным угрозам ценной информации, которые могут возник­нуть по вине персонала, конкурентов, злоумышленников и дру­гих лиц.

Нормативно-методическое обеспечение основывается на тех обя­зательных положениях, которые должны заключаться в учреди­тельных и иных основных документах организации и опреде­лять правовой статус ее информационной безопасности. Указан­ные положения разрешают на законных основаниях вести разговор о сохранении коммерческой тайны, выделять ценную информацию, составляющую собственность организации и реализовывать дей­ствия по ее защите.

Основными организационными документами, фиксирующими задачи, функции и ответственность служб, исполняющих за­щиту ценной документированной информации, являются:

положение о службе безопасности,

положение о службе конфи­денциальной документации,

служебные инструкции работников данных служб,

должностная инструкция менеджера (референта) по безопасности маленькой предпринимательской фирмы и др.

Технологические инструктивные документы различаются большим многообразием и по своему назначению, составу и содержанию от­ражают выбранную технологию системы защиты инфор­мации. Можно выделить важнейшие регламентирующие докумен­ты, располагающие значением для любого предприятия и нужные при ис­пользовании любой системы защиты информации или некоторых элементов такой системы.

Прежде всего, следует назвать Перечень конфиденциальных знаний предприятия и классифицированный список документов, подлежащих защите.

Ин­струкция по обеспечению безопасности конфиденциальной инфор­мации, отражающая:

режим доступа работников к конфиденциальным документам и базам данных, методом оформления документа для доступа;

обязанности сотрудников при работе с конфиденциальной информацией;

обеспечение сохранности документов на бумажных и магнитных носителях при работе с ними руководителей, исполнителей (специалистов) и технического персонала;

требования к помещениям для работы с конфиденциальной информацией;

порядок сохранения коммерческой при проведении совещаний, заседаний и переговоров;

порядок охраны территории, здания, помещений, транспортных средств и персонала;

пропускной режим в помещения, учет и распорядок выдачи удостоверений, пропусков и визуальных идентификаторов;

порядок приема, учета и контроля занятий посетителей;

запросы к защите информации в рекламной и выставочной работе, публикациях, при интервьюировании и собеседованиях;

ответственность работников за разглашение конфиденциальной информации и утрату ценных документов;

организационное обеспечение защиты информации в ПЭВМ и линиях связи, при применении в обрабатывании документов под средством оргтехники.

Инструкции по обработке, хра­нению и движению конфиденциальных документов определена для организации работы сотрудников службы конфиденциальной документации, менеджера (референта) по безопасности, управляющего делами, секретаря-референта первого руководителя.

Информационные доку­менты (правила, требования, указания, методики, памятки и т. п.), детализирующие этапы по защите информации, носящие неукоснительный характер и определяющие порядок работы с кон­фиденциальной информацией и документами некоторых катего­рий работников, или всех работников в конкретных типо­вых ситуациях. При необходимости они могут разбираться по каж­дому отдельному работнику.

В порядке работы менеджера по безопасности (администратора информационной безопасности) с конфиденциальными документами и базами данных должны отображаться:

организация доступа исполнителей к конфиденциальным документам;

порядок приема и отправки конфиденциальных документов;

порядок учета (регистрации) поступающих документов;

разделение документов по руководителям и исполните­лям, знакомство с документами исполнителей и передача документов на реализацию исполнения;

создание и ведение справочной - информации данных по секретным документам;

порядок организации приема руководителем посетителей, методы обеспечения безопасности руководителя;

контроль осуществления работ по документам;

ведение учета и изготовление документов на пишущих устройствах;

осуществлять формирование и хранение дел;

оформление и ведение номенклатуры дел;

защиту информации при проведении телефонных переговоров и передача информации по факсимильной связи;

защиту информации при работе с ПЭВМ;

построение систем охраны кабинета руководителя, приемной, сейфов, шкафов с документацией, вычислительной и организационной техники в рабочее и нерабочее время;

ответственность за неисполнение правил работы с конфиденциальной документацией и базами данных.

Информационные документы регламентируют запросы по единообразному выполнению персоналом установленных видов ти­повых действий. К этаким документам можно причислить, например, Правила обеспечения безопасности и защиты конфиденци­альной информации в экстремальных ситуациях, содержащие в себе:

классифицированный перечень экстремальных ситуаций и соответствующих мероприятий по защите конфиденциальной информации, информации и документов;

порядок охраны имущества, оборудования и технических средств защиты информации;

порядок действий с правоохранительными органами при возникновении экстремальных условий.

порядок (при необходимости — план) эвакуации и охраны документов, дел и баз данных;

порядок (при необходимости — план) эвакуации и оказания содействия персоналу;

порядок охраны персонала при индивидуальных экстремальных ситуациях (угрозах, шантаже, нападении и т. п.).

ЗАКЛЮЧЕНИЕ

Информационная безопасность относится к числу направлений деятельности, формирующихся весьма резвыми темпами. Этому способст­вуют как всеобщий процесс развития информационных технологий, так и постоянная борьба между теми, кто желает добыть конфиденциальную информацию и теми кто хочет ее сохранить.