Файл: Изучение информационной безопасности.pdf

В ходе проведения совещания разрешается использование кино-, фото-, звуко- и видеозаписывающей аппаратуры, защита которой обеспечивается в соответствии с требованиями по противодействию иностранным техническим разведкам и технической защите информации.

В результате решения проблем безопасности информации современные ИС и ИТ должны обладать следующими основными признаками:

наличием информации различной степени конфиденциальности;

обеспечением криптографической защиты информации различной степени конфиденциальности при передаче данных;

иерархичностью полномочий субъектов доступа к программам и компонентам ИС и ИТ (к файл-серверам, каналам связи и т.п.);

обязательным управлением потоками информации, как в локальных сетях, так и при передаче по каналам связи на далекие расстояния;

наличием механизма регистрации и учета попыток несанкционированного доступа, событий в ИС и документов, выводимых на печать;

обязательной целостностью программного обеспечения и информации в ИТ;

наличием средств восстановления системы защиты информации;

обязательным учетом магнитных носителей;

наличием физической охраны средств вычислительной техники и магнитных носителей;

1.3. Проведение совещания

При рассмотрении структуры системы информационной безопасности (СИБ) возможен традиционный подход - выделение обеспечивающих подсистем. Система информационной безопасности, как и любая ИС, должна иметь определенные виды собственного обеспечения, опираясь на которые она будет способна выполнить свою целевую функцию. С учетом этого, СИБ должна иметь следующие виды (элементы) обеспечения: правовое, организационное, нормативно-методическое, информационное, техническое (аппаратное), программное, математическое, лингвистическое. Непосредственно перед началом совещания его руководитель или ответственное за его проведение должностное лицо обязаны проинформировать участников совещания о степени конфиденциальности обсуждаемых вопросов.

В ходе совещания, в том числе и во время перерывов, ответственный за его проведение сотрудник, совместно со службой безопасности осуществляет необходимые направленные на исключение утечки конфиденциальной информации организационные мероприятия.

Во время перерывов в совещании, а также после завершения обсуждения одного вопроса и перехода к обсуждению следующего, сотрудники службы безопасности организуют контроль посещения служебных помещений, в которых проводится совещание, его участниками в соответствии с утвержденным списком.

На все время проведения совещания запрещается пронос в служебные помещения, в которых оно проводится, индивидуальных и звуко- видеозаписывающих устройств, а также средств связи, в том числе мобильных телефонов. В целях обеспечения их сохранности организуется камера хранения личных вещей участников совещания.

Видео- и звукозапись, а также видео- и киносъемка хода совещания проводятся с разрешения руководителя предприятия — организатора совещания только на носителях, учтенных в режимно-секретном подразделении. При этом должны соблюдаться требования по защите информации.

Независимо от степени конфиденциальности вопросов, рассматриваемых на совещании, участникам совещания не разрешается:

• информировать о времени, месте и факте проведения совещания, рассматриваемых вопросах, повестке дня и ходе их обсуждения любых лиц, не принимающих участия в совещании и не имеющих к нему непосредственного отношения;
• в ходе совещания производить выписки из документов и иных используемых при обсуждении носителей конфиденциальной информации, на неучтенные в установленном порядке носители;
• обсуждать вынесенные на совещание вопросы в местах общего пользования во время перерывов в совещании и после его завершения;
• в ходе проведения совещания расширять объем используемой в выступлениях конфиденциальной информации, а также при обсуждении и обмене мнениями рассматриваемых вопросов.

Содержащие материалы совещания носители конфиденциальной информации выдаются режимно-секретным подразделением участникам совещания под расписку, а после окончания совещания возвращаются. Контроль своевременного возврата этих носителей осуществляют сотрудники указанных подразделений.

Для записи хода совещания и обсуждаемых вопросов его участникам в установленном порядке выдаются рабочие блокноты или рабочие тетради, имеющие соответствующий гриф секретности и учтенные в службе безопасности. Эти рабочие тетради по окончании совещания возвращаются в режимно-секретное подразделение.

При необходимости они могут быть конфиденциальной почтой направлены для дальнейшего использования и хранения в организации, представители которых производили в них записи на совещании.

Итоговые документы совещания, а также материалы выступлений участников, в том числе и оформленные в электронном виде, в установленном порядке высылаются в организации, направлявшие на совещание своих представителей, а также в вышестоящие органы организации.

Руководитель предприятия-организатора определяет перечень организаций, которым необходимо направить материалы совещания. В необходимых случаях этот перечень согласовывается с руководителями организаций, представители которых принимали участие в совещании.

Принимавшим участие в совещании лицам без письменного разрешения предприятия-организатора совещания запрещается использовать материалы совещания и его результаты при взаимодействии с организациями, представители которых на него не приглашались.

Службой безопасности предприятия проводится постоянный анализ возможных каналов утечки конфиденциальной информации при проведении совещаний на территории предприятия и, по решению руководителя предприятия, принимаются направленные на повышение эффективности защиты информации дополнительные меры [3, 4].

1.4. Работа по анализу содержания материалов

Организационное обеспечение включает в себя регламентацию:

* формирования и организации деятельности службы безопасности и службы конфиденциальной документации (или менеджера по безопасности, или референта первого руководителя), обеспечения деятельности этих служб (сотрудника) нормативно- методическими документами по Организации и технологии защиты информации;

* составления и регулярного обновления состава (перечня, списка, матрицы) защищаемой информации фирмы, составления и ведения перечня (описи) защищаемых бумажных, машиночитаемых и электронных документов фирмы;

* разрешительной системы (иерархической схемы) разграничения доступа персонала к защищаемой информации;

* методов отбора персонала для работы с защищаемой информацией, методики обучения и инструктирования сотрудников;

* направлений и методов воспитательной работы с персоналом, контроля соблюдения сотрудниками порядка защиты информации;

* технологии защиты, обработки и хранения бумажных, машиночитаемых и электронных документов фирмы (делопроизводственной, автоматизированной и смешанной технологий); внемашинной технологии защиты электронных документов;

* порядка защиты ценной информации фирмы от случайных или умышленных несанкционированных действий персонала;

* ведения всех видов аналитической работы;

* порядка защиты информации при проведении совещаний, заседаний, переговоров, приеме посетителей, работе с представителями рекламных агентств, средств массовой информации;

* оборудования и аттестации помещений и рабочих зон, выделенных для работы с конфиденциальной информацией, лицензирования технических систем и средств защиты информации и охраны, сертификации информационных систем, предназначенных для обработки защищаемой информации;

* пропускного режима на территории, в здании и помещениях фирмы, идентификации персонала и посетителей;

* системы охраны территории, здания, помещений, оборудования, транспорта и персонала фирмы;

* действий персонала в экстремальных ситуациях;

* организационных вопросов приобретения, установки и эксплуатации технических средств защиты информации и охраны;

* организационных вопросов защиты персональных компьютеров, информационных систем, локальных сетей;

* работы по управлению системой защиты информации;

* критериев и порядка проведения оценочных мероприятий по установлению степени эффективности системы защиты информации.

Принимающие непосредственное участие в подготовке материалов к открытому опубликованию сотрудники предприятия должны руководствоваться положениями 5 статьи закона Российской Федерации «О государственной тайне», перечнем отнесенных к государственной тайне сведений, другими нормативными правовыми актами, а также перечнем составляющих коммерческую тайну предприятия сведений.

Подготовка материалов к открытому опубликованию включает их разработку авторами, предварительную проверку их содержания руководителями структурны подразделений предприятия, согласование возможности опубликования материалов со службой безопасности предприятия, экспертизу материалов в целях принятия решения об их опубликовании.

Подготовленные к открытому опубликованию материалы не должны содержать сведений, которые составляют служебную, коммерческую или государственную тайну, и иную определенную нормативными правовыми актами информацию с ограниченным доступом.

Направленные на исключение открытого опубликования информации с ограниченным доступом мероприятия включаются в план мероприятий по защите конфиденциальной информации на предприятии на календарный год. В их число, как правило, входят:

• утверждение и разработка руководителем предприятия организационно-распорядительных документов, которые определяют особенности и порядок работы по подготовке материалов к открытому опубликованию;
• предварительный анализ материалов и их согласование с руководителями структурных подразделений предприятия, сотрудники которых осуществляют их подготовку к открытому опубликованию;
• анализ службой безопасности предприятия готовящихся к открытому распространению материалов;
• выборочный контроль опубликованных материалов;
• проведение занятий с сотрудниками предприятия по изучению внутренних организационно-распорядительных документов предприятия и положений нормативных правовых актов;
• взаимодействие с должностными лицами типографий, издательств, средств массовой информации и иных структур;
• определение состава экспертной комиссии предприятия по оценке возможности опубликования материалов и осуществление ее деятельности, в том числе подготовка соответствующих заключений;
• взаимодействие с другими предприятиями по вопросам открытого опубликования материалов, содержащих информацию о проводимых этими предприятиями совместных и других работах, а также с органами государственной власти и предприятиями, являющимися заказчиками работ и обладателями информации, которую планируется открыто опубликовать, получение письменного согласия этих органов государственной власти или предприятий на открытое опубликование материалов;
• проведение периодического анализа эффективности проводимых мероприятий по исключению открытого опубликования конфиденциальной информации и совершенствование этой работы на предприятии.

Ответственность за подготовку материалов к открытому опубликованию и соблюдение при этом требований по защите информации несут авторы материалов, их непосредственные руководители и руководитель предприятия.

В целях оценки степени конфиденциальности информации и возможности открытого распространения материалов проводится их экспертиза.

Для проведения экспертизы подготовленных к открытому опубликованию материалов приказом руководителя предприятия создается экспертная комиссия, как правило, сроком на один календарный год. В состав указанной комиссии включаются сотрудники предприятия — специалисты в различных областях деятельности предприятия. Члены комиссии должны в необходимых случаях иметь допуск к государственной тайне, а также к иным видам конфиденциальной информации предприятия.

При подготовке и проведении экспертизы члены экспертной комиссии обязаны:

• знать перечни сведений, которые запрещены к открытому опубликованию на предприятии, и строго руководствоваться ими при проведении экспертизы;
• при обнаружении в рассматриваемых материалах сведений, составляющих служебную, коммерческую, или государственную иную охраняемую законом тайну, вынести заключение, которое запрещает их открытое опубликование. Такие материалы передаются руководителю предприятия или отвечающему за вопросы защиты информации заместителю для принятия решения об их отнесении в установленном порядке к конфиденциальной информации и об ограничении в связи с этим доступа к данной информации;
• проверять наличие письменного согласия руководителей предприятий-заказчиков работ на опубликование материалов или контролировать выполнение рекомендаций этих руководителей;
• рассматривать материалы с учетом ранее опубликованных работ, которые имеют отношение к этим материалам, с тем, чтобы готовящаяся публикация не привела к разглашению конфиденциальной информации и таким образом нанесению ущерба предприятию;
• при рассмотрении сборников материалов принимать решение о возможности издания как всего сборника в целом, так и его отдельных материалов.

Члены экспертной комиссии имеют право:

• получать от авторов письменное подтверждение об источниках, которые использованы ими при подготовке материалов к опубликованию, а также иную необходимую для подготовки заключения информацию;
• обращаться в установленном порядке за консультацией на другие предприятия, в органы государственной власти и к их должностным лицам.