12. Технологическое и организационное построение ксзи

12.1 Общее содержание работ по организации ксзи

При создании комплексной системы защиты информации ограниченного доступа необходимо учитывать, что защита информации должна осуществляться на всех стадиях ее жизненного цикла – от создания и до уничтожения, а также во всех видах ее представления - документальном (на материальных носителях - бумага, кино-, фото, видео- и т.п.), электронном, содержащейся и обрабатываемой в автоматизированных системах (АС) и отдельных средствах вычислительной техники (СВТ), включая персонал, который ее обрабатывает - всю информационную инфраструктуру. При этом защищать информацию необходимо не только от несанкционированного доступа (НСД) к ней, но и от неправомерного вмешательства в процесс ее обработки, хранения и передачи на всех фазах, нарушения работоспособности АС и СВТ, воздействия на персонал и т.п. Защищать необходимо все компоненты информационной структуры предприятия - документы, сети связи, персонал и т.д.

Целью работы должно являться построение комплексной системы защиты информации. Это предполагает необходимость использования, создания и разработки совокупности методологических, организационных и технических элементов КСЗИ, взаимообусловленных и взаимоувязанных.

Основные организационно-методические мероприятия по созданию и поддержанию функционирования комплексной системы защиты:

• создание службы защиты информации, включая подбор, расстановку и обучение ее персонала;

• создание основных нормативных и организационно-распорядительных документов, необходимых для организации комплексной системы защиты информации.

Систему КЗИ предприятия целесообразно строить с учетом реальных угроз, в результате осуществления которых предприятию (или в отношении государственной тайны – государству) может быть нанесен ущерб.

Наиболее значимыми угрозами информационной безопасности предприятия являются (в порядке, соответствующем частоте проявления):

• непреднамеренные ошибочные действия сотрудников предприятия;

• злоумышленные действия сотрудников предприятия;

• неправомерные действия третьих лиц (в том числе государственных органов, контрагентов, клиентов предприятия);

• проявления ошибок в программном обеспечении, отказы и сбои технических средств, аварии.

КСЗИ предприятия необходимо строить с учетом того, что:

• основной задачей обеспечения ЗИ должна быть защита интересов предприятия, его персонала, контрагентов и клиентов от нанесения им ущерба (материального, морального, физического и др.) путем неправомерного использования информации или воздействия на нее;

• интересы предприятия в информационной сфере должны быть юридически защищены от противоправных действий со стороны персонала, контрагентов, клиентов и третьих лиц, с учетом и на основании нормативно-правовых актов в информационной сфере;

• сотрудники и командированные лица на предприятии должны быть допущены только к той информации и техническим средствам ее обработки, которые необходимы им для выполнения их служебных обязанностей (принцип Need-to-Know);

• действия персонала предприятия с носителями и источниками информации ограниченного доступа должны регистрироваться с целью получения объективных данных и определения ответственного за совершение того или иного противоправного действия;

• дифференциация защиты информации с учетом ее ценности, реальности реализации угроз (принцип разумной достаточности). Затраты не должны превышать возможный ущерб;

• защита информации должна осуществляться на всех этапах ее жизненного цикла, комплексно и всесторонне.

КСЗИ должна обеспечивать:

• точную и своевременную реализацию политики информационной безопасности предприятия;

• гибкость применения положений политики информационной безопасности, с учетом особенностей функционирования различных подсистем предприятия;

• минимизацию затрат на реализацию управляющих воздействий;

• соответствие принимаемых мер и применяемых современному уровню развития информационных технологий.

Для эффективного функционирования КСЗИ предприятия необходимо:

• наличие системы взаимосвязанных нормативно - методических и организационно - распорядительных документов;

• четкое распределение функций и определение порядка взаимодействия подразделений предприятия при решении вопросов ЗИ, зафиксированные в организационно-распорядительных документах;

• наличие подразделения защиты информации, наделенного необходимыми полномочиями и непосредственно отвечающего за формирование и реализацию единой политики информационной безопасности предприятия, осуществляющего контроль и координацию действий других структурных подразделений предприятия по вопросам ЗИ.

С целью выработки и обеспечения единого понимания всеми должностными лицами предприятия проблем и задач по обеспечению защиты информации на предприятии разрабатывается Концепция защиты информации (или, как правило, соответствующие положения предусматриваются в Концепции безопасности предприятия).

Концепция должна определять цели и задачи КСЗИ, принципы и правовые основы ее организации и функционирования, виды угроз информации и ресурсы, подлежащие защите, а также основные направления разработки КСЗИ, включая правовую, организационную и инженерно-техническую защиту.

Примерное содержание разделов Концепции: