302 Глава 5

Определение политики Документы,

информационной определяющие политику

безопасности безопасности

X

Установление границ

объекта защиты

Документы,

определяющие границы

системы (объекта)

Угрозы,

уязвимые места,

воздействия

Проведение оценки

рисков

Документы

с характеристикой угроз

и уязвимостей

Подход Контрмеры

предприятия к

управлению

рисками

Выбор контрмер и

управление рисками

(организационные,

процедурные,

программно-технические)

Комплекс

средств контроля

'Выбор средств контроля

и управления

Комплексная система

информационной

безопасности

Аудит СО И Б

Сертификация СОИБ Ведомость соответствия

Рис. 5.7. Этапы создания СОИБ

• использование для обработки информации защищенных систем

и средств информатизации, а также технических и программных

средств защиты, сертифицированных в установленном порядке;

• возможность использования информационных систем для подготовки

документов конфиденциального характера только на учтенных

установленным порядком съемных магнитных носителях и только

при отключенных внешних линиях связи;

• организацию контроля за действиями персонала при проведении

работ на объектах защиты организации;

• обучение персонала работе со служебной (конфиденциальной)

информацией и др.

Основными организационно-техническими мероприятиями по

защите информации являются:

• экспертиза деятельности организации в области защиты информации;

• обеспечение условий защиты информации при подготовке и

реализации международных договоров и соглашений;

Информационная безопасность

303

• аттестация объектов по выполнению требований обеспечения

защиты информации при проведении работ со сведениями, составляющими

служебную тайну;

• сертификация средств защиты информации, систем и средств

информатизации и связи в части защищенности информации от утечки

по техническим каналам связи;

• разработка и внедрение технических решений и элементов защиты

информации на всех этапах создания и эксплуатации объектов,

систем и средств информатизации и связи;

• применение специальных методов, технических мер и средств

защиты информации, исключающих перехват информации, передаваемой

по каналам связи.

Для предотвращения уфозы утечки информации по техническим

каналам проводятся следующие инэюенерно-техныческие мероприятия:

• предотвращение перехвата техническими средствами информации,

передаваемой по каналам связи;

• выявление внедренных электронных устройств перехвата информации

(закладных устройств);

• предотвращение утечки информации за счет побочных электромагнитных

излучений и наводок, создаваемых функционирующими

техническими средствами, электроакустических преобразований

и др.

Программные (программно-аппаратные) мероприятия по предотвращению

утечки информации предусматривают:

• исключение несанкционированного доступа к информации;

• предотвращение специальных воздействий, вызывающих разрушение,

уничтожение, искажение информации или сбои в работе

средств информатизации;

• выявление внедренных программных или аппаратных "закладок";

• исключение перехвата информации техническими средствами;

• применение средств и способов защиты информации и контроля

эффективности при обработке, хранении и передаче по каналам связи.

Правовые мероприятия - создание в организации нормативной

правовой базы по информационной безопасности - предусматривают

разработку на основе законодательных актов Российской Федерации

необходимых руководящих и нормативно-методических документов,

перечней охраняемых сведений, мер ответственности лиц за нарушение

порядка работы с конфиденциальной информацией.