1.19 Кадровое и ресурсное обеспечение защиты информации.

Кадровое обеспечение защиты гос тайны других видов конфиденциальной информации специфичны, хотя имеют при этом много общего. В систему кадрового обеспечения защиты гос тайны, входят:

-руководители предприятий и структурных подразделений;

-специальные комиссии по защите информации;

-специализированные подразделения, входящие в состав единой службы безопасности, или существующие отдельно:

-первый (секретный) отдел;

-отдел режима;

-сектор анализа;

-третий отдел;

-подразделение ВОХР (военизированной охраны);

-подразделение ПД ИТР (противодействия иностранным техническим разведкам).

В систему кадрового обеспечения защиты других видов тайн, входят:

-руководители предприятий и структурных подразделений.

-специальные комиссии по защите информации.

-служба безопасности.

Руководители предприятий и структурных подразделений, администрация организаций, ведущих работы по защите государственной (коммерческой, служебной, профессиональной) тайны, персональных данных:

-несут ответственность за обеспечение надлежащего режима секретности (конфиденциальности) проводимых работ, за своевременную разработку и осуществление необходимых мероприятий по сохранению тайн;

-издают приказы, распоряжения и другие документы, регламентирующие режим секретности проводимых работ;

-осуществляют качественный подбор и специальную подготовку кадров;

-постоянно контролируют соблюдение работниками требований действующего законодательства и руководящих документов предприятия по обеспечению режима секретности (конфиденциальности);

-организуют воспитательно-профилактическую работу среди сотрудников по разъяснению им требований режима секретности (конфиденциальности);

-организуют и проводят работы по предупреждению утечки секретных (конфиденциальных) сведений в прессе, научной, производственной и административно-хозяйственной деятельности предприятия на основе аналитических исследований, главной задачей которых является выявление и локализация слабых мест в защите секретов.

В федеральных органах исполнительной власти, органах исполнительной власти субъектов РФ, в организациях независимо от их организационно-правовой формы, допущенных в установленном порядке к выполнению работ, связанных с использованием сведений, составляющих государственную тайну, создаются постоянно действующие технические комиссии (ПДТК).

ПДТК изучает все стороны деятельности организации и вырабатывает рекомендации по управлению системой защиты гостайны в организации; выявлению и закрытию возможных каналов неправомерного распространения защищаемой информации, организации и координации работ по ПД ИТР и технической защите информации, физической защите объекта и др.

В состав ПДТК включаются специалисты по защите гостайны, ПД ИТР и технической защите информации, специалисты профильных структурных подразделений организации. Возглавляет ПДТК один из заместителей руководителя организации.Для защиты коммерческой и других видов тайны в организации создается подобная комиссия, но она может иметь другое наименование, например – постоянно действующая экспертная комиссия (ПДЭК). ПДЭК создается приказом руководителя предприятия и должна работать на постоянной основе.

Задачами такой комиссии должны быть:

- разработка перечней сведений, составляющих коммерческую и служебную тайну;

- разработка перечней издаваемых предприятием конфиденциальных документов;

- разработка Положения о системе доступа к конфиденциальным документам;

- экспертиза ценности конфиденциальных документов с целью установления сроков их хранения;

- проведение аналитической работы по предотвращению утечки и утраты конфиденциальной информации.

Учитывая важность задач ПДЭК, в ее состав следует включать высококвалифицированных сотрудников, в первую очередь руководителей подразделений, имеющих доступ к конфиденциальной информации.

Кроме того, в состав комиссии должны входить руководитель службы безопасности предприятия и руководитель подразделения конфиденциального делопроизводства, а также руководитель архива предприятия (при наличии архива). Председателем комиссии необходимо назначать одного из заместителей руководителя предприятия, допущенного ко всем конфиденциальным документам. Задачи, функции и порядок работы комиссии определяются положением о ней. На Полномочия специализированных подразделений по защите информации и пользователей защищаемой информации

Специализированные подразделения входят в состав службы безопасности или существуют отдельно:

-первый (секретный) отдел;

-отдел режима;

-сектор анализа;

-подразделение ВОХР (военизированной охраны);

-подразделение ПД ИТР;

-третий отдел.

Первый отдел предприятия реализует функцию управления секретным делопроизводством.

Его задачами являются:

-обеспечение режима секретности проводимых работ на предприятии, сохранности секретных (конфиденциальных) документов и контроля за их наличием;

-ведение секретного (конфиденциального) делопроизводства;

-организация приема, учета, хранения и размножения секретных (конфиденциальных) документов;

-осуществление постоянного контроля за соблюдением правил обращения с секретными (конфиденциальными) документами, установленного порядка их размножения, движения и своевременного возвращения в первый отдел;

-контроль за правильным присвоением документам грифа секретности (конфиденциальности);

-осуществление мероприятий по максимальному ограничению лиц, допускаемых к секретным (конфиденциальным) работам и документам;

-изучение всех сторон деятельности предприятия с целью выявления и закрытия возможных каналов утечки секретных (конфиденциальных) сведений;

-разработка и осуществление мероприятий, обеспечивающих режим секретности (конфиденциальности) при работе с документами, содержащих защищаемую информацию.

Отдел режима выполняет следующие задачи:

-обеспечение режима секретности при проведении испытаний систем военного применения, выполнении НИР и ОКР, при работе со специзделиями;

-координация действий по указанию руководителя Службы безопасности и других режимно-секретных органов, находящихся на полигонах Министерства обороны РФ, предприятиях-разработчиках, с целью обеспечения сохранности государственных секретов при проведении НИОКР и испытаний систем военного применения;

-обеспечение соблюдения установленных требований допускной и разрешительной систем к работникам, имеющим допуск к секретным работам и документам;

-обеспечение режима секретности (конфиденциальности) при эксплуатации незащищенных каналов связи, электронно-вычислительной и другой техники;

-осуществление контроля при ведении сотрудниками предприятия служебных междугородных переговоров и разработка мер по профилактике нарушений;

-обеспечение соблюдения установленных требований при направлении за границу работников, осведомленных в секретах предприятия;

-организация внутриобъектового режима, контроль пропускной системы;

-проведение воспитательно-разъяснительной и профилактической работы по вопросам сохранения государственной и коммерческой тайны на предприятии.

Сектор анализа выполняет следующие задачи:

-выявление каналов возможной утечки защищаемой информации путем проведения анализа научно-производственной, административной и коммерческой деятельности предприятия;

-разработка мер по закрытию каналов возможной утечки защищаемой информации и контроль за их реализацией.

Аналитическое подразделение должно разрабатывать рекомендации для руководителей НИР, всех структурных подразделений по защите информации. Для решения этих задач нужны высококвалифицированные специалисты, хорошо знающие тематические направления (специфику) деятельности предприятия, работу службы безопасности и других специализированных подразделений.

Практика показывает, что отдельные функции первого отдела, отдела режима и сектора анализа дублируются.Подразделение противодействия иностранным техническим разведкам реализует функции выявления и предупреждения возможной утечки защищаемой информации по техническим каналам, организации контроля ПД ИТР при проведении НИР и ОКР, испытаний на предприятии и его полигонах. На предприятиях имеются отделы, группы, сектора, лаборатории ПД ИТР. На подразделения ПД ИТР могут быть возложены следующие задачи:

-обеспечение и организация защиты от ИТР НИОКР и испытаний образцов вооружения и военной техники;

-проведение контроля мер ПД ИТР при организации испытаний на предприятиях и полигонах;

-проведение контроля мер ПД ИТР предприятий и их полигонов с верхней полусферы;

-научно-методическое и техническое обеспечение работы по ПД ИТР;

-контроль организации и состояния ПД ИТР на предприятии;

-аттестация служебных помещений;

-инструментальные проверки мероприятий по ПД ИТР с помощью технических средств;

-контроль эффективности экранированных сооружений;

-проведение специальных проверок помещений, в которых проходят совещания и другие мероприятия на соответствие требованиям руководящих документов.

Для реализации возложенных задач подразделениям ПД ИТР предоставлены права требовать от руководителей проверяемых подразделений и полигонов о немедленном прекращении работ, выполняемых с нарушением норм ПД ИТР; согласовывать планы, технические задания, отчеты, договоры, инструкции по ПД ИТР, программы, методики и другие документы, имеющие отношение к проблеме ПД ИТР.

Военизированная охрана (ВОХР):

-осуществляет охрану предприятия от проникновения на его территорию посторонних лиц, а также охрану материальных ценностей, принадлежащих предприятию;

-обеспечивает установленный на охраняемых объектах пропускной и внутриобъектовый режим;

-осуществляет контроль за состоянием инженерно-технических средств охраны и пожарной безопасности предприятия, охрану спецгрузов при их перевозке.

Третьи отделы занимаются вопросами обеспечения предприятий засекреченной автоматической и шифровальной связью.

На частных предприятиях, защищающих коммерческую тайну, создается общая служба безопасности с целью концентрации сил и средств на важнейших направлениях защиты информации.

Квалификационные характеристики работников режимно-секретных органов (РСО)

Министерств, ведомств, учреждений, предприятий и организаций Российской Федерации утверждены Постановлением Минтруда №37 от 21.08.1998 г. Они призваны способствовать правильному решению вопросов подбора и расстановки кадров, повышения их деловой квалификации, разделения труда между руководителями и специалистами, а также обеспечения единства в определении должностных обязанностей этих категорий работников. Наименования должностей руководителей, специалистов и других работников режимно-секретных органов установлены в соответствии с классификатором профессий рабочих и должностей служащих (начальник, специалист, инженер, инспектор и др):

-начальник первого отдела;

-инженер первого отдела;

-инспектор первого отдела;

-начальник отдела (бюро) режима;

-начальник отдела комплексной защиты информации;

-главный специалист по комплексной защите информации;

-инженер по комплексной защите информации и т.д.

Квалификационные характеристики работников РСО распространяются на работников

подразделений безопасности предприятий (организаций).Укомплектование штатов названных структурных подразделений по защите информации в настоящее время осуществляется из числа выпускников группы специальностей 075 «Информационная безопасность»:

- 075100 «Криптография»;

- 075200 «Компьютерная безопасность»;

- 075300 «Организация и технология защиты информации»;

- 075400 «Комплексная защита объектов информатизации»;

- 075500 «Комплексное обеспечение информационной безопасности автоматизированных систем»;

- 075600 «Информационная безопасность телекоммуникационных систем»;

- 075700 «Противодействие иностранным техническим разведкам».

Выпускники этих специальностей получают квалификацию «Специалист по защите информации».

Кроме высшего профессионального образования, в рамках среднего профессионального образования в России начата подготовка техников по специальности «Информационная безопасность», а также повышение квалификации и переподготовка кадров по различным направлениям защиты информации.

Полномочия пользователей защищаемой информации:

-знать и строго соблюдать требования информационной безопасности;

-дать добровольное письменное обязательство о неразглашении сведений конфиденциального характера;

-бережно относиться к хранению личных и служебных документов и продукции, содержащих сведения конфиденциального характера. В случае их утраты немедленно сообщить об этом администрации.

Как любая деятельность, деятельность по защите информации, кроме кадрового обеспечения, нуждается в обеспечении другими ресурсами: материальными, финансовыми и информационными.

Материальные ресурсы для защиты информации имеют специфические особенности, по сравнению с другими функциональными направлениями деятельности предприятия. К ним относятся специальные выделенные помещения, специальное оборудование, компьютерная и оргтехника, аттестованные в соответствии с принятыми нормами, аппаратные средства, программные средства и комплексы, средства защиты информации и др.).

Информационные ресурсы – это информация, на основе которой принимаются оптимальные управленческие решения по защите информации на предприятии. К ним относится:

-правовая информация (нормативная база по проблемам безопасности);

-коммерческая информация (информация о предприятиях и производимых ими продуктах и услугах в области информационной безопасности);

-научно-техническая информация (информация о государственной политике безопасности в России и зарубежных странах, теоретических, методологических и технических проблемах информационной безопасности и т.д.);

-информация о производственно-технологических процессах на предприятии;

-аналитическая информация, полученная в результате информационно-аналитической деятельности, о состоянии информационной безопасности предприятия, угроз информационной безопасности и т.д.

Состав всех ресурсов (материальных, кадровых, информационных) определяется в процессе экономического обоснования затрат на защиту информации на предприятии, поэтому остановимся на этом подробнее.

Финансовые ресурсы. Практическая работа по проектированию, созданию и сопровождению системы защиты информации невозможна без экономического обоснования затрат на их реализацию. Является фактом, что данная работа осуществляется в сложных условиях, при этом факторами сложности являются: конкуренция в области безопасности (часто недобросовестная), желание Подрядчика получить большую выгоду с минимальными затратами, некачественное выполнение работ по безопасности и другие.

Показателем зрелости руководства хозяйствующего субъекта по отношению к вопросам безопасности является проведение сравнительного анализа затрат, понесенных хозяйствующим субъектом на обеспечение безопасности в сравнении с эффектом (техническим, экономическим, организационным и прочим), полученным от реализации мероприятий безопасности. Таким образом, необходимым процессом в современной управленческой деятельности является оценка эффективности и оптимизация затрат на реализацию мероприятий по защите информации.

По оценкам экспертов, для обеспечения своей информационной безопасности организация должна иметь специальное структурное подразделение по обеспечению информационной безопасности и в среднем ежемесячно затрачивать на обеспечение его функционирования 15–20% от получаемой ежемесячно прибыли.

Систематические затраты на обслуживание системы безопасности (затраты на предупредительные мероприятия) можно разбить на следующие группы:

1. Управление системой защиты информации:

-затраты на планирование системы защиты информации предприятия;

-затраты на изучение возможностей информационной инфраструктуры предприятия по обеспечению безопасности информации ограниченного распространения;

-затраты на осуществление технической поддержки производственного персонала при внедрении средств защиты и процедур, а также планов по защите информации;

-проверка сотрудников на лояльность, выявление угроз безопасности;

-организация системы допуска исполнителей и сотрудников конфиденциального делопроизводства с соответствующими штатами и оргтехникой.

2. Регламентное обслуживание средств защиты информации:

-затраты, связанные с обслуживанием и настройкой программно-технических средств защиты, операционных систем и используемого сетевого оборудования;

-затраты, связанные с организацией сетевого взаимодействия и безопасного использования информационных систем;

-затраты на поддержание системы резервного копирования и ведение архива данных;

-проведение инженерно-технических работ по установлению сигнализации, оборудованию хранилищ конфиденциальных документов, защите телефонных линий связи, средств вычислительной техники и другого оборудования.

3. Аудит системы безопасности:

-затраты на контроль изменений состояния информационной среды предприятия;

-затраты на систему контроля за действиями исполнителей.

4. Обеспечение должного качества информационных технологий:

-затраты на обеспечение соответствия требованиям качества информационных технологий, в том числе анализ возможных негативных аспектов информационных технологий, которые влияют на целостность и доступность информации;

-затраты на доставку (обмен) конфиденциальной информации;

-удовлетворение субъективных требований пользователей: стиль, удобство интерфейсов и др.

5. Обеспечение требований стандартов:

-Затраты на обеспечение соответствия принятым стандартам и требованиям, достоверности информации, эффективности средств защиты.

6. Обучение персонала:

-повышение квалификации сотрудников предприятия в вопросах использования имеющихся средств защиты, выявления и предотвращения угроз безопасности;

-развитие нормативной базы службы безопасности.

7. Затраты на контроль:

-плановые проверки и испытания;

-затраты на проверки и испытания программно-технических средств защиты информации;

-затраты на проверку навыков эксплуатации средств защиты персоналом предприятия;

-затраты на обеспечение работы лиц, ответственных за реализацию конкретных процедур безопасности по подразделениям;

-оплата работ по контролю правильности ввода данных в прикладные системы;

-оплата инспекторов по контролю требований, предъявляемых к защитным средствам при разработке любых систем (контроль выполняется на стадии проектирования и спецификации требований).

8. Внеплановые проверки и испытания:

-оплата работы испытательного персонала специализированных организаций;

-обеспечение испытательного персонала (внутреннего и внешнего) материально-техническими средствами.

9. Контроль за соблюдением политики ИБ:

-затраты на контроль реализации функций, обеспечивающих управление защитой коммерческой тайны;

-затраты на организацию временного взаимодействия и координации между подразделениями для решения повседневных конкретных задач;

-затраты на проведение аудита безопасности по каждой автоматизированной информационной системе, выделенной в информационной среде предприятия;

-материально-техническое обеспечение системы контроля доступа к объектам и ресурсам предприятия.

10. Затраты на внешний аудит:

затраты на контрольно-проверочные мероприятия, связанные с лицензионно-разрешительной деятельностью в сфере защиты информации.

11. Пересмотр политики информационной безопасности предприятия (проводится периодически):

-затраты на идентификацию угроз безопасности;

-затраты на поиск уязвимостей системы защиты информации;

-оплата работы специалистов- аналитиков, выполняющих работы по определению возможного ущерба и переоценке степени риска.

12. Затраты на ликвидацию последствий нарушения режима ИБ:

-восстановление системы безопасности до соответствия требованиям политики безопасности;

-установка последних версий программных средств защиты информации;

-приобретение технических средств, взамен пришедших в негодность;

-проведение дополнительных испытаний и проверок технологических информационных систем;

-затраты на утилизацию скомпрометированных ресурсов.

13. Восстановление информационных ресурсов предприятия:

-затраты на восстановление баз данных и прочих информационных массивов;

-затраты на проведение мероприятий по контролю достоверности данных, подвергшихся атаке на целостность.

14. Затраты на выявление причин нарушения политики безопасности:

-затраты на проведение расследований нарушений политики безопасности (сбор данных о способах совершения, механизме и способах сокрытия неправомерного деяния, поиск следов, орудий и предметов посягательства; выявление мотивов неправомерных действий и др.);

-затраты на обновление планов обеспечения непрерывности деятельности службы безопасности.

15. Затраты на переделки:

-Затраты на внедрение дополнительных средств защиты, требующих существенной перестройки системы безопасности;

-Затраты на повторные проверки и испытания системы защиты информации.

16. Внешние затраты на ликвидацию последствий нарушения политики безопасности:

-обязательства перед государством и партнерами;

-затраты на юридические споры и выплаты компенсаций;

-потери в результате разрыва деловых отношений с партнерами.

17. Потеря новаторства:

-затраты на проведение дополнительных исследований и разработки новой рыночной стратегии;

-отказ от организационных, научно-технических или коммерческих решений, ставших неэффективными в результате утечки сведений и затраты на разработку новых средств ведения конкурентной борьбы;

-потери от снижения приоритета в научных исследованиях и невозможности патентования и продажи лицензий на научно-технические достижения.

18. Прочие затраты:

заработная плата секретарей и служащих, организационные и прочие расходы, которые непосредственно связаны с предупредительными мероприятиями;

-другие виды возможного ущерба предприятию, в том числе связанные с невозможностью выполнения функциональных задач, определенных его Уставом.

Ответственность за сбор и анализ информации по затратам на информационную безопасность несут экономический отдел и служба безопасности предприятия. В настоящее время российскими производителями разработано программное обеспечение по управлению обеспечением (в том числе, финансовым) информационной безопасности: программные комплексы компании Digital Security, Программный комплекс Гриф, Система Кондор, Специализированная сметная программа «X-Link» и др.