Раздел п. Концептуальная сфера прикладных проблем

Аналитическая работа при обеспечении информационной безопасности. Понятие аналитической работы, ее цели и задачи. Аналитическая работа по выявлению каналов несанкционированного доступа к информации. Аналитическая работа источника, угрозы конфиденциальной информации. Аналитическая работа канала объективного распространения информации. Стадии аналитической работы. Порядок и методика сбора исходных сведений, их анализ и оценка. Экспертные системы. Результаты аналитической работы как основа формирования системы защиты информации и ее совершенствования.

Система управленческой информационной безопасности отличается сложностью. Причем наблюдается тенденция усложнения взаимосвязей в информационном потоке. Одновременно происходит систематический рост объемов информации, ее избыточности при информационной недостаточности для принятия оптимальных управленческих решений. Экономическая информация весьма неоднородна. Все это усложняет ее использование в управлении экономикой. Структура экономической информации обусловлена ее содержанием и назначением в управлении. В зависимости от поставленных целей и задач воздействия на управляемый объект экономическую информацию можно классифицировать по различным признакам:

- по изменяемости - на постоянную {условно-постоянную}, которая не изменяется в течение какого-то периода времени (месяца, квартала, года и т.д.), и переменную;

- по насыщенности - на недостаточную, достаточную и избыточную;

- по отношению к предмету исследования информация делится на основную и вспомогательную, необходимую для более полной характеристики изучаемой предметной области;

- по полезности - на полезную и бесполезную;

- по способу изображения - на текстовую, цифровую, алфавитную, алфавитно-цифровую и графическую (графики, диаграммы, схемы, чертежи);

- по функциональному назначению - на плановую, нормативную, учетную и отчетную;

- по отношению к процессу обработки данных - на обрабатываемую и необрабатываемую;

- по степени обработки - на первичную, промежуточную (подвергающуюся соответствующей обработке) и результативную;

- по отношению к управляемому объекту - на внутреннюю (образуемую на самом предприятии) и внешнюю {поступающую из-за его пределов), входящую (поступающую на управляемый объект) и исходящую (поступающую от управляемого объекта);

- по объему необходимых сведений для управления экономикой предприятий и объединений - на комплексную и тематическую, относящуюся к определенному аспекту их деятельности;

- по форме представлений - на письменную и устную.

Назначение, принципы и структура системы защиты информации. Понятие, цели и задачи системы защиты информации. Принципы построения системы, ее технологичность, иерархичность и факторы эффективности. Принцип разграничения доступа. Принцип регламентации состава защищаемой информации. Принцип персональной ответственности. Принцип коллегиальности контроля. Принципы надежности и превентивности. Принцип эволюции структуры системы в условиях реальных угроз информации. Обязательная совокупность простейших (несистемных) методов и средств защиты конфиденциальной предпринимательской информации. Преимущества и недостатки. Компьютерные технологии и формирование основ системы защиты информации. Место системы в обеспечении безопасности информации в компьютерах, вычислительных системах и сетях. Комплексность системы защиты. Структура комплексной системы защиты информации (КСЗИ). Содержание элемента правовой защиты информации. Содержание элемента организационной защиты информации. Содержание элемента инженерно-технической защиты информации и технических средств охраны. Содержание элемента программно-аппаратной защиты информации. Содержание элемента криптографической защиты информации. Формирование и актуализация системы в реальных обстоятельствах, изменения в соотношении элементов системы в соответствии с типом предпринимательской структуры и видами угроз. Система защиты информации в малом бизнесе. Стоимость системы и критерии выбора системы. Сертификация систем и средств защиты информационных систем и информационных ресурсов.

Доступ персонала к конфиденциальным сведениям, документам и базам данных. Виды доступа к информации, правила разграничения доступа, конфиденциальность данных, целостность компонента или ресурса системы, доступность компонента или ресурса системы, основные угрозы безопасности системы обработки информации.

Разглашение конфиденциальной информации, представляющей коммерческую тайну, посредством отсылки ее по электронной почте, через Интернет (чат, форум и т. д.), с помощью средств обмена мгновенными сообщениями, путем копирования информации на переносные носители или распечатки данных. Средства обнаружения факта разглашения конфиденциальной информации ( перехват почтового, внутрисетевого (на уровне TCP/IP) и Web-трафика (протоколы HTTP, FTP, IM и т. д.) с последующим анализом различными методами фильтрации, в том числе с помощью анализа контента). Цели и задачи разрешительной (разграничительной) системы доступа персонала и иных лиц к конфиденциальным сведениям, документам, базам данных и продукции. Структура разрешительной системы и ее связь с требованиями деловой целесообразности и персональной ответственности руководителей и сотрудников за сохранность тайны фирмы. Оформление разрешения о допуске сотрудника к конфиденциальным сведениям фирмы. Ответственность должностного лица за выданное разрешение. Понятие доступа. Иерархичность процедуры доступа. Принципы разграничения выдачи разрешения на доступ и непосредственного доступа к информации. Методы расчленения (дробления) ценных сведений. Критерии доступа. Формы письменной индивидуальной регламентации разрешения на доступ - резолюции, перечни, списки, матрицы, схемы и т. п. Обязанности руководителей. Регистрация (протоколирование) фактов доступа. Несанкционированный доступ. Порядок доступа к конфиденциальным сведениям представителей других фирм и служащих государственных учреждений. Контроль за доступом.

Разработка и ведение перечня сведений, составляющих предпринимательскую тайну. Сущность и значение предпринимательской информации, понятие предпринимательской тайны, защита предпринимательской тайны, механизм и способы защиты предпринимательской информации.

Организационные структуры, реализующие функции системы защиты информации. Виды служб безопасности, их место в аппарате управления. Менеджер по безопасности. Задачи службы безопасности, основные функции. Руководство и подчиненность. Типовая структура службы безопасности. Задачи и функции аналитического подразделения. Задачи и функции подразделения охраны и пропускного режима. Задачи и функции подразделения инженерно-технической защиты информации. Задачи и функции других подразделений. Взаимодействие службы безопасности и персонала. Основные структуры, реализующие функции системы защиты информации: технические, правовые и организационные. К техническим мерам можно отнести:

• защиту от несанкционированного доступа к системе, резервирование особо

важных компьютерных подсистем;

• организацию вычислительных сетей с возможностью перераспределения ресурсов

в случае нарушения работоспособности отдельных звеньев;

• установку оборудования обнаружения и тушения пожара, оборудования

обнаружения воды;

• принятие конструкционных мер защиты от хищений, саботажа, диверсий, взрывов;

• установку резервных систем электропитания, оснащение помещений замками,

установку сигнализации и многое другое.

К правовым мерам следует отнести:

• разработку норм, устанавливающих ответственность за компьютерные

преступления,

• защиту авторских прав программистов,

• совершенствование уголовного и гражданского законодательства, а также

судопроизводства.

К организационным мерам относят:

• охрану вычислительного центра;

• тщательный подбор персонала, исключение случаев ведения особо важных работ

только одним человеком;

• наличие плана восстановления работоспособности центра после выхода его из

строя;

• организацию обслуживания вычислительного центра посторонней организацией

или лицами, не заинтересованными в сокрытии фактов нарушения работы центра;

• универсальность средств защиты от всех пользователей (включая высшее

руководство);

• возложение ответственности на лиц, которые должны обеспечить безопасность

центра, выбор места расположения центра и т.п.

Организация надежной и эффективной системы сохранности информации в сети. Защита от стихийных бедствий. Основной и наиболее распространенный метод защиты информации и оборудования от различных стихийных бедствий - пожаров, землетрясений, наводнений и т.д. - состоит в хранении архивных копий информации или в размещении некоторых сетевых устройств, например, серверов баз данных, в специальных защищенных помещениях, расположенных, как правило, в других зданиях или, реже, даже в другом районе города или в другом городе.

Плановая и контрольная работа в службе безопасности. Структура службы безопасности; средства защиты; специальные средства защиты предназначеные для обеспечения безопасности коммерческого объекта от различных видов несанкционированного съёма информации; система защиты объектов; проверка персонала предприятия перед устройством на работу во избежание внедрения в коллектив экономического шпиона, работающего на конкурирующую организацию, или недобросовестного работника, который сам неосознавая того произведёт утечку (компрометацию) информации составляющую коммерческую или государственную тайну. Виды служб безопасности, их место в аппарате управления предпринимательских структур различных типов. Менеджер по безопасности. Задачи службы безопасности, основные функции. Руководство и подчиненность. Типовая структура службы безопасности. Место, задачи, функции и структура подразделения (или службы) конфиденциальной документации. Задачи и функции аналитического подразделения. Задачи и функции подразделения охраны и пропускного режима. Задачи и функции подразделения инженерно-технической защиты информации. Задачи и функции других подразделений. Взаимодействие службы безопасности и службы персонала. Организационные формы обеспечения безопасности в некрупных фирмах и малом бизнесе. Профессиональные и психологические требования к сотрудникам службы безопасности. Плановая и контрольная работа в службе безопасности. Назначение и взаимосвязь плановой и контрольной работы службы безопасности. Их место в построении и функционировании комплексной системы защиты информации фирмы. Анализ и оценка надежности и эффективности применяемой системы защиты. Регламентированный и нерегламентированный контроль системы защиты. Цели и задачи планирования работы по формированию и совершенствованию системы защиты информации. Планирование работы службы. Стадии контроля; учет контрольных операций.

Состав нормативно-методических материалов по регламентации системы защиты информации. Разработка и ведение перечня сведений, составляющих предпринимательскую тайну. Цели и задачи перечня сведений, составляющих предпринимательскую тайну. Состав сведений, которые не могут быть тайной. Место перечня в системе защиты информации. Классификация ценной информации в предпринимательских структурах различного типа. Принципы определения состава ценных сведений, подлежащих защите в конкретной фирме. Перечни инвентарные и матричные. Структура перечней различных типов. Перечни списочные и проблемно-ориентированные. Организационные формы составления и ведения перечней. Содержание процедуры разработки перечня. Существующие методики сбора, анализа и обобщения сведений. Место маркетингового исследования в процедуре разработки перечня. Разграничение уровня конфиденциальности сведений, определение срока конфиденциальности, регламентация места документирования, использования и хранения, состава сотрудников, которым эти сведения необходимы для работы. Назначение нормативно-методических материалов по регламентации системы защиты информации. Регламентация права предпринимательской структуры на защиту своей тайны. Регламентация структуры и содержания комплексной системы защиты информации фирмы. Регламентация технологии защиты информации от потенциальных и реальных угроз. Регламентация технологии обработки, движения и хранения конфиденциальных документов на традиционных и технических носителях. Регламентация технологии работы персонала фирмы с документами, вычислительной и организационной техникой, средствами связи. Регламентация работы с персоналом. Регламентация системы охраны фирмы. Регламентация защиты информации в экстремальных ситуациях. Состав методических указаний, правил, памяток, схем и иных наглядных пособий.