3.2.Проектирование организационно-технических мер защиты

На этапе проектирования организационно-технических мер защиты информации, необходимо совместно с руководством фирмы и специалистами группы технического обеспечения определить:

• уровень финансовых затрат, которые фирма готова понести на совершенствование своей информационной защищенности;

• перечень конфиденциальных сведений, подлежащих технической защите;

• необходимость разработки и реализации защитных мероприятий с учетом ущерба, который может быть нанесен вследствие возможного нарушения целостности информации либо ее утечки по техническим каналам;

• перечень помещений, в которых не допускается реализация угроз и утечка информации с ограниченным доступом;

• перечень технических средств, которые должны использоваться как основные технические средства (далее – ОТС);

• технические средства, применение которых не обосновано служебной и производственной необходимостью и которые подлежат демонтажу;

• наличие задействованных и незадействованных воздушных, наземных, настенных и заложенных в скрытую канализацию кабелей, цепей и проводов, уходящих за пределы выделенных помещений;

• системы цепей питания, кабельных сетей для установки в них защитных устройств;

• степень выполнения сотрудниками фирмы требований руководящих документов по защите информации.

Основу организационно-технических мер по ЗИ составляют меры, определяющие порядок использования технических средств. Они включают в себя мероприятия по:

• эффективному использованию технических средств;

• регламентации и управлению доступом к защищаемой информации;

• порядку и режимам работы технических средств ЗИ.

Регламентация — это установление временных, территориальных и режимных ограничений в деятельности персонала и в работе технических средств, направленных на обеспечение безопасности. В рамках регламентации

Предлагается:

• установить в фирме границы контролируемых и охраняемых зон,

• определить уровни защиты информации в зонах,

• четко регламентировать деятельность сотрудников и посетителей,

• определить режимы работы технических средств и в том числе средств сбора, обработки и хранения информации на ЭВМ,

• определить режимы передачи документов и электронных носителей информации, как между персоналом фирмы, так и за ее пределы.

Управление доступом – это способ защиты информации регулированием всех ресурсов системы (технических, программных средств, элементов данных).[13]

Управление доступом включает следующие функции защиты:

• идентификацию пользователей, персонала и ресурсов системы, причем под идентификацией понимается присвоение каждому названному выше объекту персонального имени, кода, пароля и опознание субъекта или объекта по предъявленному им идентификатору;

• проверку полномочий, заключающуюся в проверке соответствия дня недели, времени суток, а также запрашиваемых ресурсов и процедур установленному регламенту;

• разрешение и создание условий работы в пределах установленного регламента;

• регистрацию обращений к защищаемым ресурсам;

• реагирование (задержка работ, отказ, отключение, сигнализация) при попытках несанкционированных действий.

Парольная аутентификация должна отвечать следующим требованиям:

• наложение технических ограничений (пароль должен быть не слишком коротким, он должен содержать буквы, цифры, знаки пунктуации и т.п.);

• управление сроком действия паролей, их периодическая смена;

• ограничение доступа к файлу паролей;

• ограничение числа неудачных попыток входа в систему, что затруднит применение «метода грубой силы»;

• обучение и воспитание пользователей (сотрудников фирмы);

• использование программных генераторов паролей, которые, основываясь на несложных правилах, могут порождать только благозвучные и, следовательно, запоминающиеся пароли.

Учитывая все вышеперечисленное,

Предлагается:

Разработать систему управления доступом для всех сотрудников фирмы. Обязанности по ее внедрению и сопровождению возложить на персонал группы технического обеспечения фирмы.