4.1.3. Організація проведення обстеження об’єктів інформаційної діяльності підприємства

Метою обстеження об’єктів ІД під­приємства є вив­чен­ня його ІД, виз­на­чення об`єктів захисту – ІзОД, ви­яв­лення загроз, їхній аналіз та формування окремої моделі загроз.

Обстеження повинно бути проведено комісією, склад якої визначається відповідальною за ТЗІ особою і зат­верд­жується наказом керівника підприємства.

У ході обстеження необхідно:

• провести аналіз умов функціонування об’єктів ін­фор­­ма­ційної діяльності (ОІД) підприємства, їх розта­шу­ва­н­ня на місцевості (ситуаційного плану) для визначення мож­ли­вих джерел загроз;

• дослідити засоби забезпечення ІД, радіус дії яких виходить за межі контрольованої території;

• передбачити вивчення схем засобів і систем життє­забезпечення ОІД (електроживлення, заземлення, автома­ти­зації, пожеж­ної та охо­ронної сигна­лізації), а також інже­нерних кому­нікацій та метало­конструкцій;

• дослідити інфор­маційні потоки, технологічні про­це­си передавання, одержання, використання, розпов­сюджен­ня і збері­гання ін­формації та провести необхідні вимірю­вання;

• визначити наявність та технічний стан засобів ТЗІ;

• перевірити наявність на ОІД нормативних доку­мен­тів, які забезпечують функціонування системи ЗІ, органі­зацію проектування будівельних робіт з урахуван­ням ви­мог ТЗІ, а також нормативної та експ­лу­атаційної докумен­тації, яка забезпечує ІД;

• виявити наявність транзитних, незадіяних (повіт­ря­них, настінних, зовнішніх та закладених у каналізацію) ка­белів і провідників;

• визначити технічні засоби і системи, застосування яких не обґрунтовано службовою або виробничою необ­хідністю і які підлягають демонтуванню;

• визначити технічні засоби, які потребують переоб­ладнання (перемонтування) та встановлення засобів ТЗІ.

За результатами обстеження слід скласти акт, який пови­нен бути затверджений керівником підприємства.

Матеріали обстеження необхідно використовувати під час розроблення окремої моделі загроз, яка повинна включати:

• генеральний та ситуаційний плани підприємства, схе­­­ми розташування засобів і систем забезпечення ІД, а також інже­нерних комунікацій, які виходять за межі конт­рольованої території;

• схеми та описи каналів витоку інформації, каналів спе­ціального впливу і шляхів НСД до ІзОД;

• оцінювання збитків, які передбачаються від реа­лізу­вання можливих загроз.

4.1.4. Організація розроблення системи захисту інформації

На підставі матеріалів обстеження та окремої моделі заг­роз необхідно визначити головні задачі ЗІ і скласти тех­нічне завдання (ТЗ) на розроб­лення сис­теми ЗІ.

Технічне завдання повинно включати такі основні розділи:

• вимоги до системи ЗІ;

• вимоги до складу проектної та експлуатаційної до­ку­ментації;

• етапи виконання робіт;

• порядок внесення змін і доповнень до розділів ТЗ;

• вимоги до порядку проведення випробування сис­те­ми захисту.

Основою функціонування системи захисту інформації є план ТЗІ, який повинен містити такі документи:

• перелік розпорядчих, організаційно-методичних, но­р­­­­­ма­­­­­тив­них доку­ментів з ТЗІ, а також настанови щодо їхнього застосування;

• настанови про порядок реалізування організаційних, пер­винних та основних технічних заходів за­хисту;

• настанови, які встановлюють обов`язки, права та відпо­відальність персоналу;

• календарний план ТЗІ.

ТЗІ і план з ТЗІ розробляють фахівці з ТЗІ, узгоджують із зацікавленими підрозділами (організаціями). Зат­вер­д­жує їх керівник підприємства.