Вопрос 1. Стратегии обеспечения защиты информации в организации

Обеспечение безопасности информации является одним из стандартных направлений деятельности любой современной организации. Рассмотрим основные стратегии обеспечения безопасности информации в организации (рис. 1).

Рис. 1. Стратегии обеспечения безопасности информации в организации (на предприятии)

Стратегия обеспечения безопасности информации в организации является ключевым элементом системы ЗИ и определяется как совокупность приоритетных целей и управленческих подходов, реализация которых обеспечивает защиту информации в организации от любых потенциальных угроз, связанных с информационным обеспечением деятельности организации.

На выбор стратегии обеспечения безопасности информации в конкретной организации влияют определенные факторы (будут рассматриваться далее) и наличие соответствующих видов обеспечения.

Факторы, влияющие на выбор стратегии обеспечения безопасности информации в организации (на предприятии) представлены на рис. 2.

форма собственности организации;

организационно-правовая форма организации;

характер основной деятельности организации;

состав, объекты и степень конфиденциальности объектов защиты;

структура и территориальное расположение организации;

режим функционирования организации;

конструктивные особенности организации;

количественные и качественные показатели ресурсообеспечения организации;

степень автоматизации основных процедур обработки защищаемой информации в организации.

Рис. 2. Факторы, влияющие на выбор стратегии обеспечения безопасности информации

в организации (на предприятии)

Виды обеспечения, влияющие на выбор стратегии обеспечения безопасности информации в организации являются необходимой частью системы защиты информации. Формируя исходные условия (предпосылки) для эффективного функционирования системы защиты информации, он включает в себя виды, представленные на рис. 3.

Рис. 3. Виды обеспечения, влияющие на выбор стратегии обеспечения безопасности информации в организации

Информационное обеспечение состоит из трех компонентов:

методы и конкретные процедуры получения первичной информации в организации;

формализованные каналы прохождения информации в организации, которые определяют маршрут движения информации по инстанциям (принципиальная схема: от кого — кому — в каких объемах и форме — в какие сроки);

базы данных, связанных с любыми проблемами обеспечения безопасности информации в организации (на предприятии), которые накапливаются и обновляются в течение всего периода функционирования организациии используются при формировании управленческих решений любого уровня.

Нормативно-методическое обеспечение включает в себя комплект внешних и внутренних регламентов, используемых в процессе управления деятельностью организации (предприятия), а также документов рекомендательного, т. е. недирективного характера.

К внешним регламентам относятся законодательные и подзаконные акты, которыми обязаны руководствоваться все организации (предприятия) в процессе обеспечения безопасности информации.

К числу подзаконных актов относятся различные положения, инструкции, иные регламенты, введенные в действие уполномоченными органами исполнительной власти государства, например, Правительством РФ, Министерством труда и социальных отношений РФ_Г Министерством внутренних дел РФ и др.

К внутренним регламентам и рекомендациям относятся любые постоянно действующие документы, разработанные в рамках конкретной организации (предприятия) и введенные в соответствии с действующим в ней порядком — инструкции, приказы, распоряжения и т. п. Единственным ограничением при разработке внутренних регламентов является их хотя бы формальное соответствие (непротиворечивость) действующему законодательству.

Основными документами, необходимыми для эффективного управления безопасностью информации в организации, выступают:

политика безопасности информации организации;

положение о подразделении защиты информации;

должностные инструкции руководителей, возглавляющих соответствующие направления деятельности организации, специалистов и подразделения ЗИ, а также руководителей всех структурных подразделений;

инструкции, определяющие порядок работы с конфиденциальной информацией (базами данных, документами на бумажных носителях), правила проведения конфиденциальных переговоров и т. п.;

инструкции, определяющие порядок работы с изделиями, составляющими коммерческую тайну организации;

рекомендации сотрудникам организации в области ЗИ.

Технологическое обеспечение определяется как совокупность формализованных технологий обеспечения безопасности информации в организации от различных видов угроз¹. Их наличие является основной предпосылкой эффективности управления, поскольку позволяет четко определить непосредственных участников, методы защиты информации, типовые сроки по проведению мероприятий по ЗИ в целом и каждого элемента мероприятия в отдельности, ответственность участников.

Инструментальное обеспечение определяется как совокупность прикладных методов применяемых для защиты информации, используемых в рамках организации (предприятия) и связано с направлениями защиты информации в организации (на предприятии).

Кадровое обеспечение определяется как полностью укомплектованный штат подразделения ЗИ, и включающий в себя три квалификационные категории работников:

руководителей структурных подразделений подразделения ЗИ;

высококвалифицированных сотрудников, специализирующихся на определенных направлениях обеспечения безопасности информации в организации (на предприятии), но не выполняющие при этом прямых управленческих функций;

исполнителей (рядовые сотрудники подразделения ЗИ).

Финансовое обеспечение определяется как совокупность финансовых ресурсов, выделяемых на поддержание и развитие подразделения ЗИ (приобретение спецоборудования, зарплата сотрудников и т. п.).

На основании вышеизложенного рассмотрим основные стратегии обеспечения безопасности информации в организации.