6.Правовые основы функционирования соиб хозяйствующего субъекта

Организационно-правовое обеспечение информационной безопасности хозяйствующего субъекта (ХС) представляет собою совокупность законов, нормативов и управленческих решений, регламентирующих как общую организацию работ по обеспечению информационной безопасности ХС, так и создание и функционирование систем защиты информации на его конкретных объектах.

• Цели организационно-правового обеспечения защиты информации:

- все правила защиты информации являются обязательными для соблюдения всеми лицами, имеющими отношение к конфиденциальной информации;

- узакониваются меры ответственности за нарушения правил защиты информации;

- узакониваются (приобретают юридическую силу) технико-математические решения вопросов организационно-правового обеспечения защиты информации;

- узакониваются процессуальные процедуры разрешения ситуаций, складывающихся в процессе функционирования системы защиты.

Комплекс внутренней нормативно-организационной документации предприятия - устав;

- коллективный трудовой договор;

- трудовые договоры с сотрудниками предприятия;

- правила внутреннего распорядка служащих предприятия;

- должностные обязанности руководителей и служащих предприятия;

- инструкции пользователей информационно-вычислительных сетей и баз данных;

- инструкции администраторов ИВС и БД;

- положение о подразделении по защите информации;

- концепция системы защиты информации на предприятии;

- перечень сведений, составляющих коммерческую тайну предприятия;

- инструкции о порядке обращения с информацией, составляющей коммерческую тайну;

- инструкции сотрудников, допущенных к защищаемым сведениям;

- инструкции сотрудников, ответственных за защиту информации;

- распоряжение об организации работ по предотвращению записи, хранения и распространения информации и программных продуктов непроизводственного характера;

- памятка сотрудника о сохранении коммерческой или иной тайны;

- договорные обязательства.

Функции нормативно-правовой базы СОИБ ХС - разработка основных принципов отнесения сведений, имеющих конфиденциальный характер, к защищаемой информации;

- определение системы органов и должностных лиц, ответственных за обеспечение информационной безопасности в стране и порядка регулирования деятельности предприятий и организаций в этой области;

- создание полного комплекса нормативно-правовых руководящих и методических материалов (документов), регламентирующих вопросы обеспечения информационной безопасности как на предприятии в целом, так и на конкретном объекте;

- определение мер ответственности за нарушение правил защиты;

- определение порядка разрешения спорных и конфликтных ситуаций по вопросам защиты информации.

7.Организационные основы функционирования соиб хозяйствующего субъекта

Организационное обеспечение СОИБ ХС – это регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерное овладение конфиденциальной информацией и проявление внутренних и внешних угроз

Содержание организационных мероприятий

1. Организация режима и охраны:

- исключения возможности тайного проникновения на территорию предприятия и в помещения посторонних лиц;

- обеспечение удобства контроля прохода и перемещения сотрудников и посетителей;

- создания отдельных производственных зон по типу конфиденциальных работ с самостоятельными системами доступа;

- контроль и соблюдение временного режима труда и пребывания персонала на территории предприятия;

- организация и поддержание надежного пропускного режима и контроля сотрудников и посетителей.

2. Организация работы с сотрудниками. Мероприятие предусматривает:

- ознакомления с сотрудниками и их изучением;

- обучения сотрудников правилам работы с конфиденциальной информацией;

- ознакомления с мерами ответственности за нарушения правил информационной безопасности.

3. Организация работы с документами, включая организацию разработки и использования документов и носителей конфиденциальной информации, их учет, исполнение, возврат, хранение и уничтожение;

4. Организация использования технических средств сбора, обработки, накопления, хранения и передачи конфиденциальной информации;

5. Организация работ по анализу внутренних и внешних угроз конфиденциальной информации, выработке мер по обеспечению ее защиты;

6. Организация работы по проведению систематического контроля за работой персонала с конфиденциальной информацией, порядком учета, хранения и уничтожения документов и технических носителей.

Применение организационных средств при защите ПЭВМ и информационных сетей

- при проектировании, строительстве и оборудовании помещений, узлов сети и других объектов информационной системы;

- при подборе и подготовке персонала;

- при хранении и использовании документов и других носителей (маркировка, регистрация, определение правил выдачи и возвращения, ведение документации и др.);

- при соблюдении надежного пропускного режима к техническим средствам, к ПЭВМ и информационным системам;

- при внесении изменений в программное обеспечение;

- при подготовке и контроле работы пользователей

Общие функции службы безопасности предприятия

- организация и обеспечение охраны;

обеспечение пропускного и внутриобъектового режима;

- руководство работами по правовому и организационному регулированию отношений по защите информации;

- участие в разработке основополагающих документов по защите информации;

- разработка и осуществление совместно с другими подразделениями мероприятий по обеспечению работы с конфиденциальными документами;

- организация и контроль выполнения требований "Инструкции по защите конфиденциальной информации";

- постоянное изучение производственной, коммерческой, финансовой и другой деятельности для выявления и последующего противодействия любым попыткам нанесения ущерба;

- ведение учета и анализа нарушений режима безопасности, накопление и анализ данных о злоумышленных устремлениях конкурентных организаций, о деятельности предприятия и его клиентов, партнеров, смежников;

- организация и проведение служебных расследований по фактам нарушений в области информационной безопасности предприятия;

- разработка, ведение, обновление и пополнение "Перечня сведений конфиденциального характера";

- обеспечение строгого выполнения требований нормативных документов по защите производственных секретов предприятия;

- осуществление руководства службами и подразделениями безопасности подведомственных предприятий, организаций, учреждений по защите конфиденциальной информации;

- организация и регулярное проведение учета сотрудников предприятия и службы безопасности по всем направлениям защиты информации и обеспечения безопасности производственной деятельности;

- ведение учета и строгого контроля выделенных для конфиденциальной работы помещений, технических средств в них, обладающих потенциальными каналами утечки информации и каналами проникновения к источникам охраняемых секретов;

- обеспечение проведения всех необходимых мероприятий по пресечению попыток нанесения морального и материального ущерба со стороны внутренних и внешних угроз;

- поддержание контактов с правоохранительными органами и службами безопасности соседних предприятий в интересах изучения криминогенной обстановки в районе и оказания взаимной помощи в кризисных ситуациях.

Задачи службы безопасности предприятия

• определение круга лиц, которые имеют доступ к сведениям конфиденциального характера;

• определение участков сосредоточения конфиденциальных сведений;

• определение круга сторонних предприятий, на которых в силу производственных отношений возможен выход из-под контроля сведений конфиденциального характера;

• выявление круга лиц, не допущенных к конфиденциальной информации, но проявляющих повышенный интерес к таким сведениям;

• выявление круга предприятий, в том числе и иностранных, заинтересованных в овладении охраняемыми сведениями;

• разработка системы защиты документов, содержащих сведения конфиденциального характера;

• определение на предприятии участков, уязвимых в аварийном отношении, выход из строя которых может нанести материальный ущерб предприятию и сорвать поставки готовой продукции;

• определение на предприятии технологического оборудования, выход (или вывод) которого из строя может привести к большим экономическим потерям;

• определение уязвимых мест в технологии производственного цикла, несанкционированное изменение, в которой может привести к утрате качества выпускаемой продукции и нанести ущерб предприятию;

• определение мест на предприятии, несанкционированное посещение которых может привести к краже продукции и организация их охраны;

• определение и обоснование мер правовой, организационной и инженерно-технической защиты предприятия, персонала, продукции и информации;

• разработка необходимых мероприятий, направленных на совершенствование системы экономической, социальной и информационной безопасности предприятия;

• внедрение в деятельность предприятия новейших достижений науки и техники, передового опыта в области обеспечения экономической и информационной безопасности;

• организация обучения сотрудников службы безопасности в соответствии с их функциональными обязанностями;

• изучение, анализ и оценка состояния обеспечения экономической и информационной безопасности предприятия и разработка предложений и рекомендаций для их совершенствования;

• разработка технико-экономических обоснований, направленных на приобретение технических средств, получение консультации у специалистов, разработку необходимой документации в целях совершенствования системы мер по обеспечению экономической и информационной безопасности.