2. Составление плана защиты информации

 

Планирование включает в себя определение, разработку или выбор:

1. - конечных и промежуточных целей и обоснование задач, реше­ние которых необходимо для их достижения;

2. - требований к системе защиты информации;

3. - политики информационной безопасности;

4. - средств и способов, функциональной схемы защиты информации с учетом стоимости и привлечения других ресурсов;

5. - совокупности мероприятий защиты, проводимых в различные периоды времени;

6. - порядка ввода в действие средств защиты;

7. - ответственности персонала;

8. - порядка пересмотра плана и модернизации системы защиты;

9. - совокупности документов, регламентирующих деятельность по защите информации.

Задачи системы защиты объекта могут быть следующими:

1. защита конфиденциальной информации от несанкционированного ознакомления и копирования;

2. защита данных и программ от несанкционированной (случайной или умышленной) модификации;

3. снижение потерь, вызванных разрушением данных и программ, в том числе, и в результате вирусных воздействий;

4. предотвращение возможности совершения финансовых преступлений при помощи средств вычислительной техники.

Для создания эффективной системы защиты, как правило, необходимо выполнение следующих основных требований к защите информации:

1. комплексность мер защиты, закрытие всего спектра угроз и реализация всех целей стратегии защиты;

2. надежность средств, входящих в систему защиты;

3. бесконфликтная совместная работа с используемым на объекте программным обеспечением;

4. простота эксплуатации и поддержка работы администратора безопасности;

5. возможность встраивания средств защиты в программное обеспечение, используемое на объекте;

6. приемлемая стоимость.

Политика информационной безопасности определяет облик системы защиты информации - совокупности правовых норм, организационных (правовых) мер, комплекса программно-технических средств и процедурных решений по рациональному использованию вычислительных и коммуникационных ресурсов, направленных на противодействие угрозам с целью исключения (предотвращения) или минимизации возможных последствий проявления информационных воздействий.

Политика информационной безопасности является результатом совместной деятельности технического персонала, способного понять все аспекты политики и ее реализации, и руководителей, способных влиять на проведение политики в жизнь.

Политика безопасности должна гарантировать, что для каждого вида проблем существует ответственный исполнитель. В связи с этим, ключевым элементом политики безопасности является доведение до каждого сотрудника его обязанностей по поддержанию режима безопасности.

Требование учета стоимостных ограничений находит отражение в спецификациях средств реализации плана защиты информации. В них определяются общие затраты на обеспечение информационной безопасности объекта согласно предъявляемым требованиям по защищенности.

По времени проведения мероприятия защиты можно разделить на четыре класса:

1. разовые;

2. периодически проводимые;

3. проводимые по необходимости;

4. постоянно проводимые.

Разовые мероприятия включают:

1. создание научно-технических и методологических основ защиты информации;

2. мероприятия, осуществляемые при проектировании, строительстве и оборудовании объектов организации, предприятия;

3. мероприятия, осуществляемые при проектировании, разработке и эксплуатации технических средств и программного обеспечения (проверка и сертификация по требованиям безопасности и т.п.);

4. мероприятия по созданию системы защиты информации;

5. разработку правил разграничения доступа к ресурсам системы (определение перечня решаемых подразделениями задач, режимных объектов, перечня конфиденциальных сведений, носителей конфиденциальной и критичной информации и процессов ее обработки, прав и полномочий должностных лиц по доступу к информации);

6. определение контролируемой зоны и организация надежного пропускного режима в целях защиты информации;

7. определение порядка хранения, учета, выдачи и использования документов и носителей конфиденциальной и критичной информации;

8. определение оперативных действий персонала по обеспечению непрерывной работы и восстановлению вычислительного процесса в критических ситуациях.

К периодически проводимым мероприятиям относятся:

- распределение реквизитов разграничения доступа;

- ведение и анализ системных журналов, принятие мер по обнаруженным нарушениям установленных правил работы;

- проведение с привлечением экспертов анализа состояния защиты и оценки эффективности применяемых защитных мер, принятие на основе экспертного - обеспечение необходимых мер по совершенствованию системы защиты;

- мероприятия по пересмотру состава и построения системы защиты.

К мероприятиям по защите данных, проводимым по необходимости, относятся мероприятия, осуществляемые при кадровых перестановках, изменении территориального расположения объекта, при изменении архитектуры АС объекта или при изменениях и модификациях СВТ и ПО.

Постоянно проводимые мероприятия включают:

- реализацию выбранных защитных мер, в том числе физической защиты всех компонентов объекта;

- мероприятия по эксплуатации системы защиты;

- контроль за действиями персонала;

- анализ состояния и проверка эффективности применяемых защитных мер.

Пересмотр “Плана защиты информации” рекомендуется производить раз в год. Кроме того, существует ряд случаев, требующих внеочередного пересмотра. К их числу относятся изменения следующих компонент объекта:

1. Люди. Пересмотр “Плана защиты” может быть вызван кадровыми изменениями, связанными с реорганизацией организационно-штатной структуры объекта, увольнением служащих, имевших доступ к конфиденциальной информации и т.д.

2. Техника. Пересмотр “Плана защиты” может быть вызван подключением других локальных сетей, изменением или модификацией используемых средств вычислительной техники или программного обеспечения.

3. Помещения. Пересмотр “Плана защиты” может быть вызван изменением территориального расположения компонентов объекта.

Документы, регламентирующие деятельность по защите информации, оформляются в виде различных планов, положений, инструкций, наставлений и других аналогичных документов. Рассмотрим основные из них.