3.2 Технологія обробки інформації

3.2.1 Організація роботи з інформацією обмеженого доступу

Звичайні користувачі працюють у системі з документами, які містять інформацію з обмеженим доступом.

Інформація з обмеженим доступом зберігається на жорсткому магнітному диску АСВТЗІ та на змінних носіях інформації (дискети, флеш накопичувачі).

Змінні носії інформації з ІзОД зберігаються в спеціальному відділі у металевому сейфі та доступ до них регламентується розпорядчими документами ТОВ «Квазар».

Друк та експорт інформації з обмеженим доступом відбувається відповідно розпорядчих документів ТОВ «Квазар».

3.2.2 Технологія роботи з документами

Документи зберігаються в базах документів, для яких встановлюється адміністративне керування доступом. Керування доступом до документів здійснюють адміністратори документів.

Безпосередньо з усіма документами працюють звичайні користувачі. Для забезпечення можливості керування доступом адміністраторам документів надається можливість читання документів, а також може надаватись можливість роботи з документами.

Нові документи створюються користувачами вручну або імпортуються з іншого носія. Документи також можуть бути експортовані на інший носій.

4. Організаційні заходи захисту

4.1 Загальні підходи до забезпечення політики безпеки

Для забезпечення захисту інформації з обмеженим доступом в АСВТЗІ та належного функціонування комплексної системи захисту інформації створюється служба захисту інформації.

Склад та функції служби захисту інформації в АСВТЗІ визначаються відповідно до документа “Положення про службу захисту інформації”.

Повноваження користувачів встановлюються керівництвом ТОВ «Квазар» та узгоджуються з спеціальним відділом. Облік користувачів АСВТЗІ здійснюється за допомогою облікових карток, на підставі яких адміністратор безпеки вводить, змінює або видаляє інформацію про користувача АСВТЗІ. Облікові картки заповнюються та зберігаються в спеціальному відділі.

Питання організації навчання користувачів, які допускаються до роботи на АСВТЗІ, з питань захисту інформації під час її обробки за допомогою АСВТЗІ, включаються до Календарного плану основних заходів з технічного захисту інформації в ТОВ «Квазар».

Навчання повинно бути направлено на засвоєння всіма категоріями користувачів вимог нормативних актів з питань захисту інформації та охорони державної таємниці.

Усі користувачі повинні знати вимоги основних документів щодо захисту інформації, вимоги розпорядчих документів ТОВ «Квазар», які регламентують порядок проведення робіт з ІзОД за допомогою АСВТЗІ.

Доведення до користувачів вимог діючих нормативних та організаційно-розпорядчих документів щодо захисту інформації в АСВТЗІ здійснюється начальником спеціального відділу.

До обробки інформації на АСВТЗІ допускаються лише особи, яки успішно здали відповідні заліки та включені до затвердженого списку осіб, які допущені до обробки інформації за допомогою АСВТЗІ.

Виконання робіт в АСВТЗІ дозволяється працівникам, які включені до списку користувачів АСВТЗІ.

Начальник спеціального відділу забезпечує виконання вимог нормативних документів щодо забезпечення режимних заходів під час роботи з ІзОД, а саме:

облік друкованих документів;

облік змінних носіїв інформації (дискет, флеш накопичувачів);

облік технічних засобів, що пройшли спецдослідження;

ведення облікових карток користувачів у частині, що його стосується.

Основні функції щодо забезпечення захисту інформації в АСВТЗІ покладаються на службу захисту інформації в АСВТЗІ до складу якої входить начальник служби, системний адміністратор та адміністратор безпеки. На службу захисту інформації в АСВТЗІ відповідно адміністративних ролей в АСВТЗІ покладаються наступні основні функції:

Адміністратор безпеки:

ведення облікових карток користувачів;

ведення бази даних захисту;

настройка системи;

зміна, у разі необхідності, власника баз документів;

спостереження за роботою системи;

архівація баз документів;

архівація даних захисту;

настройка апаратного забезпечення;

створення баз документів;

керування доступом до документів.

Системний адміністратор:

супроводження програмного забезпечення, у тому числі програмного забезпечення КЗЗ;

супроводження апаратного забезпечення (разом із технічним персоналом).

Усі дії, які прямо чи опосередковано можуть вплинути на захищеність інформації (зміни дозволів на доступ до файлів та папок, очищення журналів операційної системи, зміни настройок BIOS Setup тощо), адміністратори АСВТЗІ виконують з дозволу начальника служби захисту інформації в АСВТЗІ.

Контроль за дотриманням персоналом та користувачами АСВТЗІ положень політики безпеки покладається на відповідального за ТЗІ та службу захисту інформації в АСВТЗІ.

4.2 Порядок введення (видалення) користувачів в(з) АСВТЗІ та змін їхніх повноважень

На підставі облікової картки адміністратор безпеки вводить у базу даних захисту інформацію про користувача АСВТЗІ, після чого ознайомлює під розпис користувача з його повноваженнями.

У випадку зміни повноважень користувача до облікової картки користувача вносяться необхідні зміни. На цій підставі адміністратор безпеки вносить зміни до бази даних захисту та ознайомлює з ними користувача.

При необхідності видалення користувача з АСВТЗІ (при звільненні з роботи, при зміні посадових обов’язків та ін.) вноситься відповідний запис до облікової картки користувача і на цій підставі адміністратор безпеки видаляє користувача з АСВТЗІ.

4.3 Керування системою та її компонентами

Керування системою здійснюють адміністратор безпеки та системний адміністратор.

Адміністратор безпеки вводить до системи нових користувачів та коригує відомості про них (у тому числі атрибути доступу), має можливість змінювати стан системи та значення параметрів конфігурації системи та ін. Адміністратор безпеки встановлює пароль на доступ до апаратних настройок комп’ютерів (Bios Setup Supervisor Password).

Системний адміністратор здійснює супроводження програмного та апаратного забезпечення. За необхідності він має можливість за узгодженням з адміністратором безпеки змінювати стан системи та значення параметрів конфігурації, які безпосередньо не пов’язані з керуванням доступом.