42
- ㅤ минимизация ㅤ полномочий;
- ㅤ взаимодействие ㅤ и ㅤ сотрудничество;
- ㅤ гибкость ㅤ системы ㅤ защиты;
- ㅤ открытость ㅤ алгоритмов ㅤ и ㅤ механизмов ㅤ защиты ㅤ и ㅤ охраны;
- ㅤ простота ㅤ применения ㅤ средств ㅤ защиты ㅤ организации;
- ㅤ научная ㅤ обоснованность ㅤ и ㅤ техническая ㅤ реализуемость;
- ㅤ специализация ㅤ и ㅤ профессионализм;
- ㅤ взаимодействие ㅤ и ㅤ координация;
- ㅤ обязательность ㅤ контроля.
Стратегия ㅤ – ㅤ средство ㅤ достижения ㅤ желаемых ㅤ результатов. ㅤ Комбинация ㅤ
из ㅤ запланированных ㅤ действий ㅤ и ㅤ быстрых ㅤ решений ㅤ по ㅤ адаптации ㅤ фирмы ㅤ к ㅤ
новым ㅤ возможностям ㅤ получения ㅤ конкурентных ㅤ преимуществ ㅤ и ㅤ новым ㅤ
угрозам ㅤ ослабления ㅤ её ㅤ конкурентных ㅤ позиций ㅤ [9]. ㅤ То ㅤ есть ㅤ стратегию ㅤ
информационной ㅤ защищенности ㅤ компании ㅤ (СИБ) ㅤ нужно ㅤ определять ㅤ с ㅤ учетом ㅤ
быстрого ㅤ реагирования ㅤ на ㅤ новые ㅤ угрозы ㅤ и ㅤ возможности. ㅤ
Организационные ㅤ (административные) ㅤ меры ㅤ протекции ㅤ - ㅤ это ㅤ меры, ㅤ
регламентирующие ㅤ процессы ㅤ функционирования ㅤ АСОЭИ, ㅤ использование ㅤ ее ㅤ
ресурсов, ㅤ деятельности ㅤ персонала, ㅤ а ㅤ также ㅤ порядок ㅤ взаимодействия ㅤ
пользователей ㅤ системой ㅤ таким ㅤ образом, ㅤ чтобы ㅤ максимально ㅤ затруднить ㅤ или ㅤ
исключить ㅤ возможность ㅤ реализации ㅤ угроз ㅤ защищенности ㅤ информации ㅤ и ㅤ
данных.
К ㅤ организационно-административным ㅤ мероприятиям ㅤ протекции ㅤ
информации ㅤ и ㅤ данных ㅤ относятся: ㅤ
организация ㅤ хранения ㅤ конфиденциальной ㅤ информации ㅤ и ㅤ данных ㅤ на ㅤ
специальных ㅤ промаркированных ㅤ магнитных ㅤ носителях; ㅤ
организация ㅤ регламентированного ㅤ доступа ㅤ пользователей ㅤ к ㅤ работе ㅤ на ㅤ
ЭВМ, ㅤ средствам ㅤ связи ㅤ и ㅤ к ㅤ хранилищам ㅤ носителей ㅤ конфиденциальной ㅤ
информации ㅤ и ㅤ данных; ㅤ
постоянный ㅤ контроль ㅤ за ㅤ соблюдением ㅤ установленных ㅤ требований ㅤ по ㅤ
защите ㅤ информации ㅤ и ㅤ данных ㅤ предприятия.
43
Нормативная ㅤ документация ㅤ предприятия ㅤ в ㅤ области ㅤ информационной ㅤ
защищенности ㅤ компании ㅤ состоит ㅤ из:
политика ㅤ информационной ㅤ защищенности ㅤ компании ㅤ и ㅤ защиты ㅤ
информации ㅤ и ㅤ данных; ㅤ
процедура ㅤ управления ㅤ информационной ㅤ защищенности ㅤ компании ㅤ и ㅤ
защиты ㅤ информации ㅤ и ㅤ данных; ㅤ
положение ㅤ о ㅤ ролевой ㅤ структуре ㅤ информационной ㅤ защищенности ㅤ
компании ㅤ и ㅤ протекции ㅤ информации ㅤ и ㅤ данных.
1.5.2. ㅤ Выбор ㅤ инженерно-технических ㅤ мер
Возможные ㅤ варианты ㅤ совершенствования ㅤ методов ㅤ и ㅤ способов ㅤ
обеспечения ㅤ информационной ㅤ защищенности ㅤ компании ㅤ и ㅤ протекции ㅤ
информации ㅤ и ㅤ данных ㅤ для ㅤ предприятия:
- ㅤ использование ㅤ межсетевого ㅤ экрана ㅤ для ㅤ обеспечения ㅤ ИБ;
- ㅤ защита ㅤ электронной ㅤ почты:
следует ㅤ поставить ㅤ антивирус ㅤ на ㅤ корпоративный ㅤ сервер ㅤ электронной ㅤ
почты. ㅤ При ㅤ выборе ㅤ антивирусного ㅤ пакета ㅤ нужно ㅤ руководствоваться ㅤ
следующими ㅤ принципами:
•антивирус ㅤ должен ㅤ уметь ㅤ переименовывать ㅤ исполняемые ㅤ файлы ㅤ (в ㅤ
которых ㅤ не ㅤ найдено ㅤ вируса), ㅤ делая ㅤ невозможным ㅤ их ㅤ автоматический ㅤ запуск ㅤ
пользователем;
•антивирус ㅤ должен ㅤ уметь ㅤ проверять ㅤ архивированные ㅤ файлы;
•антивирус ㅤ должен ㅤ уметь ㅤ проверять ㅤ HTML-код ㅤ на ㅤ предмет ㅤ
вредоносных ㅤ сценариев ㅤ и ㅤ приложений ㅤ Java, ㅤ а ㅤ также ㅤ вредоносных ㅤ ActiveX-
компонентов.
Далее ㅤ необходимо ㅤ установить ㅤ пользователям ㅤ e-mail-клиент, ㅤ который ㅤ
не ㅤ умеет ㅤ показывать ㅤ вложенные ㅤ в ㅤ письма ㅤ HTML-страницы ㅤ (например, ㅤ
Thunderbird).
Также ㅤ можно ㅤ поставить ㅤ транзитный ㅤ сервер, ㅤ который ㅤ будет ㅤ
фильтровать ㅤ весь ㅤ проходящий ㅤ через ㅤ него ㅤ трафик ㅤ электронной ㅤ почты ㅤ с ㅤ
помощью ㅤ антивируса;
44
- ㅤ антивирусная ㅤ защита:
на ㅤ корпоративный ㅤ сервер ㅤ электронной ㅤ почты ㅤ необходимо ㅤ установить ㅤ
антивирусное ㅤ ПО. ㅤ Также ㅤ стоит ㅤ установить ㅤ антивирус ㅤ на ㅤ файловый ㅤ сервер ㅤ
организации ㅤ и ㅤ осуществлять ㅤ проверку ㅤ его ㅤ содержимого ㅤ каждые ㅤ сутки;
- ㅤ настройка ㅤ компьютеров ㅤ пользователей;
- ㅤ защита ㅤ информационного ㅤ пространства ㅤ организации.
Все ㅤ вышеперечисленные ㅤ методы ㅤ и ㅤ способы ㅤ протекции ㅤ и ㅤ охраны ㅤ
информации ㅤ и ㅤ данных ㅤ необходимо ㅤ применить ㅤ на ㅤ «SINISTRO».
Средство ㅤ автоматизации ㅤ системы ㅤ обеспечения ㅤ информационной ㅤ
защищенности ㅤ компании ㅤ и ㅤ протекции ㅤ и ㅤ охраны ㅤ информации ㅤ и ㅤ данных ㅤ на ㅤ
предприятии ㅤ должно ㅤ автоматизировать ㅤ часть ㅤ работы ㅤ системного ㅤ
администратора ㅤ «SINISTRO». ㅤ В ㅤ нем ㅤ необходимо ㅤ учесть ㅤ полную ㅤ проверку ㅤ
всех ㅤ информационных ㅤ систем ㅤ предприятия ㅤ на ㅤ наличие ㅤ проблем ㅤ в ㅤ
защищенности.
Для ㅤ поддержки ㅤ и ㅤ упрощения ㅤ действий ㅤ по ㅤ настройке ㅤ методов ㅤ и ㅤ
способов ㅤ протекции ㅤ и ㅤ охраны ㅤ организации ㅤ в ㅤ системе ㅤ защиты ㅤ необходимо ㅤ
предусмотреть ㅤ следующие ㅤ возможности:
- ㅤ выборочное ㅤ подключение ㅤ имеющихся ㅤ защитных ㅤ механизмов, ㅤ что ㅤ
обеспечивает ㅤ возможность ㅤ реализации ㅤ режима ㅤ постепенного ㅤ усиления ㅤ
степени ㅤ защищенности ㅤ информационных ㅤ систем;
- ㅤ так ㅤ называемый ㅤ "мягкий" ㅤ режим ㅤ функционирования ㅤ средств ㅤ
протекции ㅤ и ㅤ охраны ㅤ организации, ㅤ при ㅤ котором ㅤ несанкционированные ㅤ
действия ㅤ пользователей ㅤ (действия ㅤ с ㅤ превышением ㅤ полномочий) ㅤ
фиксируются ㅤ в ㅤ системном ㅤ журнале ㅤ обычным ㅤ порядком, ㅤ но ㅤ не ㅤ пресекаются ㅤ
(то ㅤ есть ㅤ не ㅤ запрещаются ㅤ системой ㅤ защиты). ㅤ Этот ㅤ режим ㅤ позволяет ㅤ выявлять ㅤ
некорректности ㅤ настроек ㅤ методов ㅤ и ㅤ способов ㅤ защиты ㅤ организации ㅤ (и ㅤ затем ㅤ
производить ㅤ соответствующие ㅤ их ㅤ корректировки) ㅤ без ㅤ нарушения ㅤ
работоспособности ㅤ информационной ㅤ системы ㅤ и ㅤ существующей ㅤ технологии ㅤ
обработки ㅤ информации ㅤ и ㅤ данных;
45
- ㅤ возможности ㅤ по ㅤ автоматизированному ㅤ изменению ㅤ полномочий ㅤ
пользователя ㅤ с ㅤ учетом ㅤ информации ㅤ и ㅤ данных, ㅤ накопленной ㅤ в ㅤ системных ㅤ
журналах ㅤ (при ㅤ работе, ㅤ как ㅤ в ㅤ "мягком", ㅤ так ㅤ и ㅤ в ㅤ обычном ㅤ режимах).
Для ㅤ облегчения ㅤ работы ㅤ администратора ㅤ с ㅤ системными ㅤ журналами ㅤ в ㅤ
системе ㅤ должны ㅤ быть ㅤ предусмотрены ㅤ следующие ㅤ возможности:
- ㅤ подсистема ㅤ реализации ㅤ запросов, ㅤ позволяющая ㅤ выбирать ㅤ из ㅤ
собранных ㅤ системных ㅤ журналов ㅤ данные ㅤ об ㅤ определенных ㅤ событиях ㅤ (по ㅤ
имени ㅤ пользователя, ㅤ дате, ㅤ времени ㅤ происшедшего ㅤ события, ㅤ категории ㅤ
происшедшего ㅤ события ㅤ и ㅤ т.п.). ㅤ Естественно ㅤ такая ㅤ подсистема ㅤ должна ㅤ
опираться ㅤ на ㅤ системный ㅤ механизм ㅤ обеспечения ㅤ единого ㅤ времени ㅤ событий;
- ㅤ возможность ㅤ автоматического ㅤ разбиения ㅤ и ㅤ хранения ㅤ системных ㅤ
журналов ㅤ по ㅤ месяцам ㅤ и ㅤ дням ㅤ в ㅤ пределах ㅤ заданного ㅤ количества ㅤ последних ㅤ
дней. ㅤ Причем ㅤ во ㅤ избежание ㅤ переполнения ㅤ дисков ㅤ по ㅤ истечении ㅤ
установленного ㅤ количества ㅤ дней ㅤ просроченные ㅤ журналы, ㅤ если ㅤ их ㅤ не ㅤ удалил ㅤ
- ㅤ желательно ㅤ также ㅤ иметь ㅤ в ㅤ системе ㅤ средства ㅤ автоматической ㅤ
подготовки ㅤ отчетных ㅤ документов ㅤ установленной ㅤ формы ㅤ о ㅤ работе ㅤ станций ㅤ
сети ㅤ и ㅤ имевших ㅤ место ㅤ нарушениях. ㅤ Такие ㅤ средства ㅤ позволили ㅤ бы ㅤ
существенно ㅤ снять ㅤ рутинную ㅤ нагрузку ㅤ с ㅤ системного ㅤ администратора.
ㅤ
2. ㅤ Комплекс ㅤ организационных ㅤ мер ㅤ обеспечения ㅤ
информационной ㅤ безопасности ㅤ и ㅤ защиты ㅤ информации
2.1. ㅤ Правовое ㅤ обеспечение ㅤ системы ㅤ информационной ㅤ безопасности ㅤ
и ㅤ защиты ㅤ информации
Правовую ㅤ основу ㅤ обеспечения ㅤ информационной ㅤ защищенности ㅤ
компании ㅤ в ㅤ Российской ㅤ Федерации ㅤ составляют ㅤ Конституция ㅤ Российской ㅤ
Федерации, ㅤ Гражданский ㅤ Кодекс ㅤ Российской ㅤ Федерации, ㅤ Уголовный ㅤ Кодекс ㅤ
Российской ㅤ Федерации, ㅤ Федеральные ㅤ законы ㅤ Российской ㅤ Федерации ㅤ «О ㅤ
защищенности», ㅤ «О ㅤ государственной ㅤ тайне», ㅤ «Об ㅤ информации, ㅤ
информатизации ㅤ и ㅤ защите ㅤ информации ㅤ предприятия», ㅤ «О ㅤ связи», ㅤ «Об ㅤ
46
участии ㅤ в ㅤ международном ㅤ информационном ㅤ обмене», ㅤ «О ㅤ техническом ㅤ
регулировании». ㅤ А ㅤ также ㅤ другие ㅤ нормативные ㅤ правовые ㅤ акты ㅤ Российской ㅤ
Федерации, ㅤ Доктрина ㅤ информационной ㅤ защищенности ㅤ компании ㅤ Российской ㅤ
Федерации, ㅤ международные ㅤ договоры ㅤ и ㅤ соглашения, ㅤ заключенные ㅤ или ㅤ
признанные ㅤ Российской ㅤ Федерацией.
Основные ㅤ положения ㅤ государственной ㅤ политики ㅤ в ㅤ сфере ㅤ обеспечения ㅤ
информационной ㅤ защищенности ㅤ компании ㅤ изложены ㅤ в ㅤ Концепции ㅤ
национальной ㅤ защищенности ㅤ Российской ㅤ Федерации ㅤ и ㅤ Доктрине ㅤ
информационной ㅤ защищенности ㅤ компании ㅤ Российской ㅤ Федерации.
В ㅤ международной ㅤ практике ㅤ обеспечения ㅤ информационной ㅤ
защищенности ㅤ компании ㅤ основными ㅤ направлениями ㅤ являются:
•нормирование ㅤ компьютерной ㅤ защищенности ㅤ по ㅤ критериям ㅤ оценки ㅤ
защищенности ㅤ надежных ㅤ систем ㅤ и ㅤ информационных ㅤ тех¬нологий;
•стандартизация ㅤ процессов ㅤ создания ㅤ безопасных ㅤ информационных ㅤ
систем.
Так, ㅤ уже ㅤ в ㅤ 1983 ㅤ г. ㅤ Агентство ㅤ компьютерной ㅤ защищенности ㅤ
Министерства ㅤ обороны ㅤ США ㅤ опубликовало ㅤ отчет, ㅤ названный ㅤ TCSEC— ㅤ
(«Критерии ㅤ оценки ㅤ защищенности ㅤ надежных ㅤ систем»), ㅤ или ㅤ «Оранжевую ㅤ
книгу» ㅤ (по ㅤ цвету ㅤ переплета), ㅤ в ㅤ которой ㅤ были ㅤ определены ㅤ семь ㅤ уровней ㅤ
защищенности ㅤ (А1 ㅤ — ㅤ гарантированная ㅤ защита; ㅤ Bl, ㅤ В2, ㅤ ВЗ ㅤ — ㅤ полное ㅤ
управление ㅤ доступом; ㅤ С7, ㅤ С2 ㅤ — ㅤ избирательное ㅤ управление ㅤ доступом, ㅤ D ㅤ — ㅤ
минимальная ㅤ безопасность) ㅤ для ㅤ оценки ㅤ протекции ㅤ грифованных ㅤ данных ㅤ в ㅤ
многопользовательских ㅤ компьютерных ㅤ обороны ㅤ США ㅤ [2]. ㅤ Национальный ㅤ
центр ㅤ компьютерной ㅤ защищенности ㅤ МО ㅤ США ㅤ выпустил ㅤ инструкции ㅤ NCSC-
TG-005 ㅤ и ㅤ NCSC-TG-011, ㅤ известные ㅤ как ㅤ «Красная ㅤ книга» ㅤ (по ㅤ цвету ㅤ
переплета). ㅤ В ㅤ свою ㅤ очередь, ㅤ Агентство ㅤ информационной ㅤ защищенности ㅤ
компании ㅤ ФРГ ㅤ подготовило ㅤ GREEN ㅤ BOOK ㅤ («Зеленая ㅤ книга»), ㅤ в ㅤ которой ㅤ
рассмотрены ㅤ в ㅤ комплексе ㅤ требования ㅤ к ㅤ доступности, ㅤ целостности ㅤ и ㅤ
конфиденциальности ㅤ информации ㅤ как ㅤ в ㅤ государственном, ㅤ так ㅤ и ㅤ в ㅤ частном ㅤ
секторе.
47
В ㅤ 1990 ㅤ г. ㅤ «Зеленая ㅤ книга» ㅤ была ㅤ одобрена ㅤ ФРГ, ㅤ Великобританией, ㅤ
Францией ㅤ и ㅤ Голландией ㅤ и ㅤ направлена ㅤ в ㅤ Европейский ㅤ Союз ㅤ (ЕС), ㅤ где ㅤ на ㅤ ее ㅤ
основе ㅤ были ㅤ подготовлены ㅤ ITSEC ㅤ («Критерии ㅤ оценки ㅤ защищенности ㅤ
информационных ㅤ технологий»), ㅤ или ㅤ «Белая ㅤ книга», ㅤ как ㅤ европейский ㅤ
стандарт, ㅤ определяющий ㅤ критерии, ㅤ требования ㅤ и ㅤ процедуры ㅤ для ㅤ создания ㅤ
безопасных ㅤ информационных ㅤ
В ㅤ Российской ㅤ Федерации ㅤ к ㅤ нормативно-правовым ㅤ актам ㅤ в ㅤ области ㅤ
информационной ㅤ защищенности ㅤ компании ㅤ относятся:
1. ㅤ Акты ㅤ федерального ㅤ законодательства:
- ㅤ Международные ㅤ договоры ㅤ РФ;
•Конституция ㅤ РФ;
•Законы ㅤ федерального ㅤ уровня ㅤ (включая ㅤ федеральные ㅤ конституционные ㅤ
законы, ㅤ кодексы);
•Указы ㅤ Президента ㅤ РФ;
•Постановления ㅤ правительства ㅤ РФ;
•Нормативные ㅤ правовые ㅤ акты ㅤ федеральных ㅤ министерств ㅤ и ㅤ ведомств;
•Нормативные ㅤ правовые ㅤ акты ㅤ субъектов ㅤ РФ, ㅤ органов ㅤ местного ㅤ
самоуправления ㅤ и ㅤ т. ㅤ д.
2. ㅤ К ㅤ нормативно-методическим ㅤ документам ㅤ можно ㅤ отнести
- ㅤ Методические ㅤ документы ㅤ государственных ㅤ органов ㅤ России:
•Доктрина ㅤ информационной ㅤ защищенности ㅤ компании ㅤ РФ;
•Руководящие ㅤ документы ㅤ ФСТЭК ㅤ (Гостехкомиссии ㅤ России);
•Приказы ㅤ ФСБ;
- ㅤ Стандарты ㅤ информационной ㅤ защищенности ㅤ компании, ㅤ из ㅤ которых ㅤ
выделяют:
•Международные ㅤ стандарты;
•Государственные ㅤ (национальные) ㅤ стандарты ㅤ РФ;
•Рекомендации ㅤ по ㅤ стандартизации;
•Методические ㅤ указания.
48
Система ㅤ информационной ㅤ защищенности ㅤ компании ㅤ строится ㅤ на ㅤ основе ㅤ
международного ㅤ стандарта ㅤ по ㅤ обеспечению ㅤ информационной ㅤ защищенности ㅤ
компании ㅤ ISO ㅤ 17799 ㅤ ("Нормы ㅤ и ㅤ правила ㅤ при ㅤ обеспечении ㅤ защищенности ㅤ
информации"). ㅤ Стандарт ㅤ ISO ㅤ 17799 ㅤ содержит ㅤ общие ㅤ рекомендации ㅤ по ㅤ
организации ㅤ системы ㅤ информационной ㅤ защищенности ㅤ компании, ㅤ
обеспечивающей ㅤ базовый ㅤ уровень ㅤ защищенности ㅤ информационных ㅤ систем, ㅤ
характерный ㅤ для ㅤ большинства ㅤ организаций. ㅤ При ㅤ этом ㅤ стандарт ㅤ описывает ㅤ
вопросы, ㅤ которые ㅤ должны ㅤ быть ㅤ рассмотрены ㅤ при ㅤ проектировании ㅤ системы ㅤ
информационной ㅤ защищенности ㅤ компании, ㅤ и ㅤ не ㅤ накладывает ㅤ ограничений ㅤ на ㅤ
использование ㅤ конкретных ㅤ методов ㅤ и ㅤ способов ㅤ обеспечения ㅤ защищенности ㅤ
компонентов ㅤ инфраструктуры. ㅤ Стандарт ㅤ ISO ㅤ 17799 ㅤ содержит ㅤ следующие ㅤ
разделы, ㅤ описывающие ㅤ различные ㅤ аспекты ㅤ защищенности ㅤ информационных ㅤ
систем:
- ㅤ стратегия ㅤ информационной ㅤ защищенности ㅤ компании ㅤ — ㅤ описывает ㅤ
необходимость ㅤ иметь ㅤ поддержку ㅤ высшего ㅤ руководства ㅤ предприятия ㅤ путем ㅤ
утверждения ㅤ стратегии ㅤ информационной ㅤ защищенности ㅤ компании;
- ㅤ организационные ㅤ вопросы ㅤ — ㅤ дает ㅤ рекомендации ㅤ по ㅤ форме ㅤ
управления ㅤ организации, ㅤ оптимальной ㅤ для ㅤ реализации ㅤ системы ㅤ
информационной ㅤ защищенности ㅤ компании;
- ㅤ классификация ㅤ информационных ㅤ ресурсов ㅤ — ㅤ описывает ㅤ
необходимые ㅤ меры ㅤ по ㅤ обеспечению ㅤ защищенности ㅤ информационных ㅤ
ресурсов ㅤ и ㅤ носителей ㅤ информации;
- ㅤ управление ㅤ персоналом ㅤ — ㅤ описывает ㅤ влияние ㅤ человеческого ㅤ фактора ㅤ
на ㅤ информационную ㅤ безопасность ㅤ и ㅤ меры, ㅤ направленные ㅤ на ㅤ снижение ㅤ
соответствующего ㅤ риска;
- ㅤ обеспечение ㅤ физической ㅤ защищенности ㅤ — ㅤ описывает ㅤ мероприятия ㅤ по ㅤ
обеспечению ㅤ физической ㅤ защищенности ㅤ компонентов ㅤ информационной ㅤ
инфраструктуры;
49
- ㅤ администрирование ㅤ информационных ㅤ систем ㅤ — ㅤ описывает ㅤ основные ㅤ
аспекты ㅤ защищенности ㅤ при ㅤ работе ㅤ с ㅤ серверами, ㅤ рабочими ㅤ станциями ㅤ и ㅤ
другими ㅤ информационными ㅤ системами;
- ㅤ управление ㅤ доступом ㅤ — ㅤ описывает ㅤ необходимость ㅤ четкого ㅤ
разграничения ㅤ прав ㅤ и ㅤ обязанностей ㅤ при ㅤ работе ㅤ с ㅤ информацией;
- ㅤ разработка ㅤ и ㅤ сопровождение ㅤ информационных ㅤ систем ㅤ — ㅤ описывает ㅤ
основные ㅤ механизмы ㅤ обеспечения ㅤ защищенности ㅤ информационных ㅤ систем;
- ㅤ обеспечение ㅤ непрерывности ㅤ бизнеса ㅤ — ㅤ описывает ㅤ мероприятия ㅤ по ㅤ
обеспечению ㅤ непрерывной ㅤ работы ㅤ организаций;
- ㅤ обеспечение ㅤ соответствия ㅤ предъявляемым ㅤ требованиям ㅤ — ㅤ описывает ㅤ
общие ㅤ требования ㅤ к ㅤ системам ㅤ информационной ㅤ защищенности ㅤ компании ㅤ и ㅤ
мероприятия ㅤ по ㅤ проверке ㅤ соответствия ㅤ систем ㅤ информационной ㅤ
защищенности ㅤ компании ㅤ этим ㅤ требованиям.
Основой ㅤ для ㅤ практической ㅤ деятельности ㅤ по ㅤ реализации ㅤ главных ㅤ
направлений ㅤ и ㅤ работ ㅤ по ㅤ защите ㅤ информации ㅤ и ㅤ данных ㅤ предприятия ㅤ
являются ㅤ нормативно-методические ㅤ документы, ㅤ регламентирующие ㅤ эту ㅤ
деятельность. ㅤ Нормативно-методическую ㅤ базу ㅤ для ㅤ проведения ㅤ работ ㅤ по ㅤ
защите ㅤ информации ㅤ и ㅤ данных ㅤ предприятия ㅤ составляют:
•государственные ㅤ и ㅤ корпоративные ㅤ стандарты;
•информационные ㅤ модели;
•общие ㅤ требования, ㅤ общие ㅤ технические ㅤ условия, ㅤ тактике ㅤ -технические ㅤ
требования, ㅤ и ㅤ другие ㅤ документы;
•нормы, ㅤ методики ㅤ и ㅤ инструкции;
•эксплуатационно-техническая ㅤ документация;
•учебно-методическая ㅤ и ㅤ научная ㅤ литература.
ГОСТами ㅤ вводится ㅤ единая ㅤ терминология ㅤ в ㅤ области ㅤ протекции ㅤ и ㅤ
охраны ㅤ информации ㅤ и ㅤ данных, ㅤ а ㅤ также ㅤ идентифицируются ㅤ виды ㅤ и ㅤ методы ㅤ
испытаний ㅤ технических ㅤ и ㅤ программных ㅤ средств ㅤ обработки ㅤ и ㅤ защиты, ㅤ виды, ㅤ
комплектность ㅤ и ㅤ обозначения ㅤ документов.
50
Информационные ㅤ модели ㅤ содержат ㅤ объобщенные ㅤ сведения ㅤ о ㅤ
состоянии, ㅤ возможностях, ㅤ тактико-технических ㅤ и ㅤ эксплуатационно-
технических ㅤ характеристиках, ㅤ способах ㅤ применения, ㅤ тенденциях ㅤ и ㅤ
перспективах ㅤ развития ㅤ технических ㅤ средств ㅤ различного ㅤ назначения. ㅤ Такие ㅤ
модели, ㅤ как ㅤ правило, ㅤ охватывают ㅤ определенные ㅤ направления: ㅤ средства ㅤ
разведки, ㅤ средства ㅤ промышленного ㅤ шпио¬нажа, ㅤ технические ㅤ средства ㅤ
протекции ㅤ информации ㅤ и ㅤ данных, ㅤ программные ㅤ средства ㅤ протекции ㅤ и ㅤ т.д. ㅤ и ㅤ
разрабатываются ㅤ ведомственными ㅤ научно-исследовательскими ㅤ
организациями ㅤ и ㅤ учреждениями, ㅤ а ㅤ также ㅤ межведомственными ㅤ органами. ㅤ Они ㅤ
широко ㅤ применяются ㅤ при ㅤ решении ㅤ конкретных ㅤ научных, ㅤ научно-
исследовательских ㅤ и ㅤ практических ㅤ инженерных ㅤ задач ㅤ в ㅤ области ㅤ защиты ㅤ
информации ㅤ и ㅤ данных.
2.1.1. ㅤ Организационное ㅤ обеспечение ㅤ системы ㅤ информационной ㅤ
безопасности ㅤ и ㅤ защиты ㅤ информации. ㅤ Политика ㅤ информационной ㅤ
безопасности
Организационные ㅤ (административные) ㅤ меры ㅤ защиты ㅤ - ㅤ это ㅤ меры, ㅤ
регламентирующие ㅤ процессы ㅤ функционирования ㅤ АСОЭИ, ㅤ использование ㅤ ее ㅤ
ресурсов, ㅤ деятельности ㅤ персонала, ㅤ а ㅤ также ㅤ порядок ㅤ взаимодействия ㅤ
пользователей ㅤ системой ㅤ таким ㅤ образом, ㅤ чтобы ㅤ максимально ㅤ затруднить ㅤ или ㅤ
исключить ㅤ возможность ㅤ реализации ㅤ угроз ㅤ защищенности ㅤ информации ㅤ и ㅤ
данных.
Они ㅤ регламентируют ㅤ процессы ㅤ создания ㅤ и ㅤ эксплуатации ㅤ
информационных ㅤ объектов, ㅤ а ㅤ также ㅤ взаимодействие ㅤ пользователей ㅤ и ㅤ систем ㅤ
таким ㅤ образом, ㅤ чтобы ㅤ несанкционированный ㅤ доступ ㅤ к ㅤ информации ㅤ и ㅤ
данным ㅤ становился ㅤ либо ㅤ невозможным, ㅤ либо ㅤ существенно ㅤ затруднялся. ㅤ
Организационно-административные ㅤ методы ㅤ протекции ㅤ информации ㅤ
охватывают ㅤ все ㅤ компоненты ㅤ автоматизированных ㅤ информационных ㅤ систем ㅤ
на ㅤ всех ㅤ этапах ㅤ их ㅤ жизненного ㅤ цикла: ㅤ проектирования ㅤ систем, ㅤ строительства ㅤ
зданий, ㅤ помещений ㅤ и ㅤ сооружений, ㅤ монтажа ㅤ и ㅤ наладки ㅤ оборудования, ㅤ
51
эксплуатации ㅤ и ㅤ модернизации ㅤ систем. ㅤ К ㅤ организационно-административным ㅤ
мероприятиям ㅤ защиты ㅤ информации ㅤ и ㅤ данных ㅤ относятся:
- ㅤ выделение ㅤ специальных ㅤ защищенных ㅤ помещений ㅤ для ㅤ размещения ㅤ
ЭВМ ㅤ и ㅤ методов ㅤ и ㅤ способов ㅤ связи ㅤ и ㅤ хранения ㅤ носителей ㅤ информации ㅤ и ㅤ
данных;
- ㅤ выделение ㅤ специальных ㅤ ЭВМ ㅤ для ㅤ обработки ㅤ конфиденциальной ㅤ
информации ㅤ и ㅤ данных;
- ㅤ организация ㅤ хранения ㅤ конфиденциальной ㅤ информации ㅤ и ㅤ данных ㅤ на ㅤ
специальных ㅤ промаркированных ㅤ магнитных ㅤ носителях;
- ㅤ использование ㅤ в ㅤ работе ㅤ с ㅤ конфиденциальной ㅤ информацией ㅤ
технических ㅤ и ㅤ программных ㅤ средств, ㅤ имеющих ㅤ сертификат ㅤ защищенности ㅤ и ㅤ
установленных ㅤ в ㅤ аттестованных ㅤ помещениях;
- ㅤ организация ㅤ специального ㅤ делопроизводства ㅤ для ㅤ конфиденциальной ㅤ
информации ㅤ и ㅤ данных, ㅤ устанавливающего ㅤ порядок ㅤ подготовки, ㅤ
использования, ㅤ хранения, ㅤ уничтожения ㅤ и ㅤ учета ㅤ документированной ㅤ
информации ㅤ и ㅤ данных;
- ㅤ организация ㅤ регламентированного ㅤ доступа ㅤ пользователей ㅤ к ㅤ работе ㅤ на ㅤ
ЭВМ, ㅤ средствам ㅤ связи ㅤ и ㅤ к ㅤ хранилищам ㅤ носителей ㅤ конфиденциальной ㅤ
информации ㅤ и ㅤ данных;
- ㅤ установление ㅤ запрета ㅤ на ㅤ использование ㅤ открытых ㅤ каналов ㅤ связи ㅤ для ㅤ
передачи ㅤ конфиденциальной ㅤ информации;
- ㅤ разработка ㅤ и ㅤ внедрение ㅤ специальных ㅤ нормативно-правовых ㅤ и ㅤ
распорядительных ㅤ документов ㅤ по ㅤ организации ㅤ протекции ㅤ конфиденциальной
ㅤ информации ㅤ и ㅤ данных, ㅤ которые ㅤ регламентируют ㅤ деятельность ㅤ всех ㅤ звеньев ㅤ
объекта ㅤ защиты ㅤ в ㅤ процессе ㅤ обработки, ㅤ хранения, ㅤ передачи ㅤ и ㅤ использования ㅤ
информации ㅤ и ㅤ данных;
— ㅤ постоянный ㅤ контроль ㅤ за ㅤ соблюдением ㅤ установленных ㅤ требований ㅤ
по ㅤ защите ㅤ информации ㅤ и ㅤ данных ㅤ предприятия.
2.1.2 ㅤ Стратегия ㅤ обеспечения ㅤ информационной ㅤ безопасности ㅤ и ㅤ
защиты ㅤ информации