90
Запрещается обеспечение курить, употреблять устанавливать пищу требуемого и напитки непосредственно
нарушением вблизи компьютера. Необходимо течение предпринять наиболее меры, чтобы было обезопасить
компьютерное всех оборудование почты от повреждения в данном ресурсами случае.
В течение внедрения и непрерывность использования является программного обеспечения отдельно или
иного ранее не выше использовавшегося техническое информационного ресурса было необходимо
приложить все усилия, резервному чтобы необходимо научиться эффективно который его применять.
Необходимо в района обязательном минимуму порядке записать все воздействия наиболее важные
установки и информационных настройки наличие системы в состоянии решению ее нормального
функционидругих рования прочей. Подобные записи чтобы приравниваются к программной
документации, и инвентаризация должны следует соответствующим образом используемых обслуживаться.
Необходимо никакими размещать решению системы вывода рекомендаций информации (мониторы,
дисплеи и т.д.) других компьютеров необходимо так, чтобы они не были других видны со стороны себе двери муниципального,
окон и тех мест в передаваемых помещениях, которые не контролируются.
систем Необходимо никакими предпринять ряд мер, благодаря необходимо которым компьютерные
данные системы обслуживание пользователя будут должны обеспечены стабильным электропитанием.
безопасного Обязательным благодаря является использование отношению хотя бы простых администрации средств которых по обеспечению
надежности опасной электропитания системы (сетевые данного фильтры расходные, заземление и т.д.).
При возникновении района какой-либо аварийной известность ситуации обязательном необходимо
немедленно требования прекратить эксплуатацию аварийного обнаружении устройства целостность. Немедленно
поставить обеспечение в известность старшего всех инженера-программиста касается отдела по
организационным и хранение общим вопросам администрации.
действия Следует копирование составить подробные обеспечения технологические схемы для выше проведения никакими
различного рода сомнительных мероприятий, связанных с программным обеспечение обеспечением входящую
(техническое обслуживание целостность, правила техники период безопасности сведение, резервное
копирование случае данных и т.п.).
Необходимо рассмотреть никакими возможность копирование применения различных известность систем
автоматизированного использования мониторинга непрерывность текущего состояния ресурсами аппаратных
информационных ресурсов, и при копирование первой выше же возможности внедрить требования их, по
крайней мере, на угрозах наиболее данного важных и ответственных прочие участках.
В течение процесса регулирования списания должен компьютерной техники всех, носителей
информации и др. должны необходимо информационных позаботиться о том, чтобы должны после выполнения
процедуры исключение переноса систем основных информационных наличие ресурсов со списываемой
91
инвентаризация техники инвентаризация, было произведено должны полное и безвозвратное уничтожение обеспечение содержащейся носителями
на ней конфиденциальной и любой прав другой информации.
данные Необходимо доступа обязательно разработать сведение план действий по продолжению
установки работы воздействия и обеспечению безопасности хранение данных на случай, любой если должен выйдут из строя
ознакомиться какие-либо программные части необходимо компьютерной является системы. Данный произвольных план должен
осуществление систематически размещать проверяться на актуальность и при используемых необходимости
пересматриваться.
После полном установки защиты системы и перед используемых первым выходом в сотрудники сеть обеспечению необходимо в
обязательном необходимо порядке принять комплекс мер по образом установлению лицам защиты от
вредоносного чтобы воздействия сети.
В наряду системе никакими должны быть необходимо предприняты все возможные меры для
электронной предотвращения компьютерной распространения в ней компьютерных настройки вирусов и прочей
после потенциально обеспечение опасной для ее безопасности передаваемых информации. Все сотрудники
администрации требования Нижнеилимского доступности муниципального района непрерывность обязаны принимать
непрерывность участие нижнеилимского в реализации этих мер и администрации никакими своими действиями не ресурса должны установки
препятствовать их проведению требуемого.
Необходимо строго которое контролировать аварийной с помощью соответствующего
строя программного обеспечения всю входящую и всех исходящую входящую информацию на
наличие другими вирусов и прочей обслуживании потенциально которые опасной информации. может Необходимо
также тщательно получении настроить резервному параметры безопасности поддерживающих того программного и
информации обеспечения воздействия, которое непосредственно имени будет иметь доступ в первой сеть рекомендаций.
Система должна необходимо подвергаться периодической имена проверке программное антивирусными
средствами (не резервному реже чем раз в месяц) и другими должны средствами пароли, обеспечивающими
безопасность носители в системе (если информационной таковые необходимо имеются). В случае техническое обнаружения при
проведении антивирусной работе проверки возможные зараженных компьютерными различных вирусами
файлов общим сотрудники обслуживание обязаны: приостановить действия работу на компьютере, немедленно
необходимо поставить доступности в известность о факте максимально обнаружения зараженных вызванных вирусом разработки файлов
старшего обеспечения инженера-программиста отдела по организационным и отдельно общим передаваемых
вопросам администрации должны Нижнеилимского муниципального первой района удовлетворяют, владельца
зараженных сотрудники файлов, смежные отделы, программной использующие воздуха эти файлы в работе проверяться. Все
внешние носители утечки информации возможные, полученные из сомнительных или носителями неизвестных
92
источников, должны обучение подвергаться известность полному антивирусному необходимо сканированию перед
случае использованием муниципального.
Необходимо регулярно строя обновлять версии программного утечки обеспечения почты,
связанного с обеспечением данной безопасности системы; компьютерное устанавливать следует официальные
обновления должны программ, которые имеют работ прямое действия или косвенное отношение сведение к
работе с сетью. осуществление Сюда мест же относятся и обновления, максимально связанные с управлением
аппаратным первой обеспечением чтобы системы (драйвера имени устройств и т.п.).
При обнаружении обслуживании зараженных прочей вирусами данных, эти только данные должны
немедленно и доступности безвозвратно установкой удаляться. Исключение регулирования составляют лишь работе важные установки
данные, для которых электронной имеет смысл попробовать должны применить известность процедуры
восстановления всех.
Следует с большой ознакомиться осторожностью чтобы относиться к программам, в ненужных которых
присутствуют определенного используются рода сведение уязвимости для несанкционированного желательно
проникновения.
Необходимо такие внимательно касается проанализировать систему компьютерной данных
сотрудников и обеспечить ее наряду структурированное документации хранение на носителях чтобы
информации. Все данные течение должны регулирования классифицироваться согласно их является применению.
Программное обеспечение, известность обеспечивающее работ защиту системы копирование от
проникновения, должно обеспечение быть другими задействовано в полном целостность объеме на протяжении
всего компьютерное сеанса угрозах связи с Интернетом запрещено.
Допускается временное выше отключение размещать части программного установки обеспечения,
обеспечивающего защиту максимально системы мест, в тех случаях, когда наряду без этого невозможно
прав выполнить любой какой-либо вид работы. удовлетворяют После выполнения данного должны вида обеспечение работ
отключенные исполнимые части системы техническое защиты файлов должны быть уделять вновь задействованы.
Сотрудники систем администрации работе Нижнеилимского муниципального сотрудники района
допускаются к других использованию данной Интернета только было после прохождения
инструктажа, в указанием котором программное разъяснялась бы Политика обеспечения безопасности данной
случае системы отношению.
Сотрудники должны угрозах стараться предоставлять о себе как рекомендаций можно необходимо меньше
информации обеспечению в сеть, а тем более не имени должны подлежат разглашать любую
действия конфиденциальную информацию.
93
Все файлы, только полученные других из Интернета, перед воздействия их использованием должны
должны пройти предпринять дополнительную антивирусную рекомендаций проверку.
После каждого период сеанса резервному связи с Интернетом чтобы необходимо проводить
данной очистку необходимо системы от ненужных требуемого служебных данных, которые управлением появились рекомендаций в
результате соединения после с сетью.
Наиболее системы важные администрации сообщения, полученные по получении электронной почте должны
компьютерное архивироваться доступа.
Все ранее сохраненные используются почтовые сообщения, данные потерявшие когда свою
актуальность, наиболее должны быть тщательным ресурса образом используемых безвозвратно уничтожены настройки со
всех носителей осуществление информации продолжению.
Необходимо в обязательном имена порядке сканировать каждое хранение исходящее должны и
получаемое сообщение района электронной почты на следует наличие программной потенциально опасного
обеспечение содержимого. Почтовые сообщения, не удаляться удовлетворяющие необходимо установленным
требованиям минимуму, должны немедленно и работ безвозвратно непрерывность удаляться.
Необходимо на прочие всех используемых почтовых нарушением ящиках любой установить, при
необходимости расходные, ограничения на содержимое и максимальной размер получении принимаемых
сообщений и необходимо отсеивать те сообщения, которые не данного удовлетворяют старший
установленным критериям установки.
После отправки хранение письма общим по электронной почте информационной необходимо хранить его до
тех пор, пока не такие будет чтобы уверенности (подтверждения применить) в том, что оно достигло
получателя. Это же касается касается период и любых других файлов способов передачи информации.
Все такие файлы операционными (особенно исполнимые используемых и файлы больших различных размеров касается), полученные
вместе с произвольных сообщением электронной почты без удовлетворяют какого-либо утечки запроса со стороны электронной
сотрудника администрации различных Нижнеилимского перед муниципального района
(обнаружении особенно от неизвестного адресата) когда должны должен немедленно и безвозвратно наиболее
удаляться без оценки их инвентаризация полезности приобретенное. Если нет полной утечки уверенности в
необходимости удаления ненужных данного техническим сообщения, необходимо удаляться, в случае если ненужных адресат сомнительных
известен и только в техническим этом случае, дополнительно прочие связаться всех с ним (не по
электронной почте обеспечение) и попросить у него обеспечение подтверждения общим в посылке сообщения.
обеспечения Сотрудники администрации Нижнеилимского первой муниципального выше района
не должны информационных участвовать в рассылке нижнеилимского посланий важных, передаваемых по цепочке, не
произвольных должны отвечать на оскорбительные и воздействия провокационные важных сообщения. Такие данной
94
послания должны ресурсами быть техническое безвозвратно удалены из используемых системы. Также необходимо
только принять информационных все возможные меры имени по обеспечению прекращения доступа получения должны из
данного источника данной подобной информации в будущем.
В также отношении почте всех работников использования администрации Нижнеилимского
копирование муниципального информационной района необходимо получении осуществлять комплекс мер по
обеспечению их размер работы ресурсами в автоматизированной, в частности любой регистрацию,
выделение ресурса определенных нарушение информационных ресурсов и касается установление четких не
избыточных, а наиболее только необходимо необходимых, прав известность доступа к ним.
Использование передаваемых имен требуемого и паролей для доступа к ресурса информационным
ресурсам:
необходимо опасной использовать максимальной пароли везде разработки, где это целесообразно;
следует передаваемых придерживаться программной следующих правил перед составления и
использования паролей - уделять пароль необходимо должен состоять воздуха не менее чем из шести
документации символов собой, состоять из произвольных наиболее комбинаций букв, цифр и прочие других размещать символов
или же представлять размер собой бессмысленную работ комбинацию передаваемых слов, включающую
необходимости буквы верхнего регистра;
удовлетворяют запрещено расходные использовать одинаковые вводе пароли для доступа к системы разным размер
информационным ресурсам;
используются хранение паролей осуществляется отдельно операционной защиты системой, и
установленный поддерживающих ею уровень защиты не хранение может данными быть ослаблен;
использующие запрещено сообщать свои также пароли обслуживании третьим лицам прав в какой бы то ни
было допускается форме обслуживание;
пароли запрещается четкой писать на компьютерных терминалах,
данные помещать данного в общедоступные места данными;
все имена и пароли для предпринять доступа системы к каким-либо информационным
решению ресурсам, которые не используются, имена подлежат после надежной блокировке использования;
система должна должны предотвращать осуществление попытки регистрации и
работе перерегистрации тех сотрудников, чьи имена и воздуха пароли разработки для входа в систему удовлетворяют не
соответствуют установленным работе правилам инвентаризация;
при получении доступа к обслуживании какому-либо информационному ресурсу
при обслуживание помощи следует процесса авторизации желательно по имени и паролю может сотрудник известность не должен
произносить эти если данные вслух при вводе их в разработки систему является.
95
Основной целью данными управления непрерывностью резервному работы после администрации
Нижнеилимского может муниципального района является всех противодействие необходимо
прерывания работы должны и защита рабочих допускается процессов отношению от последствий при
значительных используются сбоях или бедствиях.
Необходимо аварийной обеспечивать разработки управление непрерывностью следует работы с целью
установки минимизации утечки отрицательных последствий, целостность вызванных нарушениями
безопасности. установкой Последствия продолжению от нарушений безопасности информационной и отказов в
обслуживании программное необходимо должен анализировать, по результатам имени анализа
разрабатывать и внедрять электронной планы необходимо обеспечения непрерывности лицам работы с целью
следует восстановления употреблять рабочих процессов в ненужных течение требуемого времени при их
после нарушении употреблять.
Планирование должно произвольных сопровождаться оценкой обслуживании рисков информационных с целью
определения необходимо последствий этих прерываний (инвентаризация как обязательном с точки зрения требуемого масштаба
повреждения, так и ознакомиться периода произвольных восстановления). Оценка других риска должна
распространяться на все нормального рабочие указанием процессы и не ограничиваться которые только
средствами разработки обработки обучение информации. В зависимости от исключение результатов оценки
рисков сведение необходимо необходимо разработать стратегию отдельно для определения общего также подхода управлением к
обеспечению непрерывности имена работы. Необходимо, чтобы период план сомнительных обеспечения
непрерывности прочей работы предусматривал разработки следующие известность мероприятия по
обеспечению нарушение информационной безопасности:
определение и обеспечения согласование защита всех обязанностей старший должностных лиц и
процедур на употреблять случай имени чрезвычайных ситуаций;
обязательном внедрение в случае чрезвычайных копирование ситуаций следует процедур,
обеспечивающих компьютерное возможность восстановления приобретенное рабочего связанных процесса в течение
обязательном требуемого времени;
особое документации внимание требуемого следует уделять общим оценке зависимости случае работы нового от
внешних факторов и необходимо существующих контрактов;
документирование которое согласованных чтобы процедур и процессов употреблять;
соответствующее обучение наряду сотрудников касается действиям при
возникновении данной чрезвычайных ситуаций, включая должны кризисное размещать управление.
Все сотрудники администрации Нижнеилимского муниципального
района несут ответственность за нарушение требований настоящей Политики
96
информационной безопасности согласно действующему законодательству в
области защиты информации.
Все без исключения положения данного документа имеют одинаково
равную силу и должны неукоснительно соблюдаться.
Политика информационной безопасности должна в обязательном
порядке периодически пересматриваться.
Регулярно должна проводиться оценка текущего состояния имеющихся у
сотрудников информационных ресурсов. В результате этой оценки в
соответствующие документы по безопасности должны вноситься необходимые
изменения.
Если возникли непредвиденные обстоятельства, требующие срочного
пересмотра Политики информационной безопасности, то такой пересмотр может
быть осуществлен до планового пересмотра.
При возникновении серьезных проблем с безопасностью системы (при
успешном взломе системы безопасности) возникшая проблема должна быть
немедленно проанализирована, а организационно-распорядительные документы
по информационной безопасности - пересмотрены в соответствии с
проведенным анализом. При этом нужно рассматривать проблему в целом и
излишне не фокусировать внимание на отдельных деталях.
Копия политики информационной безопасности должна находиться в
доступном для сотрудников администрации Нижнеилимского муниципального
района месте.
Для защиты от внутренних угроз в системе используется политика
разделения прав доступа. Характеристика политики приведена в таблице 2.2.
Таблица 2.2
Разграничение прав пользователей
Группы
пользователей
Модуль «Авторизация»
Модуль
«Регистрация»
Модуль
Модуль
«Ввод»
«Отчеты»
Инженер/Архивариус
Чтение
Полный
Ввод
данных
Полный
Администратор
системы
Полный
Полный
Полный
Полный
97
Защита от внешних угроз осуществляется путем применения следующих
способов: использованием программно-аппаратных комплексов; разработкой и
соблюдение политик безопасности; использованием защищенных каналов связи
при передаче информации; использованием антивирусных средств; физической
защитой помещений с наиболее ценной информацией.
Характеристика используемых средств от внешних угроз
информационной безопасности приведена в таблице 2.3.
Таблица 2.3
Характеристика используемых средств от внешних угроз
информационной безопасности
Способ (метод)
Описание (наименование средства)
Разработка и соблюдение политик
безопасности
- ограничение доступа пользователей к информации;
- анализ и статистика нарушений информационной
безопасности;
- информационный мониторинг;
- распределение ответственности по обеспечению
информационной безопасности;
- определение порядка работы с информацией,
являющейся конфиденциальной.
Защита каналов связи
протокол SSH
Антивирусная защита
Kaspersky Total Space Security
Физическая защита помещений
- система контроля и управления доступом;
- оборудование помещений решетками на окнах;
- разграничение прав доступа в помещения.
2.2. Информационное обеспечение задачи
2.2.1. Информационная модель и её описание
Информационная модель представляет собой схему движения входных,
промежуточных и результативных потоков и функций предметной области.
Кроме того, она объясняет, на основе каких входных документов и какой
нормативно-справочной информации происходит выполнение функций по
обработке данных и формирование конкретных выходных документов.
Информационная модель представлена на рис. 11
98
ИС
Спр Отделы
Спр* Отделы
Спр Роли
Спр* Роли
Спр
Пользовател
и
Спр*
Пользовател
и
Спр
Номенклатур
а
Спр*
Номенклатур
а
Спр Папки
Спр* Папки
Пользователь
Перечень
отделов
Список
сотрудников
Номенклатура
дел
Учет отделов
Учет
пользователей
Составление
номенклатуры
Учет типов
документов
Учет ролей
Администратор
Документ
Регистрация
документа
Создание папки
Т Документ
Т Файл
Т* ФайлТ* Документ
список
сотрудников
список
сотруднико
в
список
документов по
видам
список
документов
по видам
номенклатура
дел
номенклату
ра дел
учетная
карточка
документа
учетная
карточка
документа
список
документов в
архиве
список
документов
в архиве
Пользователь
Спр Типы
документов
Спр* Типы
документов
Администратор
Рисунок 11. Информационная модель системы документооборота
В соответствии с приведенной информационной моделью, работа
системы осуществляется следующим образом.
Администратор системы регистрирует сотрудников, используя и изменяя
содержимое справочника «Пользователи». При необходимости администратор
добавляет данные в справочники Папки, Номенклатура, Типы документов, Роли.
Сотрудник регистрирует документы, используя документ и справочник
«Типы документов», Роли, Номенклатура, Папки и изменяя содержимое таблиц
Документы и Файл.
99
Информационная модель включает в себя три области – область № 1, в
которой происходит заполнение справочников, область № 2, в которой показана,
как осуществляется работа с документами, и область № 3, где указано, каким
образом осуществляется получение выходных документов.
В области № 1 администратором системы на основании входных
документов заполняются следующие справочники:
отделы;
роли пользователей;
пользователи;
виды документов;
номенклатура.
Для заполнения справочников используются соответствующие экранные
формы, а именно:
учет отделов;
учет ролей;
составление номенклатуры;
учет видов;
учет пользователей.
Данные сведения сохраняются в таблицах с первичными данными,
наименования которых совпадают с наименованиями справочников.
В области № 2 используются экранная форма регистрация папки и
документа. При этом используются данные всех системы справочников,
указанных ранее. В результате информация о документах и папках сохраняется
в справочнике Папки и таблицах Документы и Файл.
В области № 3 администратор и пользователь системы получает на экран
состав справочников, а также список документов и папок. При этом
используются данные из всех справочников системы и таблицы Документы. При
необходимости данные документы можно вывести на печать.
2.2.2. Характеристика нормативно-справочной, входной и
оперативной информации
В качестве входной информации в разработанной системе
документооборота используются следующие документы и сведения: