55
2 ПРОЕКТНАЯ ЧАСТЬ
2.1 Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия
2.1.1 Отечественная и международная нормативно-правовая основа
создания системы обеспечения информационной безопасности и защиты
информации предприятия
Правовые отношения субъектов в рамках информационной сферы могут
регулироваться различными правовыми, нормативными и подзаконными актами.
При этом все они могут иметь разную степень приоритетности и исполнения.
Среди всех документов, которые составляют нормативно-правовую базу
ИБ можно выделить документы, задача которых сформировать правовое поле для
отношений субъектов, а также документы, которые позволяют установить
комплекс норм, правил и требований к каждому элементу ИС.
Все документы, передаваемые на правовое обеспечение, могут
использоваться при выборе статуса, прав и основных обязанностей, а также
границ ответственности субъекта при обеспечении ИБ.
Документы, направляемые на правовое обеспечение, могут использоваться
для определения уровней реализации информационной безопасности и
составления конкретных технических требований к каждому элементу ИС.
Сама нормативно-правовая база состоит из нескольких основных групп
документов, которые учитываются при обеспечении информацио нно й
безопасности, а именно:
I. Международное правовое обеспечение, составляемое при
использовании международных нормативных актов (конвенции, соглашения или
декларации), к которым присоединилась (ратифицировала или подписала) сама
Российская Федерация, а также все заключенные от ее лица международные
договоры (пакты).
II. Международное нормативно-техническое обеспечение,
составленное при помощи международных стандартов, рекомендаций и
регламентов в сфере информационных технологий и в сфере информацио нно й
безопасности.
56
III. Национальное правовое обеспечение, которое составляют
нормативные акты Российской Федерации (Конституция РФ, Федеральные
законы, Указы Президента РФ), подзаконные акты (Постановления и
Распоряжения Правительства РФ, нормативные акты уполномоченных
федеральных органов государственной власти), а также нормативные и
подзаконные акты субъектов Российской Федерации.
IV. Национальное нормативно-техническое обеспечение, которое
составляют действующие в Российской Федерации технические регламенты,
стандарты (государственные, отраслевые), руководящие документы, а также
подзаконные акты уполномоченных федеральных органов государственной
власти в основном нормативно-технического характера.
Документы I группы (международное правовое обеспечение) имеют
преимущественное право при обеспечении информационной безопасности в сетях
связи третьего поколения, если иного не предусмотрено законодательством
Российской Федерации. В эту группу входят:
a. Всеобщая декларация прав человека, утвержденная и
провозглашенная Генеральной Ассамблеей ООН (1948 г.);
b. Европейская Конвенция о защите прав человека и основных
свобод (1996 г.);
c. Пакт о гражданских и политических правах (1976 г.);
d. Европейская Конвенция от 28.01.1981 г. об охране личности в
отношении автоматизированной обработки персональных данных;
e. Директива Европейского Парламента и Совета Европейского
Союза 95/46/ЕС об обработке персональных данных;
f. Директива Европейского Парламента и Совета Европейского
Союза 97/66/ЕС об обработке персональных данных;
и ряд других международных договоренностей, признаваемых Российской
Федерацией.
В этих документах затрагивается ряд важных и характерных, также, для
российского национального законодательства вопросов, таких, как:
общие цели безопасности;
требования к системе безопасности;
57
требования, связанные с управлением доступом;
требования управления безопасностью.
идентификация ситуации и вовлеченных сторон;
оценка угроз и рисков, связанных с каждой угрозой,
определение механизмов обнаружения и противодействия
потенциальным угрозам и восстановления нормального функционирования
информационной системы;
механизмы аутентификации: с симметричными ключом, с
асимметричным ключом, с "нулевым знанием";
механизмы анонимности: временные идентификаторы с
симметричным ключом; секретность подлинности с использованием
асимметричного ключа; анонимный доступ;
механизмы конфиденциальности: блочное шифрование, потоковое
шифрование;
некриптографические механизмы безопасности: верификация
пользователя, регистрация пользователя, подсчет вызовов;
механизмы обеспечения целостности: шифрование с добавлением
избыточности, симметричный ключ, асимметричный ключ;
механизмы неотказуемости: цифровая подпись;
механизмы управления безопасностью: распределение ключей,
управление версиями;
и многие другие.
Национальное правовое обеспечение составляют конституционные и
федеральные законы Российской Федерации, указы Президента Российской
Федерации, Постановления и Распоряжения Правительства РФ, распоряжения и
приказы федеральных министерств (Мининформсвязи России, Минпромэнерго
России), служб (ФСТЭК России, ФСБ России, Россвязьнадзор) и агентств
(Росинформтехнологии, Россвязь) по вопросам обеспечения безопасности
информации, региональные нормативные акты субъектов Российской федерации
в области формирования, использования и защиты информационных ресурсов.
Документы этой группы носят обязательный характер для всех участников
правоотношений на территории Российской Федерации, независимо от их
58
национальной принадлежности и имеют наивысший приоритет при определении
требований по обеспечению безопасности в них. Исключение составляют
нормативные акты субъектов РФ, которые носят локальный характер и действуют
в пределах границ субъекта Российской Федерации. Это наиболее
многочисленная группа документов, в которую входят:
a. Конституция Российской Федерации.
b. Гражданский Кодекс Российской Федерации
c. Уголовный Кодекс Российской Федерации
d. Закон РФ «О государственной тайне», № 5485-1, 1993 г.
e. Федеральный закон «Об информации, информатизации и защите
информации», № 24-ФЗ, 1995 г.
f. Федеральный закон «Об участии в международном
информационном обмене», № 85-ФЗ, 1995 г.
g. Федеральный закон «О коммерческой тайне», № 98-ФЗ, 2004 г.
h. Указ Президента РФ «Об основах государственной политики в
сфере информатизации», № 170, 1994 г.
i. Указ Президента РФ «О мерах по соблюдению законности в
области разработки, производства, реализации и эксплуатации шифровальных
средств, а также предоставления услуг в области шифрования информации», №
334, 1995 г.
j. Указ Президента РФ «Об утверждении перечня сведений
конфиденциального характера», № 188, 1997 г.
k. Указ Президента РФ «Об утверждении концепции национально й
безопасности РФ», № 1300, 1997 г.
l. Доктрина информационной безопасности Российской Федерации,
утверждена Президентом РФ № Пр-1835, 2000 г.
а также законы субъектов Российской Федерации и постановления
(распоряжения) их руководителей (глав) по тем или иным вопросам в области
обеспечения безопасности информации. В настоящее время нет единой структуры
региональных актов, законодательные собрания субъектов Российской федерации
находятся на разных уровнях понимания проблемы, поэтому такие акты
разнородны и с трудом поддаются обобщению и анализу.
59
Национальное нормативно-техническое обеспечение составляют
Технические регламенты, разработанные в соответствии с Федеральным законом
«О техническом регулировании», действующие государственные
(Ростехрегулирование), в том числе и разработанных на основе международ ных
стандартов, ведомственные стандарты, руководящие документы и технические
нормы уполномоченных федеральных органов государственной власти (ФСТЭК
России, ФСБ России, Россвязьнадзор, Ростехрегулирование), направленные на
техническую поддержку решения проблемы безопасности информации.
Документы этой группы, как правило носят обязательный характер при
организации защиты информации, составляющей государственную тайну и
рекомендательный характер при организации защиты других видов информации.
К этой группе можно отнести:
a. ГОСТ.34.201-89. ИТ. Комплекс стандартов на АС. Виды,
комплектность и обозначение документов при создании АС.
b. ГОСТ 34.ХХХ. ИТ. Комплекс стандартов на АС.
c. ГОСТ 29339-92. ИТ. Защита информации от утечки за счет
ПЭМИН при ее обработке СВТ. Общие технические требования.
d. ГОСТ Р 50752-95. ИТ. Защита информации от утечки за счет
ПЭМИН при ее обработке СВТ. Методы испытаний.
e. ГОСТ Р 50739-95. СВТ. Защита от несанкционированного
доступа к информации.
f. ГОСТ Р 50922-96. ЗИ. Основные термины и определения.
g. ГОСТ Р 51188-98. ЗИ. Испытания программных средств на
наличие компьютерных вирусов. Типовое руководство.
h. ГОСТ Р 51275-99. ЗИ. Объект информатизации. Факторы,
воздействующие на информацию. Общие положения.
i. ГОСТ Р ИСО 7498-99. ИТ. Взаимосвязь открытых систем. Базовая
эталонная модель
j. ГОСТ Р ИСО/МЭК 15408-2002. Методы и средства обеспечения
безопасности. Критерии оценки безопасности информационных технологий.
k. ГОСТ Р 51583-00. ЗИ. Порядок создания автоматизированных
систем в защищенном исполнении. Общие положения.
60
l. ГОСТ Р 51624-00. ЗИ. Автоматизированные системы в
защищенном исполнении. Общие требования.
m. РД. Гостехкомиссия России. «АС. Защита от НСД к информации.
Классификация АС и требования по ЗИ», Москва, 1998 г.
n. РД. Гостехкомиссия России. «Концепция защиты СВТ и АС от
НСД к информации», Москва, 1998 г.
o. РД. Гостехкомиссия России. «СВТ. Защита от НСД к
информации. Показатели защищенности от НСД к информации», Москва, 1998 г.
p. РД. Гостехкомиссия России. «СВТ. МЭ. Защита от НСД к
информации. Показатели защищенности от НСД к информации», 1998 г.
q. РД. Гостехкомиссия России. «Защита от НСД к информации.
Часть 1. Программное обеспечение СЗИ. Классификация по уровню контроля
отсутствия недекларированных возможностей», Москва, 1999 г.
r. Специальные требования и рекомендации по технической защите
конфиденциальной информации (СТР-К), Гостехкомиссия России.
s. Комплект руководящих документов Гостехкомиссии РФ по
разработке и регистрации профилей защиты;
t. Приказ ФСБ РФ от 09.02.2005 г. №66 "Положение о разработке,
производстве, реализации и эксплуатации шифровальных (криптографических)
средств защиты информации" (ПКЗ-2005);
u. Приказ ФАПСИ от 13.06.2001 №152 "Инструкция об организации
и обеспечении безопасности хранения, обработки и передачи по каналам связи с
использованием средств криптографической защиты информации с
ограниченным доступом, не содержащей сведений, составляющих
государственную тайну"
и ряд других нормативных документов.
Одной из основных целей обеспечения информационной безопасности
ЕДДС является необходимость предотвращения или снижение уровня ущерба,
интересы которых затрагиваются при проведении атак на объекты защиты,
материального, морального и иного случайного или преднамеренного ущерба из-
за нарушения конфиденциальности, целостности, достоверности,
подконтрольности и доступности защищаемой информации.
61
К объектам защиты относятся информационные ресурсы, обрабатываемые
в рамках инфраструктуры сети, а также информационные ресурсы самой
инфраструктуры сети, влияющие на эффективность обеспечения
информационной безопасности.
Основными задачами обеспечения информационной безопасности в ЕДДС
являются:
формирование единой политики в области обеспечения
информационной безопасности информационной системы при ее создании,
развитии и эксплуатации;
выявление и прогнозирование внутренних и внешних угроз
информационной безопасности, разработка и осуществление комплекса
адекватных и экономически обоснованных мер по их предупреждению и
нейтрализации.
Основными направлениями обеспечения информационной безопасности в
ЕДДС являются:
исключение или существенное затруднение несанкционированного
доступа к объектам сети, к обрабатываемой или хранящейся в технических
средствах информации;
предотвращение перехвата информации, передаваемой по каналам
связи с помощью технических средств;
предотвращение утечки информации по техническим каналам,
возникающей при эксплуатации технических средств, ее обработки, хранении и
передачи;
предотвращение бесконтрольного развития эпидемий
самораспространяющегося вредоносного кода (мобильных или компьютерных
червей);
ограничение и контроль выхода конфиденциальной информации за
пределы сети;
предотвращение специальных программно-технических
воздействий, вызывающих разрушение, уничтожение, искажение информации
или сбои в работе информационной системы.
62
Система защиты информации должна строиться в соответствии с
результатами анализа угроз, обусловленных наличием потенциального
нарушителя, и уязвимостей объектов защиты, на которые эти угрозы
распространяются.
Угрозами информационной безопасности являются нарушения
конфиденциальности, целостности, достоверности, подконтрольности и
доступности информационных ресурсов, вследствие воздействия нарушителя на
информационную сферу сети, включающую в себя:
информационные ресурсы (передаваемая по сети информация
пользователей, управляющая информация, базы данных и т.д.);
информационную инфраструктуру (программное обеспечение,
интерфейсы, протоколы управления);
информационные технологии, технические средства и архитектуру
построения, реализующие информационные процессы.
2.1.2 Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации
предприятия
Организационно-административной основой информацио нной
безопасности предприятия является политика безопасности.
Основными целями политики безопасности можно выделить:
• Обеспечение конфиденциальности критичных информацио нных
ресурсов;
• Реализация постоянного доступа к информационным ресурсам
Учреждения для увеличения эффективности бизнес деятельности;
• Сохранение целостности деловых данных с целью обеспечения
возможности ЕДДС оказывать услуги высокого качества и принимать
эффективные управленческие решения;
• Увеличение понимания пользователей в рамках рисков, которые
напрямую связаны с информационными ресурсами ЕДДС;
63
• Выявление меры ответственности и обязанностей сотрудников в
процессе обеспечения информационной безопасности в ЕДДС.
Руководители подразделений ЕДДС обязаны поддерживать регулярный
контроль за соблюдением всех пунктов приведенной политики. А также должна
быть реализована периодическая проверка следования всем предписаниям по
информационной безопасности с подготовкой итогового отчета по результатам
указанной проверки руководству.
Все пункты политики относятся ко всем данным и ресурсам обработки
информации ЕДДС. Соблюдение политики строго обязательно для каждого
сотрудника (как постоянного, так и временного). В пунктах договора с третьими
лицами, также имеющими доступ к информации ЕДДС, должны быть прописаны
обязательства третьего лица по соблюдению всех приведенных требований
политики безопасности.
ЕДДС относится по праву собственности (в т. ч. и по праву
интеллектуальной собственности) абсолютно вся деловая информация и
вычислительные ресурсы, которые были куплены (получены) и введены в
эксплуатацию для реализации деятельности в рамках действующего
законодательства. Указанное право собственности относится также к на
голосовой и факсимильной связи, осуществляемой с применением оборудования
ЕДДС, созданное самостоятельное и купленное ПО, все письма ящиков
электронной почты, электронные и бумажные документы всех действующих
подразделений и персонала ЕДДС.
В отношении совокупного количества информационных активов ЕДДС,
активов, которые находятся под контролем ЕДДС, а также активов, применяемых
для получения доступа к инфраструктуре ЕДДС, необходимо определить
ответственность конкретного сотрудника ЕДДС.
Данные о смене владельцев активов, их перераспределении, изменениях в
параметрах и сфере использования за пределами ЕДДС должна передаваться
руководителю отдела информационных технологий ЕДДС.
Все работы в рамках офиса ЕДДС реализуются в рамках официальных
должностных обязанностей только на компьютерах, которые можно
использоваться в ЕДДС.
64
Руководители подразделений обязаны периодически корректировать права
доступа своих подчиненных и других пользователей к различным
информационным ресурсам.
Для реализации санкционированного доступа к информационному ресурсу,
каждый вход в систему должен быть реализован при помощи уникального имени
пользователя и пароля.
Пользователи должны следовать рекомендациям по защите своего пароля
еще на этапе его создания и последующего применения. Нельзя сообщать свой
пароль другим пользователям или давать в использование другим свою учетную
запись, это касается также членов семей и близких, в случае, если сотрудник
выполняет работу дома.
Во время своей работы сотрудники должны всегда использовать режим
"Экранной заставки" с запросом пароля. Рекомендуется использовать
максимально большее доступное время "простоя" компьютера до появления
экранной, составляющее 15 минут.
Каждый сотрудник обязан незамедлительно сообщить руководителю ИТ
департамента и руководителю департамента ЗИ о каждом случае предоставления
доступа третьим лицам к ресурсам корпоративной сети.
Доступ третьих лиц внутрь ИС ЕДДС характеризуется и обуславливается
исключительной производственной необходимостью. Поэтому порядок доступа к
информационным ресурсам ЕДДС обязан быть четко спланирован, должны быть
контролируемый и защищенный.
Пользователи имеют право удаленного доступа к информацио нным
ресурсам ЕДДС с в рамках их взаимоотношения с компанией.
Сотрудникам, которые работают на ноутбуках и других портативных
устройствах ЕДДС, предоставляется уникальный удаленный доступ к сетевым
ресурсам ЕДДС в рамках прав и полномочий в корпоративной ИС.
Сотрудникам, которые находятся за пределами офиса ЕДДС и работают на
ПК, не принадлежащих ЕДДС, не разрешается копировать данные на компьютер,
с которого реализуется удаленный доступ.
Сотрудники и третьи лица, которым доступен удаленный доступ к
информационным ресурсам ЕДДС, обязаны соблюдать требование, исключающее