Андрей Обласов - Организация и технология защиты конфиденциальной информации в информационных системах. Методическое пособие для студентов

объект информатизации – совокупность информационных ресурсов, средств и систем обработки информации, используемых в соответствии с заданной информационной технологией, средств обеспечения объекта информатизации, помещений или объектов (зданий, сооружений, технических средств), в которых они установлены, или помещения и объекты, предназначенные для конфиденциальных переговоров;

система защиты информации – совокупность органов и/или исполнителей, используемой ими техники защиты информации, а также объектов защиты, организованная и функционирующая по правилам, установленным соответствующими правовыми, организационно-распорядительными и нормативными документами в области защиты информации;

средства связи – технические средства, используемые для формирования, обработки, передачи или приёма сообщений электросвязи либо почтовых отправлений;

техническая защита информации – защита (не криптографическими методами) информации, содержащей сведения, составляющие государственную или коммерческую тайну, от её утечки по техническим каналам, от несанкционированного доступа к ней, от специальных воздействий на информацию в целях её уничтожения, искажения и блокирования, и противодействие техническим средствам разведки;

угроза безопасности информации – совокупность условий и факторов, создающих потенциальную или реально существующую опасность, связанную с утечкой информации и/или несанкционированным и/или непреднамеренным воздействиям на неё;

утечка информации – неконтролируемое распространение защищаемой информации в результате её разглашения, несанкционированного доступа к информации и получения защищаемой информации разведками;

шифрование – способ защиты информации, заключающийся в криптографическом преобразовании информации по специальному алгоритму для получения шифротекста и позволяющий предотвратить ее несанкционированное использование;

цифровая подпись – дополнительные данные или криптографическое преобразование какого-либо блока данных, позволяющие получателю блока данных убедиться в подлинности отправителя и целостности блока данных и защитить его от искажения с помощью, например, средств получателя.

Формы нарушения информационной безопасности:

а) пассивные

– получение информации нарушителем для использования в своих целях;

– анализ характеристик информации без доступа к самой информации;

б) активные

– изменение информации;

– внесение ложной информации

– нарушение (разрушение) информации;

– нарушение работоспособности системы обработки информации.

Принципы информационной безопасности:

– системный подход, предусматривающий комплексное решение проблемы информационной безопасности;

– ответственность всех сотрудников ХХХХ;

– непрерывность мер информационной безопасности;

– документальность любого действия в информационной системе для установления в последующем причины, авторства и самого факта совершения действия;

– компетентность в осуществлении мер информационной безопасности.

2.1. Состав системы

Общее руководство системой информационной безопасности и принятие всех решений по вопросам ее функционирования осуществляет Директор по безопасности ХХХХ.

Исполнительные органы системы:

– разрабатывает руководящие документы;

– разрабатывает методические документы;

– подготавливает для Члена Правления – Директора по безопасности и защите информации и принятия Правлением ХХХХ решения по вопросам информационной безопасности;

– Управление по защите информации Дирекции по безопасности;

– структурные подразделения ХХХХ;

– администратор локальной вычислительной сети ХХХХ.

Организационные средства:

– настоящая Инструкция;

– отдельные руководящие документы на время их действия;

– указания Правления ХХХХ;

– инструкции по эксплуатации средств информатизации в части информационной безопасности;

– протоколы информационных обследований;

– обязательства о неразглашении сведений, составляющих коммерческую тайну – ХХХХ;

– журналы учета, установленные настоящей Инструкцией.

Технические средства:

– средства защиты от несанкционированного доступа к персональным компьютерам, программному обеспечению, сетям и информации;

– криптографические средства защиты компьютерной информации;

– средства защиты некомпьютерной информации.

2.2. Функции исполнительных органов

2.2.1. Управление по защите информации

Управление по защите информации является основным методическим, координирующим и контрольным органом по вопросам информационной безопасности и исполняет эти функции в соответствии с Положением о Дирекции по безопасности и защите информации. В рамках этих функций Управление по защите информации:

– разрабатывает и проводит в жизнь концепцию обеспечения информационной безопасности ХХХХ;

– разрабатывает руководящие документы;

– разрабатывает методические документы;

– подготавливает для Члена Правления – Директора по безопасности и защите информации и принятия Правлением ХХХХ решения по вопросам информационной безопасности;

– организует и осуществляет взаимодействие с другими подразделениями ХХХХ, его дочерними зависимыми обществами (далее по тексту – ДЗО) и филиалов;

– взаимодействует с государственными органами и сторонними организациями;

– организует и совместно с подразделениями ХХХХ проводит первичное и контрольные информационные обследования;

– совместно с Управлением информационных систем и технологий и заинтересованными подразделениями разрабатывает требования и решения по защите информации для вновь принимаемых в эксплуатацию систем и средств информатизации;

– заказывает и закупает специальные средства защиты информации, контролирует и сопровождает их эксплуатацию после внедрения;

– контролирует эффективность принимаемых мер по обеспечению информационной безопасности, проводит общую оценку ее состояния;

– проводит плановые и внезапные проверки состояния информационной безопасности в подразделениях;

– консультирует и обучает сотрудников по вопросам информационной безопасности.

2.2.2. Руководители подразделений

ХХХХ Руководители структурных подразделений ХХХХ несут персональную ответственность за организацию системы информационной безопасности в подчиненном подразделении и решают следующие задачи: