Организационные и технические алгоритмы формирования уровня защиты приложений информационной системы предприятия

Размещено на http://www.allbest.ru

В последние годы частота несанкционированных воздействий на информационные системы каждый день возрастает, что неизбежно приводит к большим экономическим и материальным потерям. Численность удачных проникновений в ИС, в сравнении с предыдущими годами, неуклонно возрастает в несколько раз. При этом установлен интересный факт, говорящий о том, что большинство всех нарушений совершают сами работники компаний, т.е. внутренние пользователи ИС.

Организационная защита информации является неуклонимым началом, так называемым «ядром» в целой системе защиты конфиденциальной информации предприятия. От компетентности принимаемых решений руководством предприятия организационных задач зависит качество работоспособности системы защиты информации в целом. Роль и место организационной защиты информации в общей системе мероприятий, направленных на защиту конфиденциальной информации предприятия, определяются исключительной значимостью принятия руководством своевременных и верных управленческих решений с учетом имеющихся в его наличие сил, средств, методов и способов защиты информации и на базе функционирующего нормативно-методического аппарата.

Организационная защита информации призвана с помощью выбора определенных сил и средств реализовать на практике запланированные руководством алгоритмы по защите информации. Такие меры принимаются в зависимости от настоящей ситуации на предприятии, связанной с наличием вероятных опасностей, воздействующих на защищаемую информацию и ведущих к ее порче или утрате.

Основными направлениями деятельности предприятия в решении задач по защите информации осуществляемой руководителем предприятия в этой сфере, считаются: планирование мероприятий по защите информации и личный контроль за их исполнением, контроль доступа к конфиденциальной информации своих сотрудников и сотрудников других предприятий, разделение заданий между должностными лицами и структурными подразделениями, аналитика рабочих процессов и т.д. Основная задача принимаемых руководством предприятия и должностными лицами организационных мероприятий -- исключение любой возможности утечки информации и уменьшение или полное исключение возможности нанесения предприятию вреда, к которому такая угроза может привести.

Организационная защита информации -- составная часть системы защиты информации, определяющая и вырабатывающая порядок и критерии работоспособности объектов защиты и деятельности руководителей с целью обеспечения защиты информации.

Организационная защита информации на предприятии -- регламентация производственной деятельности и взаимоотношений сотрудников на нормативно-правовой основе, исключающая или ослабляющая нанесение ущерба данному предприятию.

Организационная защита информации:

- Организация работы с персоналом;

- Организация внутриобъектового и пропускного режимов и охраны;

- Организация работы с носителями важных сведений;

- Комплексное планирование мероприятий по защите информации;

- Организация аналитической работы и контроля.

Главные принципы организационной защиты информации:

- принцип комплексного подхода -- эффективное использование сил, средств, способов и методов защиты информации для решения поставленных задач в зависимости от текущей ситуации и наличия факторов, ослабляющих или усиливающих опасность защищаемой информации;

- принцип оперативности принятия управленческих решений (основательно влияет на качество работы и гибкость системы защиты информации и отражает нацеленность руководства и персонала предприятия на решение задач защиты информации);

- принцип индивидуальной ответственности -- более эффективное разделение задач по защите информации между руководством и персоналом предприятия и определение ответственности за полноту и качество их исполнения. защита информация конфиденциальный предприятие

Среди основных условий организационной защиты информации можно выделить такие:

- непрерывность всестороннего анализа функционирования системы защиты информации в целях принятия своевременных мер по повышению ее эффективности;

- обязательное соблюдение руководством и персоналом предприятия установленных норм и правил защиты конфиденциальной информации.

При соблюдении перечисленных условий гарантируется наиболее полное и качественное решение задач по защите конфиденциальной информации на предприятии.

Организационные способы защиты.

Эти меры выполняются без применения специальной техники и предполагают следующее:

- установление контролируемой зоны вокруг объекта;

- введение частотных, энергетических, временных и пространственных ограничений в режимы работы технических средств приема, обработки, хранения и передачи информации;

- временное отключение на время проведения закрытых совещаний вспомогательных технических средств, обладающих функцией электроакустических преобразователей (телефон, факс и т.п.), от соединительных линий;

- привлечение к строительству и реконструкции защищенных помещений, а также к работам по защите информации исключительно организаций, лицензированных соответствующими службами на деятельность в данной сфере;

- категорирование и аттестация объектов информатизации и выделенных помещений на соответствие требованиям обеспечения защиты информации при проведении работ со сведениями различной степени секретности;

- режимное ограничение доступа на объекты и в выделенные помещения.

Техническая защита информации - защита информации, заключающаяся в обеспечении некриптографическими способами безопасности информации, подлежащей защите в соответствии с действующим законодательством, с применением технических, программных и программно-технических средств.

Важно обратить внимание, что техническая защита - это не только защита от утечки информации по техническим каналам утечки, но и защита от НСД, от математического воздействия, от вредоносных программ и т.п.

Объектами технической защиты информации могут быть:

- объект информатизации;

- информационная система;

- ресурсы информационной системы;

- информационные технологии;

- программные средства;

- сети связи.

Техническое мероприятие - это мероприятие по защите информации, предусматривающее применение специальных технических средств, а также реализацию технических решений, направленные на закрытие каналов утечки информации путем ослабления уровня информационных сигналов или уменьшением отношения сигнал/шум в местах возможного размещения портативных средств разведки или их датчиков до величин, обеспечивающих невозможность выделения информационного сигнала средством разведки, и проводятся с применением активных и пассивных средств.

К техническим мероприятиям с использованием активных средств относятся:

1. Пространственное зашумление:

а) пространственное электромагнитное зашумление с использованием генераторов шума или создание прицельных помех;

б) создание акустических и вибрационных помех с использованием генераторов акустического шума;

в) подавление диктофонов в режиме записи с использованием подавителей диктофонов.

2. Линейное зашумление:

а) линейное зашумление линий электропитания;

б) линейное зашумление посторонних проводников и соединительных линий ВТСС, имеющих выход за пределы контролируемой зоны .

3. Уничтожение закладных устройств:

а) уничтожение закладных устройств, подключенных к линии, с использованием специальных генераторов импульсов (выжигателей "жучков").

Процесс обеспечения защиты информации можно разделить на несколько периодов.

Первый период - анализ объекта защиты. Заключается в определении, что нужно защищать.

Анализ проводится по следующим направлениям:

- определяется информация, которая нуждается в защите в первую очередь;

- выделяются наиболее важные элементы защищаемой информации;

- определяется срок жизни критической информации (время, необходимое конкуренту для реализации добытой информации);

- определяются ключевые элементы информации (индикаторы), отражающие характер охраняемых сведений;

- классифицируются индикаторы по функциональным зонам предприятия (производственно-технологические процессы, система материально-технического обеспечения производства, подразделения, управления и т.д.).

Второй период - определение угроз:

- определяется - кого может заинтересовать защищаемая информация;

- оцениваются методы, используемые конкурентами для получения этой информации;

- оцениваются возможные каналы утечки информации;

- разрабатывается система мероприятий по пресечению действий конкурента.

Третий период - анализируется эффективность принятых решений и постоянно совершенствуются меры обеспечения безопасности (физическая безопасность документации, надежность персонала, безопасность используемых для передачи информации линий связи и т. д.).

Четвертый период - определение актуальных способов защиты. На основании проведенных первых трех этапов аналитических исследований определяются необходимые дополнительные меры и средства по обеспечению безопасности предприятия.

Пятый период - руководителями организации рассматриваются представленные предложения по всем необходимым мерам безопасности, и производится расчет их стоимости и эффективности.

Размещено на Allbest.ru