Информационная безопасность

Развитие современных информационных технологий значительно опережает темпы разработки рекомендательной и нормативно-правовой базы руководящих документов, действующих на территории России. Поэтому решение вопроса об разработке эффективной политики информационной безопасности на современном предприятии обязательно связано с проблемой выбора критериев и показателей защищенности, а также эффективности корпоративной системы защиты информации. Как следствие, в дополнение к требованиям и рекомендациям стандартов, Конституции, законам и иным руководящим документам приходится использовать ряд международных рекомендаций. В том числе адаптировать к отечественным условиям и применять на практике методики международных стандартов, таких, как ISO 17799, ISO 9001, ISO 15408, BSI, COBIT, ITIL и другие, а также использовать методики управления информационными рисками в совокупности с оценками экономической эффективности инвестиций в обеспечение защиты информации предприятия. Современные методики управления рисками позволяют решить ряд задач перспективного стратегического развития современного предприятия.

Решение определенных задач открывает новые широкие возможности перед должностными лицами разного уровня. Руководителям верхнего звена это поможет объективно и независимо оценить текущей уровень информационной безопасности компании, обеспечить формирование единой стратегии безопасности, рассчитать, согласовать и обосновать необходимые затраты на защиту компании. На основе полученной оценки начальники отделов и служб смогут выработать и обосновать необходимые организационные меры (состав и структуру службы информационной безопасности, положение о коммерческой тайне, пакет должностных инструкций и инструкции действия в нештатных ситуациях). Менеджеры среднего звена смогут обоснованно выбрать средства защиты информации, а также адаптировать и использовать в своей работе количественные показатели оценки информационной безопасности, методики оценки и управления безопасностью с привязкой к экономической эффективности компании. информационный безопасность защита

Защита информации - это комплекс мероприятий, направленных на обеспечение информационной безопасности.

Информационная безопасность - задача комплексная, направленная на обеспечение безопасности, реализуемая внедрением системы безопасности. Проблема защиты информации является многоплановой и комплексной и охватывает ряд важных задач. Проблемы информационной безопасности постоянно усугубляются процессами проникновения во все сферы общества технических средств обработки и передачи данных и, прежде всего, вычислительных систем.

На крупных предприятиях существуют специальные службы с немалым бюджетом, в задачи которых входит обеспечение ИБ, выявление, локализация и устранение угроз ИБ предприятия. Они используют специальное дорогостоящее программное и аппаратное обеспечение, настолько сложное в обслуживании, что требуется особая подготовка персонала для работы с ним. Задачи руководства информационной безопасности в таких организациях часто сводятся к выпуску инструкций с ключевыми словами: "углубить", "расширить", "повысить", "обеспечить" и т.д. Вся работа по обеспечению ИБ выполняется незаметно для руководства сотрудниками соответствующих служб.

На сегодняшний день сформулировано три базовых принципа, которые должна обеспечивать информационная безопасность:

· целостность данных - защита от сбоев, ведущих к потере информации, а также зашита от неавторизованного создания или уничтожения данных;

· конфиденциальность информации;

· доступность информации для всех авторизованных пользователей.

Политикой информационной безопасности (ПИБ) считается - совокупность руководящих принципов, правил, процедур и практических приёмов в области безопасности, которые направлены на защиту ценной информации.

Назначение политика информационной безопасности:

· формулирование целей и задач информационной безопасности организации с точки зрения бизнеса (позволяет определить это для руководства и продемонстрировать поддержку руководством значимости ИБ),

· определение правил организации работы в компании для минимизации рисков информационной безопасности и повышения эффективности бизнеса.

Требования к политике информационной безопасности:

· Политика должна быть утверждена высшим административным органом компании для демонстрации поддержки руководства.

· Политика ИБ должна быть написана понятным языком для конечных пользователей и руководства компании и быть по возможности краткой.

· Политика ИБ должна определять цели ИБ, способы их достижения и ответственность. Технические подробности реализации способов содержатся в инструкциях и регламентах, на которые даются ссылки в Политике.

· Минимизация влияния политики безопасности на производственный процесс.

· Непрерывность обучения сотрудников и руководства организации в вопросах обеспечения ИБ

· Непрерывный контроль выполнения правил политики безопасности на этапе внедрения и в дальнейшем.

· Постоянное совершенствование политик безопасности.

· Согласованность во взглядах и создание корпоративной культуры безопасности.

Предлагается следующая структура ПИБ:

? Общие положения (ссылки на законы, нормативные акты и др. руководящие документы, которым подчиняется деятельность организации),

? Подтверждение значимости ИБ для организации и формулирование целей защиты информации с точки зрения бизнеса организации (выполнение требований законодательства и др. норм, удовлетворение ожиданий клиентов и партнеров, повышение конкурентоспособности, финансовой стабильности, имиджа организации).

? Описание стратегии организации по обеспечению информационной безопасности (например, выполнение требований законодательства, оценка и управление рисками).

? Область применения ПИБ

? Описание объекта защиты (защищаемые ресурсы - информация различных категорий, информационная инфраструктура и т.д.)

? Цели и задачи обеспечения информационной безопасности

? Угрозы и модель нарушителя, которые принимаются во внимание для данной организации (по источникам возникновения, по способам реализации, по направленности)

Краткое разъяснение принципов политики ИБ:

· подход к построению СУИБ,

· требования к подготовке и осведомленности персонала в области ИБ,

· последствия и ответственность за нарушение ПИБ,

· подход к управлению рисками,

· определение орг. структуры, общих и специальных обязанностей по управлению ИБ, включая отчеты об инцидентах,

· ссылки на документацию, которая может поддержать политику, например, частные политики и процедуры в области защиты для конкретных информационных систем или правила защиты, которым должны следовать пользователи.

· механизмы контроля за выполнением положений ПИБ,

· порядок пересмотра и принятия изменений в политике.

После утверждения политики ИБ необходимо:

· Довести положения политики ИБ, подполитик, процедур и инструкций под роспись до сведения рядовых сотрудников при их первоначальном и последующем периодическом обучении и информировании;

· Разработать процедуры, инструкции и т.д., уточняющие и дополняющие политику (для специалистов отдела ИБ);

· Периодически анализировать политику для поддержки ее адекватности и результативности;

· Проводить периодический аудит на выполнение сотрудниками положений политики с предоставлением отчета Руководству организации.

· Кроме того, в должностные инструкции ответственного персонала, положения о подразделениях, контрактные обязательства организации должны быть включены обязанности по обеспечению информационной безопасности.

Таким образом, в результате не только создается документальная база СУИБ, но и происходит реальное распределение обязанностей по обеспечению безопасности информации среди персонала организации.

Жизненный цикл политики безопасности:

· Планирование

· Первоначальный аудит безопасности

· проведение обследования,

· идентификация угроз безопасности,

· идентификация ресурсов, нуждающихся в защите

· оценка рисков.

В ходе аудита производится анализ текущего состояния информационной безопасности, выявляются существующие уязвимости, наиболее критичные области функционирования и самые чувствительные к угрозам безопасности бизнес-процессы.

Разработка политики безопасности:

· Определяются основные условия, требования и базовая система мер по обеспечению информационной безопасности в организации, позволяющие уменьшить риски до приемлемой величины

· Оформляются в виде согласованных в рамках рабочей группы решений и утверждаются руководством организации.

· Внедрение ПИБ

· Решение технических, организационных и дисциплинарных проблем.

· Проверка

· Аудит и контроль.

· Корректировка

· Периодические пересмотр и корректировка, а также при изменении исходных данных.

Главная цель любой системы информационной безопасности заключается в обеспечении устойчивого функционирования объекта: предотвращении угроз его безопасности, защите законных интересов владельца информации от противоправных посягательств, в том числе уголовно наказуемых деяний в рассматриваемой сфере отношений, предусмотренных Уголовным кодексом, обеспечении нормальной производственной деятельности всех подразделений объекта. Другая задача сводится к повышению качества предоставляемых услуг и гарантий безопасности имущественных прав и интересов клиентов. Для этого необходимо:

· отнести информацию к категории ограниченного доступа (служебной тайне);

· прогнозировать и своевременно выявлять угрозы безопасности информационным ресурсам, причины и условия, способствующие нанесению финансового, материального и морального ущерба, нарушению его нормального функционирования и развития;

· создать условия функционирования с наименьшей вероятностью реализации угроз безопасности информационным ресурсам и нанесения различных видов ущерба;

· создать механизм и условия оперативного реагирования на угрозы информационной безопасности и проявления негативных тенденций в функционировании, эффективное пресечение посягательств на ресурсы на основе правовых, организационных и технических мер и средств обеспечения безопасности;

· создать условия для максимально возможного возмещения и локализации ущерба, наносимого неправомерными действиями физических и юридических лиц, и тем самым ослабить возможное негативное влияние последствий нарушения информационной безопасности.

Заключение