Главная | Обратная связь | Поможем написать вашу работу!
МегаЛекции

Описать основные принципы создания «политики безопасности»

Предложить мероприятия по обеспечению комплексной защиты объекта и информации в вычислительном центре предприятия.

В целях защиты информации, обрабатываемой всеми видами основных технических средств и систем, организуется и проводится комплекс организационно-технических мероприятий.

К таким мероприятиям относятся:

Категорирование основных технических средств и систем.

Проведение специальной проверки основных технических средств иностранного производства с целью выявления возможно внедренных в них электронных устройств перехвата информации (закладок).

Проведение специальных исследований основных технических средств и систем и выдача предписания на эксплуатацию.

Выполнение требований предписаний на эксплуатацию по размещению основных технических средств и систем относительно границ контролируемой зоны.

Выполнение требований предписаний на эксплуатацию по размещению основных технических средств и систем относительно вспомогательных технических средств и систем, имеющих выход за пределы контролируемой зоны.

Выполнение требований предписаний на эксплуатацию по защите системы электропитания основных технических средств и систем.

Выполнение требований предписаний на эксплуатацию по защите системы заземления основных технических средств и систем.

Оформление технических паспортов по вопросам защиты информации на основные технические средства и системы осуществляет главный специалист по информационной безопасности предприятия совместно с подразделением, эксплуатирующим данные средства.

В целях защиты информации и информационных процессов (технологий) в системах информатизации (автоматизированных системах) проводятся мероприятия по их защите от несанкционированного доступа и программно-технических воздействий, в том числе от компьютерных вирусов. Защите подлежат автоматизированные системы, предназначенные для обработки информации, составляющей государственную тайну.

Мероприятия по защите автоматизированных систем, предназначенных для обработки информации, составляющей государственную тайну, от несанкционированного доступа к информации направлены на достижение трех основных свойств защищаемой информации: конфиденциальность, целостность, доступность.

Мероприятия по защите информации при нахождении на объектах предприятия иностранных представителей, порядок их реализации и ответственность должностных лиц за их выполнение определяются отдельной инструкцией о приеме иностранных граждан.

Мероприятия по обеспечению информационной безопасности выполняются на всех этапах жизненного цикла объектов предприятия и являются неотъемлемой частью работ по их созданию и эксплуатации.

На стадии эксплуатации объекта предприятия, системы информатизации и средств защиты информации в ее составе осуществляются:

Администрирование систем информатизации и связи с целью обеспечения информационной безопасности при их эксплуатации, в том числе:

- управление доступом в систему и к ее элементам;

- формирование и распределение реквизитов полномочий пользователей в   соответствии с установленными правилами разграничения доступа;

- формирование и распределение ключевой и парольной информации;

- регистрация и учет действий в системе;

- учет носителей информации;

- обеспечение сигнализации о попытках нарушения защиты;

- поддержание функционирования криптографической подсистемы защиты информации;

- поддержание функционирования технических и программных средств и систем защиты информации в установленных эксплуатационной документацией режимах;

- контроль целостности эксплуатируемого на средствах вычислительной техники программного обеспечения с целью выявления несанкционированных изменений в нем, а также выполнения мероприятий по антивирусной защите носителей информации и сообщений, получаемых по каналам связи;

- инструктаж персонала и пользователей технических средств передачи, обработки и хранения информации по правилам работы со средствами защиты информации;

- участие в проведении служебных расследований фактов нарушения или угрозы нарушения безопасности защищаемой информации.

Организация и контроль эксплуатации средств физической защиты, исключающих несанкционированный доступ к объектам защиты и техническим средствам, их хищение и нарушение работоспособности.

Периодическая проверка помещений на отсутствие возможно внедренных радиоэлектронных средств перехвата информации.

Периодическое обследование выделенных помещений, средств и систем информатизации.

Периодическая проверка автоматизированных рабочих мест на выполнение требований по антивирусной защите.

Периодическая аттестация объектов защиты.

Контроль проведения ремонтных и сервисных работ в выделенных помещениях, а также на технических средствах и их коммуникациях.

 

Описать основные принципы создания «политики безопасности»

Политика информационной безопасности - совокупность документированных управленческих решений, нацеленных на защиту информации и ассоциированных с ней ресурсов.

Политику информационной безопасности можно разделить на три уровня.

К самому высокому уровню следует отнести решения, которые касаются организации в целом и исходят от руководства организации или предприятия. Такой список может включать в себя следующие элементы:

- формирование или пересмотр программы обеспечения информационной безопасности;

- постановка целей, которые должна преследовать организация в области информационной безопасности;

- обеспечение законодательной базы;

- формулировка управленческих решений по вопросам реализации программы информационной безопасности.

Политика верхнего уровня имеет дело с тремя аспектами законопослушности и исполнительской дисциплины:

соблюдение существующих законов.

Контроль действия лиц, ответственных за выработку программы безопасности.

обеспечение подчинения персонала, соответственно ввести систему поощрений и наказаний.

К среднему уровню относятся вопросы, касающиеся отдельных аспектов информационной безопасности, но важные для различных систем, эксплуатируемых организацией. Например, отношение к недостаточно проверенным технологиям, использование домашних или чужих компьютеров, применение пользователями неофициального программного обеспечения и т.д.

Политика обеспечения информационной безопасности на среднем уровне должна освещать следующие темы:

- область применения;

- позиция предприятия;

- роли и обязанности;

- законопослушность;

- точки контакта;

Политика безопасности нижнего уровня можно отнести к конкретным сервисам. В нее входят цели и правила их достижения. Если сравнивать нижний уровень с двумя верхними, то он должен быть гораздо детальнее. Этот уровень очень важен для обеспечения режима информационной безопасности. Решения на этом уровне должны приниматься на управленческом, а не техническом уровне.

Политика нижнего уровня при формулировке целей может исходить из трех соображений: целостность, доступность и конфиденциальность.

Из этих целей должны быть выведены правила безопасности, которые описывают, кто, что и при каких условиях может делать. Чем детальнее правила, чем более формально они изложены, тем проще поддержать их выполнение программно-техническими мерами. Но и слишком жесткие правила будут мешать работе, придется тратить время на то, чтобы их пересмотреть. Руководителю в такой ситуации необходимо найти рациональное решение, компромисс, когда за приемлемую цену будет обеспечен достойный уровень безопасности, а работники не будут сильно перегружены или скованны.

 

 

 

Библиографический список:

1. Барсуков В.А. Найти и обезвредить. Технические средства обнаружения угроз//Мир безопасности. 1997. № 8/48.

2. Домарев В. В. Безопасность информационных технологий. Методология создания систем защиты. СПб.: Диасофт, 2002.

3. Конеев И.Р., Беляев А.В. Информационная безопасность предприятия. СПб.: БХВ-Петербург, 2003.

Поделиться:





Воспользуйтесь поиском по сайту:



©2015 - 2024 megalektsii.ru Все авторские права принадлежат авторам лекционных материалов. Обратная связь с нами...