ОРГАНИЗАЦИОННЫЕ МЕРОПРИЯТИЯ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ИНФОРМАЦИИ
Организационные мероприятия по защите информации в информационных системах заключаются в разработке и реализации административных и организационно-технических мер при подготовке и эксплуатации системы.
Организационные меры, по мнению специалистов, несмотря на постоянное совершенствование технических мер, составляют значительную часть (~50 %) системы обеспечения безопасности информации. Они используются тогда, когда компьютерная система не может непосредственно контролировать использование информации. Кроме того, в некоторых ответственных случаях в целях повышения эффективности защиты полезно иногда технические меры продублировать организационными.
Оргмеры по обеспечению информационной безопасности систем в процессе их функционирования и подготовки охватывают решения и процедуры, принимаемые руководством организации-потребителя системы. Хотя некоторые из них могут определяться внешними факторами, например законами или правительственными постановлениями, большинство проблем решается внутри организации в конкретных условиях.
Составной частью любого плана мероприятий должно быть четкое указание целей, распределение ответственности и перечень организационных мер защиты. Конкретное распределение ответственности и функций по реализации защиты от организации к организации может изменяться, но тщательное планирование и точное распределение ответственности являются необходимыми условиями создания эффективной и жизнеспособной системы защиты.
Организационные меры по обеспечению безопасности информации в информационных системах должны охватывать этапы:
- • проектирования;
- • разработки;
- • изготовления;
- • испытаний;
- • подготовки к эксплуатации;
- • непосредственно эксплуатации системы.
В соответствии с требованиями технического задания в организации-проектировщике наряду с техническими средствами разрабатываются и внедряются организационные мероприятия по обеспечению безопасности информации на этапе создания системы. Под этапом создания понимаются проектирование, разработка, изготовление и испытание системы. При этом следует отличать мероприятия по обеспечению безопасности информации, проводимые организацией-проектировщиком, разработчиком и изготовителем в процессе создания системы и рассчитанные на защиту от утечки информации в данной организации, и мероприятия, закладываемые в проект и разрабатываемую документацию на систему, которые касаются принципов организации защиты в самой системе и из которых вытекают организационные мероприятия, рекомендуемые в эксплуатационной документации организацией-разработчиком, на период ввода и эксплуатации системы. Выполнение этих рекомендаций есть определенная гарантия защиты информации в информационной системе.
К оргмероприятиям по обеспечению безопасности информации в процессе создания системы относятся:
- • введение на необходимых участках проведения работ с режимом секретности;
- • разработка должностных инструкций по обеспечению режима секретности в соответствии с действующими в стране инструкциями и положениями;
- • при необходимости выделение отдельных помещений с охранной сигнализацией и пропускной системой;
- • разграничение задач по исполнителям и выпуску документации;
- • присвоение грифа секретности материалам, документации, аппаратуре и хранение их под охраной в отдельных помещениях с учетом и контролем доступа исполнителей;
- • постоянный контроль за соблюдением исполнителями режима и соответствующих инструкций;
- • установление и распределение ответственных лиц за утечку информации;
- • другие меры, устанавливаемые главным конструктором при создании конкретной системы.
Организационные мероприятия, закладываемые в инструкцию по эксплуатации на систему и рекомендуемые организации-потребителю, должны быть предусмотрены на периоды подготовки и эксплуатации системы.
Указанные мероприятия как метод обеспечения безопасности информации предполагают систему организационных мер, дополняющих и объединяющих перечисленные выше технические меры в единую систему безопасности информации. Поскольку организационные меры являются неотъемлемой частью системы обеспечения безопасности информации в информационных системах с комплексами автоматизации обработки информации, дальнейшее их описание приведено ниже в соответствующих разделах.
Контрольные вопросы
- 1. Приведите основные методы обеспечения безопасности информации?
- 2. Опишите основные методы шифрования информации?
- 3. Проведите классификацию криптографических методов преобразования информации? Каким образом осуществляется выбор метода преобразования?
- 4. Опишите принципы лежащие в основе методов контроля достоверности?
- 5. Раскройте сущность принципа изоляции областей доступа к информации?
- 6. Опишите списковые и мандатные схемы защиты?
- 7. Приведите основные методы обеспечения безопасности информации при аварийных ситуациях?
- 8. Постройте структуру системы организационных мероприятий по обеспечению безопасности информации?
