ИБ

9.принцип регламентации предоставляемых прав, т.е. каждый сотрудник предприятия имеет доступ только к определенной информации, которая ему действительно необходима для выполнения своих функций в процессе работы, причем предоставленные права должны быть заранее определены и утверждены

вустановленном порядке, например, в договоре при приеме на работу;

10.принцип активности. Здесь меры противодействия угрозам осуществляются на основе взаимодействия и скоординированности усилий всех подразделений и служб предприятия, отдельных лиц, а также установления необходимых контактов с внешними организациями, способными оказать комплексной защите информации необходимое содействие в обеспечении безопасности предприятия.

11.принцип плановой основы деятельности предприятия. Здесь деятельность по обеспечению защиты информации должна строиться на основе комплексной программы обеспечения защиты информации на предприятии, разрабатываются подпрограммы обеспечения этой защиты по основным его видам (экономической, техногенной, научно-технической, экологической, технологической, информационной, психологической, физической, пожарной и другим видам), а также разрабатываются для их исполнения планы работы подразделений предприятия и отдельных сотрудников;

12.принцип системности. Этот принцип предполагает учет всех факторов, влияющих на организацию КСЗИ предприятия. При этом должны быть охвачены все этапы и режимы функционирования, задействованы все силы и средства.

25.Основные нормативно правовые акты в области информационной безопасности и защиты информации

Базовыми актами информационного законодательства Российской Федерации являются Законы «Об информации, информационных технологиях и о защите информации», «О безопасности», «О средствах массовой информации». В них законодательно закрепляется право граждан, организаций и государства на информацию, устанавливаются их основные права и обязанности, правовой режим обработки и использования информации, порядок обеспечения информационной безопасности и гарантии реализации прав и ответственности субъектов информационных отношений.

Федеральный закон «Об информации, информационных технологиях и о защите информации» принят 27 июля 2006 г. Основная цель закона состоит в совершенствовании правовой основы отношений в области формирования и использования информационных ресурсов, в области информатизации с учетом возрастающей роли информации в обновлении производственного, научного, организационного и управленческого потенциалов страны, в решении вопроса о

включении России в мировое сообщество.

Закон РФ «О безопасности» принят 5 марта 1992 г. (с изменениями от 25 декабря 1992 г.). Закон является базовым в области защиты жизненно важных интересов государства. Он юридически закрепляет понятия информационной безопасности, ее объектов и субъектов, определяет систему безопасности и ее функции.

Закон РФ «О средствах массовой информации» принят 27 декабря 1991 г. (в редакции от 2 марта 1998 г.). В ст. 1 закона записано, что свобода массовой информации в РФ не подлежит ограничениям, за исключением случаев, предусмотренных законодательством о средствах массовой информации. Не подлежат также ограничениям поиск, получение, производство и распространение массовой информации, учреждение средств массовой информации, владение, пользование и распоряжение ими, изготовление, приобретение, хранение и эксплуатация технических устройств и оборудования, сырья и материалов, предназначенных для производства и распространения продукции средств массовой информации.

Закон РФ «О государственной тайне», принятый 21 июля 1993 г., регулирует отношения, возникающие в связи с отнесением сведений к государственной тайне, их рассекречиванием и защитой в интересах обеспечения безопасности РФ.

Закон РФ «О связи» принят 20 января 1995 г. Сфера действия этого закона распространяется на отношения, связанные с деятельностью по предоставлению услуг и выполнению работ в области связи, в осуществлении которых участвуют органы государственной власти, операторы связи, отдельные должностные лица, а также пользователи связи.

Федеральный закон «Об оперативно-розыскной деятельности» принят 12 ав-

густа 1995 г. В соответствии с Законом оперативные подразделения органов внутренних дел получили широкие возможности по сбору информации «о событиях или действиях, создающих угрозу государственной, военной, экономической или экологической безопасности РФ».

Закон РФ «Об авторском праве и смежных правах» вступил в силу 3 августа 1993 г. (в настоящее время Закон действует в редакции 2004 г.). Предметом регулирования Закона, в частности, являются отношения, возникающие в связи с созданием и использованием произведений науки, литературы (включая программы для ЭВМ), которые являются результатом творческой деятельности, независимо от назначения и достоинства произведения, а также способа его выражения.

Уголовный кодекс РФ, введенный в действие 1 января 1997 г., содержит статьи «Разглашение государственной тайны» и «Утрата документов, содержащих государственную тайну». Он также относит к разряду преступлений нарушение тайны переписки, телефонных переговоров и т. п. (ст. 138, ч. 1), незаконное разглашение или использование сведений, составляющих коммерческую или банковскую

тайну (ст. 183, ч. 2), нарушение авторских прав и права на интеллектуальную собственность (ст. 146, ч. 1 и ст. 147, ч. 2).

Подзаконные нормативно-правовые акты – это правотворческие акты компетентных органов, которые основаны на законе и не противоречат ему. Подзаконные акты обладают меньшей юридической силой, чем законы, они базируются на юридической силе законов и не могут противостоять им.

Указ Президента РФ от 17 декабря 1997 г. № 1300 «Об утверждении Концепции национальной безопасности Российской Федерации». Концепция представляет собой политический документ, отражающий совокупность официально принятых взглядов на цели и государственную стратегию в области обеспечения безопасности личности, общества и государства от внешних и внутренних угроз политического, экономического, военного, информационного и иного характера с учетом имеющихся ресурсов и возможностей.

Указ Президента РФ от 31 декабря 1993 г. № 2334 «О дополнительных гарантиях прав граждан на информацию» (с изменениями и дополнениями от 17 января 1997 г.). В Указе декларируется, что право на информацию является одним из фундаментальных прав человека

26.Отечественные и зарубежные стандарты

вобласти компьютерной безопасности.

Государственные (национальные) стандарты РФ

1)ГОСТ Р 50922-2006 — Защита информации. Основные термины и определения.

2)Р 50.1.053-2005 — Информационные технологии. Основные термины и определения в области технической защиты информации.

3)ГОСТ Р 51188—98 — Защита информации. Испытание программных средств на наличие компьютерных вирусов. Типовое руководство.

4)ГОСТ Р 51275-2006 — Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения.

5)ГОСТ Р ИСО/МЭК 15408-1-2008 — Информационная технология. Методы

исредства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель.

6)ГОСТ Р ИСО/МЭК 15408-2-2008 — Информационная технология. Методы

исредства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности.

7)ГОСТ Р ИСО/МЭК 15408-3-2008 — Информационная технология. Методы

исредства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия к безопасности.

8)ГОСТ Р ИСО/МЭК 15408 — «Общие критерии оценки безопасности инфор-

мационных технологий» — стандарт, определяющий инструменты и методику оценки безопасности информационных продуктов и систем; он содержит перечень требований, по которым можно сравнивать результаты независимых оценок безопасности — благодаря чему потребитель принимает решение о безопасно-

сти продуктов. Сфера приложения «Общих критериев» — защита информации от несанкционированного доступа, модификации или утечки, и другие способы защиты, реализуемые аппаратными и программными средствами.

9)ГОСТ Р ИСО/МЭК 17799 — «Информационные технологии. Практические правила управления информационной безопасностью». Прямое применение международного стандарта с дополнением — ISO/IEC 17799:2005.

10)ГОСТ Р ИСО/МЭК 27001 — «Информационные технологии. Методы безопасности. Система управления безопасностью информации. Требования». Прямое применение международного стандарта — ISO/IEC 27001:2005. 11) ГОСТ Р 51898-2002 — Аспекты безопасности. Правила включения в стандарты.

Международные стандарты

1)BS 7799-1:2005 — Британский стандарт BS 7799 первая часть. BS 7799 Part 1 — Code of Practice for Information Security Management (Практические правила управления информационной безопасностью) описывает 127 механизмов контроля, необходимых для построения системы управления информационной безопасностью (СУИБ) организации, определённых на основе лучших примеров мирового опыта (best practices) в данной области. Этот документ служит практическим руководством по созданию СУИБ

2)BS 7799-2:2005 — Британский стандарт BS 7799 вторая часть стандарта.

BS 7799 Part 2 — Information Security management — specification for information security management systems (Спецификация системы управления информационной безопасностью) определяет спецификацию СУИБ. Вторая часть стандарта используется в качестве критериев при проведении официальной процедуры сертификации СУИБ организации.

3)BS 7799-3:2006 — Британский стандарт BS 7799 третья часть стандарта. Новый стандарт в области управления рисками информационной безопасности

4)ISO/IEC 17799:2005 — «Информационные технологии — Технологии безопасности — Практические правила менеджмента информационной безопасности». Международный стандарт, базирующийся на BS 7799-1:2005.

5)ISO/IEC 27000 — Словарь и определения. 17. Общие сведения о стандартах

винформационной безопасности. «Оранжевая книга»

6)ISO/IEC 27001 — «Информационные технологии — Методы обеспечения безопасности — Системы управления информационной безопасностью — Требо-

вания». Международный стандарт, базирующийся на BS 7799-2:2005.

7)ISO/IEC 27002 — Сейчас: ISO/IEC 17799:2005. «Информационные техноло-

гии — Технологии безопасности — Практические правила менеджмента информационной безопасности». Дата выхода — 2007 год.

8)ISO/IEC 27005 — Сейчас: BS 7799-3:2006 — Руководство по менеджменту рисков ИБ.

9)German Information Security Agency. IT Baseline Protection Manual — Standard security safeguards (Руководство по базовому уровню защиты информационных технологий).

27.Принципы и методы организационной защиты информации.

Вот по этой ссылке вступительная часть про организационную защиту информации: http://bezopasnik.org/article/19.htm

Используются два примерно равнозначных определения организационной зашиты информации.

Организационная защита информации — составная часть системы защиты информации, определяющая и вырабатывающая порядок и правила функционирования объектов защиты и деятельности должностных лиц в целях обеспечения защиты информации.

Организационная защита информации на предприятии — регламентация производственной деятельности и взаимоотношений субъектов (сотрудников предприятия) на нормативно-правовой основе, исключающая или ослабляющая

нанесение ущерба данному предприятию. Организационная защита информации:

-Организация работы с персоналом;

-Организация внутриобъектового и пропускного режимов и охраны;

-Организация работы с носителями сведений;

-Комплексное планирование мероприятий по защите информации;

-Организация аналитической работы и контроля.

Основные принципы организационной защиты информации:

-принцип комплексного подхода — эффективное использование сил, средств, способов и методов защиты информации для решения поставленных задач в зависимости от конкретной складывающейся ситуации и наличия факторов, ослабляющих или усиливающих угрозу защищаемой информации;

-принцип оперативности принятия управленческих решений (существенно влияет на эффективность функционирования и гибкость системы защиты ин-

формации и отражает нацеленность руководства и персонала предприятия на решение задач защиты информации);

- принцип персональной ответственности — наиболее эффективное распределение задач по защите информации между руководством и персоналом предприятия и определение ответственности за полноту и качество их выполнения.

Среди основных условий организационной защиты информации можно выделить следующие:

-непрерывность всестороннего анализа функционирования системы защиты информации в целях принятия своевременных мер по повышению ее эффективности;

-неукоснительное соблюдение руководством и персоналом предприятия установленных норм и правил защиты конфиденциальной информации.

При соблюдении перечисленных условий обеспечивается наиболее полное и качественное решение задач по защите конфиденциальной информации на предприятии.

Основные подходы и требования к организации системы защиты информации

Успешное решение комплекса задач по защите информации не может быть достигнуто без создания единой основы, так называемого «активного кулака» предприятия, способного концентрировать все усилия и имеющиеся ресурсы для исключения утечки конфиденциальной информации и недопущения возможности нанесения ущерба предприятию. Таким «кулаком» призвана стать система

защиты информации на предприятии, создаваемая на соответствующей норма- тивно-методической основе и отражающая все направления и специфику деятельности данного предприятия.

Под системой защиты информации понимают совокупность органов защиты информации (структурных подразделений или должностных лиц предприятия), используемых ими средств и методов защиты информации, а также мероприятий, планируемых и проводимых в этих целях.

Для решения организационных задач по созданию и обеспечению функционирования системы защиты информации используются несколько основных

подходов, которые вырабатываются на основе существующей нормативно-пра- вовой базы и с учетом методических разработок по тем или иным направлениям защиты конфиденциальной информации.

Один из основных подходов к созданию системы защиты информации заключается во всестороннем анализе состояния защищенности информационных

ресурсов предприятия с учетом устремленности конкурирующих организаций к овладению конфиденциальной информацией и, тем самым, нанесению ущер-

ба предприятию. Важным элементом анализа является работа по определению

перечня защищаемых информационных ресурсов с учетом особенностей их расположения (размещения) и доступа к ним различных категорий сотрудников (работников других предприятий).

Работу по проведению такого анализа непосредственно возглавляет руководитель предприятия и его заместители по направлениям деятельности. Изучение защищенности информационных ресурсов основывается на положительном и отрицательном опыте работы предприятия, накопленном в течение последних нескольких лет, а также на деловых связях и контактах предприятия с организациями, осуществляющими аналогичные виды деятельности.

При создании системы защиты информации, в первую очередь, учитываются наиболее важные, приоритетные направления деятельности предприятия, требующие особого внимания. Предпочтение также отдается новым, перспективным направлениям деятельности предприятия, которые связаны с научными исследованиями, новейшими технологиями, формирующими интеллектуальную собственность, а также развивающимся международным связям. В соответствии с названными приоритетами формируется перечень возможных угроз информации, подлежащей защите, и определяются конкретные силы, средства, способы и методы ее защиты.

К организации системы защиты информации с позиции системного подхода выдвигается ряд требований, определяющих ее целостность, стройность и эффективность.

Система защиты информации должна быть:

-централизованной — обеспечивающей эффективное управление системой

со стороны руководителя и должностных лиц, отвечающих за различные направления деятельности предприятия;

-плановой — объединяющей усилия различных должностных лиц и структурных подразделений для выполнения стоящих перед предприятием задач в области защиты информации;

-конкретной и целенаправленной — рассчитанной на защиту абсолютно конкретных информационных ресурсов, представляющих интерес для конкурирующих организаций;

-активной — обеспечивающей защиту информации с достаточной степенью

настойчивости и возможностью концентрации усилий на наиболее важных направлениях деятельности предприятия;

-надежной и универсальной — охватывающей всю деятельность предприятия, связанную с созданием и обменом информацией.

Основные методы, силы и средства, используемые для организации защиты информации

Один из важнейших факторов, влияющих на эффективность системы защиты конфиденциальной информации, — совокупность сил и средств предприятия, используемых для организации защиты информации.

Силы и средства различных предприятий отличаются по структуре, характеру и порядку использования. Предприятия, работающие с конфиденциальной информацией и решающие задачи по ее защите в рамках повседневной деятельности на постоянной основе, вынуждены с этой целью создавать самостоятельные структурные подразделения и использовать высокоэффективные средства защиты информации. Если предприятия лишь эпизодически работают с конфиденциальной информацией в силу ее небольших объемов, вместо создания подразделений они могут включать в свои штаты отдельные должности специалистов по защите информации. Данные подразделения и должности являются органами защиты информации.

Предприятия, работающие с незначительными объемами конфиденциальной информации, могут на договорной основе использовать потенциал более крупных предприятий, имеющих необходимое количество квалифицированных сотрудников, высокоэффективные средства защиты информации, а также большой опыт практической работы в данной области.

Ведущую роль в организации защиты информации на предприятии играют руководитель предприятия, а также его заместитель, непосредственно возглавляющий эту работу.

Руководитель предприятия несет персональную ответственность за организацию и проведение необходимых мероприятий, направленных на исключение утечки сведений, отнесенных к конфиденциальной информации, и утрат носителей информации. Он обязан:

-знать фактическое состояние дел в области защиты информации, организовывать постоянную работу по выявлению и закрытию возможных каналов утечки конфиденциальной информации;

-определять обязанности и задачи должностным лицам и структурным подразделениям предприятия в этой области;

-проявлять высокую требовательность к персоналу предприятия в вопросах сохранности конфиденциальной информации;

-оценивать деятельность должностных лиц и эффективность мероприятий по защите информации.

Заместитель руководителя предприятия обязан постоянно изучать все стороны и направления деятельности предприятия для принятия своевременных мер по защите информации; руководить работой службы безопасности (иных струк-

турных подразделений, решающих задачи по защите информации); выполнять другие функции по организации защиты информации в ходе проведения пред-

приятием всех видов работ. Более подробно обязанности руководителя предприятия и его заместителя, отвечающего за защиту информации, рассмотрены в других статьях.

На предприятиях для организации работ по защите информации могут создаваться следующие основные виды структурных подразделений:

режимно-секретные;

подразделения по технической защите информации и противодействию иностранным техническим разведкам;

подразделения криптографической защиты информации; мобилизационные; подразделения охраны и пропускного режима.

Функции, возлагаемые на перечисленные подразделения, определяются решением (приказом) руководителя предприятия и отражаются в соответствующих положениях.

По решению руководителя предприятия данные подразделения организационно могут объединяться в службу безопасности, руководитель которой в некоторых случаях может быть наделен статусом заместителя руководителя предприятия и полномочиями должностного лица, осуществляющего руководство работой структурных подразделений предприятия, деятельность которых связана с использованием и защитой информации.

Режимно-секретное подразделение, мобилизационное подразделение и подразделение по технической защите информации и противодействию иностранным техническим разведкам создаются на предприятиях, выполняющих работы с использованием сведений, составляющих государственную тайну (вне зависимости от наличия на предприятии иной информации с ограниченным доступом).

Режимно-секретное подразделение является основным структурным подразделением предприятия и решает задачи организации, координации и контроля деятельности других структурных подразделений (персонала предприятия) по обеспечению защиты сведений, составляющих государственную тайну. На предприятиях, не выполняющих работы со сведениями, составляющими государственную тайну, для решения аналогичных задач в отношении других видов информации с ограниченным доступом создается и функционирует служба безо-

пасности (служба защиты информации).

Подразделение по технической защите информации и противодействию иностранным техническим разведкам решает задачи организации и проведения комплекса технических мероприятий, направленных на исключение или существенное затруднение добывания иностранными разведками с помощью технических

средств сведений, отнесенных к конфиденциальной информации и подлежащих защите.

Подразделение криптографической защиты информации создается в целях предотвращения утечки конфиденциальной информации при ее передаче по открытым каналам (линиям) связи с помощью технических средств, а также при использовании локальных вычислительных сетей, имеющих выход за пределы

территории предприятия.

Подразделение охраны и пропускного режима создается в целях предотвращения несанкционированного (бесконтрольного) пребывания на территории и объектах предприятия посторонних лиц и транспорта, нанесения ущерба предприятию путем краж (хищений) с территории предприятия материальных средств и иного имущества. В некоторых случаях для решения задач охраны и пропускного режима на предприятиях могут создаваться отдельные самостоятельные подразделения.

Мобилизационное подразделение решает задачи всесторонней подготовки предприятия к работе в условиях военного времени, призыва и поступления мобилизационных людских и материальных ресурсов.

Кроме перечисленных подразделений предприятия к работе по организации защиты информации могут привлекаться и иные структурные подразделения, для которых выполнение мероприятий по защите информации не является основной функцией.

К таким подразделениям относятся кадровый орган, орган юридической службы (юрисконсульт), орган психологической и воспитательной работы, пресс-служба предприятия и др. Особо необходимо отметить важность участия в организации защиты информации производственных, так называемых «тематических» структурных подразделений (отдельных должностных лиц), которые создают продукцию и товары или оказывают услуги (например, производство стрейч пленки), и в связи с этим самым непосредственным образом взаимодействуют с другими предприятиями и органами государственной власти.

Для проведения работ по организации защиты информации используются также возможности различных нештатных подразделений предприятия, в том числе коллегиальных органов (комиссий), создаваемых для решения специфических задач в этой области. В их числе — постоянно действующая техническая комиссия, экспертная комиссия, комиссия по рассекречиванию носителей конфиденциальной информации, комиссия по категорированию объектов информа-

тизации и др. Функции, возлагаемые на данные комиссии, рассмотрены в других статьях.

Чтобы добиться максимальной эффективности при решении задач защиты информации, наряду с возможностями упомянутых штатных и нештатных подразделений (должностных лиц) необходимо использовать имеющиеся на предприятии средства защиты информации.

Под средствами защиты информации понимают технические, криптографи-