2.3. Визначення інформаційних та технічних ресурсів, які підлягають захисту

Щоб розв’язати це завдання треба проаналізувати функції органів та осіб, відповідальних за визначення інформації, відомості та засоби, які підлягають захисту:

• на об’єктах ІС;

• під час використання її (інформації) в програмах;

• під час передачі по каналах зв’язку;

• які піддаються витоку внаслідок побічних електромагнітних випромінювань і наведення (ПЕМВН);

• в процесі управління системою захисту.

В ідеальному випадку організація повинна мати режимний відділ для прийому та відправлення всіх документів, зрозумілі інструкції про розподіл вхідних документів між співробітниками та про підготовку й затвердження вхідних документів. Система збереження має забезпечувати доступність та постійне оновлення інформації з певних питань. Передавання документів треба реєструватися у відповідних журналах, щоб прийом та передача документів були підтверджені, було зрозуміло, звідки документ прибув чи куди направляється. На кожному документі треба зафіксувати вхідний чи обліковий номер і дата. Із записів має бути видно, кому документ розписано, де міститься нині і коли його підшили на збереження. Якщо такі правила діють незалежно від ступеню секретності інформації, то заходи з безпеки інформації можна запровадити легко.

2.4. Виявлення повного обсягу потенційно-можливих загроз і каналів витоку інформації

Ця процедура здійснюється:

• на об’єктах ІС;

• у використання каналів витоку в процесах і програмах;

• у каналах зв’язку;

• у разі наявності витоку внаслідок ПЕМВН;

Статистика показує, що лише одна четверта частина співробітників банківських установ є лояльною, інша четверта - налаштована до фірми вороже і не має моральних обмежень, лояльність другої половини співробітників залежить виключно від обставин. Процедури безпеки можуть забезпечити перевірку паролів та суворий контроль доступу до цінних загальних даних, але зломлювача, який добре знає внутрішній устрій системи, практично неможливо зупинити. Однією з найбільш вразливих точок будь-якої організації з точки зору безпеки стає її персонал, тому велике значення набуває кваліфікована реалізація внутрішньої політики і робота персоналом.

Робота з персоналом передбачає:

• підбір та розстановка кадрів;

• адаптування співробітника до нового колективу;

• розподіл завдань і відповідальності;

• навчання і підвищення кваліфікації;

• мотивацію поведінки співробітників;

• контроль за виконанням співробітником покладених на нього функцій;

• моніторинг психологічного клімату в колективі;

• виявлення незадоволених своїм положенням та нелояльних співробітників;

• звільнення співробітників.

В числі інших до компетенції служби безпеки (СБ) організації входить виявлення нелояльних співробітників, співробітників, які працюють на конкурента, або незадоволені своїм положенням в колективі і тому потенційно готових працювати на конкурента.

2.5. Оцінювання вразливості та ризику для інформації і ресурсів іс, вибір засобів захисту

Ці заходи здійснюються:

• на об’єктах ІС;

• під час використання інформації і ресурсів у процесах і програмах;

• в каналах зв’язку внаслідок ПЕМВН;

• в процесі управління системою захисту.

Для організації належного захисту слід з’ясувати можливі загрози безпеці інформації, визначити їх наслідки, необхідні міри заходи захисту, оцінити їх ефективність. Часто доцільно зосередитися на найбільш важливих об’єктах, розуміючи наближеність підсумкової оцінки. Оцінювання ризиків здійснюється з використанням інструментальних засобів та моделювання процесів захисту інформації. З’ясовуються найбільш високі ризики, які переводять потенційну загрозу до розряду реально небезпечних, таких, що потребують прийняття додаткових захисних заходів. Для кожної такої загрози є декілька варіантів її нейтралізації. Оцінюючи відповідні вартості та ефективність слід брати до уваги: витрати на закупівлю обладнання, програмних засобів, можливість екранування одним сервісом безпеки кількох прикладних та сумісність останнього з апаратурно-програмною структурою організації, вартість навчання персоналу для роботи з ним.