2.6. Визначення вимог до системи захисту інформації

Визначення вимог до системи захисту інформації здійснюється:

• на об’єктах ІС;

• під час використання їх (систем захисту) в процесах і програмах;

• у каналах зв’язку;

• щодо витоку через ПЕМВН;

• у процесі управління системою захисту.

На основі аналізу ризиків будують таку функціональну схему системи захисту інформації, яка ґрунтується на завданнях, і вимогах, що до неї висуваються з врахуванням специфіки конкретного об’єкта. Така схема разом з політикою безпеки, відповідальністю персоналу, порядком впровадження в дію засобів захисту, планом їх розміщення і модернізації становить план захисту. Елементи системи захисту вибирають шляхом порівняння пропонованих на ринку засобів захисту, які розміщуються на об’єкті в строгій відповідності з розробленою раніше схемою. Загальні витрати на забезпечення інформаційної безпеки об’єкта, згідно з вимогами із захищеності, визначаються в специфікаціях засобів реалізації плану захисту інформації. Слід враховувати, що пряме скорочення рекомендованих засобів захисту неминуче призведе до появи слабких місць у системі безпеки. В разі нестачі засобів для повноцінної реалізації плану захисту необхідно знижувати вимоги до захищеності об’єкта, обумовлювати припустимі витрати на його захист перед початком робіт з обстеження.

Вибір засобів захисту інформації здійснюється:

• на об’єктах ІС;

• під час використання їх у процесах та програмах;

• в каналах зв’язку;

• від витоку внаслідок ПЕМВН;

• в процесі управління системою захисту.

Розв’язання організаційних питань випереджає етап робіт, який дає відповідь на питання: що треба зробити для реалізації обраної політики безпеки? Ринок засобів захисту інформації широкий за вартістю, призначенням та якістю продуктів, а вибір оптимального варіанту для конкретного об’єкту є складним завданням.

2.7. Впровадження та організація застосування обраних заходів, способів і засобів захисту, контроль цілісності та управління системою захисту

Ці заходи здійснюються:

• на об’єктах ІС;

• під час використання їх (систем захисту) в процесах і програмах;

• в каналах зв’язку;

• від ПЕМВН;

• в процесі управління системою захисту.

Впровадження та експлуатація системи захисту потребує організаційно-технічної та організаційно-правової підтримки. Така підтримка передбачає розробку відповідних нормативних документів, управління засобами захисту, їх адміністрування і контроль за правильністю експлуатації, виявлення спроб та фактів несанкціонованого доступу до інформаційних ресурсів, підтримка неперервності процесу обробки інформації. У зв’язку з тим, що обробка інформації на об’єкті здійснюється за централізованим принципом, управління системою захисту також не може бути покладено виключно на службу інформаційної безпеки. Певну частину таких функцій, а саме експлуатацію засобів захисту, присвоювання ідентифікаторів користувачам, моніторинг функціонування комп’ютерних систем, аналіз реєстраційних журналів та ін., доцільно покласти на спеціально призначених співробітників тих підрозділів, в яких ведеться обробка критичної інформації.

Умови для успішної реалізації завдання з впровадження і експлуатації системи захисту інформації полягає в забезпеченні належної організаційної підтримки та створення підрозділу, який виконує функції управління засобами захисту, контролю за правильністю їх експлуатації, дотримання плану захисту та плану забезпечення неперервної роботи та поновлення інформації, виявлення намагання та фактів несанкціонованого доступу до неї і вжиття заходів щодо їх нейтралізації.

Контроль цілісності та управління системою захисту здійснюється:

• на об’єктах ІС;

• в ході їх використанні в процесах та програмах;

• у каналах зв’язку;

• від витоку за рахунок ПЕМВН;

• у процесі управління системою захисту.

План захисту потребує щорічного перегляду з урахуванням зовнішніх обставин, що змінюються. Такий термін є своєчасним задля своєчасного внесення необхідних змін (щоправда, якщо не виникають причини для позачергового перегляду, а саме – реорганізація організаційно-штатної структури підприємства, зміна територіального розташування компонентів чи архітектури автоматизованої системи, модифікація використовуваного програмного забезпечення або обчислювальної техніки). Якщо намічені заходи прийнято, то необхідно перевірити їх дієвість, зокрема виконати автономне і комплексне тестування програмно-технічного механізму захисту. Якщо перевірка показує, що внаслідок виконаної роботи остаточні ризики зменшилися до прийнятного рівня, то можна намітити дату найближчої перевірки, якщо ні, то слід проаналізувати допущені помилки і повторно визначити ризик.