- •Южно-уральский государственный университет
- •Курс лекций
- •Информационная безопасность.
- •Челябинск
- •5.3 Система информационной безопасности предприятия. 16
- •Введение
- •5. Система информационной безопасности предприятия.
- •5.1 Основные определения. Информация1 и ее свойства.
- •5.2 Стандарты обеспечения информационной безопасности.
- •5.2.1 Роль стандартов информационной безопасности.
- •5.2.2 Документирование деятельности по обеспечению иб предприятия.11
- •Документы второго уровня
- •Документы третьего уровня
- •Документы четвертого уровня
- •5.3 Система информационной безопасности предприятия.
- •5.3.1 Основные положения.
- •5.3.2 Защита коммерческой тайны на предприятии.
- •5.3.3 Защита персональных данных на предприятии.
- •Глава 14 (ст. 85 - 90). Защита персональных данных работника.
- •5.3.4 Электронный документооборот. Электронная подпись.
- •Преследуемые цели39
- •Сущность цифровой подписи.
- •Удостоверяющий центр
- •Формирование и проверка эп
- •Секретные и открытые ключи
- •Средства эп
- •Криптографические хэш-функции
- •Комплексная защита сообщений
- •5.3.5 Ответственность за нарушения правил обращения с конфиденциальной информацией.
- •5.4 Создание системы информационной безопасности предприятия.
- •5.4.1 Основные цели, методы и принципы.
- •5.4.2 Методическое направление работ по созданию ксзи
- •5.4.3 Организационное направление работ по созданию ксзи
- •Регламент обеспечения безопасности.
- •Общие документы
- •Документы по работе с кадрами
- •Документы по защите ас и свт
- •5.4.4 Техническое направление работ по созданию ксзи
- •5.4.5 Выводы. Как построить защищенную информационную систему?
- •5.5 Современные технологии защиты данных.43
- •5.5.1 Технология криптографической защиты информации.
- •5.5.2 Технологии аутентификации.
- •Приложение
- •Положение о коммерческой тайне
Регламент обеспечения безопасности.
- комплект документов, регламентирующий правила обращения с конфиденциальной информацией в зависимости от фазы ее обработки и категории конфиденциальности. В регламенте должен быть определен комплекс методических, административных и технических мер, включающих в себя:
создание подразделения, ответственного за обеспечение конфиденциальности информации;
определение порядка допуска сотрудников к конфиденциальной информации;
определение обязанностей, ограничений и условий, накладываемых на сотрудников, допущенных к конфиденциальной информации;
установление категории конфиденциальности информации;
определение категории конфиденциальности работ, проводимых Заказчиком и информации, содержащейся в документах, связанных с работами;
порядок изменения категории конфиденциальности работ и информации;
требования к помещениям, в которых проводятся конфиденциальные работы и обрабатывается конфиденциальная информация, по категориям;
требования к конфиденциальному делопроизводству;
требования к учету, хранению и обращению с конфиденциальными документами;
меры по контролю за обеспечением конфиденциальности работ и информации;
план мероприятий по противодействию атаке на конфиденциальную информацию (действия, которые надо предпринимать в случае обнаружения разглашения информации с целью пресечения процесса разглашения/утечки информации);
план мероприятий по восстановлению конфиденциальности информации (действия, которые надо предпринимать после пресечения процесса разглашения/утечки информации);
определение ответственности за разглашение конфиденциальной информации.
Для Регламента обеспечения безопасности должны быть разработаны следующие документы:
Общие документы
Инструкция по обеспечению режима конфиденциальности на предприятии.
Требования к пропускному и внутри объектовому режиму.
Общие требования к системе разграничения доступа в помещения (СРД).
Документы по работе с кадрами
Инструкция по работе с кадрами, подлежащими допуску к конфиденциальной информации.
Требования к лицам, оформляемым на должность, требующую допуска к конфиденциальной информации.
Документы по защите ас и свт
Режим конфиденциальности при обработке конфиденциальной информации с применением средств вычислительной техники.
Определение требований к защищенности АС.
Концепция безопасности АС.
Анализ существующей АС.
Документы определяют работу комплексной системы защиты информации:
в штатном режиме;
при изменениях в штатном режиме работы;
в нештатном режиме (аварийные ситуации).
5.4.4 Техническое направление работ по созданию ксзи
Техническая компонента КСЗИ - комплекс технических средств и технологий защиты информации (ЗИ) при ее обработке, хранении и передаче, включая криптографические средства.
Техническая компонента создается в рамках технического направления работ. При реализации технического направления проводится сбор исходных данных для разработки технических предложений по оснащенности автоматизированной системы обработки, хранения и передачи информации средствами ЗИ, позволяющими реализовать требуемый уровень защищенности. АС является составляющей информационной системы предприятия, поэтому подготовка технических предложений хронологически следует за разработкой общей концепции КСЗИ.
Подготовка технических решений проблемы соответствия параметров АС установленным требованиям защищенности (определяются в Концепции безопасности) возможна в двух направлениях:
Разработка АС «с нуля» с учетом требований защищенности;
Встраивание механизмов защиты в существующую АС посредством наложения некоторого набора аппаратно-программных средств ЗИ, имеющих сертификаты ФСТЭК России41.
Выбор направления предполагает взвешенный анализ сопоставимости результата объемам инвестиций в построение системы, проводимый в соответствии с методикой оценки рисков, описанной в методологии построения КСЗИ.