1. Основні класи заходів організаційного рівня

Організаційний рівень ІБ охоплює заходи безпеки, які орієнтовані на людей, а не на технічні засоби. Саме люди формують режим інформаційної безпеки, і вони ж виявляються головною загрозою, тому “людський чинник” заслуговує особливої уваги.

В українських компаніях накопичено багатий досвід регламентації і реалізації організаційних (процедурних) заходів, але вони прийшли з “докомп’ютерного” минулого і тому потребують переоцінювання.

Важливим є усвідомлення ступеня залежності сучасного суспільства від комп'ютерної обробки даних. Суспільству потрібно роз'яснювати не тільки переваги, але і небезпеки, пов'язані з використанням інформаційних технологій. Акцент у забезпеченні ІБ слід робити не на військовій або кримінальній стороні справи, а на цивільних аспектах, пов'язаних з підтримкою нормального функціонування апаратного і програмного забезпечення, тобто концентруватися на питаннях доступності і цілісності даних.

Організаційний рівень – це регламентація виробничої діяльності і взаємин виконавців на нормативно-правовій основі, що виключає чи істотно утрудняє неправомірне оволодіння конфіденційною інформацією і прояв внутрішніх і зовнішніх загроз.

На організаційному рівні виділяються такі класи заходів:

• управління персоналом;

• фізичний захист;

• підтримка працездатності;

• реагування на порушення режиму безпеки;

• планування відновлювальних робіт.

2. Управління персоналом

Управління персоналом починається зі складання опису посади, а потім з прийому нового співробітника на роботу. Вже на даному етапі бажано підключити до роботи фахівця з інформаційної безпеки для визначення комп'ютерних привілеїв, що асоціюються з посадою. Існує два загальні принципи, які варто мати на увазі: розділення обов'язків та мінімізація привілеїв.

Принцип розділення обов’язківзобов’язує так розподіляти ролі і відповідальність, щоб одна людина не могла порушити критично важливий для організації процес. Наприклад, процедурні обмеження дій суперкористувача. Можна штучно “розділити” пароль суперкористувача, повідомивши першу його частину одному співробітнику, а другу – іншому. Тоді критично важливі дії з адміністрування ІС вони зможуть виконати тільки удвох, що знижує вірогідність помилок і зловживань.

Принцип мінімізації привілеївполягає у виділенні користувачам тільки тих прав доступу, які необхідні їм для виконання службових обов’язків. Призначення цього принципу очевидне – зменшити збиток від випадкових або навмисних некоректних дій.

Попереднє складання опису посади дозволяє оцінити її критичність і спланувати процедуру перевірки і відбору кандидатів. Чим відповідальніша посада, тим ретельніше потрібно перевіряти кандидатів: навести довідки про них, можливо, поговорити з колишніми товаришами по службі тощо. Подібна процедура може бути тривалою і дорогою, тому немає сенсу додатково ускладнювати її. В той же час, не можна зовсім відмовлятися від попередньої перевірки, щоб випадково не взяти на роботу людину з кримінальним минулим або психічним захворюванням.

Коли кандидат визначений, він повинен пройти навчання або, принаймні, його слід детально ознайомити із службовими обов’язками, а також з нормами і процедурами інформаційної безпеки. Бажано, щоб заходи безпеки були їм засвоєні до вступу на посаду і до введення його системного рахунка з вхідним ім'ям, паролем і привілеями.

З моменту введення системного рахунка починається його адміністрування, а також протоколювання й аналіз дій користувача. Поступово змінюється оточення, в якому працює користувач, його службові обов'язки і т.п. Все це вимагає відповідної зміни привілеїв. Технічну складність представляють тимчасові переміщення користувача, виконання ним обов’язків замість співробітника, що пішов у відпустку, та інші обставини, коли повноваження потрібно спочатку надати, а через деякий час скасувати. В такі періоди профіль активності користувача різко змінюється, що створює труднощі при виявленні підозрілих ситуацій. Певної обережності треба дотримуватися і при видачі нових постійних повноважень, не забуваючи ліквідовувати старі права доступу.

Ліквідація системного рахунка користувача, особливо у разі конфлікту між співробітником і організацією, повинна проводитися максимально оперативно. Можливо і фізичне обмеження доступу до робочого місця. Зрозуміло, якщо співробітник звільняється, у нього потрібно прийняти все його комп'ютерне господарство і, зокрема, криптографічні ключі, якщо використовувалися засоби шифрування.

Управління співробітниками розповсюджується також на осіб, що працюють за контрактом (наприклад, фахівців фірми-постачальника, що допомагають запустити нову систему). Відповідно до принципу мінімізації привілеїв, їм потрібно виділити рівно стільки прав, скільки необхідно, і скасувати ці права відразу після закінчення контракту. Проблема, проте, полягає в тому, що на початковому етапі впровадження “зовнішні” співробітники адмініструватимуть “місцевих”, а не навпаки. Тут на перший план виходить кваліфікація персоналу організації та його здатність швидко навчатися. Важливі і принципи вибору ділових партнерів.

Іноді зовнішні організації беруть на обслуговування і адміністрування відповідальні компоненти комп’ютерної системи, наприклад, мережеве устаткування. Нерідко адміністрування виконується у віддаленому режимі. Взагалі кажучи, це створює в системі додаткові вразливі місця, які необхідно компенсувати посиленим контролем засобів віддаленого доступу або навчанням власних співробітників.

Отже, проблема навчання – одна з основних з погляду інформаційної безпеки. Якщо співробітник не знайомий з політикою безпеки своєї організації, він не може прагнути до досягнення сформульованої в ній мети. Не знаючи заходів безпеки, він не зможе їх дотримувати. Навпаки, якщо співробітник знає, що його дії протоколюються, він, можливо, утримається від порушень.