Грибунин В.Г. Комплексная система защиты информации на предприятии

Подождите немного. Документ загружается.

•

разработке, создании, испытаниях объектов информатизации

и производстве продукции, содержащей информацию ограничен-

ного доступа;

• разработке нормативных, научно-технических и методиче-

ских документов по вопросам выявления и закрытия возможных

каналов утечки информации ограниченного доступа, технической

защите информации, совершенствованию физической защиты

объектов;

• обеспечению охраны объекта, организации пропускного и

внутриобъектового режимов, выборе средств автоматизации этих

процессов;

• рассмотрении проектов договоров и технических заданий на

проведение работ, конструкторской, технологической и отчетной

документации по ним с целью определения достаточности ме-

роприятий по обеспечению режима сохранности информации огра-

ниченного доступа, используемой при проведении работ;

• рассмотрении вопроса о величине ущерба в случае разглаше-

ния информации ограниченного доступа, возможности снятия

ограничений на распространение информации ограниченного

доступа и др.

13.2.4.

Обязанности пользователей защищаемой

информации

Обязанности персонала предприятия по защите информации

определяются в коллективном договоре, трудовых договорах, дол-

жностных (функциональных) обязанностях, инструкциях, прави-

лах, положениях и других организационно-распорядительных до-

кументах. Они должны предусматривать следующие обязательства

персонала:

• знать и неукоснительно выполнять требования организаци-

онно-распорядительных документов предприятия по защите ин-

формации ограниченного доступа;

•

знать содержание перечней информации ограниченного до-

ступа, к которой имеет отношение в силу служебных обязанно-

стей; уметь правильно определять наличие и степень конфиден-

циальности информации ограниченного доступа, используемой

им при выполнении должностных обязанностей; своевременно

проставлять установленные нормативными правовыми докумен-

тами отличительные реквизиты на ее носителях;

•

знать основы законодательства, устанавливающего ответствен-

ность (гражданскую, административную, уголовную) за разглаше-

ние информации ограниченного доступа или утрату ее носителей;

• знать правила обращения, разработки, учета, хранения унич-

тожения носителей информации ограниченного доступа;

290

• передавать информацию ограниченного доступа другим со-

трудникам предприятия только в порядке, установленном соот-

ветствующими инструкциями и с разрешения полномочных дол-

жностных лиц;

• производить работы с носителями информации ограничен-

ного доступа только в предназначенных для этого помещениях, с

соблюдением мер по защите ее конфиденциальности, установ-

ленных соответствующими правилами и инструкциями;

• размножать (тиражировать, копировать) носители информа-

ции ограниченного доступа только в порядке, установленном со-

ответствующими правилами и инструкциями, с использованием

разрешенных для этого средств и с разрешения уполномоченных

лиц; своевременно передавать вновь размноженные носители ин-

формации ограниченного доступа в подразделения, ведущие их

учет;

• своевременно сдавать не нужные для дальнейшей работы но-

сители информации ограниченного доступа в подразделения, ве-

дущие их учет;

• черновики, перепечатанные и испорченные листы докумен-

тов, содержащих информацию ограниченного доступа, сдавать для

уничтожения в подразделения, ведущие учет таких документов;

• своевременно информировать службу защиты информации

или непосредственных начальников о замеченных нарушениях ре-

жима обеспечения защиты информации ограниченного доступа,

допущенных другими работниками, о неисправностях техниче-

ских средств или других событиях, могущих привести к разглаше-

нию информации ограниченного доступа;

• пересылать (передавать) носители информации ограничен-

ного доступа контрагентам предприятия и их сотрудникам только

в порядке, определенном соответствующими правилами и инст-

рукциями, с разрешения уполномоченных должностных лиц;

• не выносить за пределы предприятия носители информации

ограниченного доступа без разрешения уполномоченных должно-

стных лиц;

• не использовать информацию ограниченного доступа в це-

лях, не связанных с выполнением должностных обязанностей, не

сообщать ее посторонним, при обращении в другие организации

и учреждения, средства массовой информации и т.п.;

• не вести переговоры по незащищенным техническим сред-

ствам связи и телекоммуникации, связанные с обсуждением ин-

формации ограниченного доступа.

Руководители структурных подразделений предприятия, исполь-

зующих информацию ограниченного доступа, должны:

• знать требования руководящих и нормативных документов,

регламентирующих вопросы обеспечения режима обеспечения

защиты информации ограниченного доступа;

291

• знать фактическое состояние дел по обеспечению защиты

информации ограниченного доступа в своем подразделении и

организовывать постоянную работу по выявлению возможных

каналов ее утечки и их закрытию;

• определять сотрудникам подразделения их задачи и обязан-

ности по защите информации ограниченного доступа;

•

требовать от сотрудников подразделения обеспечивать сохран-

ность информации ограниченного доступа и принимать меры по

предотвращению случаев ее разглашения;

• принимать меры дисциплинарного воздействия к лицам, до-

пускающим нарушения требований по защите информации огра-

ниченного доступа;

•

доводить до подчиненных требования регламентирующих до-

кументов по защите информации ограниченного доступа;

•

осуществлять контроль исполнения требований регламентиру-

ющих документов по защите информации ограниченного доступа;

• постоянно изучать и анализировать все стороны деятельно-

сти подразделения с целью принятия эффективных мер закрытия

возможных каналов утечки информации ограниченного доступа в

процессах разработки, обращения, хранения и рассылки докумен-

тов, содержащих информацию с учетом решаемых подразделени-

ем задач, условий обстановки и реальных возможностей;

• устанавливать и поддерживать строгий порядок в обращении

с информацией ограниченного доступа;

•

обеспечивать правильное определение степени конфиденци-

альности информации ограниченного доступа, своевременное

уничтожение утративших практическую надобность документов

(носителей информации ограниченного доступа);

•

участвовать в определении круга сотрудников подразделения,

допускаемых к документам и работам, содержащим информацию

ограниченного доступа;

• участвовать в работе комиссий по проверке наличия и унич-

тожения документов, содержащих информацию ограниченного

доступа.

13.3.

Обеспечение взаимодействия между

субъектами, защищающими и использующими

информацию ограниченного доступа

Взаимодействие между персоналом предприятия и службой

защиты информации может быть обеспечено путем определения

соответствующих обязанностей персонала предприятия и предо-

ставления соответствующих полномочий службе защиты инфор-

мации.

292

Полномочия службы защиты информации могут быть закреп-

лены в должностных обязанностях персонала, а также в положе-

нии о службе защиты информации (или разделе положения о служ-

бе безопасности предприятия). Наиболее важными из этих пол-

номочий являются:

• подчиненность сотрудников службы защиты информации

строго определенным должностным лицам (как правило, руково-

дителю предприятия, его заместителю по безопасности и должно-

стным лицам службы защиты информации — по подчиненности);

•

предоставление права проверять наличие материалов, содер-

жащих информацию ограниченного доступа и порядок обраще-

ния с ними у всего персонала предприятия;

• персонал предприятия обязан выполнять требования пред-

ставителей службы защиты информации, связанные с соблюде-

нием установленного порядка разработки, обращения, хранения,

передачи (пересылки), уничтожения носителей информации ог-

раниченного доступа;

• службе защиты информации предоставляется право прово-

дить служебные расследования по фактам нарушений установлен-

ного порядка разработки, обращения, хранения, передачи (пере-

сылки), уничтожения носителей информации ограниченного до-

ступа разработки;

• персонал обязан давать объяснения представителям службы

защиты информации по вопросам, связанным с нарушением уста-

новленного порядка разработки, обращения, хранения, передачи

(пересылки), уничтожения носителей информации ограниченно-

го доступа.

Кроме того, руководство предприятия может осуществлять не-

гласный контроль за действиями персонала согласно Закону Рос-

сийской Федерации 1992 г. «О частной детективной и охранной

деятельности в Российской Федерации»*. В этих целях в установ-

ленных случаях должна быть получена лицензия на частную де-

тективную деятельность, а устав (положение) о службе безопас-

ности предприятия, согласованный с органами внутренних дел,

предусматривает следующие виды деятельности (приведен при-

мер из действующего устава службы безопасности одной из ком-

мерческих фирм):

• сбор сведений по гражданским делам;

•

изучение рынка, сбор информации для деловых переговоров,

выявление некредитоспособных или ненадежных деловых парт-

неров;

• установление обстоятельств неправомерного использования

в предпринимательской деятельности фирменных знаков и наи-

* Закон РФ от

11.03.1992

г. №

2487-1

(ред. от

18.07.2006

г.) // Ведомости СНД

РФ и ВС РФ от

23.04.1992

г. № 17. - Ст. 888.

293

менований, недобросовестной конкуренции, а также разглаше-

ния сведений, составляющих коммерческую тайну;

• выяснение биографических и других характеризующих лич-

ность данных об отдельных гражданах (с их письменного согла-

сия) при заключении ими трудовых и иных контрактов;

• поиск утраченного имущества;

• сбор сведений по уголовным делам;

• защита жизни и здоровья граждан;

• охрана имущества собственников, в том числе при его транс-

портировке;

• проектирование, монтаж и эксплуатационное обслуживание

средств охранно-пожарной сигнализации;

• консультирование и подготовка рекомендаций клиентам по

вопросам правомерной защиты от противоправных посягательств;

•

изучение деятельности фирмы, открытой информации о кон-

курирующих фирмах для своевременного внесения предложений

по разработке и корректировке перечня сведений, составляющих

коммерческую тайну; после утверждения перечня руководителем

незамедлительное ознакомление с ним исполнителей закрытых

работ в части, касающейся их;

• осуществление контроля за правильностью засекречивания и

рассекречивания работ, документов, изданий, материалов;

• оценка классифицированных документов с целью предотвра-

щения включения в них излишних данных;

• подготовка списка лиц, имеющих право классифицировать

информацию;

•

составление плана размещения и ведение учета помещений, в

которых руководителем после соответствующей аттестации раз-

решено постоянное или временное хранение носителя коммер-

ческой тайны, а также проведение закрытых работ;

•

составление и корректировка списка лиц, которые могут быть

допущены к закрытым сведениям, необходимым им для выполне-

ния служебных обязанностей;

• разработка разрешительной системы доступа сотрудников и

командированных к носителям охраняемых сведений и определе-

ние места выполнения работ с ними, анализ эффективности этой

системы;

• принятие мер, исключающих разглашение охраняемой ин-

формации фирмы, в процессе контроля оформления документов,

предназначенных для передачи заказчику, отправки и вывоза за

границу, переписки с инофирмами;

•

организация и ведение закрытого делопроизводства, размно-

жение документов, содержащих экономические секреты, их учет,

хранение, выдача исполнителям работ, уничтожение;

• участие в разработке мер по обеспечению безопасности при

обработке сведений, составляющих коммерческую тайну, различ-

294

ными техническими средствами и системами при пользовании

ЭВМ;

• планирование и осуществление режимных мероприятий при

проведении всех видов работ, в которых используются закрытая

информация и классифицированные носители;

• содействие руководителям подразделений фирмы в разработ-

ке и осуществлении мер защиты сведений в процессе научной,

конструкторской, производственной, коммерческой и иной дея-

тельности;

• организация и проведение защитных мероприятий при ис-

пытаниях, хранении, транспортировке, уничтожении продукции,

содержащей коммерческую тайну;

• разработка и осуществление мер по предупреждению утечки

информации при оформлении материалов, предназначенных к

опубликованию в открытой печати, для использования на конфе-

ренциях, выставках, в рекламной деятельности, а также при про-

ведении совещаний, конференций, выставок на территории объекта

и вне его;

• систематический контроль за соблюдением правил обраще-

ния с носителями коммерческой тайны на рабочих (выделенных)

местах, их движением, возвратом, размножением и уничтожени-

ем;

• разработка положений, инструкций, правил по обеспечению

режима работы для исполнителей закрытых работ, специалистов

службы безопасности;

•

осуществление комплекса профилактических мероприятий по

предупреждению правонарушений (уголовных, административных

и гражданских) на территории фирмы;

• организация обучения лиц, допущенных к закрытым рабо-

там, проверка уровня их режимной подготовки;

• организация работ по повышению квалификации сотрудни-

ков службы безопасности (в т.ч. с участием приглашенных специ-

алистов);

• организация и контроль состояния пропускного и внутри-

объектового режимов;

•

участие в подборе лиц, планируемых для работы с представи-

телями инофирм, проведение их инструктажа.

13.4.

Подбор и обучение персонала

Основные моменты, связанные с подбором и обучением пер-

сонала, были названы выше при рассмотрении состава кадрового

обеспечения. Остановимся еще на нескольких моментах.

Персонал, вне всяких сомнений, является основным источни-

ком приумножения благосостояния предприятия. Вместе с тем и

295

ущерб, который может нанести предприятию недобросовестный

работник, особенно если он наделен полномочиями и возможно-

стью доступа к защищаемой информации, может превосходить

ущерб от самых масштабных аварий, сбоев в работе и других на-

рушений в работе технических систем. При этом даже самые изощ-

ренные формы закрепления юридической ответственности такого

работника, технические системы контроля за его деятельностью,

инструкции и правила не смогут компенсировать просчета, допу-

щенного руководством, кадровыми работниками, службой без-

опасности при приеме его на работу. В связи с этим представля-

ются оправданными высокие расходы по найму и содержанию

квалифицированных сотрудников служб безопасности, владеющих

методиками распознавания лиц, склонных к правонарушениям, с

признаками деградации личности, «темным» прошлым и т.п.

Обратим внимание и на сравнительно новый для России спо-

соб подбора кадров, связанный с проведением психофизиологи-

ческого исследования с помощью полиграфа («детектора лжи»).

Показателем эффективности данного средства может служить

информация об его использования в правоохранительных орга-

нах*.

Что касается обучения персонала, то на современном рынке

этой услуги имеется масса возможностей по подготовке (перепод-

готовке) специалистов в области защиты государственной тайны,

конфиденциальной информации, в том числе и по сложным тех-

ническим направлениям этой деятельности. Вместе с тем, с на-

шей точки зрения, наиболее важной (и эффективной) формой

является организация подготовки персонала по вопросам защиты

информации непосредственно на предприятии, под руководством

сотрудников службы защиты информации.

* Приказ Директора Федеральной таможенной службы от

05.09.2006

г. № 839

«Об организации применения полиграфа в деятельности таможенных органов

Российской Федерации»; приказ МВД 1995 г. № 353 «Об обеспечении внедре-

ния полиграфа в деятельность органов внутренних дел».

Гл а

Материально-техническое

и нормативно-методическое

обеспечение комплексной системы

защиты информации

14.1.

Состав и значение

материально-технического обеспечения

функционирования КСЗИ

Материально-техническое обеспечение КСЗИ охватывает дея-

тельность службы защиты информации по использованию мате-

риально-технической базы, материальных и денежных средств в

ходе выполнения задач защиты информации.

Материально-техническая база КСЗИ включает объекты хозяй-

ственного и технического назначения. К объектам хозяйственного

назначения относятся здания и помещения, в которых хранятся

носители информации, размещаются подразделения и объекты тех-

нического назначения службы. К объектам технического назначе-

ния относятся различные технические средства, используемые служ-

бой ЗИ, но не предназначенные непосредственно для ЗИ (системы

заземления, электронные системы регулирования доступа в поме-

щения, средства охраны, сигнализации, видеонаблюдения и опо-

вещения, средства механизации — бумагоуничтожающие машины,

электронные и электрические замки, электрические звонки и т.п.).

К материальным средствам службы ЗИ относятся все виды

средств защиты информации, а также носители информации.

Материально-техническое обеспечение КСЗИ включает:

• планирование и осуществление работы объектов материаль-

но-технической базы службы ЗИ;

• своевременное определение потребности, приобретение, учет

и хранение всех видов материальных средств, их распределение,

выдачу (отправку, передачу) по назначению, обеспечение правиль-

ного и экономного расходования и ведение отчетности;

• накопление и содержание установленных запасов материаль-

ных средств, обеспечение их сохранности;

• правильную эксплуатацию, сбережение, своевременное тех-

ническое обслуживание и ремонт;

• создание условий для организации и проведения мероприя-

тий ЗИ;

• строительство, ремонт и правильную эксплуатацию зданий и

помещений;

297

• изучение положения дел, выявление внутренних и внешних

факторов, оказывающих влияние на МТО КСЗИ;

• выявление нарушений, ошибок в МТО, оперативное приня-

тие мер по их устранению.

Основными направлениями развития и совершенствования

МТО ЗИ являются:

• повышение технической оснащенности объектов ЗИ матери-

ально-техническими средствами;

• улучшение планирования МТО ЗИ;

• строительство и эксплуатация объектов ЗИ в строгом соот-

ветствии с требованиями безопасности информации;

• оснащение объектов ЗИ новыми СЗИ;

• обучение пользователей правилам работы с СЗИ;

• внедрение в практику методов наиболее экономного и эф-

фективного использования материально-технической базы;

• обеспечение сохранности материальных и денежных средств

и предотвращение их утрат.

Должностные лица, ответственные за МТО КСЗИ, обязаны:

• знать и доводить до подчиненных требования нормативных

актов предприятия по вопросам МТО КСЗИ;

• определять потребность и знать обеспеченность СЗИ матери-

альными и денежными средствами для обеспечения ЗИ;

• знать наличие, состояние, порядок эксплуатации (хранения)

материальных средств ЗИ, в том числе в их подразделениях, пра-

вильно определять потребность в них;

• своевременно истребовать и получать положенные матери-

альные средства ЗИ;

• организовывать ведение учета, правильное хранение, сбере-

жение запасов материальных средств КСЗИ, а также их эксплуа-

тацию, ремонт и техническое обслуживание;

• участвовать в организации проектирования, строительства и

реконструкции объектов ЗИ;

• осуществлять планирование МТО КСЗИ;

• организовывать работу по экономному, рациональному рас-

ходованию материальных средств;

• осуществлять контроль за использованием материальных

средств КСЗИ.

14.2.

Перечень вопросов ЗИ, требующих

документационного закрепления

На основе концепции защиты информации (концепции без-

опасности предприятия), законодательства и иных нормативных

документов в информационной области с учетом уставных поло-

жений и специфики деятельности предприятия определяется и

298

разрабатывается комплект внутренних нормативных и мето-

дических документов, как правило, включающий:

• перечни сведений, подлежащих защите на предприятии;

• документы, регламентирующие порядок обращения сотруд-

ников предприятия с информацией, подлежащей защите;

• положения об управлениях и отделах (разделы по ЗИ);

• документы по предотвращению несанкционированного до-

ступа к информационным ресурсам и АС;

•

документы, регламентирующие порядок взаимодействия пред-

приятия со сторонними организациями по вопросам, связанным

с обменом информацией;

• документы, регламентирующие пропускной и

внутриобъек-

товый режим;

• документы, регламентирующие порядок эксплуатации авто-

матизированных систем предприятия;

• документы, регламентирующие действия должностных лиц и

персонала предприятия в условиях чрезвычайных ситуаций, обес-

печения бесперебойной работы и восстановления;

• планы защиты автоматизированных систем предприятия;

•

документы, регламентирующие порядок разработки, испыта-

ния и сдачи в эксплуатацию программных средств;

•

документы, регламентирующие порядок закупки программных

и аппаратных средств (в т.ч. средств защиты информации);

•

документы, регламентирующие порядок эксплуатации техни-

ческих средств связи и телекоммуникации.

«Инструкция по обеспечению защиты информации от не-

санкционированного доступа» содержит:

• определение целей, задач защиты информации в АС и основ-

ных путей их достижения (решения);

• требования по организации и проведению работ по защите

информации в АС;

• описание применяемых мер и средств защиты информации

от рассматриваемых угроз, общих требований к настройкам при-

меняемых средств защиты информации от НСД;

•

распределение ответственности за реализацию «Инструкции...»

между должностными лицами и структурными подразделениями

организации.

«Положение о категорировании ресурсов АС» содержит:

•

формулировку целей введения классификации ресурсов (АРМ,

задач, информации, каналов передачи) по степеням (категориям)

защищенности;

• предложения по числу и названиям категорий защищаемых

ресурсов и критериям классификации ресурсов по требуемым сте-

пеням защищенности (категориям);

• определение мер и средств защиты информации, обязательных

и рекомендуемых к применению на АРМ различных категорий;

299