Информационная безопасность

Государственные органы РФ, контролирующие деятельность в области  защиты информации:

• Комитет Государственной думы по безопасности;
• Совет безопасности России;
• Федеральная служба по техническому и экспортному контролю (ФСТЭК России);
• Федеральная служба безопасности Российской Федерации (ФСБ России);
• Федеральная служба охраны Российской Федерации (ФСО России);
• Служба внешней разведки Российской Федерации (СВР России);
• Министерство обороны Российской Федерации (Минобороны России);
• Министерство внутренних дел Российской Федерации (МВД России);
• Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).

Службы, организующие защиту информации на уровне предприятия

• Служба экономической безопасности;
• Служба безопасности персонала (Режимный отдел);
• Отдел кадров;
• Служба информационной безопасности.

2.3 Организационно-технические и режимные меры и методы

Для описания технологии защиты информации конкретной информационной системы обычно строится так называемая Политика информационной безопасности или Политика безопасности рассматриваемой информационной системы.

Политика безопасности (информации в организации) (англ. Organizational security policy)²² — совокупность документированных правил, процедур, практических приёмов или руководящих принципов в области безопасности информации, которыми руководствуется организация в своей деятельности.

Политика безопасности информационно-телекоммуникационных технологий (англ. ІСТ security policy)²³ — правила, директивы, сложившаяся практика, которые определяют, как в пределах организации и её информационно-телекоммуникационных технологий управлять, защищать и распределять активы, в том числе критичную информацию.

Для построения Политики информационной безопасности рекомендуется отдельно рассматривать следующие направления защиты информационной системы²⁴:

• Защита объектов информационной системы;
• Защита процессов, процедур и программ обработки информации;
• Защита каналов связи (акустические, инфракрасные, проводные, радиоканалы и др.);
• Подавление побочных электромагнитных излучений;
• Управление системой защиты.

При этом по каждому из перечисленных  выше направлений Политика информационной безопасности должна описывать следующие  этапы создания средств защиты информации:

1. Определение информационных и технических ресурсов, подлежащих защите;
2. Выявление полного множества потенциально возможных угроз и каналов утечки информации;
3. Проведение оценки уязвимости и рисков информации при имеющемся множестве угроз и каналов утечки;
4. Определение требований к системе защиты;
5. Осуществление выбора средств защиты информации и их характеристик;
6. Внедрение и организация использования выбранных мер, способов и средств защиты;
7. Осуществление контроля целостности и управление системой защиты.

Политика информационной безопасности оформляется в виде документированных требований на информационную систему. Документы обычно разделяют по уровням описания (детализации) процесса защиты.

Документы верхнего уровня Политики информационной безопасности отражают позицию организации к деятельности в области защиты информации, её стремление соответствовать государственным, международным требованиям и стандартам в этой области. Подобные документы могут называться «Концепция ИБ», «Регламент управления ИБ», «Политика ИБ», «Технический стандарт ИБ» и т. п. Область распространения документов верхнего уровня обычно не ограничивается, однако данные документы могут выпускаться и в двух редакциях — для внешнего и внутреннего использования.

Согласно ГОСТ Р ИСО/МЭК 17799—2005, на верхнем уровне Политики информационной безопасности должны быть оформлены следующие документы: «Концепция обеспечения ИБ», «Правила допустимого использования ресурсов информационной системы», «План обеспечения непрерывности бизнеса».

К среднему уровню относят документы, касающиеся отдельных аспектов информационной безопасности. Это требования на создание и эксплуатацию средств защиты информации, организацию информационных и бизнес-процессов организации по конкретному направлению защиты информации. Например: Безопасности данных, Безопасности коммуникаций, Использования средств криптографической защиты, Контентная фильтрация и т. п. Подобные документы обычно издаются в виде внутренних технических и организационных политик (стандартов) организации. Все документы среднего уровня политики информационной безопасности конфиденциальны.

В политику информационной безопасности нижнего уровня входят регламенты работ, руководства по администрированию, инструкции по эксплуатации отдельных сервисов информационной безопасности.

2.4 Программно-технические способы и средства обеспечения информационной безопасности

В литературе предлагается следующая классификация средств  защиты информации.²⁵

• Средства защиты от несанкционированного доступа (НСД):
1. Средства авторизации;
2. Мандатное управление доступом²⁶;
3. Избирательное управление доступом;
4. Управление доступом на основе ролей;
5. Журналирование (так же называется Аудит).
• Системы анализа и моделирования информационных потоков (CASE-системы).
• Системы мониторинга сетей:
1. Системы обнаружения и предотвращения вторжений (IDS/IPS).
2. Системы предотвращения утечек конфиденциальной информации (DLP-системы).
• Анализаторы протоколов.
• Антивирусные средства.
• Межсетевые экраны.
• Криптографические средства:
1. Шифрование;
2. Цифровая подпись.
• Системы резервного копирования.
• Системы бесперебойного питания:
1. Источники бесперебойного питания;
2. Резервирование нагрузки;
3. Генераторы напряжения.
• Системы аутентификации:
1. Пароль;
2. Ключ доступа (физический или электронный);
3. Сертификат;
4. Биометрия.
• Средства предотвращения взлома корпусов и краж оборудования.
• Средства контроля доступа в помещения.
• Инструментальные средства анализа систем защиты:
1. Мониторинговый программный продукт.

 

 

 

 

 

 

 

 

 

 

 

 

Заключение

Информационная безопасность — это важная сфера деятельности, в современной действительности. Существенно влияющая на работу, организацию, взаимодействие, коммуникацию и т.д.  практически  всех государственных органов, различных организаций и обычных граждан. Решение проблем связанных с ИБ ведется на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерное овладение конфиденциальной информацией и проявление внутренних и внешних угроз. Каждый конкретный случай угрозы информационной безопасности предотвращается специфической формой и содержанием средств обеспечения информационной безопасности, направленные на обеспечение безопасности информации в конкретных условиях.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Библиографический список

Нормативные правовые акты:

1. «Аспекты безопасности. Правила включения в стандарты» / авт. Федеральное агентство по техническому регулированию и метрологии (РОССТАНДАРТ)/ГОСТ Р 51898-2002 // Государственный стандарт РФ. - Москва : Информстандарт, 2006 r..
2. «Защита информации. Основные термины и определения» / авт. Федеральное агентство по техническому регулированию и метрологии (РОССТАНДАРТ)/ГОСТ Р 50922-2006 // Национальный стандарт РФ. - Москва : Стандартинформ, 01 02 2006 r..
3. «Информационная технология. Практические правила управления информационной безопасностью» / авт. Федеральное агентство по техническому регулированию и метрологии (РОССТАНДАРТ)/ГОСТ Р ИСО/МЭК 17799—2005 // Национальный стандарт РФ. - Москва : Стандартинформ, 2006 r..
4. «Методы и средства обеспечения безопасности. Часть 1. Концепция и модели менеджмента безопасности информационных и телекоммуникационных технологий» / авт. Федеральное агентство по техническому регулированию и метрологии (РОССТАНДАРТ)/ГОСТ Р ИСО/МЭК 13335-1 — 2006 // Национальный стандарт РФ. - Москва : Стандартинформ, 2007 r.. - Т. 1.
5. «Техническая защита информации. Основные термины и определения» / авт. Федеральное агентство по техническому регулированию и метрологии (РОССТАНДАРТ)/Р 50.1.056-2005 // Рекомендации по стандартизации. - Москва : [б.н.].
6. Рекомендации по стандартизации / авт. Федеральное агентство по техническому регулированию и метрологии (РОССТАНДАРТ)/ Р 50.1.053-2005 // «Информационные технологии. Основные термины и определения в области технической защиты информации». - Москва : [б.н.].

Учебники, учебные пособия  и другая литература:

7. Безопасность информационных технологий. Системный подход. [Книга] / авт. Домарев В В. - К. : ООО ТИД Диа Софт, 2004.
8. Безопасность: теория, парадигма, концепция, культура. Словарь-справочник. 2-е изд., доп. и перераб. [Книга] / авт. Пилипенко В. Ф.. - Москва : ПЕР СЭ-Пресс, 2005.
9. Информационная безопасность [Книга] / авт. социально-политический проект «Актуальные проблемы безопасности социума». - Москва : «Оружие и технологии», 2009.
10. Информационное право. [Книга] / авт. Лапина М. А., Ревин А. Г., Лапин В. И.. - Москва : ЮНИТИ-ДАНА, Закон и право., 2004.
11. Словарь терминов по безопасности и криптографии. / авт. Европейский институт стандартов по электросвязи // Словарь терминов.

Статьи периодической  печати и журналов:

12. Информационная безопасность в современных системах управления базами данных. [Журнал] / авт. Козленко Лилия. - [б.м.] : КомпьютерПресс, 2002 r.. - 3.

Электронные и интернет ресурсы:

13. поиск [WWW] / авт. glossary.ru. - [б.м.] : glossary.ru.

¹ (Федеральное агентство по техническому регулированию и метрологии (РОССТАНДАРТ)/ГОСТ Р 50922-2006, 2006)

² (Федеральное агентство по техническому регулированию и метрологии (РОССТАНДАРТ)/ГОСТ Р ИСО/МЭК 17799—2005, 2006)

³ (Пилипенко, 2005)

⁴ (социально-политический проект «Актуальные проблемы безопасности социума», 2009)

⁵ (Федеральное агентство по техническому регулированию и метрологии (РОССТАНДАРТ)/ГОСТ Р 50922-2006, 2006)

⁶ (Федеральное агентство по техническому регулированию и метрологии (РОССТАНДАРТ)/ГОСТ Р ИСО/МЭК 17799—2005, 2006)

⁷ (Федеральное агентство по техническому регулированию и метрологии (РОССТАНДАРТ)/ГОСТ Р ИСО/МЭК 13335-1 — 2006, 2007)

⁸ (Федеральное агентство по техническому регулированию и метрологии (РОССТАНДАРТ)/ Р 50.1.053-2005)

⁹ (Федеральное агентство по техническому регулированию и метрологии (РОССТАНДАРТ)/ Р 50.1.053-2005)

¹⁰ (Федеральное агентство по техническому регулированию и метрологии (РОССТАНДАРТ)/ Р 50.1.053-2005)

¹¹ (Федеральное агентство по техническому регулированию и метрологии (РОССТАНДАРТ)/ Р 50.1.053-2005)

¹² (Европейский институт стандартов по электросвязи)

¹³ (glossary.ru)

¹⁴ (Федеральное агентство по техническому регулированию и метрологии (РОССТАНДАРТ)/ГОСТ Р ИСО/МЭК 13335-1 — 2006, 2007)

¹⁵ (Федеральное агентство по техническому регулированию и метрологии (РОССТАНДАРТ)/Р 50.1.056-2005)