Организационные (административные) меры защиты
Организационные (административные) меры защиты - это меры организационного характера, регламентирующие процессы функционирования системы обработки данных, использование ее ресурсов, деятельность обслуживающего персонала, а также порядок взаимодействия пользователей с системой таким образом, чтобы в наибольшей степени затруднить или исключить возможность реализации угроз безопасности или снизить размер потерь в случае их реализации.
Формирование политики безопасности
Главная цель административных мер, предпринимаемых на высшем управленческом уровне - сформировать политику в области обеспечения безопасности информации (отражающую подходы к защите информации) и обеспечить ее выполнение, выделяя необходимые ресурсы и контролируя состояние дел.
С практической точки зрения политику в области обеспечения безопасности информации в АС ОРГАНИЗАЦИИ целесообразно разбить на два уровня. К верхнему уровню относятся решения руководства, затрагивающие деятельность ОРГАНИЗАЦИИ в целом. Примером таких решений могут быть:
· принятие решения о формировании или пересмотре комплексной программы обеспечения безопасности информации, определение ответственных за ее реализацию;
· формулирование целей, постановка задач, определение направлений деятельности в области безопасности информации;
· принятие решений по вопросам реализации программы безопасности, которые рассматриваются на уровне ОРГАНИЗАЦИИ в целом;
· обеспечение нормативной (правовой) базы вопросов безопасности и т.п.
Политика верхнего уровня должна четко очертить сферу влияния и ограничения при определении целей безопасности информации, определить какими ресурсами (материальные, персонал) они будут достигнуты и найти разумный компромисс между приемлемым уровнем безопасности и функциональностью АС.
Политика нижнего уровня определяет процедуры и правила достижения целей и решения задач безопасности информации и детализирует (регламентирует) эти правила:
· какова область применения политики безопасности информации;
· каковы роли и обязанности должностных лиц, отвечающие за проведение политики безопасности информации;
· кто имеет права доступа к информации ограниченного распространения;
· кто и при каких условиях может читать и модифицировать информацию и т.д.
Политика нижнего уровня должна:
· предусматривать регламент информационных отношений, исключающих возможность произвольных, монопольных или несанкционированных действий в отношении конфиденциальных информационных ресурсов;
· определять коалиционные и иерархические принципы и методы разделения секретов и разграничения доступа к информации ограниченного распространения;
· выбирать программно-математические и технические (аппаратные) средства криптозащиты, противодействия НСД, аутентификации, авторизации, идентификации и других защитных механизмов, обеспечивающих гарантии реализации прав и ответственности субъектов информационных отношений.
Регламентация доступа в помещения АС ОРГАНИЗАЦИИ
Эксплуатация защищенных АРМ и серверов АС ОРГАНИЗАЦИИ должна осуществляться в помещениях, оборудованных надежными автоматическими замками, средствами сигнализации и постоянно находящимися под охраной или наблюдением, исключающим возможность бесконтрольного проникновения в помещения посторонних лиц и обеспечивающим физическую сохранность находящихся в помещении защищаемых ресурсов (АРМ, документов, реквизитов доступа и т.п.). Размещение и установка технических средств ПЭВМ таких АРМ должна исключать возможность визуального просмотра вводимой (выводимой) информации лицами, не имеющими к ней отношения. Уборка помещений с установленными в них ПЭВМ должна производиться в присутствии ответственного, за которым закреплены данные технические средства, или дежурного по подразделению с соблюдением мер, исключающих доступ посторонних лиц к защищаемым ресурсам.
В помещениях во время обработки и отображения на ПЭВМ информации ограниченного распространения должен присутствовать только персонал, допущенный к работе с данной информацией. Запрещается прием посетителей в помещениях, когда осуществляется обработка защищаемой информации.
По окончании рабочего дня помещения с установленными защищенными АРМ должны сдаваться под охрану с включением сигнализации и с отметкой в книге приема и сдачи служебных помещений.
Для хранения служебных документов и машинных носителей с защищаемой информацией помещения снабжаются сейфами и металлическими шкафами.
В случае оснащения помещений средствами охранной сигнализации, а также автоматизированной системой приема и регистрации сигналов от этих средств, прием-сдача таких помещений под охрану осуществляется на основании специально разрабатываемой инструкции, утверждаемой руководством органов ОРГАНИЗАЦИИ.
Помещения должны быть обеспечены средствами уничтожения документов.
В случае применения для обработки информации средств вычислительной техники, пропускной и внутриобъектовый режим объекта СВТ должен удовлетворять требованиям, предъявляемым к режимным объектам.
Регламентация допуска сотрудников к использованию ресурсов АС ОРГАНИЗАЦИИ
В рамках разрешительной системы допуска устанавливается: кто, кому, какую информацию и для какого вида доступа может предоставить и при каких условиях; система разграничения доступа, которая предполагает определение для всех пользователей автоматизированной информационной системы информационных и программных ресурсов, доступных им для конкретных операций (чтение, запись, модификация, удаление, выполнение) с помощью заданных программно-технических средств доступа.
Допуск сотрудников подразделений ОРГАНИЗАЦИИ к работе с автоматизированной системой и доступ к ее ресурсам должен быть строго регламентирован. Любые изменения состава и полномочий пользователей подсистем АС должны производиться установленным порядком согласно “Инструкции по внесению изменений в списки пользователей АС ОРГАНИЗАЦИИ и наделению их полномочиями доступа к ресурсам системы”.
Основными пользователями информации в АС ОРГАНИЗАЦИИ являются сотрудники структурных подразделений ОРГАНИЗАЦИИ. Уровень полномочий каждого пользователя определяется индивидуально, соблюдая следующие требования:
· открытая, конфиденциальная информация размещаются по возможности на различных серверах (это упрощает обеспечение защиты);
· каждый сотрудник пользуется только предписанными ему правами по отношению к информации, с которой ему необходима работа в соответствии с должностными обязанностями;
· начальник имеет права на просмотр информации своих подчиненных только в установленных пределах в соответствии со своими должностными обязанностями;
· наиболее ответственные технологические операции должны производиться по правилу "в две руки" - правильность введенной информации подтверждается другим должностным лицом, не имеющим права ввода информации.
Все сотрудники ОРГАНИЗАЦИИ, допущенные к работе (пользователи) и обслуживающий персонал АС ОРГАНИЗАЦИИ, должны нести персональную ответственность за нарушения установленного порядка автоматизированной обработки информации, правил хранения, использования и передачи находящихся в их распоряжении защищаемых ресурсов системы. Каждый сотрудник (при приеме на работу) должен подписывать Соглашение-обязательство о соблюдении и ответственности за нарушение установленных требований по сохранению государственной, служебной и коммерческой тайны, а также правил работы с защищаемой информацией в АС ОРГАНИЗАЦИИ.
Обработка защищаемой информации в подсистемах АС ОРГАНИЗАЦИИ должна производиться в соответствии с утвержденными технологическими инструкциями (техническими порядками) для данных подсистем.
Для пользователей защищенных АРМ (то есть АРМ, на которых обрабатывается защищаемая информация или решаются подлежащие защите задачи и на которых установлены соответствующие средства защиты) должны быть разработаны необходимые технологические инструкции, включающие требования по обеспечению безопасности информации.
Регламентация процессов ведения баз данных и осуществления модификации информационных ресурсов
Все операции по ведению баз данных ОРГАНИЗАЦИИ и допуск сотрудников подразделений ОРГАНИЗАЦИИ к работе с этими базами данных должны быть строго регламентированы (должны производиться в соответствии с утвержденными технологическими инструкциями). Любые изменения состава и полномочий пользователей баз данных АС ОРГАНИЗАЦИИ должны производиться установленным порядком.
Распределение имен, генерация паролей, сопровождение правил разграничения доступа к базам данных возлагается на специальных пользователей - администраторов конкретных баз данных. При этом могут использоваться как только штатные, так и дополнительные средства защиты СУБД и операционных систем.
Регламентация процессов обслуживания и осуществления модификации аппаратных и программных ресурсов АС ОРГАНИЗАЦИИ
Все аппаратные и программные ресурсы АС ОРГАНИЗАЦИИ должны быть установленным порядком категорированы (для каждого ресурса должен быть определен требуемый уровень защищенности). Подлежащие защите ресурсы системы (задачи, программы, АРМ) подлежат строгому учету (на основе использования соответствующих формуляров или специализированных баз данных).
Аппаратно-программная конфигурация автоматизированных рабочих мест, на которых обрабатывается защищаемая информация (с которых возможен доступ к защищаемым ресурсам), должна соответствовать кругу возложенных на пользователей данного АРМ функциональных обязанностей. Все неиспользуемые в работе (лишние) устройства ввода-вывода информации (COM, LPT порты, дисководы НГМД, CD с других носителей информации) на таких АРМ должны быть отключены (удалены), не нужные для работы программные средства и данные с дисков АРМ также должны быть удалены.
Для упрощения сопровождения, обслуживания и организации защиты АРМ должны оснащаться программными средствами и конфигурироваться унифицировано (в соответствии с установленными правилами).
Ввод в эксплуатацию новых АРМ и все изменения в конфигурации технических и программных средств существующих АРМ в АС ОРГАНИЗАЦИИ должны осуществляться только установленным порядком.
Все программное обеспечение ( разработанное специалистами отделов программирования ОРГАНИЗАЦИИ, полученное централизованно или приобретенной у фирм-производителей) должно установленным порядком проходить испытания и передаваться в фонд алгоритмов и программ (ФАП) ОРГАНИЗАЦИИ. В подсистемах АС должны устанавливаться и использоваться только полученные установленным порядком из ФАП программные средства. Использование в АС ПО, не учтенного в ФАП ОРГАНИЗАЦИИ, должно быть запрещено.
Разработка ПО задач (комплексов задач), проведение испытаний разработанного и приобретенного ПО, передача ПО в эксплуатацию должна осуществляться в соответствии с установленным порядком разработки, проведения испытаний и передачи задач (комплексов задач) в эксплуатацию.
Обеспечение и контроль физической целостности (неизменности конфигурации) аппаратных ресурсов АС ОРГАНИЗАЦИИ
На всех АРМ, подлежащих защите, должны быть установлены необходимые технические средства защиты (соответствующие категории данных АРМ).
Узлы и блоки оборудования СВТ, к которым доступ обслуживающего персонала в процессе эксплуатации не требуется, после наладочных, ремонтных и иных работ, связанных с доступом к их монтажным схемам должны закрываться и опечатываться (пломбироваться) сотрудниками службы технической защиты информации ОРГАНИЗАЦИИ. О вскрытии (опечатывании) блоков ПЭВМ делается запись в «Журнале учета нештатных ситуаций, фактов вскрытия и опечатывания блоков ПЭВМ, выполнения профилактических работ, установки и модификации аппаратных и программных средств АРМ подразделения».
Повседневный контроль за целостностью и соответствием печатей (пломб) на системных блоках ПЭВМ должен осуществляться пользователями АРМ и администраторами безопасности информации (ответственными за безопасность информации подразделений ОРГАНИЗАЦИИ). Периодический контроль - сотрудниками службы технической защиты информации ОРГАНИЗАЦИИ.
Кадровая работа (подбор и подготовка персонала, обучение пользователей)
До начала этапа эксплуатации автоматизированной системы ее пользователи, а также необходимый руководящий и обслуживающий персонал должны быть ознакомлены с перечнем сведений, подлежащих засекречиванию и защите, в части их касающейся, и своим уровнем полномочий, а также организационно-распорядительной, нормативной, технической и эксплуатационной документацией, определяющей требования и порядок обработки информации ограниченного распространения.
Защита информации по всем перечисленным направлениям возможна только после выработки у пользователей определенной дисциплины, т.е. норм, обязательных для исполнения всеми, кто работает с АС ОРГАНИЗАЦИИ. К таким нормам можно отнести запрещение любых умышленных или неумышленных действий, которые нарушают нормальную работу АС ОРГАНИЗАЦИИ, вызывают дополнительные затраты ресурсов, нарушают целостность хранимой и обрабатываемой информации, нарушают интересы законных пользователей.
Все сотрудники ОРГАНИЗАЦИИ, использующие при работе конкретные подсистемы АС ОРГАНИЗАЦИИ, должны быть ознакомлены с организационно-распорядительными документами по защите АС ОРГАНИЗАЦИИ в части, их касающейся, должны знать и неукоснительно выполнять технологические инструкции и общие обязанности по обеспечению безопасности информации при использовании АС. Доведение требований указанных документов до лиц, допущенных к обработке защищаемой информации, должно осуществляться начальниками подразделений под роспись.
Подразделения технической защиты информации
Для непосредственной организации (построения) и эффективного функционирования системы защиты информации в ОРГАНИЗАЦИИ должна быть создана специальная служба технической защиты информации.
Служба технической защиты информации должна представлять собой систему штатных или нештатных подразделений, предназначенных для организации квалифицированной разработки (совершенствования) системы защиты информации и организационного (административного) обеспечения ее функционирования во всех подразделениях ОРГАНИЗАЦИИ.
На эти подразделения целесообразно возложить решение следующих основных задач:
· проведение в жизнь политики обеспечения безопасности информации, определение требований к системе защиты информации;
· организация мероприятий и координация работ всех подразделений ОРГАНИЗАЦИИ по комплексной защите информации;
· контроль и оценка эффективности принятых мер и применяемых средств защиты информации.
Основные функции подразделения безопасности заключаются в следующем:
· формирование требований к системе защиты в процессе создания (развития) АС ОРГАНИЗАЦИИ;
· участие в проектировании системы защиты, ее испытаниях и приемке в эксплуатацию;
· планирование, организация и обеспечение функционирования системы защиты информации в процессе функционирования АС;
· распределение между пользователями необходимых реквизитов защиты;
· наблюдение за функционированием системы защиты и ее элементов;
· организация проверок надежности функционирования системы защиты;
· обучение пользователей и персонала АС правилам безопасной обработки информации;
· регламентация действий и контроль за администраторами баз данных, серверов и сетевых устройств (за сотрудниками, обеспечивающими правильность применения имеющихся в составе ОС, СУБД и т.п. средств разграничения доступа и других средств защиты информации);
· взаимодействие с ответственными за безопасность информации в подразделениях ОРГАНИЗАЦИИ;
· контроль за соблюдением пользователями и персоналом АС установленных правил обращения с защищаемой информацией в процессе ее автоматизированной обработки;
· принятие мер при попытках НСД к информации и при нарушениях правил функционирования системы защиты.
Организационно-правовой статус службы защиты определяется следующим образом:
· численность службы защиты должна быть достаточной для выполнения всех перечисленных выше функций;
· служба защиты должна подчиняться лицу, которое несет персональную ответственность за соблюдение правил обращения с защищаемой информацией;
· персонал службы защиты не должен иметь других обязанностей, связанных с функционированием АС;
· сотрудники службы защиты должны иметь право доступа во все помещения, где установлена аппаратура АС ОРГАНИЗАЦИИ и право прекращать автоматизированную обработку информации при наличии непосредственной угрозы для защищаемой информации;
· руководителю службы защиты должно быть предоставлено право запрещать включение в число действующих новые элементы АС ОРГАНИЗАЦИИ, если они не отвечают требованиям защиты информации и это может привести к серьезным последствиям в случае реализации значимых угроз безопасности информации;
· службе защиты информации должны обеспечиваться все условия, необходимые для выполнения своих функций.
Для решения задач, возложенных на подразделение защиты информации, его сотрудники должны иметь следующие права:
· определять необходимость и разрабатывать нормативные документы, касающиеся вопросов обеспечения безопасности информации, включая документы, регламентирующие деятельность сотрудников подразделений ОРГАНИЗАЦИИ;
· получать информацию от сотрудников подразделений ОРГАНИЗАЦИИ по вопросам применения информационных технологий и эксплуатации АС;
· участвовать в проработке технических решений по вопросам обеспечения безопасности информации при проектировании и разработке комплексов задач (задач);
· участвовать в испытаниях разработанных комплексов задач (задач) по вопросам оценки качества реализации требований по обеспечению безопасности информации;
· контролировать деятельность сотрудников подразделений ОРГАНИЗАЦИИ по вопросам ОБИ.
В состав подразделения защиты информации должны входить следующие специалисты:
· ответственные за администрирование средств защиты от НСД (выбор, установка, настройка, снятие средств защиты, просмотр журналов регистрации событий, оперативный контроль за работой пользователей и реагирование на события НСД и т.п.);
· ответственные за администрирование криптографических средств защиты (установка, настройка, снятие СКЗИ, генерация и распределение ключей и т.д.);
· ответственные за решение вопросов защиты информации в разрабатываемых программистами и внедряемых прикладных программах (участие в разработке технических заданий по вопросам защиты информации, выбор средств и методов защиты, участие в испытаниях новых прикладных программ с целью проверки выполнения требований по защите информации и т.д.);
· специалисты по защите от утечки информации по техническим каналам.
Ответственность за нарушения установленного порядка использования АС ОРГАНИЗАЦИИ. Расследование нарушений.
Любое грубое нарушение порядка и правил работы в АС сотрудниками структурных подразделений ОРГАНИЗАЦИИ и других ведомств должно расследоваться. К виновным должны применяться адекватные меры воздействия. Мера ответственности персонала за действия, совершенные в нарушение установленных правил обеспечения безопасной автоматизированной обработки информации, должна определяться нанесенным ущербом, наличием злого умысла и другими факторами по усмотрению руководства центральных или территориальных органов ОРГАНИЗАЦИИ.
Для реализации принципа персональной ответственности пользователей за свои действия необходимы:
· индивидуальная идентификация пользователей и инициированных ими процессов, т.е.установление за ними идентификатора, на базе которого будет осуществляться разграничение доступа в соответствии с принципом обоснованности доступа;
· проверка подлинности пользователей (аутентификация) на основе паролей, ключей на различной физической основе, биометрических характеристик личности и т.п.;
· регистрация (протоколирование) работы механизмов контроля доступа к ресурсам информационных систем с указанием даты и времени, идентификаторов запрашивающего и запрашиваемых ресурсов, вида взаимодействия и его результата;
· реакция на попытки несанкционированного доступа (сигнализация, блокировка и т.д.).
