Техническая политика в области обеспечения безопасности информации
Реализация технической политики в области обеспечения безопасности информации должна исходить из предпосылки, что невозможно обеспечить требуемый уровень защищенности информации не только с помощью одного отдельного средства (мероприятия), но и с помощью их простой совокупности. Необходимо их системное согласование между собой (комплексное применение), а отдельные разрабатываемые элементы информационной системы должны рассматриваться как часть единой информационной системы в защищенном исполнении при оптимальном соотношении технических (аппаратных, программных) средств и организационных мероприятий.
Основными направлениями реализации технической политики обеспечения безопасности информации АС ОРГАНИЗАЦИИ являются:
· обеспечение защиты информационных ресурсов от хищения, утраты, утечки, уничтожения, искажения или подделки за счет несанкционированного доступа и специальных воздействий (от НСД);
· обеспечение защиты информации от утечки по техническим каналам при ее обработке, хранении и при передаче по каналам связи.
Система обеспечения безопасности информации АС ОРГАНИЗАЦИИ должна предусматривать комплекс организационных, программных и технических средств и мер по защите информации в процессе ее обработки и хранения, при передаче информации по каналам связи, при ведении конфиденциальных переговоров, раскрывающих сведения с ограниченным доступом, при использовании импортных технических и программных средств.
В рамках указанных направлений технической политики обеспечения безопасности информации осуществляются:
· реализация разрешительной системы допуска исполнителей (пользователей, обслуживающего персонала) к работам, документам и информации конфиденциального характера;
· реализация системы инженерно-технических и организационных мер охраны, предусматривающей многорубежность и равнопрочность построения охраны (территории, здания, помещения) с комплексным применением современных технических средств охраны, обнаружения, наблюдения, сбора и обработки информации, обеспечивающих достоверное отображение и объективное документирование событий;
· ограничение доступа исполнителей и посторонних лиц в здания и помещения, где проводятся работы конфиденциального характера и размещены средства информатизации и коммуникации, на которых обрабатывается (хранится, передается) информация конфиденциального характера, непосредственно к самим средствам информатизации и коммуникациям;
· разграничение доступа пользователей и обслуживающего персонала к информационным ресурсам, программным средствам обработки (передачи) и защита информации в подсистемах различного уровня и назначения, входящих в АС ОРГАНИЗАЦИИ;
· учет документов, информационных массивов, регистрация действий пользователей и обслуживающего персонала, контроль за несанкционированным доступом и действиями пользователей, обслуживающего персонала и посторонних лиц;
· предотвращение внедрения в автоматизированные подсистемы программ-вирусов, программных закладок.
· криптографическое преобразование информации, обрабатываемой и передаваемой средствами вычислительной техники и связи;
· надежное хранение традиционных и машинных носителей информации, ключей (ключевой документации) и их обращение, исключающее хищение, подмену и уничтожение;
· необходимое резервирование технических средств и дублирование массивов и носителей информации;
· снижение уровня и информативности ПЭМИН, создаваемых различными элементами автоматизированных подсистем;
· обеспечение акустической защиты помещений, в которых обсуждается информация конфиденциального характера;
· электрическая развязка цепей питания, заземления и других цепей объектов информатизации, выходящих за пределы контролируемой зоны;
· активное зашумление в различных диапазонах;
· противодействие оптическим и лазерным средствам наблюдения.
