Организационные методы защиты информации

Организационная защита информации — это регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерное овладение конфиденциальной информацией, включающая в себя организацию режима охраны, организацию работы с сотрудниками, с документами, а также организацию использования технических средств и работу по анализу угроз информационной безопасности.

Организационные методы создаются в каждой организации в соответствии с требованиями и условиями ее деятельности, в результате чего, в фирме имеются специфические способы и нормы защиты, однако, все они подчинены общим законам:

· осуществление разработки политики безопасности бизнес-персоналом;

· разграничение доступа к информации в соответствии с функционалом каждого специалиста;

· отсутствие максимального доступа сотрудника к информации;

· физическое разграничение административных и производственных процессов в сети;

· организация сети на основе доменов.

Обеспечение защиты средств обработки информации и автоматизированных рабочих мест от несанкционированного доступа достигается системой разграничения доступа субъектов к объектам. Данная система реализуется в программно-технических комплексах в рамках операционной системы, систем управления базами данных или прикладных программ, в средствах реализации ЛВС, в использовании криптографических преобразований и методов контроля доступа.

Защита информации организационными средствами предполагает защиту без использования технических средств. Иногда задача решается простым удалением ОТСС (основных технических средств и систем) от границы контролируемой зоны на максимально возможное расстояние. Так же возможен вариант размещения, например, трансформаторной подстанции и контура заземления в пределах контролируемой зоны. К организационно-техническим можно отнести так же удаление ВТСС (вспомогательных технических средств и систем), линии которых выходят за пределы контролируемой зоны, запрещение использования ОТСС с паразитной генерацией для обработки информации, а также проведение специальных проверок технических средств на отсутствие закладочных устройств. Необходимо помнить, что организационно-технические меры требуют выполнение комплекса мер, предписанных нормативными документами.

При разработке СЗИ (средств защиты информации) так же следует принимать во внимание и то, что вся система состоит из более мелких систем. К ним относится: подсистема управления доступом, подсистема регистрации и учета, криптографическая защита информации и подсистема обеспечения целостности.

Общие принципы организации защиты конфиденциальной информации, применяемые при разработке СЗИ [2, c. 49]:

· Непрерывность;

· Достаточность;

· Комплексность;

· Согласованность;

· Эффективность.

Для реализации мер защиты конфиденциальной информации должны применяться сертифицированные в установленном порядке технические средства защиты информации.

К мерам противодействия угрозам безопасности относят правовые, морально-этические, технологические, физические и технические меры. Морально-этические меры побуждают к созданию правовых мер (примером может быть неприязнь того, что кто-либо незнакомый Вам, может узнать Ваши фамилию имя и отчество, состояние здоровья или иную информацию личного характера). В свою очередь правовые меры побуждают к реализации организационных мер (разработка необходимых норм и правил при собирании, обработке, передаче и хранении информации), которые связаны с физическими и техническими мерами (технические средства защиты информации, физические барьеры на пути злоумышленника и т. д.).

Система безопасности — это организованная совокупность специальных органов, служб, средств, методов и мероприятий, обеспечивающих защиту жизненно важных интересов личности, предприятия или государства от внутренних и внешних угроз, в задачи которой входит разработка и осуществление мер по защите информации, формирование, обеспечение и продвижение средств обеспечения безопасности, и восстановление объектов защиты, пострадавших в результате каких-либо противоправных действий.

Все эти задачи помогают в достижении целей своевременного выявления угроз, оперативного их предотвращения, нейтрализации, пресечения, локализации и уничтожения, а также отражения атак.