Раздел 6. Меры и средства защиты информации (Меры контроля)

Защитные меры (см. например ГОСТ ИСО/МЭК 13335) — это действия, процедуры и механизмы, способные обеспечить безопасность от возникновения угрозы, уменьшить уязвимость, ограничить воздействие инцидента в системе безопасности, обнаружить инциденты и облегчить восстановление активов.

Эффективная безопасность обычно требует комбинации различных защитных мер для обеспечения заданных уровней безопасности при защите активов. Например, механизмы контроля доступа, применяемые к вычислительным средствам, должны подкрепляться аудитом, определенным порядком действий персонала, его обучением, а также физической защитой. Часть защитных мер может быть обеспечена внешними условиями, свойствами актива или может уже существовать в системе или организации.

Порядок выбора защитных мер очень важен для правильного планирования и реализации программы информационной безопасности. Защитная мера может выполнять много функций безопасности и, наоборот, одна функция безопасности может потребовать нескольких защитных мер. Защитные меры могут выполнять одну или несколько из следующих функций:

предотвращение; сдерживание; обнаружение; ограничение; исправление; восстановление; мониторинг; осведомление.

Некоторые защитные меры могут характеризовать позицию организации в области информационной безопасности. В связи с этим важно выбирать специфические защитные меры, не причиняющие ущерба культурной и социальной среде, в которой функционирует организация.

Примерами тааких специфическими защитными мерами являются:

- политики и процедуры; механизмы контроля доступа; антивирусное программное обеспечение; шифрование; цифровая подпись; инструменты мониторинга и анализа; резервный источник питания; резервные копии информации.

Меры обеспечения ИБ (или меры контроля в понятиях ГОСТ Р ИСО/МЭК 27001, или защитные меры в терминах ISO 13335-1) имеют разветвленную сложную структуру и состоят из организационных и программно-технических мер на верхнем уровне.

В свою очередь, организационные меры включают законодательные, административные и процедурные меры обеспечения ИБ

Законодательные меры включают в себя законы, стандарты, регламенты и другие нормативные документы.

Основой административных мер, осуществляемых руководством организации, является политика безопасности.

Процедурные, то есть реализуемые людьми, меры безопасности, включают меры по:

- управлению персоналом;

- физической защите;

- поддержке работоспособности;

- реагированию на нарушения режима безопасности;

- планированию восстановительных работ.

Идентификация мер защиты важна и на этапе оценки рисков. В процессе идентификации мер защиты должна быть проведена проверка, что эти средства работают корректно.

Описание мер по обеспечению ИБ, приведенное ниже, выполнено в нотациях стандарта ГОСТ Р ИСО/МЭК 27001 и ISO/IEC 17799:2005 с указанием цели и описанием требований. Стандарты ГОСТ Р ИСО/МЭК 27001 и ISO/IEC 17799:2005 выделяют следующие области контроля:

- политика безопасности;

- управление активами(ресурсами);

- безопасность кадровых ресурсов(персонала);

- физическая безопасность и безопасность от воздействия окружающей среды;

- управление средствами связи и функционированием;

- контроль доступа;

- приобретение, разработка и обслуживание информационных систем;

- управление инцидентами с информационной безопасностью;

- управление непрерывностью бизнес-процессов;

- соответствие различным требованиям.

Ориентировочно, весь объем мероприятий (в денежном исчислении) по охране и защите информации (См.[Тихонов-Райх]) можно разделить в следующем соотношении:

1. Правовые меры (законы, ведомственные акты, инструкции) – 5%.

2. Физические меры (ограда по периметру, служба охраны, разграничение полномочий и др.) – 15%.

3. Технические меры (различные технические и программные средства защиты) – 25‑30%.

4. Административные меры (разработка политики в области безопасности, процедур ее внедрения, кадровая политика, обучение персонала, контроль и др.) – 50%.