Лекция 6. Организация службы защиты информации (СЗИ)

6.1.Создание СЗИ

6.2.Структура СЗИ

6.3.Организационно-технические мероприятия СЗИ

6.4.Руководитель службы защиты информации

6.5.Разработка должностных инструкций для специалистов по защите информации

Создание СЗИ

Основной задачей службы информационной безопасности является определение направления развития и поддержки усилий организации, направленных на защиту информации от несанкционированного ознакомления, изменения, разрушения или отказа в доступе. Это достигается путем внедрения соответствующих правил, инструкций и указаний.

Служба информационной безопасности отвечает:

- за разработку и издание правил (инструкций и указаний) по обеспечению безопасности, соответствующих общим правилам работы организации и требованиям к обработке информации;

- внедрение программы обеспечения безопасности, включая классификацию степени секретности информации (если таковая имеется) и оценку деятельности;

- разработку и обеспечение выполнения программы обучения и ознакомления с основами информационной безопасности в масштабах организации;

- разработку и сопровождение перечня минимальных требований к процедурам контроля за доступом ко всем компьютерным системам, независимо от их размера;

- отбор, внедрение, проверку и эксплуатацию соответствующих методик планирования восстановления работы для всех подразделений

- организации, принимающих участие в автоматизированной обработке самой важной информации;

- разработку и внедрение процедур пересмотра правил обеспечения информационной безопасности, а также рабочих программ, предназначенных для поддержки правил, инструкций, стандартов и указаний организации;

- участие в описании, конструировании, создании и приобретении систем в целях соблюдения правил безопасности при автоматизации производственных процессов;

- изучение, оценку, выбор и внедрение аппаратных и программных средств, функций и методик обеспечения информационной безопасности, применимых для компьютерных систем организации.

При необходимости на службу информационной безопасности возлагается выполнение других обязанностей:

- формирование требований к системе защиты в процессе создания информационных систем (ИС);

- участие в проектировании системы защиты, ее испытаниях и приемке в эксплуатацию;

- планирование, организация и обеспечение функционирования системы защиты информации в процессе функционирования ИС;

- распределение между пользователями необходимых реквизитов защиты;

- наблюдение за функционированием системы защиты и ее элементов;

- организация проверок надежности функционирования системы защиты;

- обучение пользователей и персонала ИС правилам безопасной обработки информации;

- контроль за соблюдением пользователями и персоналом ИС установленных правил обращения с защищаемой информацией в процессе ее автоматизированной обработки;

- принятие мер при попытках несанкционированного доступа НСД к информации и при нарушениях правил функционирования системы защиты.

При создании СЗИ на предприятии рекомендуется учитывать следующие требования:

· численность службы защиты должна быть достаточной для выполнения всех перечисленных функций;

· служба защиты должна подчиняться тому лицу, которое в данном учреждении несет персональную ответственность за соблюдение правил обращения с защищаемой информацией;

· штатный состав службы защиты не должен иметь других обязанностей, связанных с функционированием ИС;

· сотрудники службы защиты должны иметь право доступа во все помещения, где установлена аппаратура ИС, и право прекращать автоматизированную обработку информации при наличии непосредственной угрозы для защищаемой информации;

· руководителю службы защиты должно быть предоставлено право запрещать включение в число действующих новые элементы ИС, если они не отвечают требованиям защиты информации;

· служба защиты информации должна иметь все условия, необходимые для выполнения своих функций.

Структура СЗИ

В структуру службы безопасности могут входить:

· директор (заместитель директора) или руководитель непосредственно подчиненный главе фирмы;

· заместитель начальника службы безопасности - на некоторы) предприятиях он руководит физической, а иногда и технически! службами охраны;

· аналитик;

· юрист;

· специалисты в области обеспечения безопасности экономической разведки, промышленной контрразведки;

· технические специалисты, умеющие применять специальну|| технику для защиты помещений;

· сотрудники физической охраны и пропускного режима (по найму), но подчиненные руководителю службы безопасности).

Условно сотрудников службы информационной безопасности можно разделить по функциональным обязанностям:

Сотрудник группы безопасности. В его обязанности входит обеспечение контроля за защитой наборов данных и программ, помощь пользователям и организация общей поддержки групп управления защитой и менеджмента в своей зоне ответственности. При децентрализованном управлении каждая подсистема ИС имеет своего сотрудника группы безопасности.

Администратор безопасности системы. В его обязанности входит ежемесячное опубликование нововведений в области защиты, новых стандартов, а также контроль за выполнением планов непрерывной работы и восстановления (при необходимости) и за хранением резервных копий.

Администратор безопасности данных. В его обязанности входит реализация и изменение средств защиты данных, контроль за состоянием защиты наборов данных, ужесточение защиты в случае необходимости, а также координирование работы с другими администраторами.

Руководитель группы. В его обязанности входит разработка и поддержка эффективных мер защиты при обработке информации для обеспечения сохранности данных, оборудования и программного обеспечения; контроль за выполнением плана восстановления и общее руководство административными группами в подсистемах ИС (при децентрализованном управлении).

В небольших организациях функции руководителя службы обычно выполняет либо глава фирмы, либо его заместитель.

Количественный состав службы безопасности различен и зависит, прежде всего, от возможностей самой фирмы. Возможны различные варианты состава такой группы. Кроме того, перечень необходимых знаний и навыков, а также функциональных обязанностей лиц, входящих и группу защиты информации, может существенно отличаться в зависимости от назначения структуры и задач, решаемых в конкретной

К сожалению, на современном этапе отдается предпочтение ] физической и технической охране, время "оперативников" и аналитиков I только начинается [2].