Для нейтрализации существующих угроз и обеспечения информационной безопасности предприятия организуют систему менеджмента в сфере информационной безопасности, в рамках которой (системы) проводят работу по нескольким направлениям:
- формирование и практическая реализация комплексной многоуровневой политики информационной безопасности предприятия и системы внутренних требований, норм и правил;
- организация департамента (службы, отдела) информационной безопасности;
- разработка системы мер и действий на случай возникновения непредвиденных ситуаций ("Управление инцидентами");
- проведение аудитов (комплексных проверок) состояния информационной безопасности на предприятии.
Рисунок 3. Структура организационной деятельности в сфере информационной безопасности на предприятии
Каждое из этих направлений организационной работы имеет свои особенности и должно реализовываться с использованием специфических методов менеджмента и в соответствии со своими правилами. Политики и правила информационной безопасности являются организационными документами, регулирующими деятельность всей организации или отдельных подразделений (категорий сотрудников) в части обращения с информационными системами и информационными потоками.
6. Организационная защита информации — это регламентация деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерное овладение конфиденциальной информацией и проявление внутренних и внешних угроз.
Организационная защита обеспечивает:
- организацию охраны, режима, работу с кадрами, с документами;
- использование технических средств безопасности и информационно-аналитическую деятельность по выявлению внутренних и внешних угроз предпринимательской деятельности.
С точки зрения информационной безопасности существует два общих принципа, используемых при управлении кадрами: разделение обязанностей и минимизация привилегий. Принцип разделения обязанностей состоит в таком распределении ролей и ответственности, чтобы один человек не смог нарушить критически важный для организации процесс. Принцип минимизации привилегий служит развитием предыдущего и предписывает выделять пользователям только те права доступа к информации, которые необходимы им для выполнения служебных обязанностей. Смысл этих принципов очевиден — уменьшить ущерб от случайных или умышленных некорректных действий пользователей
Организационная защита включает в себя регламентацию:
1) Формирования и организации деятельности службы безопасности, обеспечения деятельности этих служб нормативно-методическими документами по организации защиты информации.
2) Составления и регулярного обновления состава защищаемой информации компании, составления и ведения перечня защищаемых бумажных и электронных документов.
3) Разрешительной системы разграничения доступа персонала к защищаемой информации.
4) Методов отбора персонала для работы с защищаемой информацией, методики обучения и инструктирования сотрудников.
5) Направлений и методов воспитательной работы с персоналом, контроля соблюдения сотрудниками порядка защиты информации.
6) Технологии защиты, обработки и хранения бумажных и электронных документов.
7) Порядка защиты ценной информации компании от случайных или умышленных несанкционированных действий персонала.
8) Ведения всех видов аналитической работы.
9) Порядка защиты информации при проведении совещаний, заседаний, переговоров, приеме посетителей, работе с представителями СМИ.
10) Оборудования и аттестации помещений и рабочих зон, выделенных для работы с конфиденциальной информацией.
11) Пропускного режима на территории, в здании, помещениях, идентификации транспорта и персонала компании.
12) Системы охраны территории.
13) Действий персонала в экстремальных ситуациях.
14) Организационных вопросов приобретения, установки и эксплуатации технических средств защиты информации и охраны.
15) Работы по управлению системой защиты информации.
16) Критериев и порядка проведения оценочных мероприятий по установлению степени эффективности системы защиты информации.
Система организационных мер по защите информации представляют собой комплекс мероприятий, включающих четыре основных компонента:
— изучение обстановки на объекте;
— разработку программы защиты;
— деятельность по проведению указанной программы в жизнь;
— контроль за ее действенностью и выполнением установленных правил.
Выделяют следующие организационные мероприятия:
— ознакомление с сотрудниками, их изучение, обучение правилам работы с конфиденциальной информацией, ознакомление с мерами ответственности за нарушение правил защиты информации и др.;
— организация надежной охраны помещений и территории прохождения линии связи;
— организация, хранения и использования документов и носителей конфиденциальной информации, включая порядок учета, выдачи, исполнения и возвращения;
— создание штатных организационных структур по защите ценной информации или назначение ответственного за защиту информации на конкретных этапах еѐ обработки и передачи;
— создание особого порядка взаимоотношений со сторонними организациями и партнерами;
— организация конфиденциального делопроизводства.
Организационные мероприятия играют существенную роль в создании надежного механизма защиты информации, так как возможности несанкционированного использования конфиденциальных сведений в значительной мере обусловливаются не техническими аспектами, а злоумышленными действиями, нерадивостью, небрежностью и халатностью пользователей или персонала защиты. Влияния этих аспектов практически невозможно избежать с помощью технических средств. Для этого необходима совокупность организационно-правовых и организационно-технических мероприятий, которые исключали бы (или, по крайней мере, сводили бы к минимуму) возможность возникновения опасности конфиденциальной информации.
