Техническая защита информации. Организация защиты информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну
:Техническая защита информации. Организация защиты информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну
Организационные основы выполнения мероприятий по ТКЗИ
14.1. Комплекс мероприятий по ТЗКИ от утечки по техническим каналам утечки и от НСД к ней
Система защиты информации от НСД (СЗИ НСД) - комплекс организационных мер и программно-технических (при необходимости криптографических) средств защиты от несанкционированного доступа к информации (несанкционированных действий с ней) в автоматизированной системе[112].
Важной частью СЗИ является комплекс организационных мер по защите информации.
Организационные меры защиты информации представляют собой комплекс административных и ограничительных мер, направленных на защиту информации путем регламентации деятельности персонала и порядка функционирования средств (систем). К основным организационным мероприятиям относятся:
- создание службы защиты информации;
- разработка организационно-распорядительных документов, необходимых для организации комплексной защиты информации;
- определение порядка доступа к защищаемым объектам;
- установление и оформление правил разграничения доступа;
- ознакомление сотрудников организации с перечнем защищаемой информации, организационно-распорядительной документации по работе с ней;
- обеспечение охраны объекта информатизации путем установления системы контроля доступа, постов охраны, ограждающих сооружений и т.п.
- управление системой защиты информации.
Состав организационно-распорядительных документов, как правило, включает:
- перечень информации, подлежащей защите;
- документы, регламентирующие порядок обращения сотрудников предприятия с информацией, подлежащей защите;
- положения о структурных подразделениях предприятия;
- документы, регламентирующие порядок взаимодействия предприятия со сторонними организациями по вопросам обмена информацией;
- документы, регламентирующие порядок эксплуатации автоматизированных систем предприятия;
- планы защиты автоматизированных систем предприятия;
- документы, регламентирующие порядок разработки, испытания и сдачи в эксплуатацию программных средств;
- документы, регламентирующие порядок закупки программных и аппаратных средств (в т.ч. средств защиты информации);
- документы, регламентирующие порядок эксплуатации технических средств связи и телекоммуникации[114].
Помимо этого СТР-К для обеспечения защиты конфиденциальной информации рекомендует следующее:
- на период обработки защищаемой информации в помещениях, где размещаются ОТСС, могут находиться только лица, допущенные в установленном порядке к обрабатываемой информации; допуск других лиц для проведения необходимых профилактических или ремонтных работ может осуществляться в эти помещения только с санкции руководителя учреждения (предприятия) или руководителя службы безопасности;
- в случае размещения в одном помещении нескольких технических средств отображения информации должен быть исключен несанкционированный просмотр выводимой на них информации;
- по окончании обработки защищаемой информации или при передаче управления другому лицу пользователь обязан произвести стирание временных файлов на несъёмных носителях информации и информации в оперативной памяти. Одним из способов стирания информации в оперативной памяти является перезагрузка ПЭВМ;
- изменение или ввод новых программ обработки защищаемой информации в АС должен осуществляться совместно разработчиком АС и администратором АС;
- при увольнении или перемещении администраторов АС руководителем учреждения (предприятия) по согласованию со службой безопасности должны быть приняты меры по оперативному изменению паролей, идентификаторов и ключей шифрования.
Все носители информации, используемые в технологическом процессе обработки информации, подлежат учету в том подразделении, которое является владельцем АС, обрабатывающей эту информацию. Учет можно осуществлять по карточкам, бумажным журналам или автоматизировано. Носители должны быть промаркированы. Маркировка должна содержать:
- учетный номер носителя
- дата
- гриф секретности
- номер экземпляра
- подпись сотрудника, ответственного за ведение учета.
Проведение организационных мероприятий позволяет перекрыть часть каналов утечки информации и является неотъемлемой частью комплексной системы защиты информации. Комплекс технических мероприятий по защите информации ограниченного доступа будет рассмотрен в следующих лекциях.
14.2. Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы
Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы осуществляется оператором в соответствии с эксплуатационной документацией на СЗИ и организационно-распорядительными документами по защите информации и в том числе включает:
- управление (администрирование) СЗИ ИС;
- выявление инцидентов и реагирование на них;
- управление конфигурацией аттестованной ИС и ее СЗИ;
- контроль (мониторинг) за обеспечением уровня защищенности информации, содержащейся в ИС.
В ходе управления (администрирования) СЗИ ИС осуществляется:
- заведение и удаление учетных записей пользователей, управление полномочиями пользователей информационной системы и поддержание правил разграничения доступа в информационной системе;
- управление средствами защиты информации в информационной системе, в том числе параметрами настройки программного обеспечения, включая программное обеспечение средств защиты информации, управление учетными записями пользователей, восстановление работоспособности средств защиты информации, генерацию, смену и восстановление паролей;
- установка обновлений программного обеспечения, включая программное обеспечение средств защиты информации, выпускаемых разработчиками (производителями) средств защиты информации или по их поручению;
- централизованное управление системой защиты информации информационной системы (при необходимости);
- регистрация и анализ событий в информационной системе, связанных с защитой информации (далее - события безопасности);
- информирование пользователей об угрозах безопасности информации, о правилах эксплуатации системы защиты информации информационной системы и отдельных средств защиты информации, а также их обучение;
- сопровождение функционирования системы защиты информации информационной системы в ходе ее эксплуатации, включая корректировку эксплуатационной документации на нее и организационно-распорядительных документов по защите информации;
В ходе выявления инцидентов и реагирования на них осуществляется:
- определение лиц, ответственных за выявление инцидентов и реагирование на них;
- обнаружение и идентификация инцидентов, в том числе отказов в обслуживании, сбоев (перезагрузок) в работе технических средств, программного обеспечения и средств защиты информации, нарушений правил разграничения доступа, неправомерных действий по сбору информации, внедрений вредоносных компьютерных программ (вирусов) и иных событий, приводящих к возникновению инцидентов;
- своевременное информирование лиц, ответственных за выявление инцидентов и реагирование на них, о возникновении инцидентов в информационной системе пользователями и администраторами;
- анализ инцидентов, в том числе определение источников и причин возникновения инцидентов, а также оценка их последствий;
- планирование и принятие мер по устранению инцидентов, в том числе по восстановлению информационной системы и ее сегментов в случае отказа в обслуживании или после сбоев, устранению последствий нарушения правил разграничения доступа, неправомерных действий по сбору информации, внедрения вредоносных компьютерных программ (вирусов) и иных событий, приводящих к возникновению инцидентов;
- планирование и принятие мер по предотвращению повторного возникновения инцидентов.
В ходе управления конфигурацией аттестованной информационной системы и ее системы защиты информации осуществляются:
- поддержание конфигурации информационной системы и ее системы защиты информации (структуры системы защиты информации информационной системы, состава, мест установки и параметров настройки средств защиты информации, программного обеспечения и технических средств) в соответствии с эксплуатационной документацией на систему защиты информации (поддержание базовой конфигурации информационной системы и ее системы защиты информации);
- определение лиц, которым разрешены действия по внесению изменений в базовую конфигурацию информационной системы и ее системы защиты информации;
- управление изменениями базовой конфигурации информационной системы и ее системы защиты информации, в том числе определение типов возможных изменений базовой конфигурации информационной системы и ее системы защиты информации, санкционирование внесения изменений в базовую конфигурацию информационной системы и ее системы защиты информации, документирование действий по внесению изменений в базовую конфигурацию информационной системы и ее системы защиты информации, сохранение данных об изменениях базовой конфигурации информационной системы и ее системы защиты информации, контроль действий по внесению изменений в базовую конфигурацию информационной системы и ее системы защиты информации;
- анализ потенциального воздействия планируемых изменений в базовой конфигурации информационной системы и ее системы защиты информации на обеспечение защиты информации, возникновение дополнительных угроз безопасности информации и работоспособность информационной системы;
- определение параметров настройки программного обеспечения, включая программное обеспечение средств защиты информации, состава и конфигурации технических средств и программного обеспечения до внесения изменений в базовую конфигурацию информационной системы и ее системы защиты информации;
- внесение информации (данных) об изменениях в базовой конфигурации информационной системы и ее системы защиты информации в эксплуатационную документацию на систему защиты информации информационной системы;
- принятие решения по результатам управления конфигурацией о повторной аттестации информационной системы или проведении дополнительных аттестационных испытаний.
В ходе контроля (мониторинга) за обеспечением уровня защищенности информации, содержащейся в информационной системе, осуществляются:
- контроль за событиями безопасности и действиями пользователей в информационной системе;
- контроль (анализ) защищенности информации, содержащейся в информационной системе;
- анализ и оценка функционирования системы защиты информации информационной системы, включая выявление, анализ и устранение недостатков в функционировании системы защиты информации информационной системы;
- периодический анализ изменения угроз безопасности информации в информационной системе, возникающих в ходе ее эксплуатации, и принятие мер защиты информации в случае возникновения новых угроз безопасности информации;
- документирование процедур и результатов контроля (мониторинга) за обеспечением уровня защищенности информации, содержащейся в информационной системе;
- принятие решения по результатам контроля (мониторинга) за обеспечением уровня защищенности информации о доработке (модернизации) системы защиты информации информационной системы, повторной аттестации информационной системы или проведении дополнительных аттестационных испытаний.