ОСНОВНЫЕ МЕТОДЫИ ПРИЕМЫОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
Защита информационных ресурсов предприятия включает деятельность руководства, должностных лиц и структурных подразделений предприятия по принятию правовых, организационных и технических мер, направленных на:
- обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий;
- соблюдение конфиденциальности информации ограниченного доступа;
- реализацию права на доступ к информации.
Таким образом, обеспечение информационной безопасности есть совокупность деятельности по недопущению вреда свойствам объекта безопасности, обусловливаемым информацией и информационной инфраструктурой, и субъектов, а также средств этой деятельности.
Деятельность по обеспечению информационной безопасности — комплекс планируемых и проводимых в целях защиты информационных ресурсов мероприятий, направленных на ликвидацию угроз информационной безопасности и минимизацию возможного ущерба, который может быть нанесен объекту безопасности вследствие их реализации.
Под субъектами обеспечения информационной безопасности понимаются государственные органы, предприятия, должностные лица, структурные подразделения, принимающие непосредственное участие в организации и проведении мероприятий по обеспечению информационной безопасности.
Средства осуществления деятельности по обеспечению информационной безопасности — это системы, объекты, способы, методы и механизмы, предназначенные для непосредственного решения задач обеспечения информационной безопасности.
Объём (реализация) понятия «информационная безопасность»
Системный подход к описанию информационной безопасности предлагает выделить следующие составляющие информационной безопасности:
1. Законодательная, нормативно-правовая и научная база.
2. Структура и задачи органов (подразделений), обеспечивающих безопасность ИТ.
3. Организационно-технические и режимные меры и методы (Политика информационной безопасности).
4. Программно-технические способы и средства обеспечения информационной безопасности.
Ниже в данном разделе подробно будет рассмотрена каждая из составляющих информационной безопасности.
Целью реализации информационной безопасности какого-либо объекта является построение Системы обеспечения информационной безопасности данного объекта (СОИБ). Для построения и эффективной эксплуатации СОИБ необходимо:
§ выявить требования защиты информации, специфические для данного объекта защиты;
§ учесть требования национального и международного Законодательства;
§ использовать наработанные практики (стандарты, методологии) построения подобных СОИБ;
§ определить подразделения, ответственные за реализацию и поддержку СОИБ;
§ распределить между подразделениями области ответственности в осуществлении требований СОИБ;
§ на базе управления рисками информационной безопасности определить общие положения, технические и организационные требования, составляющие Политику информационной безопасности объекта защиты;
§ реализовать требования Политики информационной безопасности, внедрив соответствующие программно-технические способы и средства защиты информации;
§ реализовать Систему менеджмента (управления) информационной безопасности (СМИБ);
§ используя СМИБ организовать регулярный контроль эффективности СОИБ и при необходимости пересмотр и корректировку СОИБ и СМИБ.
Как видно из последнего этапа работ, процесс реализации СОИБ непрерывный и циклично (после каждого пересмотра) возвращается к первому этапу, повторяя последовательно всё остальные. Так СОИБ корректируется для эффективного выполнения своих задач защиты информации и соответствия новым требованиям постоянно обновляющейся информационной системы.
Нормативные документы в области информационной безопасности
В Российской Федерации к нормативно-правовым актам в области информационной безопасности относятся:
Акты федерального законодательства:
§ Международные договоры РФ;
§ Конституция РФ;
§ Законы федерального уровня (включая федеральные конституционные законы, кодексы);
§ Указы Президента РФ;
§ Постановления правительства РФ;
§ Нормативные правовые акты федеральных министерств и ведомств;
§ Нормативные правовые акты субъектов РФ, органов местного самоуправления и т. д.
К нормативно-методическим документам можно отнести
1. Методические документы государственных органов России:
§ Доктрина информационной безопасности РФ;
§ Руководящие документы ФСТЭК (Гостехкомиссии России);
§ Приказы Федеральной службы безопасности;
2. Стандарты информационной безопасности, из которых выделяют:
§ Международные стандарты;
§ Государственные (национальные) стандарты РФ;
§ Рекомендации по стандартизации;
§ Методические указания.