Интеллектуальные компьютерные технологии защиты информации

1.5.2 Инвентаризация ресурсов

Инвентаризация ресурсов помогает обеспечить эффективность мер безопасности и может способствовать достижению других целей, например, обеспечению здоровья и личной безопасности, страхованию и управлению активами. Инвентаризация должна проводиться в отношении основных ресурсов каждой информационной системы. Каждый компонент ресурсов должен быть четко опред

елен в соответствии с классификацией по его принадлежности и применяемым к нему мерам безопасности. Примерами ресурсов, ассоциирующихся с информационными системами, могут быть:

• информационные ресурсы: базы и файлы данных, системная документация, руководства для пользователей, учебные материалы, операционные процедуры и процедуры поддержки, схемы обеспечения непрерывного функционирования, схемы нейтрализации неисправности;

• программные ресурсы: прикладное программное обеспечение, системное программное обеспечение, средства разработки приложений и утилиты;

• физические ресурсы: компьютеры и коммуникационное оборудование, магнитные носители информации (ленты и диски), другое техническое оборудование (источники питания, кондиционеры),мебель, помещения;

• услуги: вычислительные и коммуникационные услуги, другие технические (отопление, освещение,энергоснабжение, кондиционирование воздуха).

1.5.3 Классификация информации

Классификация информации должна использоваться для определения необходимости принятия мер безопасности, их объема и приоритетности.

Информация имеет различную степень уязвимости и важности. Отдельные компоненты информации могут нуждаться в дополнительной защите или в особом обращении. Для определения соответствующих уровней обеспечения безопасности и информирования пользователей о необходимости особого обращения с информацией должна использоваться система классификации мер безопасности.

1.5.4 Принципы классификации

При классификации мер безопасности и определении соответствующих мероприятий по защите информации следует принимать во внимание необходимость предоставления информации, а также последствия несанкционированного доступа или разрушения информации. В частности, следует обратить внимание на следующие факторы:

• конфиденциальность: производственная необходимость предоставления или ограничения доступа к информации с соблюдением конфиденциальности и контроля, требуемых в отношении ограниченного доступа к информации;

• целостность: производственная необходимость проверки изменений информации и контроль,необходимый для защиты правильности и полноты информации;

• доступность: производственная необходимость иметь доступ к информации и соблюдение принятых видов контроля для ее получения.

Ответственность за определение классификационной принадлежности единицы информации, например, документа, записи данных, файла данных или дискеты, а также за периодичный пересмотр классификации должна лежать на лице, подготовившем данные, или на владельце данных.

Следует уделить особое внимание интерпретации классификационных меток на документах, поступающих от других организаций, которые могут быть различными в отношении одной и той же информации либо похожими.

1.5.5 Маркирование информации

Информация ограниченного доступа и выходные данные систем, обрабатывающих подобную информацию, должны быть снабжены соответствующими метками. Однако зачастую информация перестает быть уязвимой по истечении некоторого периода времени, например, когда она становится достоянием широкой публики. Этот факт следует принимать во внимание, поскольку обеспечение излишней секретности приводит к неоправданным дополнительным расходам.

Выходные данные, поступающие от информационных систем, содержащих информацию ограниченного доступа, должны иметь соответствующую метку. Маркировка должна отражать степень секретности наиболее уязвимых сведений в выходных данных. Это относится к распечатанным отчетам, экранным дисплеям, магнитным носителям (лентам, дискетам, кассетам), электронным сообщениям и электронной передаче файлов.

Примечание. Физические метки являются наиболее подходящими для маркировки. Тем не менее в некоторых случаях, например, при электронной передаче, функция маркирования выполняется иными средствами, такими, как процедуры, контракты или почтовые уведомления.

1.6 Обеспечение безопасности персоналом

Снизить риски, возникающие вследствие ошибок, кражи, мошенничества или неправильного обращения с техникой, возможно только при должной организации работ с персоналом.

1.6.1 Обеспечение безопасности при составлении должностных инструкций и проверка благонадежности

Обеспечение мер безопасности должно начинаться уже на стадии приема на работу; они должны предусматриваться должностными инструкциями и контрактными условиями. Выполнение мер безопасности должно отслеживаться в период работы сотрудника.

Руководители должны обеспечить, чтобы должностные инструкции включали все необходимые обязанности по соблюдению мер безопасности. Принимаемые на работу лица должны пройти соответствующую проверку на благонадежность, особенно для уязвимых видов деятельности. Все служащие и сторонние пользователи должны подписать обязательство о соблюдении конфиденциальности (о неразглашении тайны, нераспространении информации ограниченного пользования).

1.6.2 Отражение мер безопасности в должностных инструкциях

В должностные инструкции должна быть включена ответственность за соблюдение мер безопасности в соответствии с проводимой в организации политикой информационной безопасности. Сюда входят общие обязанности по реализации или соблюдению политики безопасности, а также особые обязанности по защите конкретных ресурсов или по выполнению конкретных процедур и процессов обеспечения безопасности.

1.6.3 Проверка на благонадежность при приеме на работу

Принимаемые на работу должны подвергаться проверке, если работа связана с доступом к средствам обработки уязвимой информации. При этом необходимо:

представление, по крайней мере, двух положительных характеристик, одна служебная и одна личная;

проверка автобиографических данных на полноту и достоверность; подтверждение образовательной и профессиональной квалификации; проверка идентичности личности, например, паспортных данных;

проверка кредитоспособности при приеме на ответственные должности, например, проверка финансового положения.

1.6.4 Договор о соблюдении конфиденциальности

Пользователи информационными средствами организации должны подписать соответствующее обязательство в отношении конфиденциальности (о неразглашении). Служащие обычно подписывают такое обязательство как часть основных условий приема на работу.

Персонал отделений и сторонние пользователи, не связанные существующим контрактом, содержащим обязательства по соблюдению конфиденциальности, должны обязательно подписать такой договор, прежде чем получить доступ к информационным средствам организации.

 Скачать реферат