1. Разработка политики информационной безопасности

Политика информационной безопасности формируется на основе информационного и технического обследования информационной системы, анализа информационных рисков и оценки защищенности информации, в соответствии с требованиями Российских нормативно-руководящих документов, а также рекомендаций международных стандартов в области защиты информации (например, ISO 17799), что особенно важно для предприятий5 осуществляющих взаимодействие с иностранными партнерами.

Аттестация автоматизированной системы по требованиям защищенности информации в соответствии с Российским законодательством является обязательным, условием, позволяющим обрабатывать информацию ограниченного доступа. Сертификация автоматизированной системы по международным требованиям информационной безопасности делает предприятие более привлекательным для зарубежных компаний при выборе деловых партнеров в России.

В крупных организациях в информационные процессы вовлечена масса людей. для большинства из них требования политики безопасности отнюдь не очевидны. Чем сложнее пользователям приспособиться к установленной политике, тем менее вероятна ее работоспособность. На начальном этапе ее требования наверняка будут нарушаться, да и в будущем полностью избежать этого не удастся.

Необходимо осуществлять непрерывный контроль выполнения правил политики безопасности, как на этапе ее внедрения, так и в дальнейшем, фиксировать нарушения, разбираться в их причинах.

Одна из основных форм этого контроля — регулярное проведение как внутреннего, так и внешнего аудита безопасности.

Политику безопасности необходимо совершенствовать, чтобы она оставалась эффективной. Даже если удалось разработать и внедрить эффективную политику безопасности, работа на этом не заканчивается. Обеспечение информационной безопасности — непрерывный процесс. Технологии стремительно изменяются, системы устаревают, а многие процедуры теряют эффективность. Политики безопасности должны непрерывно совершенствоваться, чтобы оставаться эффективными.

Политика безопасности включает в себя 3 уровня защиты (рис. 2.1):

Рис. 2.1. Три уровня защиты

— 1-й уровень — защита на уровне аппаратных средств рабочих станций и серверов, активизируемая на каждом компьютере до загрузки ос;

— 2-й уровень создание замкнутого интерфейсного окружения и защита на уровне локальных компьютерных ресурсов;

— 3-й уровень — защита на уровне общих ресурсов компьютерной сети, включая блокирование несанкционированного межсетевого доступа.

Работоспособность и эффективность существующих политик должны регулярно проверяться. Устаревшие Политики должны пересматриваться.