В информационных технологиях

1. Комплексный подход к построению системы защиты при ведущей роли организационных мероприятий. Он означает оптимальное сочетание программно-аппаратных средств и организационных мер защиты, под­твержденное практикой создания отечественных и зарубежных систем защиты.

2. Разделение и минимизация полномочий по доступу к обрабатывае­мой информации и процедурам обработки. Специалистам экономического объекта предоставляется минимум строго определенных полномочий, достаточных для успешного выполнения ими своих служебных обязан­ностей, с точки зрения автоматизированной обработки доступной им конфиденциальной информации.

3. Полнота контроля и регистрация попыток несанкционированного доступа, т.е. необходимость точного установления идентичности каж­дого специалиста и протоколирования его действий для проведения воз­можного расследования, а также невозможность совершения любой операции обработки информации в ИТ без ее предварительной регист­рации.

4. Обеспечение надежности системы защиты, т.е. невозможность снижения ее уровня при возникновении в системе сбоев, отказов, пред­намеренных действий нарушителя или непреднамеренных ошибок спе­циалистов экономического объекта и обслуживающего персонал;

5. Обеспечение контроля за функционированием системы защиты, т. е. создание средств и методов контроля работоспособности механиз­мов защиты.

6. «Прозрачность» системы защиты информации для общего, приклад­ного программного обеспечения и специалистов экономического объекта.

7. Экономическая целесообразность использования системы защиты.

Она выражается в том, что стоимость разработки и эксплуатации систе­мы защиты информации должна быть меньше стоимости возможного ущерба, наносимого объекту в случае разработки и эксплуатации ин­формационной технологии без системы защиты информации.

В процессе организации системы защиты информации в информа­ционных технологиях решаются следующие вопросы:

• устанавливается наличие конфиденциальной информации, оце­нивается уровень конфиденциальности и объемы такой информации;

• определяются режимы обработки информации (интерактивный, реального времени и т.д.), состав комплекса технических средств, об­щесистемные программные средства и т. д.;

• анализируется возможность использования имеющихся на рынке сертифицированных средств защиты информации;

• определяется степень участия персонала, функциональных служб, научных и вспомогательных работников объекта автоматизации в обработке информации, характер их взаимодействия между собой и со служ­бой безопасности;

• вводятся мероприятия по обеспечению режима секретности на стадии разработки системы.

Важным организационным мероприятием по обеспечению безопас­ности информации является охрана объекта, на котором расположена защищаемая автоматизированная информационная технология (терри­тория здания, помещения, хранилища информационных ресурсов). При этом устанавливаются соответствующие посты охраны, технические средства, предотвращающие или существенно затрудняющие хищение средств вычислительной техники, информационных носителей, а также исключающие несанкционированный доступ к автоматизированным информационным технологиям и каналам связи.

Функционирование системы зашиты информации от несанкциони­рованного доступа предусматривает:

• учет, хранение и выдачу специалистам организации или предпри­ятия информационных носителей, паролей, ключей;

• ведение служебной информации (генерация паролей, ключей, со­провождение правил разграничения доступа);

• оперативный контроль за функционированием системы зашиты секретной и конфиден-циальной информации;

• контроль соответствия общесистемной программной среды этало­ну;

• приемку и карантин включаемых в информационные технологии новых программных средств;

• контроль за ходом технологического процесса обработки инфор­мации путем регистрации анализа действий специалистов экономиче­ского объекта;

• сигнализацию в случаях возникновения опасных событий и т.д.