1.8.3. Разработка политики информационной безопасности
Разработка политики безопасности ведется для конкретных условий функционирования информационной системы. Как правило, речь идет о политике безопасности организации, предприятия или учебного заведения. С учетом этого рассмотрим следующее определение политики безопасности.
Политика безопасности – это комплекс предупредительных мер по обеспечению информационной безопасности организации. Политика безопасности включает правила, процедуры и руководящие принципы в области безопасности, которыми руководствуется организация в своей деятельности. Кроме этого, политика безопасности включает в себя требования в адрес субъектов информационных отношений, при этом в политике безопасности излагается политика ролей субъектов информационных отношений.
Основные направления разработки политики безопасности:
определение объема и требуемого уровня защиты данных;
определение ролей субъектов информационных отношений.
В "Оранжевой книге" политика безопасности трактуется как набор норм, правил и практических приемов, которые регулируют управление, защиту и распределение ценной информации.
Результатом разработки политики безопасности является комплексный документ, представляющий систематизированное изложение целей, задач, принципов и способов достижения информационной безопасности.
Этот документ является методологической основой практических мер по обеспечению информационной безопасности и включает следующие группы сведений:
основные положения информационной безопасности организации;
область применения политики безопасности;
цели и задачи обеспечения информационной безопасности организации;
распределение ролей и ответственности субъектов информационных отношений организации и их общие обязанности.
Основные положения определяют важность обеспечения информационной безопасности, общие проблемы безопасности, направления их решения, роль сотрудников, нормативно-правовые основы.
При описании области применения политики безопасности перечисляются компоненты автоматизированной системы обработки, хранения и передачи информации, подлежащие защите.
В состав автоматизированной информационной системы входят следующие компоненты:
аппаратные средства – компьютеры и их составные части (процессоры, мониторы, терминалы, периферийные устройства – дисководы, принтеры, контроллеры), кабели, линии связи и т. д.;
программное обеспечение – приобретенные программы, исходные, объектные, загрузочные модули; операционные системы и системные программы (компиляторы, компоновщики и др.), утилиты, диагностические программы и т. д.;
данные – хранимые временно и постоянно, на магнитных носителях, печатные, архивы, системные журналы и т. д.;
персонал – обслуживающий персонал и пользователи.
Цели, задачи, критерии оценки информационной безопасности определяются функциональным назначением организации. Например, для режимных организаций на первое место ставится соблюдение конфиденциальности. Для сервисных информационных служб реального времени важным является обеспечение доступности подсистем. Для информационных хранилищ актуальным может быть обеспечение целостности данных и т. д.
Политика безопасности затрагивает всех субъектов информационных отношений в организации, поэтому на этапе разработки политики безопасности очень важно разграничить их права и обязанности, связанные с их непосредственной деятельностью.
С точки зрения обеспечения информационной безопасности разграничение прав и обязанностей целесообразно провести по следующим группам (ролям):
специалист по информационной безопасности;
владелец информации;
поставщики аппаратного и программного обеспечения;
менеджер отдела;
операторы;
аудиторы.
В зависимости от размеров организации, степени развитости ее информационной системы, некоторые из перечисленных ролей могут отсутствовать вообще, а некоторые могут совмещаться одним и тем же физическим лицом.
Специалист по информационной безопасности (начальник службы безопасности, администратор по безопасности) играет основную роль в разработке и соблюдении политики безопасности предприятия. Он проводит расчет и перерасчет рисков, выявляет уязвимости системы безопасности по всем направлениям (аппаратные средства, программное обеспечение и т. д.).
Владелец информации – лицо, непосредственно владеющее информацией и работающее с ней. В большинстве случае именно владелец информации может определить ее ценность и конфиденциальность.
Поставщики аппаратного и программного обеспечения обычно являются сторонними лицами, которые несут ответственность за поддержание должного уровня информационной безопасности в поставляемых им продуктах.
Администратор сети – лицо, занимающееся обеспечением функционирования информационной сети организации, поддержанием сетевых сервисов, разграничением прав доступа к ресурсам сети на основании соответствующей политики безопасности.
Менеджер отдела является промежуточным звеном между операторами и специалистами по информационной безопасности. Его задача – своевременно и качественно инструктировать подчиненный ему персонал обо всех требованиях службы безопасности и следить за их выполнением на рабочих местах. Менеджеры должны доводить до подчиненных все аспекты политики безопасности, которые непосредственно их касаются.
Операторы обрабатывают информацию, поэтому должны знать класс конфиденциальности информации и какой ущерб будет нанесен организации при ее раскрытии.
Аудиторы – внешние специалисты по безопасности, нанимаемые организацией для периодической проверки функционирования всей системы безопасности организации.
- Тема 4.3. Методы разграничение доступа
- Тема 4.4. Регистрация и аудит
- Тема 4.5. Межсетевое экранирование
- Тема 4.6. Технология виртуальных частных сетей (vpn)
- Раздел I. Информационная безопасность и уровни ее обеспечения Тема 1.1. Понятие "информационная безопасность"
- 1.1.2. Проблема информационной безопасности общества
- Тема 1.1. Понятие "информационная безопасность"
- 1.1.2. Проблема информационной безопасности общества
- Тема 1.1. Понятие "информационная безопасность" 1.1.3. Определение понятия "информационная безопасность"
- 1.1.3. Определение понятия "информационная безопасность"
- Тема 1.1. Понятие "информационная безопасность"
- 1.1.3. Определение понятия "информационная безопасность"
- 1.1.4. Выводы по теме
- 1.1.5. Вопросы для самоконтроля
- 1.1.6. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 1.2. Составляющие информационной безопасности
- 1.2.1. Введение
- 1.2.2. Доступность информации
- 1.2.3. Целостность информации
- 1.2.4. Конфиденциальность информации
- 1.2.5. Выводы по теме
- 1.2.6. Вопросы для самоконтроля
- 1.2.7. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- 1.3.2. Задачи информационной безопасности общества
- 1.3.3. Уровни формирования режима информационной безопасности
- 1.3.4. Выводы по теме
- 1.3.5. Вопросы для самоконтроля
- 1.3.6. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 1.4. Нормативно-правовые основы информационной безопасности в рф
- 1.4.1. Введение
- 1.4.2. Правовые основы информационной безопасности общества
- 1.4.3. Основные положения важнейших законодательных актов рф в области информационной безопасности и защиты информации
- 1.4.4. Ответственность за нарушения в сфере информационной безопасности
- 1.4.5. Выводы по теме
- 1.4.6. Вопросы для самоконтроля
- 1.4.7. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 1.5. Стандарты информационной безопасности: "Общие критерии"
- 1.5.1. Введение
- 1.5.2. Требования безопасности к информационным системам
- Тема 1.5. Стандарты информационной безопасности: "Общие критерии" 1.5.3. Принцип иерархии: класс – семейство – компонент – элемент
- 1.5.3. Принцип иерархии: класс – семейство – компонент – элемент
- 1.5.4. Функциональные требования
- 1.5.5. Требования доверия
- 1.5.6. Выводы по теме
- 1.5.7. Вопросы для самоконтроля
- 1.5.8. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 1.6. Стандарты информационной безопасности распределенных систем
- 1.6.1. Введение
- 1.5.8. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- 1.6.2. Сервисы безопасности в вычислительных сетях
- 1.6.3. Механизмы безопасности
- 1.6.4. Администрирование средств безопасности
- 1.6.5. Выводы по теме
- 1.6.6. Вопросы для самоконтроля
- 1.6.7. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 1.7. Стандарты информационной безопасности в рф
- 1.7.1. Введение
- 1.7.2. Гостехкомиссия и ее роль в обеспечении информационной безопасности в рф
- 1.7.3. Документы по оценке защищенности автоматизированных систем в рф
- 1.7.4. Выводы по теме
- 1.7.5. Вопросы для самоконтроля
- 1.7.6. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 1.8. Административный уровень обеспечения информационной безопасности
- 1.8.1. Введение
- 1.8.2. Цели, задачи и содержание административного уровня
- 1.8.3. Разработка политики информационной безопасности
- 1.8.4. Выводы по теме
- 1.8.5. Вопросы для самоконтроля
- 1.8.6. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 1.9. Классификация угроз "информационной безопасности"
- 1.9.1. Введение
- 1.9.2. Классы угроз информационной безопасности
- 1.9.3. Каналы несанкционированного доступа к информации
- 1.9.4. Выводы по теме
- 1.9.5. Вопросы для самоконтроля
- 1.9.6. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 2.1. Вирусы как угроза информационной безопасности
- 2.1.1. Введение
- 2.1.2. Компьютерные вирусы и информационная безопасность
- 2.1.3. Характерные черты компьютерных вирусов
- 2.1.4. Выводы по теме
- 2.1.5. Вопросы для самоконтроля
- 2.1.6. Расширяющий блок
- 2.1.7. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 2.2. Классификация компьютерных вирусов
- 2.2.1. Введение
- 2.2.2. Классификация компьютерных вирусов по среде обитания
- 2.2.3. Классификация компьютерных вирусов по особенностям алгоритма работы
- 2.2.4. Классифиация компьютерных вирусов по деструктивные возможностям
- 2.2.5. Выводы по теме
- 2.2.6. Вопросы для самоконтроля
- 2.2.7. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 2.3. Характеристика "вирусоподобных" программ
- 2.3.1. Введение
- 2.3.2. Виды "вирусоподобных" программ
- 2.3.3. Характеристика "вирусоподобных" программ
- 2.3.4. Утилиты скрытого администрирования
- 2.3.5. "Intended"-вирусы
- 2.3.6. Выводы по теме
- 2.3.7. Вопросы для самоконтроля
- 2.3.8. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 2.4. Антивирусные программы
- 2.4.1. Введение
- 2.4.2. Особенности работы антивирусных программ
- 2.4.3. Классификация антивирусных программ
- 2.4.4. Факторы, определяющие качество антивирусных программ
- 2.4.5. Выводы по теме
- 2.4.6. Вопросы для самоконтроля
- 2.4.7. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 2.5. Профилактика компьютерных вирусов
- 2.5.1. Введение
- 2.5.2. Характеристика путей проникновения вирусов в компьютеры
- 2.5.3. Правила защиты от компьютерных вирусов
- 2.5.4. Выводы по теме
- 2.5.5. Вопросы для самоконтроля
- 2.5.6. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 2.6. Обнаружение неизвестного вируса
- 2.6.1. Введение
- 2.6.2. Обнаружение загрузочного вируса
- 2.6.3. Обнаружение резидентного вируса
- 2.6.4. Обнаружение макровируса
- 2.6.5. Общий алгоритм обнаружения вируса
- 2.6.6. Выводы по теме
- 2.6.7. Вопросы для самоконтроля
- 2.6.8. Ссылки на дополнительные материалы (печатные и электронные ре-сурсы)
- Раздел III. Информационная безопасность вычислительных сетей Тема 3.1. Особенности обеспечения информационной безопасности в компьютерных сетей
- Тема 3.1. Особенности обеспечения информационной безопасности в компьютерных сетях
- 3.1.1. Введение
- 3.1.2. Особенности информационной безопасности в компьютерных сетях
- 3.1.3. Специфика средств защиты в компьютерных сетях
- 3.1.4. Выводы по теме
- 3.1.5. Вопросы для самоконтроля
- 3.1.6. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 3.2. Сетевые модели передачи данных
- 3.2.1. Введение
- 3.2.2. Понятие протокола передачи данных
- Тема 3.2. Сетевые модели передачи данных 3.2.3. Принципы организации обмена данными в вычислительных сетях
- 3.2.3. Принципы организации обмена данными в вычислительных сетях
- 3.2.4. Транспортный протокол tcp и модель тср/iр
- 3.2.5. Выводы по теме
- 3.2.6. Вопросы для самоконтроля
- 3.2.7. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 3.3. Модель взаимодействия открытых систем osi/iso
- 3.3.1. Введение
- 3.3.2. Сравнение сетевых моделей передачи данных tcp/ip и osi/iso
- 3.3.3. Характеристика уровней модели osi/iso
- 3.3.4. Выводы по теме
- 3.3.5. Вопросы для самоконтроля
- 3.3.6. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 3.4. Адресация в глобальных сетях
- 3.4.1. Введение
- 3.4.2. Основы ip-протокола
- 3.4.3. Классы адресов вычислительных сетей
- 3.4.4. Система доменных имен
- 3.4.5. Выводы по теме
- 3.4.6. Вопросы для самоконтроля
- 3.4.7. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 3.5. Классификация удаленных угроз в вычислительных сетях
- 3.5.1. Введение
- 3.5.2. Классы удаленных угроз и их характеристика
- 3.5.3. Выводы по теме
- 3.5.4. Вопросы для самоконтроля
- 3.5.5. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 3.6. Типовые удаленные атаки и их характеристика
- 3.6.1. Введение
- 3.6.2. Удаленная атака "анализ сетевого трафика"
- 3.6.3. Удаленная атака "подмена доверенного объекта"
- 3.6.4. Удаленная атака "ложный объект"
- 3.6.5. Удаленная атака "отказ в обслуживании"
- 3.6.6. Выводы по теме
- 3.6.7. Вопросы для самоконтроля
- 3.6.8. Расширяющий блок
- 3.6.9. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 3.7. Причины успешной реализации удаленных угроз в вычислительных сетях
- 3.7.1. Введение
- 3.7.2. Причины успешной реализации удаленных угроз в вычислительных сетях
- 3.7.3. Выводы по теме
- 3.7.4. Вопросы для самоконтроля
- 3.7.5. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 3.8. Принципы защиты распределенных вычислительных сетей
- 3.8.1. Введение
- 3.8.2. Принципы построения защищенных вычислительных сетей
- 3.8.3. Выводы по теме
- 3.8.4. Вопросы для самоконтроля
- 3.8.5. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 4.1. Идентификация и аутентификация
- 4.1.1. Введение
- 4.1.2. Определение понятий "идентификация" и "аутентификация"
- 4.1.4. Выводы по теме
- 4.1.5. Вопросы для самоконтроля
- 4.1.6. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 4.2. Криптография и шифрование
- 4.2.1. Введение
- 4.2.2. Структура криптосистемы
- 4.2.3. Классификация систем шифрования данных
- 4.2.4. Симметричные и асимметричные методы шифрования
- 4.2.5. Механизм электронной цифровой подписи
- 4.2.6. Выводы по теме
- 4.2.7. Вопросы для самоконтроля
- 4.2.8. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 4.3. Методы разграничение доступа
- 4.3.1. Введение
- 4.3.2. Методы разграничения доступа
- 4.3.3. Мандатное и дискретное управление доступом
- 4.3.4. Выводы по теме
- 4.3.5. Вопросы для самоконтроля
- 4.3.6. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 4.4. Регистрация и аудит
- 4.4.1. Введение
- 4.4.2. Определение и содержание регистрации и аудита информационных систем
- 4.4.3. Этапы регистрации и методы аудита событий информационной системы
- 4.4.4. Выводы по теме
- 4.4.5. Вопросы для самоконтроля
- 4.4.6. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 4.5. Межсетевое экранирование
- 4.5.1. Введение
- 4.5.2. Классификация межсетевых экранов
- 4.5.3. Характеристика межсетевых экранов
- 4.5.4. Выводы по теме
- 4.5.5. Вопросы для самоконтроля
- 4.5.6. Ссылки на дополнительные материалы (печатные и электронные ресурсы)
- Тема 4.6. Технология виртуальных частных сетей (vpn)
- 4.6.1. Введение
- 4.6.2. Сущность и содержание технологии виртуальных частных сетей
- 4.6.3. Понятие "туннеля" при передаче данных в сетях
- 4.6.4. Выводы по теме
- 4.6.5. Вопросы для самоконтроля
- 4.6.6. Ссылки на дополнительные материалы (печатные и электронные ресурсы)