Шепитько Г.Е., Локтев А.А. Гудов Г.Н. и др. Комплексная система защиты информации на предприятии. Часть 1

Подождите немного. Документ загружается.

2.2. Подлог, подделка информации — сознательное действие должностного лица, ра-

ботника, направленное на внесение в официальные документы заведомо ложных сведений, а

равно внесение исправлений, искажающих их действительное содержание в корыстных целях.

2.3. Повреждение, искажение информации — отсутствие, изменение части информации

(символов), при котором возможно первоначальное восстановление информации (символов).

3. Утрата информации (носителя информации) —

отсутствие исходной, первоначаль-

ной информации (носителя информации) или искажение с невозможностью восстановления

первоначального смысла текста, или не контролируемое собственником (владельцем, пользова-

телем), в том числе и временное, местонахождение носителя информации.

Утрата может произойти случайно (непреднамеренно), например, за счет небрежного, ха-

латного отношения или невыполнения должностным лицом требований по обеспечению сохран-

ности

носителей информации, информационных систем, в результате, которого может произойти

потеря или создаются условия, при которых может произойти кража или хищение носителей

информации, информационных систем.

3.1. Кража, хищение, грабеж, разбой — присвоение интеллектуальной собственности

(чужого имущества) незаконным способом.

3.2. Мошенничество, вымогательство — получение права или приобретение интеллек-

туальной собственности (чужого имущества) за счет обмана

или злоупотребления доверием

владельца, пользователя.

3.3. Потеря носителя информации — не контролируемое местонахождение носителя

информации, в том числе временное, собственником (владельцем, пользователем).

3.4. Уничтожение информации (носителя информации) — отсутствие части или всей

информации (носителя информации) исключающее возможность восстановления смысла текста,

исходной информации.

3.5. Блокировка доступа к информации — неполучение гражданином информации, дос-

туп к

которой не может быть ограничен в соответствии с законодательством работником, имею-

щим право получения сведений (в том числе ограниченного доступа), в установленные сроки.

Реализация угроз может произойти из-за ошибочных, случайных (непреднамеренных) или

преднамеренных действий (бездействий) должностных лиц или из-за стихийных бедствий, тех-

ногенных катастроф, исключающих доступ к получению информации

, информационным ресур-

сам, носителям информации.

Ошибочные (непреднамеренные) действия происходят исключительно из-за незнания за-

конодательных актов, нормативных документов или халатного отношения должностного лица к

своим служебным обязанностям, а также вследствие морального, психологического или физиче-

ского воздействия на должностное лицо, принимающее решения.

Преднамеренные действия должностных лиц происходят из-за корыстных побуждений,

связанных с получением материальной выгоды или злости, зависти и других амбиций человека.

Модель поведения нарушителя

Приводимые в технической литературе данные показывают, что наиболее опасным из

многочисленных источников угроз безопасности информации является человек. На его долю

приходится 70-80% нарушений. Причем наибольшее количество происшествий и нарушений в

организациях, предприятиях происходит по вине внутреннего

нарушителя (70-80%), а 20-30%

происшествий зависит от внешнего нарушителя. Все это свидетельствует о том, что в современ-

ных условиях одним из главных направлений по обеспечению безопасности информации должна

быть работа с человеком, который обрабатывает, хранит, передает защищаемую информацию

или пользуется ей.

Нарушитель своими действием (бездействием) может создать условия и (или) нарушить

условия безопасности

информации:

– непреднамеренно — случайно, ошибочно, из-за незнания требований нормативных до-

кументов, небрежного и халатного отношения к своим служебным обязанностям, психологиче-

ского, морального, физического давления;

– преднамеренно — осознанные, целенаправленные действия, направленные на создание

условий для изменения характеристик информационной безопасности и (или) непосредственное

разрушение характеристик информационной безопасности.

В соответствии со статистикой, приведенной в специальной

литературе, преднамеренные

действия нарушителя по сравнению с непреднамеренными составляют в процентном отношении:

20-30% и 70-80% соответственно, т.е. в основном происшествия и нарушения по вине человека

происходят из-за случайного, ошибочного действия.

Модель поведения нарушителя рассматривает практические и теоретические возможно-

сти, априорные знания, время и место действия нарушителя и т.п. Необходимо

представлять,

себе, какие цели может ставить перед собой нарушитель, какие он может предпринять усилия,

какие ресурсы он может позволить себе затратить. Необходимо знать и помнить о причинах,

которые могут вызывать перерождение «законопослушного» пользователя или работника, экс-

плуатирующего обслуживающую информационную систему, в нарушителя, с тем, чтобы либо

повлиять на сами эти

причины (конечно, если это возможно), либо точнее определить требова-

ния к системе защиты от данного вида нарушений или преступлений. Итак, при построении

модели поведения нарушителя определяются:

– категория лиц, к которым может принадлежать нарушитель;

– мотивы действия нарушителя (преследуемые нарушителем целей);

– квалификация нарушителя и его технической оснащенности (об используемых для со-

вершения нарушения методах и средствах);

– ограничения и предположения о характере возможных действий нарушителей;

– возможные последствия, связанные с причинением ущерба акционерному обществу.

Действия нарушителя, т.е. методы и способы реализации угроз безопасности информации, зави-

сят от следующих факторов:

– о возможности доступа к носителям информации;

– квалификации и подготовки нарушителя, позволяющих ему

преодолеть систему защиты

информации;

– использования специальных технических средств перехвата информации по побочным

электромагнитным излучениям и наводкам;

– использования специальных технических средств съёма информации;

– использования специальных программных средств;

– подключения к каналу связи.

По уровню профессиональной подготовки внешний нарушитель рассматривается как спе-

циалист высшей квалификации, знающий характеристики и особенности, используемых про-

граммных и технических средств защиты информации, обладающий техническими средствами

съёма информации с СВТ, а также технической возможностью перехвата и подмены сообщений,

передаваемых по каналам связи.

Внешними нарушителями могут быть:

– клиенты (представители организаций, граждане);

– посетители (приглашенные по какому-либо поводу);

– представители организаций, взаимодействующих по вопросам обеспечения жизнедея-

тельности организации (энерго-,

водо-, теплоснабжения и т.п.);

– представители заинтересованных организаций (иностранных спецслужб) или лица, дей-

ствующие по их заданию, профессиональные охотники за секретной (служебной) информацией;

– лица, случайно или умышленно нарушившие пропускной режим;

– любые лица за пределами контролируемой территории.

Внутренний нарушитель имеет потенциальную возможность работы практически со все-

ми носителями информации, информационными ресурсами, информационными системами и,

соответственно, располагает более широкими возможностями в достижении своих целей. Как

правило, такой нарушитель чаще внедряется в акционерное общество или вербуется криминаль-

ными структурами. Согласно опубликованным статистическим данным более 70% ущерба ин-

формации приходится на долю

персонала, имеющего к ней непосредственный доступ.

Внутренним нарушителем может быть лицо из следующих категорий работников:

– обслуживающий персонал по установке, наладке, ремонту средств обработки и защиты

информации;

– пользователи АС, СВТ;

– технический персонал, обслуживающий здания, в которых размещаются носители кон-

фиденциальной информации, компоненты информационной системы;

– другие работники, имеющие доступ в

здания, помещения предприятия. Возможности

внутреннего нарушителя можно разделить по уровням возможностей, предоставляемых ему

средствами системы, при этом каждый следующий уровень включает в себя функциональные

возможности предыдущего:

– первый уровень определяет возможность запуска программ из фиксированного набора,

реализующих заранее предусмотренные функции по обработке информации;

– второй уровень определяет возможность создания и запуска собственных

программ;

– третий уровень определяет возможность получения управления функционированием

системы, а также оказывает воздействие на состав и конфигурацию оборудования;

– четвертый уровень определяет возможность получения всего объема полномочий долж-

ностных лиц по доступу к информационным ресурсам и средствам управления, вплоть до вклю-

чения в её состав технических и программных средств с

новыми функциями по обработке ин-

формации.

Необходимо учитывать следующие возможные неумышленные действия (или бездейст-

вия) внутреннего нарушителя:

– нарушение режима доступа лиц на защищаемый объект, порядка и правил допуска к

информации;

– нарушение режима хранения и порядка транспортировки носителей информации;

– несоблюдение регламента архивирования обрабатываемой информации;

– несоблюдение порядка приёма в эксплуатацию программного

обеспечения или исполь-

зование нерегламентированных программных продуктов;

– нарушение порядка организации ремонтно-профилактических работ. Для всех наруши-

телей можно выделить три основных мотива нарушений:

– безответственность, халатность;

– самоутверждение, неоправданный риск;

– материальная выгода, корыстный интерес.

При нарушениях, вызванных безответственностью, нарушитель ошибочно или случайно,

действием или бездействием производит какие-либо разрушающие действия,

не связанные со

злым умыслом. В большинстве случаев это следствие некомпетентности или небрежности в

отношении выполнения своих служебных обязанностей.

Некоторые пользователи считают получение доступа к системным наборам данных, при

нарушении ведомственных нормативных документов, крупным успехом своих знаний, затевая

своего рода игру «пользователь — против системы» ради самоутверждения.

Нарушение безопасности информационных систем может

быть вызвано и корыстными

интересами должностных лиц. Такие работники, по возможности тайно, но целенаправленно,

пытаются преодолеть систему защиты для доступа к хранимой, передаваемой и обрабатываемой

информации.

Каналы проникновения (нарушения) безопасности информации

В процессе обработки, передачи и хранения информации, в результате незаконных, про-

тивоправных действий нарушителей или техногенных катастроф или стихийных бедствий воз-

никает опасность безопасности информации. В результате незаконных (несанкционированных)

действий нарушителей или бездействий должностных лиц и иных обстоятельств возникают

каналы утечки (несанкционированного доступа) к информации, которые

дают возможность из-

менить характеристики информационной безопасности — доступность, целостность, конфиден-

циальность. Каналы могут возникать за счет случайного или непреднамеренного, целенаправ-

ленного или преднамеренного (несанкционированного) действия человека. Назовем такие кана-

лы искусственными. Могут возникать каналы естественного происхождения, например, во время

обработки информации на технических средствах возникают побочные электромагнитные излу-

чения и

наводки на отводящие провода, при ведении переговоров возникает акустическое и виб-

роакустическое поле.

Канал — это путь, который проходит информация (носитель информации) от источника

информации через физическую среду к субъекту (потребителю) информации.

По способу получения информации каналы проникновения (доступа) к информации мож-

но разделить на следующие:

– физический (материальный);

– технический: акустический, виброакустический

, электромагнитный, электростатиче-

ский;

– информационный (программно-аппаратный).

Физический (материальный) — исходная информация или её копия, расположенная на

материальном носителе, которая передается (случайно или преднамеренно, законно или неза-

конно) потребителю информации. Например, информация, представленная на бумажных, техни-

ческих и иных материальных носителях передается человеку для дальнейшего использования

(принятия решения).

Технический канал — исходная

информация обрабатывается с использованием техниче-

ских средств, в результате которого возникает побочное электромагнитное излучение и наводка

на отводящие провода, которые могут быть перехвачены с использованием специальных техни-

ческих средств перехвата, съёма информации.

Информационный (программно-аппаратный) канал проникновения (доступа) наруши-

телей к информации — это получение информации с использованием программных, аппаратно-

программных

средств съёма информации или изменение (случайно ли преднамеренно) режима

обработки информации.

По способу получения информации каналы могут быть прямого и косвенного доступа к

исходной информации.

Прямой канал (контактный) — это получение информации (носителя информации) не-

посредственно в месте её хранения, обработки передачи. Прямые каналы могут использоваться

без внесения изменений в компоненты

системы или с изменениями компонентов (установление

«закладных устройств» или программ типа «троянских коней»).

Под косвенным (бесконтактным) каналом понимают такой канал, использование кото-

рого не требует проникновения нарушителя к месту обработки/хранения информации (в здание,

помещение, шкаф и т.п.), где расположены источники информации. Для получения информации

нарушитель может использовать средства

съема информации, которые позволяют принимать

информацию на расстоянии, во время её обработки на технических средствах, ведения конфи-

денциальных переговоров или воспользоваться незаконными услугами посредника, имеющего

непосредственный доступ к информации (носителям информации) и может передать информа-

цию устно или на носителях информации.

При бесконтактном доступе (например, по электромагнитному каналу) возможные угрозы

информации

реализуются перехватом излучений аппаратуры, в том числе наводимых в токопро-

водящих коммуникациях и цепях питания, перехватом информации в линиях связи, вводом в

линии связи ложной информации, визуальным наблюдением (фотографированием) устройств

отображения информации, прослушиванием переговоров персонала и пользователей.

Методы реализации угроз безопасности информации

При реализации угроз безопасности информации действия нарушителя могут быть пас-

сивные и активные.

Под пассивными воздействиями нарушителя будем

понимать действия нарушителя, на-

правленные на несанкционированное раскрытие информации и получение сведений о характери-

стиках информационного процесса в системе (сети), без изменения состоянии системы. Пассив-

ные воздействия нарушителя проявляются в возможности его подключаться к линии связи для

съёма передаваемой информации либо получать информацию «на дистанции» вследствие по-

бочного электромагнитного излучения технических

средств в процессе обработки, переда-

чи/приёма информации.

Под активными действиями (воздействиями) нарушителя будем понимать случайные или

преднамеренные изменения информации в процессе обработки, передачи сообщений или задан-

ных характеристик информационного процесса, приводящие к осуществлению угрозы безопас-

ности информации.

Этапы реализации угроз безопасности информации

1. Появление угрозы.

На данном этапе нарушителя

будем называть злоумышленником, так как он проявляет

преступные намерения, но противозаконных действий не делает. Проводит анализ возможности

получения информации, определяет возможные затраты материальные, физические, психологи-

ческие, степень своей подготовки, предварительно уровень защиты (недоступности) к информа-

ции, оценивает меру ответственности после свершения правонарушения, т.е. решает, будет ли

он совершать преступление.

Проявление угрозы.

На этапе проявления угрозы злоумышленник, проведя предварительный анализ своих

возможностей, с учетом ожидаемой выгоды, готовит преступление. На данном этапе злоумыш-

ленник ищет возможные пути реализации угрозы. Основные его усилия направлены на сбор

сведений об укреплённости объекта защиты, на выявление слабых мест (с учётом имеющихся

знаний и опыта). Он намечает

план реализации угрозы (выбор способов и методов реализации

угроз) и принимает окончательное решение по реализации конкретной угрозы безопасности

информации.

3. Реализация угрозы.

На этапе реализации угрозы нарушитель становится правонарушителем, так как совер-

шает конкретные противоправные действия по преодолению средств защиты. В том случае,

если правонарушителю удается реализовать угрозу, которая нанесла ущерб

безопасности ин-

формации, правонарушитель (по решению суда) признается преступником и ему определяют

меру наказания.

Таким образом, с целью организации эффективной защиты информации необходимо

уточнить перечень информации, подлежащей защите, её важность, ценность, технологию её

обработки и, исходя из ценности, важности информации, провести анализ оценки угроз и риска

безопасности информации на объекте

(рис. 3.5).

К исходным данным при оценке угроз безопасности информации относятся:

– спрос (заинтересованность) в получении потенциальным нарушителем защищаемой ин-

формации;

– оперативная обстановка в окружении защищаемого объекта;

– физические особенности носителей информации и условия, при которых возможна

утечка информации к нарушителю;

– определение и оценка возможных каналов утечки информации;

– возможные действия нарушителей.

Оценка угроз безопасности информации осуществляется на основе анализа существующе-

го спроса на информацию, анализа технических и иных возможностей нарушителя (квалифика-

ция, практический опыт, знания нормативных актов,

уровень доступности к информации, носи-

телям информации).

Представленная схема модели угроз и зашиты информации (рис. 3.5) позволит, в зависи-

мости от вида носителей информации, технологии обработки информации, определить для ре-

ального объекта (предмета) защиты перечень источников угроз и угрозы безопасности информа-

ции, возможные каналы утечки информации, способы, методы и средства реализации

угроз ис-

точников безопасности информации.

Только после проведения анализа остаточного риска информационной безопасности объ-

екта (предмета) зашиты и определения исходных данных можно переходить к созданию системы

защиты информации. Создание системы защиты информации можно обеспечить путём проведе-

ния организационных, организационно-технических, технических мероприятий на основе много

рубежной защиты.

Одним из первоначальных этапов создания системы защиты информации является

по-

строение системы организации и управления работ по защите информации (организационно-

управленческая система), которая заключается в создании органов управления и контроля, ве-

домственных подразделений по проведению работ, связанных с защитой информации, и её кон-

троля эффективности систем и средств защиты информации.

3.5. Организационная форма обеспечения информационной безопасности

Цели, задачи и функции системы управления и организации работ

по обеспечению безопасности информации на предприятии

Среди целей, которые могут обеспечить успешное развитие предприятия по линии

безо-

пасности информации, могут быть:

1. Защита интеллектуальных форм собственности предприятия, а также интеллектуальных

форм собственности её работников.

2. Сохранение и эффективное использование финансовых, материальных и информацион-

ных ресурсов.

3. Выявление и устранение причин и условий, способствующих реализации угроз безо-

пасности интеллектуальной, материальной и финансовой собственности предприятия.

4. Своевременное выявление и перекрытие возможных

каналов утечки, несанкциониро-

ванного доступа, а также исключение негативных последствий в случаях реализации угроз безо-

пасности интеллектуальной, материальной и финансовой собственности предприятия.

5. Исключение необоснованного допуска и доступа лиц к сведениям, составляющим ком-

мерческую тайну, и иной информации, доступ к которой ограничивается в соответствии с зако-

нодательством Российской Федерации.

При разработке

задач по защите информации необходимо исходить из объектов (предме-

тов), подлежащих защите, технологии её обработки, с учётом целей поставленных перед акцио-

нерным обществом по обеспечению безопасности информации.

Если носителями конфиденциальной информации является человек, физический носитель

информации, технология обработки и передача информации производится с использованием

технических средств, и в помещении, где

ведутся конфиденциальные переговоры, то необходи-

мо выполнение следующих задач:

1. Создание эффективной системы защиты конфиденциальной информации и иной ин-

формации, доступ к которой ограничивается в соответствии с законодательством Российской

Федерации.

2. Организация и проведение комплекса работ в области обеспечения безопасности интел-

лектуальной собственности, материальных и финансовых ресурсов, предотвращения несанкцио-

нированных действий по

разглашению, передаче, утрате, копированию, уничтожению, искаже-

нию, модификации, фальсификации, блокированию информации (носителей информации), пре-

дотвращения других форм незаконного вмешательства в информационные ресурсы и банки

данных.

3. Обеспечение режима безопасности и защиты информации при проведении всех видов

работ с конфиденциальной информацией, исключение несанкционированного доступа к инфор-

мации посторонних лиц во время хранения

, обработки, передачи, ведения конфиденциальных

переговоров, совещаний и других закрытых мероприятий.

4. Добывание информации о событиях или действиях, создающих угрозу утраты или раз-

глашения сведений, составляющих коммерческую тайну.

5. Контроль эффективности защиты информации, включающей контроль технических

средств защиты, контроль организации и проведения мероприятий по защите информации, кон-

троль выполнения работниками требований нормативных

документов при работе со сведениями

конфиденциального характера.

Для реализации этих задач необходимо исполнение структурными подразделения по за-

щите информации на предприятии следующих функций:

1. Разработка и организация мероприятий по обеспечению режима безопасности на пред-

приятии при проведении работ с конфиденциальной информацией и контроль по их выполне-

нию.

2. Анализ состояния режима безопасности и защиты информации с целью выявления и

предупреждения возможных каналов утечки конфиденциальной информации.

3. Разработка ведомственных нормативных правовых актов, руководящих и методических

документов

по вопросам режима безопасности и защиты информации, участие в согласовании

приказов, указаний, инструкций, нормативно-технических и методических документов.

4. Разработка развернутого перечня сведений конфиденциального характера, проведение

экспертных работ по наличию конфиденциальной информации на предприятии в соответствии с

действующим законодательством.

5. Составление номенклатуры должностей работников предприятия, которым необходим

допуск к конфиденциальной информации.

Организация и проведение работ по допуску и доступу работников к конфиденциальной

информации.

7. Ведение учета осведомлённости работников предприятия о сведениях конфиденциаль-

ного характера.

8. Организация специального делопроизводства: регистрация, учет, порядок передачи, пе-

ресылки, приём, выдача документальных материалов.

9. Обеспечение условий режима безопасности, защиты информации при подготовке и реа-

лизации межведомственных договоров и

соглашений.

10. Разработка и осуществление комплекса мер по обеспечению режима безопасности и

защиты информации при посещении объектов общества иностранными гражданами (иностран-

ными делегациями и группами), работниками сторонних организаций, а также контроль за со-

стоянием внутриобъектового и пропускного режимов как составной части общего режима.

11. Обеспечение безопасности объектов, пропускного режима по доступу лиц

на охраняе-

мую территорию предприятия.

12. Разработка и оформление пропускных документов, дающих право нахождения лиц на

охраняемой территории предприятия.

13. Проведение работ по инженерно-технической защите объектов от физического досту-

па посторонних лиц, обеспечение режима охраны объектов (предметов) защиты.

14. Проведение совместно со структурными подразделениями предприятия единой техни-

ческой политики в области

обеспечения информационной безопасности и защиты информации.

15. Организация работ по созданию системы защиты информации при её обработке, хра-

нении и передаче с использованием средств вычислительной техники, средств телекоммуника-

ции и иных технических средств.

16. Разработка и осуществление мероприятий по зашифровке, маскировке и легендирова-

нию специальных объектов предприятия, выявление демаскирующих признаков специальных

объектов и принятие мер по их устранению.

17. Разработка и реализация организационно-технических мероприятий по защите инфор-

мации от утечки по техническим каналам, в том числе выявление возможных технических кана-

лов утечки информации, организация, проведение специсследований, спецпроверок технических

средств.

18. Выполнение работ по защите информации от несанкционированного доступа при об-

работке информации

на СВТ.

19. Разработка и внедрение технических решений и элементов защиты информации при

проектировании, строительстве (реконструкции) и эксплуатации объектов защиты.

20. Аттестация объектов информатизации на соответствие требованиям по защите инфор-

мации.

21. Выполнение функции заказчика или участие в рассмотрении и согласовании техниче-

ских заданий на проведение научно-исследовательских, опытно-конструкторских и иных работ

по вопросам, связанным с режимом безопасности объекта, с защитой информации.

22. Применение специальных методов, технических мер и средств защиты, исключающих

перехват информации, передаваемой по каналам связи.

23. Организация и осуществление

в зданиях и помещениях защитно-поисковых мероприя-

тий (ЗПМ) по выявлению специальных технических средств съёма информации.

24. Контроль радиоэфира (радиомониторинг и радиоразведка). Обеспечение технической

защиты информации в ходе проводимых конфиденциальных переговоров, совещаний и т.п.

25. Организация работы по подготовке договоров (контрактов) на поставку материальных

средств, выполнение работ и оказание услуг по

защите информации, а также осуществление

контроля за соблюдением договорных обязательств.

26. Организация закупок и поставок материальных средств, выполнения работ и оказания

услуг по закрепленной номенклатуре.

27. Сбор, накопление, обобщение и анализ поступающей информации о случаях (фактах)

нарушений работниками режима безопасности и защиты информации.

28. Принятие мер по выявлению и предупреждению причин и

условий, способствующих

нарушению требований режима безопасности и защиты информации.

29. Контроль выполнения работниками требований нормативных актов по вопросам обес-

печения безопасности информации, выявление, предупреждение и устранение причин и условий,

способствующих нарушению требований режима и защиты информации.

30. Проведение служебных проверок и расследований по фактам разглашения конфиден-

циальной информации, утраты документов (носителей

информации) нарушений в сфере компь-

ютерной информации.

31. Организация и проведение мероприятий по профилактической работе с работниками

предприятия, направленной на предотвращение нарушений режима безопасности и утечки (раз-

глашения) сведений конфиденциального характера.

32. Организация подготовки работников предприятия, выполняющих работы, связанные с

использованием конфиденциальной информации и оказание им методической и практической

помощи.

33. Обеспечение

взаимодействия предприятия с ФСТЭК, МВД России и другими феде-

ральными органами исполнительной власти по вопросам безопасности и защиты информации.

Система управления и организация работ по обеспечению

безопасности информации на предприятии

Систему управления и организацию работ по обеспечению безопасности информации на

предприятии в общем виде можно представить в следующем виде.

Общее

руководство системой защиты информации на предприятии осуществляют гене-

ральный директор (руководитель) предприятия; непосредственное руководство подразделениями

по защите информации осуществляет его заместитель по режиму (безопасности) в соответствии

с распределением обязанностей.

Организационно-методическую помощь генеральному директору (руководителю) пред-

приятия может осуществлять постоянно действующая техническая комиссия общества (ПДТК),

которая коллегиально рассматривает стратегически важные вопросы

по обеспечению безопасно-

сти информации.

Основными задачами ПДТК являются:

– оценка и выработка основных направлений деятельности предприятия по сохранности

интеллектуальной, материальной и финансовой собственности общества;

– рассмотрение проектов решений о составе, состоянии, и деятельности системы безопас-

ности предприятия;

– разработка проекта перспективных программ и предложений руководству предприятия

по совершенствованию системы безопасности.

В целях обеспечения режима безопасности конфиденциальной информации, выполнения

требований нормативных и методических документов по их защите создаются подразделения по

обеспечению безопасности информации по соответствующим направлениям работ, которые

непосредственно подчиняются руководителю (заместителю руководителя) предприятия.

Для реализаций поставленных задач и

выполнения функций по обеспечению режима

безопасности и защиты конфиденциальной информации необходимы на предприятии следую-

щие подразделения по обеспечению режима конфиденциальности и защите информации:

1. Информационно-аналитическое подразделение — анализ состояния режима безо-

пасности, защиты информации, учёт нарушений, происшествий, разработка предложений по

устранению причин и условий, способствующих нарушению безопасности информации, проек-

ты план-

графика работ по режиму безопасности и защите информации, обеспечение контроля их

исполнения.

2. Подразделение безопасности — обеспечение личной безопасности работников пред-

приятия, физическая охрана объекта, помещений, имущества от физического доступа посторон-

них лиц, организация пропускного режима на объектах общества, разработка, оформление, вы-

дача пропускных документов для доступа и нахождения лиц на охраняемой

территории объекта

предприятия.

3. Подразделение режима — разработка требований пропускного и внутриобъектового

режимов, оформление допуска на право работы с конфиденциальной информацией и обеспече-

ние доступа работников конфиденциальной информации, разработка перечня и определение

порядка работы с конфиденциальной информацией, контроль выполнения требований работы со

сведениями конфиденциального характера.

4. Подразделение специального делопроизводства — хранение, учёт, регистрация,

вы-

дача, приём, пересылка конфиденциальной документации, контроль при выполнении работ с

документированной информацией.

5. Подразделение компьютерной безопасности — разработка и выполнение работ по

защите информации от несанкционированного доступа при обработке информации на СВТ,

выявление и устранение программных закладок, вирусных программ, контроль эксплуатации

информационных систем и информационных ресурсов.

6. Подразделение по защите информации от

утечки по техническим каналам — орга-

низация и проведение работ по защите информации от её утечки по техническим каналам за счет

ПЭМИН.

7. Защитно-поисковое подразделение — организация и проведение работ по поиску, вы-

явлению и устранению технических средств радиоразведки.

8. Инженерно-техническое подразделение — оборудование и эксплуатация на объекте, в

помещениях предприятия инженерно-

технических средств охраны.

9. Подразделение материально-технического обеспечения — закупка средств обработ-

ки и защиты информации, заключение договоров на оказание сторонними организациями работ

и услуг по защите информации предприятия.

Численность подразделений и их подчиненность решает руководитель предприятия, в за-

висимости от важности поставленных задач, объема работ, сроков и качества исполнения зада-

ний,

обеспечение технологичности выполнения работ эффективного и гибкого управления. Под-

разделения могут составлять группу работников в количестве 2-3 человек, отделение — 4-7

человек, отдел — 5-10 человек, службу или управление.

Подразделения по защите информации организуют, координируют и контролируют дея-

тельность всех структурных подразделений предприятия в части обеспечения режима конфи-

денциальности, непосредственно подчиняются руководителю предприятия или его заместителю

по безопасности. Включение подразделений по защите информации в состав других структур-