Организация комплексной системы защиты информации
Шрифт:
Контроль является одним из важнейших и необходимых направлений работ по ЗИ. Цель контроля выявить слабые места системы, допущенные ошибки, своевременно исправить их и не допустить повторения.
Процесс контроля включает три стадии:
1. Установление фактического состояния СЗИ;
2. Анализ сравнения фактического положения с заданным режимом, обстановкой и оценка характера допущенных отклонений и недоработок;
3. Разработка мероприятий по улучшению и корректировке процесса управления и принятия мер по их реализации.
При принятии управленческого решения контроль выступает
Основными задачами контроля являются:
1. Определение обоснованности и практической целесообразности проводимых мероприятий по ЗИ;
2. Выявление фактического состояния СЗИ в данный период времени;
3. Установление причин и обстоятельств отклонений показателей качества, характеризующих СЗИ, от заданных;
4. Изучение деловых качеств и уровня профессиональной подготовки лиц, осуществляющих ЗИ.
Меры контроля представляют собой совокупность организационных и технических мероприятий, проводимых с целью проверки выполнения установленных требований и норм по ЗИ. Организационные меры контроля включают:
1) Проверку выполнения сотрудниками требований по обеспечению сохранности КТ. Такая проверка может проводиться в течение рабочего дня руководителем предприятия, его заместителем, исполнительными директорами, начальниками объектов;
2) Проверку выполнения пропускного режима, то есть проверка наличия постоянных пропусков у сотрудников предприятия, проверка работы охранника (на месте или нет, проверяет пропуска или нет). Может проводиться ежедневно начальником охраны объекта;
3) Проверку выполнения сотрудниками правил работы с конфиденциальными документами (правила хранения, размножения и копирования) проводится заместителем руководителя в любое время;
4) Проверку наличия защищаемых носителей конфиденциальной информации проводят сотрудники предприятия в конце рабочего дня.
При этом могут применяться следующие виды контроля:
— предварительный;
— текущий;
— заключительный.
Предварительный контроль обычно реализуется в форме определенной политики, процедур и правил. Прежде всего, он применяется по отношению к трудовым, материальным и финансовым ресурсам. Предварительный контроль осуществляется при любых изменениях состава, структуры и алгоритма функционирования СЗИ, т. е. при установке нового технического устройства, при приеме нового сотрудника, при проведении ремонтных работ.
Текущий контроль осуществляется, когда работа уже идет и обычно производится в виде контроля работы подчиненного его непосредственным начальником.
Заключительный контроль осуществляется после того, как работа закончена или истекло отведенное для нее время.
Также с целью обеспечения систематического наблюдения за уровнем защиты может осуществляться периодический контроль. Периодический контроль (ежедневный) проводится сотрудниками предприятия в части проверки наличия
Гласный периодический контроль эффективности ЗИ проводится выборочно (применительно к отдельным структурным подразделениям или отдельным работам) или на всем предприятии по планам, утвержденным руководством.
Негласный контроль осуществляется с целью объективной оценки уровня ЗИ и, прежде всего, выявления слабых мест в СЗИ. Кроме того, такой контроль оказывает психологическое воздействие на сотрудников, вынуждая их более тщательно выполнять требования по обеспечению ЗИ. Добросовестное и постоянное выполнение сотрудниками требований по ЗИ основывается на рациональном сочетании способов побуждения и принуждения. Принуждение — способ, при котором сотрудники вынуждены соблюдать правила обращения с носителями конфиденциальной информации под угрозой материальной, административной или уголовной ответственности. Побуждение предусматривает использование для создания у сотрудников установки на осознанное выполнение требований по ЗИ моральных, этических, психологических и других нравственных мотивов. Поэтому на эффективность защиты влияет климат на предприятии, который формируется его руководством.
11. УПРАВЛЕНИЕ КОМПЛЕКСНОЙ СИСТЕМОЙ ЗАЩИТЫ ИНФОРМАЦИИ В УСЛОВИЯХ ЧРЕЗВЫЧАЙНЫХ СИТУАЦИЙ
Обеспечение продолжительного нормального функционирования в любой системе требует пристального внимания по отношению к потенциальным нештатным ситуациям. Подготовка к работе в условиях таких ситуаций призвана свести к минимуму потери из-за нарушения функционирования, обеспечить согласованность и эффективность действий персонала и локализовать негативные воздействия. Все ситуации, возникающие в процессе функционирования, можно условно разделить на две группы: нормальные и ненормальные. Ненормальные ситуации, в свою очередь, делятся на аварийные, потенциально аварийные и нештатные. Любая из этих ситуаций требует принятия ответных мер, направленных на
— сокращение комплекса факторов, влияющих на возникновение чрезвычайной ситуации;
— защиту людских, информационных, материальных и других ресурсов от негативного воздействия, нанесения ущерба и уничтожения;
— обеспечение работы объекта во время и после реализации нештатной ситуации.
Чрезвычайную ситуацию (ЧС) можно определить как комплекс событий, проявление и протекание которых могут привести к нарушению нормального функционирования КСЗИ либо создать условия для проявления различных форм уязвимости защищаемой информации.
Чрезвычайные ситуации можно классифицировать по различным признакам:
1. По масштабам сферы действия:
— межгосударственные;
— общегосударственные;
— местные;
— объектовые.
2. По виду наносимого ущерба:
— ЧС с прямым ущербом;
— ЧС с косвенным ущербом;
— ЧС, представляющие угрозу жизни людей;
— ЧС, приводящие к нарушению экологического равновесия, уничтожению материальных ресурсов и т. д.
3. По времени и динамике развития: