Основные функции службы информационной безопасности АС

Политика безопасности организации включает как принципы безопасности, так и основные директивные положения стратегии развития организации в целом. Она должна отражать широкий круг аспектов, включая аспекты, которые касаются защиты прав личности, выполнения законодательных требований в организации и требований стандартов.

В связи с многоаспектным характером политик безопасности АС в их разработке принимают участие представители всех основных сфер деятельности компании (организации).

Для обеспечения административной и финансовой поддержки всех связанных с безопасностью мер политика безопасности АС утверждается руководством организации. Надлежащее определение специфических служебных обязанностей и ответственности должностных лиц обеспечивает эффективную реализацию политики безопасности АС.

Цель политики безопасности АС достигается при помощи различных организационных структур, зависящих от размера и характера деятельности компании (ведомства). В больших компаниях (масштабных ведомствах) рекомендуется иметь, во-первых, Совет по безопасности АС, который:

• — формулирует основные цели политики безопасности АС и обосновывает основные положения программы создания целостной системы обеспечения безопасности АС, согласовывая их с руководством и решая межведомственные вопросы программы;
• — рекомендует стратегии, одобряет документы политики обеспечения безопасности;
• — организует мониторинг реализации программы безопасности АС;
• — осуществляет анализ и экспертную оценку эффективности реализации политики безопасности АС;
• — консультирует руководителей организации по вопросам привлечения кадровых, финансовых, научных и иных ресурсов для успешной реализации программы безопасности АС.

Во-вторых, рекомендуется создавать службу (департамент или отдел) информационной безопасности ведомства (компании) с администратором безопасности, который связывает воедино все аспекты информационной безопасности.

Основными функциями службы информационной безопасности являются:

• 1) оценка состояния защищенности АС с координацией работ по всем направлениям реализации программы безопасности АС. Реализацию этой функции осуществляет комплекс средств обеспечения информационной безопасности, поддерживающий:
  • — обновление компонентов системы с глобального сервера;
  • — обнаружение сетевых узлов, открытых портов, идентифицирование операционных систем и серверных приложений;
  • — комплексную оценку защищенности систем управления базами данных (СУБД) и базами знаний;
  • — анализ защищенности web-приложений;
  • — поддержку и обновление интегрированной базы знаний; проведение периодической инвентаризации средств технического и программного обеспечения защиты АС;
  • — опубликование документов политики безопасности АС и директивных документов;
  • — координацию расследования инцидентов в информационно-телекоммуникационной сфере с документированием и анализом результатов расследования;
  • — установление целей и критериев безопасности АС, исходя из политик безопасности;
  • — анализ эффективности контроля безопасности АС;
  • — предоставление совету по безопасности отчетов по установленному регламенту;
• 2) сканирование всех доступных сетевых и локальных хранилищ информации;
• 3) уведомление совета по безопасности о выявленных нарушениях политик безопасности и теневое копирование в архив найденных подозрительных файлов;
• 4) реализация функций с помощью системы аутентификации автоматизированных рабочих мест, таких как:
  • — обеспечение соблюдения политики безопасности;
  • — обеспечение использования средств аутентификации и авторизации пользователей и оконечных устройств, подключенных к проводным сетям, беспроводным сетям и сетям VPN^[1];
  • — предотвращение НСД к сети;
  • — управление гостевым доступом;
  • — поддержка настраиваемых порталов;
  • — устранение уязвимостей на компьютерах пользователей;
  • — поддержка мониторинга, отчетности и устранения неполадок;
  • — управление доступом оконечных устройств к сети;
• 5) организационное обеспечение использования криптосредств, решающих задачи интеграции сетевых ресурсов в единую корпоративную виртуальную сеть и организации юридически значимого документооборота с реализацией следующих функций:
  • — управление политиками безопасности;
  • — обновление средств программного обеспечения АС; использование ключевой и адресно-справочной информации для работы устройств;
  • — обеспечение доступа и работы удаленных пользователей с виртуальными IP-адресами защищаемых ресурсов;
  • — обеспечение круглосуточной работы оборудования;
  • — ведение эксплуатационной документации;
  • — администрирование средств доверенного сертифицированного программного обеспечения;
  • — настройка и изменение параметров конфигурации криптомаршрутизаторов и межсетевого экрана;
  • — обеспечение безопасного доступа к ресурсам информационной инфраструктуры ведомства со специализированных планшетов, организационное обеспечение защиты почты и ограничений сообщений СПАМ с применением специализированных программных комплексов.

Служба информационной безопасности ведомства (компании) организует разработку и актуализацию следующих системообразующих документов по обеспечению информационной безопасности:

• — концепция информационной безопасности ведомства (компании);
• — политика информационной безопасности ведомства (компании);
• — методические руководства ведомства (компании) по организации защиты информации на всех стадиях создания, развития и функционирования АС;
• — регламенты по обработке информации, ограниченного распространения;
• — инструкции по эксплуатации применяемых средств защиты;
• — организационно-штатная структура ведомства (компании) в области обеспечения информационной безопасности;
• — инструкции подразделений, обеспечивающих информационную безопасность АС ведомства (компании);
• — должностные инструкции сотрудников ведомства, обеспечивающих информационную безопасность в соответствии с организационно-штатной структурой;
• — технический проект на систему защиты персональных данных, обрабатываемых в ведомстве;
• — модель угроз и нарушителя безопасности соответствующих ИС персональных данных;
• — комплект организационно-нормативной документации, регламентирующей вопросы обработки и обеспечения безопасности персональных данных;
• — приказы о назначении должностных лиц, ответственных за обеспечение безопасности персональных данных при их обработке в информационных системах персональных данных ведомства.

Охарактеризуйте иерархию политик безопасности организации (компании).

• [1] Virtual Private Network (VPN) — это 1) виртуальная частная сеть; 2) обобщенное название технологий, позволяющих обеспечить одно или несколько сетевых соединений (логическую сеть) поверх другой сети, например сети Интернет (см. ГОСТ Р ИСО/МЭК 27 033−1-2011)