Безопасность жизнедеятельности и экологическая часть

Требования к организации безопасности информации в сети Чтобы инициировать и контролировать процесс обеспечения информационной безопасности, необходимо создать в организации соответствующую структуру управления.

В организации должны проводиться регулярные совещания руководства для разработки и утверждения политики безопасности, распределения обязанностей по обеспечению защиты и координации действий по поддержанию режима безопасности. В случае необходимости следует привлечь специалистов по вопросам защиты информации для консультаций. Необходимо вступать в контакты со специалистами других организаций, чтобы быть в курсе современных направлений и промышленных стандартов, а также, чтобы установить соответствующие деловые отношения для рассмотрении случаев нарушения защиты. Следует всячески поощрять комплексный подход к проблемам информационной безопасности, например, совместную работу аудиторов, пользователей и администраторов для эффективного решения проблем.

Совещание руководства по проблемам защиты информации Ответственность за обеспечение информационной безопасности несут все члены руководящей группы. Поэтому руководству организации необходимо регулярно проводить совещания, посвящённые проблемам защиты информации, чтобы вырабатывать чёткие указания по этому вопросу, а также оказывать административную поддержку инициативам по обеспечению безопасности. Если вопросов по защите информации недостаточно для повестки дня специальных совещаний, необходимо периодически рассматривать эти проблемы на одном из регулярно проводимых в организации совещаний.

Обычно на подобных совещаниях рассматриваются следующие вопросы:

• а) анализ и утверждение политики информационной безопасности и распределение общих обязанностей;
• б) отслеживание основных угроз, которым подвергаются информационные ресурсы;
• в) анализ и слежение за инцидентами в системе безопасности;
• г) утверждение основных инициатив, направленных на усиление защиты информации.

Рекомендуется, чтобы один из членов руководящей группы взял на себя основную ответственность за координацию действий по проведению политики безопасности в жизнь.

Координация действий по защите информации.

В крупной организации возможно потребуется координация мер по обеспечению информационной безопасности посредством проведения совещания, в котором будут участвовать руководители разных подразделений.

Такое совещание, в работе которого принимают участие представители руководства каждого из подразделений организации, зачастую необходимо для того, чтобы координировать действия по реализации защитных мер. Обычно на таком совещании:

• а) согласовываются конкретные функции и обязанности по обеспечению информационной безопасности в организации;
• б) согласовываются конкретные методики и процессы защиты информации, например, оценка рисков, система классификации средств защиты;
• в) согласовывается и оказывается поддержка инициативам по защите информации в организации, например, программе обучения персонала правилам безопасности;
• г) обеспечивается включение защитных мер в процесс планирования использования информации;
• д) координируются действия по реализации конкретных мер по обеспечению информационной безопасности новых систем или сервисов;
• е) создаются благоприятные условия для информационной безопасности во всей организации.

Распределение обязанностей по обеспечению информационной безопасности.

Необходимо чётко определить обязанности по защите отдельных ресурсов и выполнению конкретных процессов обеспечения безопасности.

Политика информационной безопасности (см. Документ о политике информационной безопасности) должна давать общие рекомендации по распределению функций и обязанностей по защите информации. Там, где необходимо, следует дополнить эти рекомендации более подробными разъяснениями, касающимися конкретных систем или сервисов; в этих дополнениях нужно чётко определить ответственных за конкретные ресурсы (как физические, так и информационные) и за процессы обеспечения защиты, например, за планирование бесперебойной работы организации.

Защита информационной системы должна быть обязанностью её владельца (см. Ответственность за ресурсы). Владельцы информационных систем могут делегировать свои полномочия по защите отдельным пользователям-администраторам или поставщикам услуг. Тем не менее, владельцы всё равно несут ответственность за обеспечение безопасности системы.

Чтобы избежать каких-либо недоразумений, касающихся отдельных обязанностей, крайне важно чётко определить зоны ответственности каждого администратора и, в частности, следующее:

• 1. Различные ресурсы и процессы обеспечения безопасности, связанные с каждой системой, необходимо идентифицировать и чётко определить.
• 2. Кандидатура администратора, отвечающего за каждый ресурс или процесс обеспечения защиты, должна быть согласована, а его обязанности задокументированы.

Уровни полномочий необходимо чётко определить и задокументировать.

Процесс утверждения информационных систем.

Следует определить процедуру утверждения новых информационных систем руководством, чтобы гарантировать, что установка оборудования имеет определённую цель для организации, что она обеспечивает достаточный уровень защиты, и что она не оказывает вредного влияния на безопасность существующей инфраструктуры.

Необходимо рассмотреть два уровня полномочий по утверждению систем:

• а) Утверждение руководством. Каждой случай установки систем должен быть утверждён соответствующим руководством, которое даёт разрешение на её проведение. Необходимо также получить разрешение от администратора, отвечающего за поддержание режима локальной информационной безопасности; это гарантирует, что установка систем будут соответствовать политике безопасности и требованиям к ней.
• б) Техническое утверждение. В случае необходимости следует проверить, все ли устройства, подключённые к коммуникационным сетям, или сопровождаемые конкретным поставщиком услуг имеют тип, который был утверждён.

Примечание. Это средство контроля особенно важно в сетевой среде.

Рекомендации специалистов по информационной безопасности.

Каждая организация, крупная или мелкая, может извлечь пользу из рекомендаций, даваемых специалистами по безопасности. В идеале в штатном расписании организации должна быть предусмотрена соответствующая должность, и её должен занимать опытный специалист. Для небольших организаций, однако, нанимать такого специалиста на постоянную работу невыгодно. В этом случае рекомендуется создать единую службу поддержки, чтобы обеспечить согласованность при принятии решений по вопросам безопасности и способствовать максимальному использованию знаний и опыта сотрудников. Следует так подобрать специалистов по защите информации и сотрудников службы поддержки, чтобы обеспечить решение любой проблемы, касающейся информационной безопасности. Качество их оценок угроз системе безопасности и рекомендуемые ими меры противодействия будут определять эффективность программы обеспечения информационной безопасности в организации. Для обеспечения максимальной эффективности такой программы этим специалистам должен быть предоставлен прямой доступ к администраторам информационных систем и руководству организации. В подозрительных случаях нарушения защиты следует как можно раньше обратиться к консультанту по вопросам обеспечения информационной безопасности или в службу поддержки, чтобы получить необходимые указания или ресурсы для расследования таких инцидентов. Хотя большинство внутренних расследований, связанных с нарушением защиты, обычно выполняется под контролем руководства, можно обратиться к консультанту по информационной безопасности как за советом, так и с предложением возглавить или провести необходимые расследования.

Сотрудничество между организациями.

Следует поощрять контакты специалистов по защите информации из штата организации со специалистами из других организаций (промышленных или правительственных) по их усмотрению. Такое взаимодействие даёт возможность обмена опытом и оценками угроз режиму безопасности, а также способствует разработке согласованных правил в промышленности, что помогает устранить препятствия на пути установления деловых отношений между организациями.

Важно также поддерживать соответствующие контакты с правоохранительными органами, поставщиками информационных сервисов и телекоммуникационными органами, чтобы обеспечить своевременное установление контактов и получение рекомендаций в случае инцидента в системе безопасности.

Обмен информацией по вопросам безопасности должен быть ограничен, чтобы гарантировать, что конфиденциальная информация организации не попадёт в руки лиц, не имеющих соответствующие полномочия.

Независимый анализ информационной безопасности.

В документе о политике информационной безопасности (см. Документ о политике информационной безопасности) определяются обязанности по защите информации и формулируется соответствующая политика. Реальные процедуры обеспечения информационной безопасности должны быть подвергнуты независимому анализу, чтобы быть уверенным, что используемые организацией процедуры защиты соответствуют принятой политике безопасности, а также являются реализуемыми и эффективными.Примечание. Кандидатами на выполнение такого анализа являются внутренняя аудиторская служба, независимый старший администратор или сторонняя организация, специализирующаяся на сертификации соответствия политике безопасности в тех случаях, когда они имеют надлежащую квалификацию и опыт.