Раздел VII. Меры, методы и средства обеспечения защищённости ИР и ИС

Раздел VII
Меры, методы и средства обеспечения защищённости ИР и ИС

32. Обеспечение требуемого уровня защищённости ИР/ИС органов администрации должно достигаться с использованием мер, методов и средств ИБ.

Меры обеспечения ИБ подразделяются на:

законодательные (правовые);

организационные (административные);

физические;

технические (аппаратные и программные).

В общем случае, меры обеспечения ИБ должны обеспечивать нейтрализацию (минимизацию возможности реализации) следующих категорий угроз:

угрозы утечки информации по техническим каналам;

угрозы техногенного характера;

угрозы нарушения процессов функционирования ИС в процессе эксплуатации;

угрозы получения сведений об объектах защиты;

угрозы, связанные с использованием беспроводных сетей передачи данных;

угрозы несанкционированного физического доступа к компонентам ИС;

угрозы, связанные с действиями легитимных пользователей (пользователи ИС, сотрудники подрядных организаций);

угрозы нарушения функционирования виртуальной инфраструктуры ИС;

угрозы, связанные с эксплуатацией механизмов и средств защиты информации.

Конкретные угрозы, нейтрализация которых необходима в органах администрации, зависит от классов ИС, используемых информационных технологий и категорий потенциальных нарушителей безопасности информации. Актуальные угрозы безопасности информации определяются в результате моделирования угроз безопасности информации и отражаются в частных моделях угроз и нарушителя безопасности информации органов администрации. Частные модели угроз и нарушителя безопасности органов администрации должны согласовываться с комиссией по классификации информационных систем администрации муниципального образования город Краснодар по требованиям безопасности.

33. К законодательным (правовым) мерам защиты относятся федеральные законы и иные нормативные правовые акты, регламентирующие правила обращения с информацией ограниченного доступа, закрепляющие права и обязанности участников информационных отношений в процессе её обработки и использования, а также устанавливающие ответственность за нарушения этих правил, препятствуя тем самым неправомерному использованию информации и являющиеся сдерживающим фактором для потенциальных нарушителей.

Правовые меры защиты носят в основном упреждающий, профилактический характер и требуют постоянной разъяснительной работы с пользователями и обслуживающим персоналом системы.

34. Организационные (административные) меры защиты - это меры, регламентирующие процессы функционирования ИС, использования ИР, деятельность обслуживающего персонала, а также порядок взаимодействия пользователей с ИС/ИР органов администрации таким образом, чтобы в наибольшей степени затруднить или исключить возможность реализации угроз безопасности или снизить размер потерь в случае их реализации.

Комплекс организационных мер защиты образует систему управления ИБ. Система управления ИБ должна:

34.1. Предусматривать регламент информационных отношений, исключающих возможность несанкционированных действий в отношении объектов защиты.

34.2. Определять коалиционные и иерархические принципы и методы разграничения доступа к информации ограниченного доступа.

34.3. Определять порядок работы с программно-математическими и техническими (аппаратными) средствами защиты и криптозащиты и других защитных механизмов.

34.4. Обеспечить организацию меры противодействия НСД пользователями на этапах аутентификации, авторизации, идентификации, обеспечивающих гарантии реализации прав и ответственности субъектов информационных отношений.

34.5. Регламентировать:

порядок планирования обеспечения безопасности;

порядок обеспечения действий в непредвиденных (нештатных) ситуациях;

порядок реагирование на инциденты безопасности ИБ;

порядок защиты носителей информации;

порядок обеспечения целостности системы;

порядок информирования персонала по вопросам обеспечения ИБ.

34.6. К организационным мерам относятся вопросы кадрового обеспечения СОБИ, которое предполагает:

укомплектование органов администрации специалистами по обеспечению ИБ (по защите информации);

организацию системы подготовки (повышения квалификации) специалистов для эксплуатации систем и средств защиты в органах администрации.

35. Физические меры защиты основаны на применении разного рода механических, электро- или электронно-механических устройств и сооружений, специально предназначенных для создания физических препятствий на возможных путях проникновения и доступа потенциальных нарушителей к компонентам системы и защищаемой информации, а также технических средств визуального наблюдения, связи и охранной сигнализации.

Физическая защита зданий, помещений, объектов и средств информатизации должна осуществляться путём установления соответствующих постов охраны, с помощью технических средств охраны или любыми другими способами, предотвращающими или существенно затрудняющими проникновение в здание, помещения посторонних лиц, хищение информационных носителей, самих средств информатизации, исключающими нахождение внутри контролируемой (охраняемой) зоны технических средств разведки.

36. Технические (аппаратно-программные) средства (меры) защиты информации основаны на использовании различных электронных устройств и специальных программ, входящих в состав ИС органов администрации и выполняющих (самостоятельно или в комплексе с другими средствами) функции защиты (идентификацию и аутентификацию пользователей, разграничение доступа к ресурсам, регистрацию событий, криптографическое закрытие информации и т.д.).

С учётом требований и принципов обеспечения безопасности информации в органах администрации по всем направлениям защиты в состав системы защиты должны быть включены следующие средства:

средства идентификации (опознавания) и аутентификации (подтверждения подлинности) пользователей;

средства разграничения доступа зарегистрированных пользователей системы к ресурсам ИС органов администрации;

средства обеспечения и контроля целостности программных и информационных ресурсов;

средства оперативного контроля и регистрации событий безопасности;

средства безопасного межсетевого взаимодействия;

средства антивирусной защиты;

средства анализа защищённости;

средства обнаружение вторжений и уязвимостей;

средства обеспечение безопасности среды виртуализации;

средства централизованного мониторинга и управления СОБИ;

средства контроля действий пользователей;

средства криптографической защиты информации;

средства защиты информации от утечки.

Оценка необходимости тех или иных мер защиты информации должна основываться на результатах моделирования угроз безопасности информации и расчётах их актуальности для конкретных ИР и ИС.

Средства криптографической защиты информации в случаях, когда угрозы безопасности информации могут быть нейтрализованы только с их применением. К таким случаям относятся:

передача защищаемой информации по каналам связи, не защищённым от перехвата нарушителем передаваемой по ним информации или от несанкционированных воздействий на эту информацию (например, при передаче персональных данных по информационно-телекоммуникационным сетям общего пользования);

хранение защищаемой информации на носителях информации, несанкционированный доступ к которым со стороны нарушителя не может быть исключён с помощью не криптографических методов и способов.