Раздел VII. Меры, методы и средства обеспечения защищённости ИР и ИС

Раздел VII
Меры, методы и средства обеспечения защищённости ИР и ИС

32. Обеспечение требуемого уровня защищённости ИР/ИС органов администрации должно достигаться с использованием мер, методов и средств ИБ.

Меры обеспечения ИБ подразделяются на:

законодательные (правовые);

организационные (административные);

физические;

технические (аппаратные и программные).

В общем случае, меры обеспечения ИБ должны обеспечивать нейтрализацию (минимизацию возможности реализации) следующих категорий угроз:

угрозы утечки информации по техническим каналам;

угрозы техногенного характера;

угрозы нарушения процессов функционирования ИС в процессе эксплуатации;

угрозы получения сведений об объектах защиты;

угрозы, связанные с использованием беспроводных сетей передачи данных;

угрозы несанкционированного физического доступа к компонентам ИС;

угрозы, связанные с действиями легитимных пользователей (пользователи ИС, сотрудники подрядных организаций);

угрозы нарушения функционирования виртуальной инфраструктуры ИС;

угрозы, связанные с эксплуатацией механизмов и средств защиты информации.

Конкретные угрозы, нейтрализация которых необходима в органах администрации, зависит от классов ИС, используемых информационных технологий и категорий потенциальных нарушителей безопасности информации. Актуальные угрозы безопасности информации определяются в результате моделирования угроз безопасности информации и отражаются в частных моделях угроз и нарушителя безопасности информации органов администрации. Частные модели угроз и нарушителя безопасности органов администрации должны согласовываться с комиссией по классификации информационных систем администрации муниципального образования город Краснодар по требованиям безопасности.

33. К законодательным (правовым) мерам защиты относятся федеральные законы и иные нормативные правовые акты, регламентирующие правила обращения с информацией ограниченного доступа, закрепляющие права и обязанности участников информационных отношений в процессе её обработки и использования, а также устанавливающие ответственность за нарушения этих правил, препятствуя тем самым неправомерному использованию информации и являющиеся сдерживающим фактором для потенциальных нарушителей.

Правовые меры защиты носят в основном упреждающий, профилактический характер и требуют постоянной разъяснительной работы с пользователями и обслуживающим персоналом системы.

34. Организационные (административные) меры защиты - это меры, регламентирующие процессы функционирования ИС, использования ИР, деятельность обслуживающего персонала, а также порядок взаимодействия пользователей с ИС/ИР органов администрации таким образом, чтобы в наибольшей степени затруднить или исключить возможность реализации угроз безопасности или снизить размер потерь в случае их реализации.

Комплекс организационных мер защиты образует систему управления ИБ. Система управления ИБ должна:

34.1. Предусматривать регламент информационных отношений, исключающих возможность несанкционированных действий в отношении объектов защиты.

34.2. Определять коалиционные и иерархические принципы и методы разграничения доступа к информации ограниченного доступа.

34.3. Определять порядок работы с программно-математическими и техническими (аппаратными) средствами защиты и криптозащиты и других защитных механизмов.

34.4. Обеспечить организацию меры противодействия НСД пользователями на этапах аутентификации, авторизации, идентификации, обеспечивающих гарантии реализации прав и ответственности субъектов информационных отношений.

34.5. Регламентировать:

порядок планирования обеспечения безопасности;

порядок обеспечения действий в непредвиденных (нештатных) ситуациях;

порядок реагирование на инциденты безопасности ИБ;

порядок защиты носителей информации;

порядок обеспечения целостности системы;

порядок информирования персонала по вопросам обеспечения ИБ.

34.6. К организационным мерам относятся вопросы кадрового обеспечения СОБИ, которое предполагает:

укомплектование органов администрации специалистами по обеспечению ИБ (по защите информации);

организацию системы подготовки (повышения квалификации) специалистов для эксплуатации систем и средств защиты в органах администрации.

35. Физические меры защиты основаны на применении разного рода механических, электро- или электронно-механических устройств и сооружений, специально предназначенных для создания физических препятствий на возможных путях проникновения и доступа потенциальных нарушителей к компонентам системы и защищаемой информации, а также технических средств визуального наблюдения, связи и охранной сигнализации.

Физическая защита зданий, помещений, объектов и средств информатизации должна осуществляться путём установления соответствующих постов охраны, с помощью технических средств охраны или любыми другими способами, предотвращающими или существенно затрудняющими проникновение в здание, помещения посторонних лиц, хищение информационных носителей, самих средств информатизации, исключающими нахождение внутри контролируемой (охраняемой) зоны технических средст