Материал: Averchenkov - Sluzhba zashchity informatsii 2005
ПРЕДИСЛОВИЕ
Бурное развитие в последние годы информационных технологий (ИТ) и их использование во всех сферах деятельности современного человека выдвинули целый ряд новых проблем, требующих незамедлительного решения. Одной из наиболее острых проблем стала тема информационной безопасности. Сегодня нет предприятий, фирм, организаций или отдельных пользователей ПЭВМ, которые бы не ставили перед собой задачу защиты информации или работоспособности технических средств. Можно говорить, что проблема информационной безопасности из разряда узкоспециальных и доступных только профессионалам становится жизненно важной для подавляющего круга населения страны.
Решение этой комплексной задачи предусматривает, наряду с правовым, программно-аппаратным, криптографическим и техническим обеспечением, проведение различных организационных мероприятий. Для этого необходима организация специальных служб по защите информации и подготовке для них специалистов-инженеров- математиков, инженеров-программистов, менеджеров (специалистов по защите информации).
Вряде вузов начата подготовка таких специалистов по направлению, в котором изучаются дисциплины «Организационное обеспечение защиты информации и «Организация и управление службой защиты информации».
Сложностью организации учебного процесса по этим дисциплинам является отсутствие учебников и учебных пособий. Особенно это касается второй дисциплины. Причиной этого является недостаточный опыт организации служб защиты информации на предприятиях, которые
внастоящее время стали создаваться в составе служб безопасности (СБ). Что касается СБ, то в последние годы вышли монографии и учебные пособия В.В. Домарева, В.П. Мак-Мака и В.И. Ярочкина, в которых рассмотрен опыт организации и управления службами безопасности на современных предприятиях и фирмах.
Впредлагаемом учебном пособии сделана попытка обобщить опыт
впостроении общих систем безопасности предприятия и показать место и роль защиты информации в существующих подразделениях, а также
3
Предисловие
описать подходы к организации специализированных подразделений и методы их управления. Особое внимание уделено подбору и обучению сотрудников службы защиты информации.
Материал учебного пособия подготовлен на основе курса лекций, читаемого студентам специальности 090103 – «Организация и технология защиты информации» в Брянском государственном техническом университете. Для проведения практических занятий в учебное пособие включены в качестве приложения образцы положений, инструкций и других документов, необходимых для организации и управления различными подразделениями службы безопасности предприятия. Эти материалы могут быть полезны при практической работе специалистам, занимающимся организацией и управлением службами защиты информации.
4
Концепция построения системы безопасности предприятия
Глава 1. Концепция построения системы безопасности предприятия
1.1.Определение и основные понятия системы безопасности
1.2.Защита информации в системе безопасности предприятия
1.3.Концептуальные модели компонентов системы безопасности предприятия
1.4.Принципы построения системы безопасности предприятия
1.1. Определение и основные понятия системы безопасности
Под системой безопасности предприятия в настоящее время понимается организованная совокупность специальных органов, служб, средств, методов и мероприятий, обеспечивающих защиту жизненно важных интересов личности, предприятия и государства от внутренних и внешних угроз [13]. Удовлетворить современные требования по обеспечению безопасности предприятия и защиты его конфиденциальной информации может только система безопасности.
Опасности – это возможные или реальные явления, события и процессы, способные нанести моральный или материальный ущерб предприятию и предпринимательской деятельности.
Опасность способна приобретать различные формы. Она может быть в виде намерений, планирования действий и их реализация с целью уничтожения, ограбления, изменения, ослабления и т. д.
Понятие "угроза" родственно понятию "опасность". Угроза – это опасность на стадии перехода из возможности в действительность.
Угроза – потенциально возможное или реальное действие злоумышленников, способных нанести моральный, материальный или физический ущерб персоналу. Различают внутренние и внешние угрозы,
5
Глава 1
которые могут быть направлены на персонал, материальные, финансовые и информационные ресурсы (рис. 1.1).
Угрозы
безопасности
|
|
|
|
Внутренние |
|
|
|
Внешние |
|
|
|
|||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Персоналу |
|
|
|
|
Материальным |
|
Финансовым |
|
|
Информацион- |
|||||||||
|
|
|
|
|
|
|
|
|
ресурсам |
|
ресурсам |
|
|
ным ресурсам |
||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||
|
Моральные и |
|
|
|
Повреждения |
|
Кража |
|
|
Ознакомле- |
|
|||||||||
|
физические |
|
|
зданий, |
|
финансовых |
|
|
ние с |
|
||||||||||
|
страдания: |
|
|
помещений, |
|
средств и |
|
|
охраняемыми |
|
||||||||||
−убийства |
|
|
квартир и |
|
ценностей. |
|
|
сведениями. |
|
|||||||||||
−похищения и |
|
|
другого |
|
Мошенничест- |
|
|
Модифика- |
|
|||||||||||
|
угрозы, |
|
|
недвижимого |
|
во с |
|
|
ция |
|
||||||||||
|
похищения |
|
|
имущества. |
|
финансовыми |
|
|
информации |
|
||||||||||
|
сотрудников, |
|
|
Вывод из строя |
|
средствами и |
|
|
|
|
с |
|
||||||||
|
членов их |
|
|
средств связи и |
|
документами |
|
|
криминальны |
|
||||||||||
|
семей; |
|
|
систем |
|
|
|
|
|
ми целями. |
|
|||||||||
−психологичес- |
|
|
коммунального |
|
|
|
|
|
Уничтожение |
|
||||||||||
|
кий террор, |
|
|
обслуживания. |
|
|
|
|
|
информации |
|
|||||||||
|
угрозы, |
|
|
Кража, угон и |
|
|
|
|
|
|
|
|
|
|||||||
|
запугивания, |
|
|
уничтожение |
|
|
|
|
|
|
|
|
|
|||||||
|
шантаж и |
|
|
транспортных |
|
|
|
|
|
|
|
|
|
|||||||
|
вымогательст- |
|
|
средств |
|
|
|
|
|
|
|
|
|
|||||||
|
во |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||
Рис. 1.1. Виды угроз безопасности предприятия
Как и любая система, система безопасности предприятия имеет свои цели, задачи, методы и средства деятельности, которые формируются в зависимости от конкретных условий.
Целями системы безопасности являются [12]:
−защита прав предприятия, его структурных подразделений и сотрудников;
−сохранение и эффективное использование финансовых, материальных и информационных ресурсов;
6
Концепция построения системы безопасности предприятия
−повышение имиджа и роста прибылей за счет обеспечения качества услуг и безопасности клиентов.
Вкачестве основных задач системы безопасности
рассматриваются:
−своевременное выявление и устранение угроз персоналу и ресурсам; причин и условий, способствующих нанесению финансового, материального и морального ущерба интересам предприятия, нарушению его нормального функционирования и развития;
−создание механизма и условий оперативного реагирования на угрозы безопасности и проявления негативных тенденций в функционировании предприятия;
−пресечение посягательств на ресурсы и угроз персоналу на основе комплексного подхода к безопасности;
−создание условий для максимально возможного возмещения
илокализации наносимого ущерба неправомерными действиями физических и юридических лиц, для ослабления негативного влияния последствий нарушения безопасности на достижение стратегических целей.
Для достижения указанных целей и задач используются различные
средства обеспечения безопасности предприятия, среди которых можно выделить следующие [6]:
•Технические средства. К ним относятся охранно-пожарные системы, видео-радиоаппаратура, средства обнаружения взрывных устройств, бронежилеты, заграждения и т.д.
•Организационные средства. Создание специализированных оргструктурных формирований, обеспечивающих безопасность предприятия.
•Информационные средства. Прежде всего это печатная и видеопродукция по вопросам сохранения конфиденциальной информации. Кроме этого, важнейшая информация для принятия решений по вопросам безопасности сохраняется в компьютерах.
•Финансовые средства. Совершенно очевидно, что без достаточных финансовых средств невозможно функционирование системы безопасности, вопрос лишь в том, чтобы использовать их целенаправленно и с высокой отдачей.
7