Контроль за функціонуванням та керування системою захисту інформації

Основні технічні заходи захисту інформації

У процесі реалізування основних технічних заходів захисту потрібно:

· встановити засоби виявлення загроз і перевірити їхню працездатність;

· встановити захищені засоби оброблення інформації, засоби ТЗІ та перевірити їхню працездатність;

· застосувати програмні засоби захисту в блоках обчислювальної техніки, автоматизованих системах, здійснити їхнє загальне тестування і тестування на відповідність вимогам захищеності;

· застосувати спеціальні інженерно-технічні споруди, засоби (системи).

Вибір засобів ТЗІ зумовлюється фрагментарним або комплексним способом ЗІ.

Фрагментарний захист забезпечує протидію певній загрозі. Комплексний захист забезпечує одночасну протидію безлічі загроз.

Засоби виявлення загроз застосовують для сигналізації та сповіщення власника (користувача, розпорядника) ІзОД про витік інформації або порушення її цілісності. Засоби ТЗІ застосовуються автономно або спільно з технічними засобами забезпечення ІД для пасивного або активного приховування ІзОД.

Для пасивного приховування застосовують фільтри-обмежувачі, лінійні фільтри, спеціальні абонентські пристрої захисту та електромагнітні екрани.

Для активного приховування застосовують вузькосмугові й широкосмугові генератори лінійного та просторового зашумлення.

Програмні засоби застосовуються для забезпечення:

· ідентифікування та автентифікування користувачів, персоналу і ресурсів системи оброблення інформації;

· розмежування доступу користувачів до інформації, засобів обчислювальної техніки і технічних засобів ІС;

· цілісності інформації та конфігурації ІС;

· реєстрації та обліку дій користувачів;

· маскування оброблюваної інформації;

· реагування (сигналізації, від’єднання, зупинення робіт, відмови у запиті) на спроби несанкціонованих дій.

Спеціальні інженерно-технічні споруди, засоби та системи застосовуються для оптичного, акустичного, електромагнітного та іншого екранування носіїв інформації.

Розміщення, монтування та прокладання спеціальних інженерно-технічних засобів і систем, у тому числі систем заземлення та електроживлення засобів забезпечення ІД, слід здійснювати відповідно до вимог нормативних документів з ТЗІ.

Контроль за функціонуванням системи ТЗІ на об’єктах ІД підприємства здійснюється з метою визначення й удосконалення стану ТЗІ в підрозділах підприємства, щодо яких здійснюється ТЗІ, виявлення та запобігання порушенням з ТЗІ в ІС та об'єктах.

Контроль стану ТЗІ в підрозділах підприємства організовується відповідно до планів, затверджених керівниками відповідних органів, шляхом проведення перевірок. Перевірки стану ТЗІ здійснюються безпосередньо комісіями, на які покладається забезпечення ТЗІ.

Перевірки поділяються на комплексні, цільові (тематичні) та контрольні.

Під час комплексної перевірки вивчається та оцінюється стан ТЗІ у підрозділах підприємства, щодо яких здійснюється ТЗІ.

Під час цільової (тематичної) перевірки вивчаються окремі напрямки ТЗІ, перевіряється виконання рішень (розпоряджень, наказів, вказівок) органів державної влади з питань ТЗІ в підрозділах, щодо яких здійснюється ТЗІ, виконання завдань або провадження діяльності в галузі ТЗІ, за відповідними дозволами та ліцензіями, суб'єктами системи ТЗІ.

Під час контрольної перевірки перевіряється усунення недоліків, які були виявлені під час проведення попередньої комплексної або цільової перевірки. Зазначені перевірки можуть бути планові та позапланові, з попередженням та раптові.

Позапланова перевірка здійснюється за вказівкою керівництва підприємства в разі виникнення потреби визначення повноти та достатності заходів з ТЗІ за наявності відомостей щодо порушень виконання вимог нормативно-правових актів з питань ТЗІ.

При проведенні перевірки стану ТЗІ контролю підлягають організаційні, організаційно-технічні, технічні заходи з ТЗІ у виділених приміщеннях, ІС і об'єктах, повнота та достатність робіт з атестування виділених приміщень.

Необхідно провести аналіз функціонування системи ЗІ, перевірку виконання заходів з ТЗІ, контроль ефективності захисту, підготувати та оприлюднити дані для керування системою ЗІ.

Керування системою ЗІ полягає в адаптуванні заходів з ТЗІ до поточного завдання ЗІ. За фактами зміни умов здійснення або виявлення нових загроз заходи ТЗІ реалізуються у найкоротший термін.

Контроль організаційних заходів з ТЗІ у підрозділах підприємства включає перевірку:

· переліку відомостей, які підлягають ТЗІ;

· окремої моделі загроз для ІС або об'єкту;

· плану контрольованої зони органу, щодо якого здійснюється ТЗІ;

· переліку виділених приміщень органу, щодо якого здійснюється ТЗІ, ІС та об'єктів;

· проведення категоріювання виділених приміщень та об'єктів.

Контроль організаційно-технічних і технічних заходів щодо ТЗІ у виділених приміщеннях, ІС та об'єктах, повноти та достатності робіт з атестування виділених приміщень включає перевірку відповідності виконання цих заходів до нормативно-правових актів з питань ТЗІ.

Організаційно-технічні й технічні заходи з ТЗІ у виділених приміщеннях, ІС та об'єктах, роботи з атестування виділених приміщень виконуються власними силами або суб'єктами підприємницької діяльності в галузі ТЗІ.

За результатами комплексної перевірки комісією складається акт перевірки стану та ефективності заходів з ТЗІ, а цільової та контрольної перевірки – довідка за довільною формою. Ознайомлення керівника суб'єкта системи ТЗІ з актом (довідкою) здійснюється під розпис.

Керівник підрозділу зобов'язаний ужити невідкладних заходів щодо усунення недоліків і реалізування пропозицій комісії відповідно до вимог нормативно-правових актів з питань ТЗІ.

Порушення встановлених норм та вимог з ТЗІ, виявлені під час проведення перевірок, поділяються на три категорії:

· перша – невиконання норм та вимог з ТЗІ, внаслідок чого створюється реальна можливість порушення конфіденційності, цілісності й доступності інформації або її витоку технічними каналами;

· друга – невиконання норм та вимог з ТЗІ, внаслідок чого створюються передумови для порушення конфіденційності, цілісності і доступності інформації або її витоку технічними каналами;

· третя – невиконання інших вимог з ТЗІ.

У разі виявлення порушення першої категорії вживають такі заходи:

· голова комісії негайно доповідає керівництву підприємства для прийняття рішення про припинення робіт, які проводились з порушенням норм і вимог ТЗІ, та про факт порушення;

· здійснюються заходи з усунення порушень у терміни, погоджені з підрозділом, на який покладено ТЗІ;

· в установленому порядку організовується розслідування причин, які призвели до порушень, з метою недопущення їх у подальшому і притягнення осіб, які допустили порушення нормативно-правових актів з питань ТЗІ до відповідальності згідно із законодавством України.

Дозвіл на відновлення робіт, під час виконання яких були виявлені порушення норм і вимог ТЗІ першої категорії, дає керівник підприємства за погодженням з підрозділом, на який покладено ТЗІ, після усунення порушень і перевірки достатності й ефективності вжитих заходів.

Керівництво підприємства зобов'язано надавати комісії повну інформацію стосовно впроваджених заходів з ТЗІ та сприяти проведенню їх перевірки.

Читайте також:

<== попередня сторінка	\|	наступна сторінка ==>
Первинні технічні заходи захисту інформації	\|	Порядок контролю за станом технічного захисту інформації

Не знайшли потрібну інформацію? Скористайтесь пошуком google:

Генерація сторінки за: 0.004 сек.