Управленческие решения

Законодательные меры

Тема 7. Реализация мер безопасности

Защита сети подразумевает не единичные действия, а комплексный подход, включающий следующие меры защиты:

- Законодательные меры;

- Управленческие решения;

- Организационные меры;

- Физические решения;

- Программно-технические меры.

К правовым мерам относится часть уголовного кодекса, определяющая ответственность за совершения преступлений в области современных информационных технологий.

Законы:

· "Об информатизации". Закон Республики Беларусь «Об информации, информатизации и защите информации» от 10.11.2008г. №455-З

· "О патентах на изобретения".

· О ПАТЕНТАХ НА ИЗОБРЕТЕНИЯ, ПОЛЕЗНЫЕ МОДЕЛИ, ПРОМЫШЛЕННЫЕ ОБРАЗЦЫ

· "О Национальном архивном фонде и архивах в Республике Беларусь".

· "Об авторском праве и смежных правах"

· Указ Президента Республики Беларусь «О мерах по совершенствованию использования национального сегмента сети Интернет» от 02.02.2010

·

· и т.д.

Следует также упомянуть Указы Президента РБ, которые касаются, прежде всего, вопросов формирования государственной политики в сфере информатизации, (включая организационные механизмы), создания системы правовой информации и информационно-правового сотрудничества с государствами СНГ, обеспечения информацией органов государственной власти, мер по защите информации. Например, УКАЗ ПРЕЗИДЕНТА РЕСПУБЛИКИ БЕЛАРУСЬ «ОБ УТВЕРЖДЕНИИ НАЦИОНАЛЬНОЙ КОНЦЕПЦИИ БЕЗОПАСНОСТИ РЕСПУБЛИКИ БЕЛАРУСЬ»

Главная цель мер, предпринимаемых на управленческом уровне, — сформировать программу работ в области информационной безопасности и обеспечить ее выполнение, выделяя необходимые ресурсы и контролируя состояние дел. Основой программы является политика безопасности.

Под политикой безопасности мы будем понимать совокупность документированных управленческих решений, направленных на защиту информации

С практической точки зрения политику безопасности целесообразно подразделить на два уровня: верхнего, или центрального, который охватывает всю организацию, и нижнего, или сервисного, который относится к отдельным сервисам.

К верхнему уровню можно отнести решения, затрагивающие организацию в целом. Они носят общий характер и, как правило, исходят от руководства организации. Примерный список подобных решений может включать в себя следующие элементы:

• Решение сформировать или пересмотреть комплексную программу обеспечения информационной безопасности, определение ответственных за продвижение программы.
• Формулировка целей, которые преследует организация в области информационной безопасности, определение общих направлений в достижении этих целей.
• Обеспечение базы для соблюдения законов и правил.
• Формулировка управленческих решений по тем вопросам реализации программы безопасности, которые должны рассматриваться на уровне организации в целом.

К нижнему уровню можно отнести вопросы, касающиеся отдельных аспектов информационной безопасности, но важные для различных систем, эксплуатируемых организацией. Примеры таких вопросов — отношение к передовым (но, возможно, недостаточно проверенным) технологиям, доступ к Internet (как сочетать свободу получения информации с защитой от внешних угроз?), использование домашних компьютеров, применение пользователями неофициального программного обеспечения и т.д.

Для данного уровня должна для каждого аспекта освещать следующие темы:

· Описание аспекта. Например, если рассмотреть применение пользователями неофициального программного обеспечения, последнее можно определить как обеспечение, которое не было одобрено и/или закуплено на уровне организации.

· Область применения. Следует специфицировать, где, когда, как, по отношению к кому и чему применяется данная политика безопасности. Например, касается ли политика по поводу неофициального программного обеспечения организаций-субподрядчиков? Затрагивает ли она работников, пользующихся портативными и домашними компьютерами и вынужденных переносить информацию на производственные машины?

· Позиция организации по данному аспекту. Продолжая пример с неофициальным программным обеспечением, можно представить себе позиции полного запрета, выработки процедуры приемки подобного обеспечения и т.п. Позиция может быть сформулирована и в гораздо более общем виде, как набор целей, которые преследует организация в данном аспекте. Вообще стиль документов по политике безопасности (как и перечень этих документов) может быть существенно разным для разных организаций.

· Роли и обязанности. В "политический" документ необходимо включить информацию о должностных лицах, отвечающих за проведение политики безопасности в жизнь. Например, если для использования работником неофициального программного обеспечения нужно официальное разрешение, должно быть известно, у кого и как его следует получать. Если должны проверяться дискеты, принесенные с других компьютеров, необходимо описать процедуру проверки. Если неофициальное программное обеспечение использовать нельзя, следует знать, кто следит за выполнением данного правила.

· Законопослушность. Политика должна содержать общее описание запрещенных действий и наказаний за них.

· Точки контакта. Должно быть известно, куда следует обращаться за разъяснениями, помощью и дополнительной информацией. Обычно "точкой контакта" служит должностное лицо, а не конкретный человек, занимающий в данный момент данный пост.

Дата добавления: 2014-01-13