Административная группа управления защитой

Некоторые замечания по поводу политики

Для эффективности политика должна быть наглядной. Наглядность помогает реализовать политику, помогая гарантировать ее знание и понимание всеми сотрудниками организации. Презентации, видеофильмы, семинары, вечера вопросов и ответов и статьи во внутренних изданиях организации увеличивают ее наглядность. Программа обучения в области компьютерной безопасности и контрольные проверки действий в тех или иных ситуациях могут достаточно эффективно уведомить всех пользователей о новой политике. С ней также нужно знакомить всех новых сотрудников организации.

Политики компьютерной безопасности должны доводиться таким образом, чтобы гарантировалась поддержка со стороны руководителей отделов, особенно, если на сотрудников постоянно сыплется масса политик, директив, рекомендаций и приказов. Политика организации - это средство довести позицию руководства в отношении компьютерной безопасности и явно указать, что оно ожидает от сотрудников в отношении производительности их работы, действий в тех или иных ситуациях и регистрации своих действий.

Для того чтобы быть эффективной, политика должна быть согласована с другими существующими директивами, законами, приказами и общими задачами организации. Она также должна быть интегрирована в и согласована с другими политиками (например, политикой по приему на работу). Одним из способов координации политик является согласование их с другими отделами в ходе разработки

Организация группы управления защитой информации, включающей специалистов в этой области — одна из наиболее важных задач управления защитой ИС. Иногда эту группу называют группой информационной безопасности.

В обязанности входящих в эту группу сотрудников должно быть включено не только исполнение дирек­тив вышестоящего руководства, но и участие в выработке решений по всем вопросам, связанным с процес­сом обработки информации с точки зрения обеспечения его защиты. Более того, все их распоряжения, касающиеся этой области, обязательны к исполнению сотрудниками всех уровней и организационных звеньев. Кроме того, организационно эта группа должна быть обособлена от всех отделов или групп, занимающихся управлением самой системой, программированием и другими относящимися к системе задачами во избежа­ние возможного столкновения интересов.

Несмотря на то, что обязанности и ответственность сотрудников группы информационной безопасности варьируются в разных учреждениях, можно выделить несколько основных положений, которым должны соответствовать функциональные обязанности во всех организациях. В обязанности сотрудников группы информационной безопасности входит:

•Управление доступом пользователей системы к данным, включая установку и периодическую смену паро­лей, управление средствами защиты коммуникаций и криптозащиту передаваемых, хранимых и обрабаты­ваемых данных.

Разработка планов защиты и контроль за их соблюдением, а также контроль за хранением резервных копий.

Доведение до пользователей изменений в области защиты, которые имеют к ним отношение, обучение персонала и пользователей ИС.

Взаимодействие со службой менеджмента ИС по вопросам защиты информации. Совместная работа с представителями других организаций по вопросам безопасности — непосредственный контакт или консультации с партнерами или клиентами. Тесное сотрудничество и дружественные отношения со службой менеджмента и администрацией ИС. Расследование причин нарушений защиты.

Координация действий с аудиторской службой, совместное проведение проверок. Постоянная проверка соответствия принятых в организации правил безопасности обработки информации существующим правовым нормам, контроль за соблюдением этого соответствия. Поддержание хороших отношений с теми отделами, чьи задачи могут (по каким-то особым причинам) выполняться в обход существующих правил.

Естественно, все эти задачи не под силу одному человеку, особенно если организация (компания, банк и др.) довольно велика. Более того, в группу управления защитой могут входить сотрудники с разными фун­кциональными обязанностями. Обычно выделяют четыре группы сотрудников (по возрастанию иерархии):

Дата добавления: 2014-01-04