Обязанности пользователей по защите информации при работе на объекте информатизации доклад

Обновлено: 30.06.2024

Соответствующими указами Президентом определены федеральные органы исполнительной власти, реализующие полномочия по защите информации:

ФСТЭК России является федеральным органом исполнительной власти, осуществляющим реализацию государственной политики, организацию межведомственной координации и взаимодействия, специальные и контрольные функции в области государственной безопасности по вопросам:

обеспечения безопасности критической информационной инфраструктуры Российской Федерации;

противодействия иностранным техническим разведкам на территории Российской Федерации;

обеспечения защиты (некриптографическими методами) информации, содержащей сведения, составляющие государственную тайну, иной информации с ограниченным доступом, предотвращения ее утечки по техническим каналам, несанкционированного доступа к ней, специальных воздействий на информацию (носители информации) в целях ее добывания, уничтожения, искажения и блокирования доступа к ней на территории Российской Федерации;

защиты информации при разработке, производстве, эксплуатации и утилизации неинформационных излучающих комплексов, систем и устройств;

осуществления экспортного контроля.

Нормативные правовые акты и методические документы, изданные по вопросам деятельности ФСТЭК России, обязательны для исполнения государственными органами и организациями.

ФСТЭК России осуществляет методическое руководство деятельностью государственных органов и организаций в области обеспечения безопасности информации в ключевых системах информационной инфраструктуры, противодействия техническим разведкам и технической защиты информации.

Основными задачами ФСБ России в области защиты информации являются:

обеспечение в пределах своих полномочий защиты сведений, составляющих государственную тайну, и противодействия иностранным организациям, осуществляющим техническую разведку;

формирование и реализация в пределах своих полномочий государственной и научно-технической политики в области обеспечения информационной безопасности;

организация в пределах своих полномочий обеспечения криптографической и инженерно-технической безопасности информационно-телекоммуникационных систем, а также систем шифрованной, засекреченной и иных видов специальной связи в Российской Федерации и ее учреждениях за рубежом.

Различие компетенций вышеперечисленных органов исполнительной власти заключается в следующем:

ФСТЭК России формирует требования и производит контроль мероприятий по защите информации некриптографическими методами (разграничение прав пользователей, защита информации от побочных электромагнитных излучений, защита речевой информации и др.);

ФСБ России формирует требования и производит контроль мероприятий по защите информации криптографическими методами (защита каналов связи, электронная подпись).

Защита информации некриптографическими методами является наиболее массовым видом при создании защищенных информационных систем.

2. Нормативно-правовая база защиты информации

Основой для формирования государственной политики и развития общественных отношений в области обеспечения информационной безопасности, а также для выработки мер по совершенствованию системы обеспечения информационной безопасности является Доктрина информационной безопасности Российской Федерации, утвержденная Указом Президента РФ от 5 декабря 2016 г. № 646.

Организация работ по защите информации в органах исполнительной власти осуществляется их руководителями. Для организации и проведения работы по защите информации создаются специальные подразделения по защите информации (или штатные специалисты).

В органах исполнительной власти субъекта может циркулировать два вида информации подлежащей обязательной защите в соответствии с действующим законодательством:

персональные данные (любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу);

Для вышеперечисленных видов информации должны в обязательном порядке применяться меры по защите информации.

Защита сведений, отнесенных к государственной тайне, осуществляется в соответствии с законом РФ от 21.07.1993 N 5485-1 (ред. от 29.07.2018) "О государственной тайне" и инструкцией по обеспечению режима секретности в РФ от 05.01.2004 3-1.

Одна из основных целей защиты информации – это предотвращение ее утечки по техническим каналам.

1) предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации;

2) своевременное обнаружение фактов несанкционированного доступа к информации;

3) предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;

4) недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;

5) возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;

6) постоянный контроль за обеспечением уровня защищенности информации.

3. Требования по защите информации

Конкретные требования по защите информации, которые должен обеспечить обладатель информации, отражены в руководящих документах ФСТЭК и ФСБ России. Документы также делятся на ряд направлений:

защита информации при обработке сведений, составляющих государственную тайну;

защита конфиденциальной информации (в т.ч. персональных данных);

защита информации в ключевых системах информационной инфраструктуры.

Конкретные требования по защите информации определены в руководящих документах ФСТЭК России.

При создании и эксплуатации государственных информационных систем (а это все информационные системы областных органов исполнительной власти) методы и способы защиты информации должны соответствовать требованиям ФСТЭК и ФСБ России.

4. Аттестация объектов информатизации

Основной единицей в терминах защиты информации принято считать объект информатизации – совокупность информационных ресурсов, средств и систем обработки информации, используемых в соответствии с заданной информационной технологией, а также средств их обеспечения, помещений или объектов (зданий, сооружений, технических средств), в которых эти средства и системы установлены, или помещений и объектов, предназначенных для ведения конфиденциальных переговоров (если упрощенно, объекты информатизации – это автоматизированные системы, на которых обрабатывается защищаемая информация и защищаемые помещения, в которых ведутся конфиденциальные переговоры).

Обязательной аттестации подлежат объекты информатизации, предназначенные для обработки конфиденциальной информации, информации, составляющей государственную тайну, управления экологически опасными объектами, ведения секретных переговоров.

Пpи аттестации объекта информатизации подтверждается его соответствие требованиям по защите информации от несанкционированного доступа, в том числе от компьютерных вирусов, от утечки за счет побочных электромагнитных излучений и наводок пpи специальных воздействиях на объект (высокочастотное навязывание и облучение, электромагнитное и радиационное воздействие), от утечки или воздействия на нее за счет специальных устройств, встроенных в объекты информатизации.

Аттестация проводится органом по аттестации (организация, имеющая лицензии ФСТЭК России).

Расходы по проведению всех видов работ и услуг по аттестации объектов информатизации оплачивают заявители.

Для проведения аттестации объектов информатизации, на которых обрабатывается:

информация, содержащая сведения, составляющие государственную тайну, требуется лицензия ФСТЭК России на право осуществления мероприятий и (или) оказания услуг в области защиты государственной тайны (в части технической защиты информации);

конфиденциальная информация требуется лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации.

Органы по аттестации объектов информатизации несут ответственность за выполнение возложенных на них функций, обеспечение сохранности государственных и коммерческих секретов, а также за соблюдение авторских прав pазpаботчиков аттестуемых объектов информатизации и их компонент.

5. Сертификация средств защиты информации

Указанные средства подлежат обязательной сертификации, которая проводится в рамках систем сертификации средств защиты информации. При этом криптографические (шифровальные) средства должны быть отечественного производства и выполнены на основе криптографических алгоритмов, рекомендованных ФСБ России.

На аттестованных объектах информатизации должны применяться сертифицированные по требованиям безопасности информации средства защиты информации. Сертификация средств защиты осуществляется испытательными лабораториями.

Федеральными органами по сертификации являются ФСТЭК России и ФСБ России в части:

разработки и производства средств защиты информации, составляющей государственную тайну;

разработки и производства средств защиты конфиденциальной информации.

6. Построение системы защиты информации в организации

Вопросы создания и непосредственного руководства подразделениями по защите информации в органах государственной власти возлагаются на руководителей органов государственной власти или их заместителей.

Для организации и проведения работ по защите информации создаются специальные подразделения по защите информации (или штатные специалисты).

7. Контроль состояния защиты информации

Контроль состояния защиты информации (далее - контроль) осуществляется с целью своевременного выявления и предотвращения утечки информации по техническим каналам, несанкционированного доступа к ней, преднамеренных программно-технических воздействий на информацию и оценки защиты ее от иностранных технических разведок.

Контроль заключается в проверке выполнения актов законодательства Российской Федерации по вопросам защиты информации, решений ФСТЭК России, а также в оценке обоснованности и эффективности принятых мер защиты для обеспечения выполнения утвержденных требований и норм по защите информации.

Контроль организуется ФСТЭК России, ФСБ России, другими органами государственной власти, входящими в государственную систему защиты информации, и предприятиями в соответствии с их компетенцией.

ФСТЭК России организует контроль силами центрального аппарата и территориальных Управлений ФСТЭК России.

Центральный аппарат ФСТЭК России осуществляет в пределах своей компетенции контроль в органах государственной власти и на предприятиях, обеспечивает методическое руководство работами по контролю.

Территориальные управления ФСТЭК России, в пределах своей компетенции осуществляют контроль в органах государственной власти и на предприятиях, расположенных в зонах ответственности этих управлений.

Органы государственной власти организуют и осуществляют контроль на подчиненных им предприятиях через свои подразделения по защите информации. Повседневный контроль за состоянием защиты информации на предприятиях проводится силами их подразделений по защите информации.

Контроль на предприятиях негосударственного сектора при выполнении работ с использованием сведений, отнесенных к государственной или служебной тайнам, осуществляется органами государственной власти, ФСТЭК России, ФСБ России и заказчиком работ в соответствии с их компетенцией.

Защита информации считается эффективной, если принимаемые меры соответствуют установленным требованиям или нормам.

Несоответствие мер установленным требованиям или нормам по защите информации является нарушением.

Формирование перечня достаточных мер защиты информации должно осуществляться по результатам обследования объекта информатизации и на основании сформулированных требований по защите информации. Перечень мер необходимо подбирать с учетом соотношения затрат на их реализацию и размера возможного ущерба от нарушения целостности, доступности и конфиденциальности информации, а также нарушения работоспособности технических средств, обрабатывающих эту информацию.

Меры по защите информации используются в двух основных направлениях:

обеспечение защиты информации от хищения, утраты, утечки, уничтожения, искажения и блокирования за счет несанкционированного доступа и специальных воздействий;
обеспечение защиты информации от утечки по техническим каналам при ее воспроизведении, обработке, хранении или передаче по каналам связи.

Для защиты информации ограниченного доступа, обрабатываемой на объекте информатизации, могут применяться организационные и технические меры по защите информации. Напомним, что организационные меры по защите информации - меры по защите информации, предусматривающие установление временных, территориальных, пространственных, правовых, методических и иных ограничений на условия использования и режимы работы объекта информатизации. Технические меры по защите информации – меры по защите информации, предусматривающие обеспечение некриптографическими методами безопасности информации (данных), подлежащей защите в соответствии с действующим законодательством, с применением технических, программных и программно-технических средств.

В общем, для защиты информации ограниченного доступа могут применяться организационные меры, например, такие как:

Расширение границ контролируемой зоны на период проведения конфиденциальных переговоров, а также обработки информации техническими средствами. Однако при этом необходимо принять дополнительные организационно-режимные и технические меры, исключающие или существенно затрудняющие утечку информации.
Формирование перечня объектов информатизации, в том числе защищаемых помещений, а также перечня должностных лиц, ответственных за поддержание требуемого уровня защищенности объекта информатизации и за эксплуатацию объекта информатизации в соответствии с установленными требованиями по защите информации.
Издание приказа о запрете использования сотовых телефонов, диктофонов, магнитофонов, прочих средств аудио и видеозаписи, а также оконечных устройств связи во время проведения конфиденциальных совещаний в защищаемом помещении
В случае наличия в защищаемом помещении телефонных или факсимильных аппаратов с функцией автоответчика, спикерфона, автоматического определителя номера - издание приказа о выключении данных устройств из сети на время проведения конфиденциальных совещаний
Ограничение доступа посторонних лиц на период проведения конфиденциальных совещаний в места возможного прослушивания разговоров, ведущихся в защищаемом помещении
Издание приказа или разработка инструкции ответственному за эксплуатацию объекта информатизации с указанием перечня обязательных для выполнения организационных мероприятий, таких как, например, запирание, а также возможно и опечатывание дверей объекта информатизации в нерабочее время; вскрытие и закрытие помещения объекта информатизации лицами, работающими в нем или ответственными за это помещение; проведение уборки помещения, ремонтных работ, замены технических средств и предметов интерьера должно осуществляться только в присутствии ответственного за это помещение. Замена основных технических средств и систем или вспомогательных технических средств и систем должна быть согласована со специалистом, ответственным за защиту информации в организации.
Оформление перечня сведений конфиденциального характера и ознакомление сотрудников, осуществляющих работы с защищаемой информацией, в части их касающейся
Разработка разрешительной системы доступа пользователей.
Ограничение доступа сотрудников, не допущенных к защищаемой информации, а также посторонних лиц в помещения, где размещены объекты информатизации, а также хранятся носители информации.
Размещение дисплеев и других средств отображения информации таким образом, чтобы исключить несанкционированный или непреднамеренный просмотр защищаемой информации.
Организация физической охраны здания или помещений объектов информатизации для предотвращения несанкционированного проникновения в здание или исключения проноса (провоза) средств, используемых для незаконного получения защищаемой информации.
Классификация автоматизированной системы.
Доведение под роспись до сотрудников, ответственных за защиту информации в организации и на объекте информатизации, в части их касающейся, нормативно-правовых актов, методических и руководящих документов по защите информации, действующих в организации.
Определение в организации порядка учета, хранения, а также уничтожения носителей защищаемой информации.
В соответствии с Указом Президента РФ "О мерах по обеспечению информационной безопасности РФ при использовании информационно-телекоммуникационных сетей международного информационного обмена" от 17.03.2008 № 351 издание приказа о запрете подключения информационных систем, информационно-телекоммуникационных сетей и средств вычислительной техники, применяемых для хранения, обработки или передачи информации, обладателями которой являются государственные органы и которая содержит сведения, составляющие служебную тайну, к информационно-телекоммуникационным сетям, позволяющим осуществлять передачу информации через государственную границу РФ, в том числе к международной компьютерной сети "Интернет". Либо использование технической меры, указанной ниже в п. 17
Прочие меры, которые могут быть реализованы в организации без ущерба для нормального функционирования объекта информатизации и работ сотрудников.

При необходимости указанный минимальный набор организационно-технических мер защиты информации может быть дополнен по решению руководителя организации, принимаемому совместно со специалистами органа по аттестации.

Далее, остановимся более подробно на защите информации от несанкционированного доступа. Мероприятия по защите информации от несанкционированного доступа должны осуществляться взаимосвязано с мероприятиями по специальной защите основных и вспомогательных средств вычислительной техники, средств и систем связи от утечки по техническим каналам. Несанкционированный доступ определяется как доступ к информации, нарушающий установленные правила разграничения доступа , с использованием штатных средств, предоставляемых средствами вычислительной техники или автоматизированной системой. Под штатными средствами понимается совокупность программного, микропрограммного и технического обеспечения средств вычислительной техники или автоматизированной системы, в соответствии с руководящим документом "Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации", утвержденным решением Государственной технической комиссии при Президенте Российской Федерации от 30.03.1992 г.

В общем случае, основываясь на руководящем документе "Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации", утвержденном решением председателя Государственной технической комиссии при Президенте Российской Федерации от 30.03.1992 г., считаем, что комплекс программно-технических средств и организационных (процедурных) решений по защите информации от несанкционированного доступа реализуется в рамках системы защиты информации от несанкционированного доступа, условно состоящей из следующих четырех подсистем:

Подсистема управления доступом. Предназначена для защиты объекта информатизации от сторонних пользователей, не имеющих прав доступа к ОИ и пытающихся осуществить несанкционированный доступ к информации, а также для управления доступом уполномоченных пользователей к объекту информатизации в соответствии с правилами разграничения доступа. Обеспечивается процедурами идентификации и аутентификации пользователей при попытке получения доступа к информации на объекте информатизации. На основе правил разграничения доступа реализуются, как правило, дискреционный принцип управления доступом либо мандатный , но могут применяться и иные принципы.

При дискреционном принципе управления доступом каждый уполномоченный пользователь получает доступ только к разрешенному перечню объектов (массивов, баз данных, файлов, программ и т.д.) исходя из заданных разрешений в правилах разграничения доступа.

При мандатном принципе управления доступом уполномоченный пользователь получает доступ к документам (файлам, каталогам и т.д.) заданного уровня конфиденциальности. Т.е. каждый пользователь имеет свой уровень допуска, а каждый объект доступа имеет свою метку конфиденциальности. Если в случае их сравнения они имеют одинаковый уровень – пользователь получает доступ к документу.

Подсистема регистрации и учета. Предназначена для регистрации событий (вход/выход из системы, сбои в работе, попытки несанкционированного доступа и т.д.) в специальном системной журнале, доступ к которому имеет только администратор безопасности.
Подсистема криптографической защиты. Дополнительная подсистема, позволяющая усилить защиту информации от несанкционированного доступа посредством использования механизмов шифрования пользовательских данных.
Подсистема обеспечения целостности. Предназначена для защиты от несанкционированных изменений программной и аппаратной среды ПЭВМ. Обеспечивает защиту ПЭВМ от внедрения программных закладок, вирусов и прочих специальных математических воздействий на систему. Осуществляется посредством вычисления контрольной суммы файлов и сравнением с эталонным значением.

Указанные подсистемы реализуются при стандартной схеме построения системы защиты на объекте информатизации.

Следует для примера отметить, что в государственных информационных системах подлежат реализации следующие меры защиты информации:

идентификация и аутентификация субъектов доступа и объектов доступа;
управление доступом субъектов доступа к объектам доступа;
ограничение программной среды;
защита машинных носителей информации;
регистрация событий безопасности;
антивирусная защита;
обнаружение (предотвращение) вторжений;
контроль (анализ) защищенности информации;
обеспечение целостности информационной системы и информации;
обеспечение доступности информации;
защита среды виртуализации;
защита технических средств;
защита информационной системы, ее средств и систем связи и передачи данных.

При недостаточности применения организационных и пассивных технических мер по защите информации на объекте информатизации используются средства и системы защиты информации, сертифицированные по требованиям безопасности информации. Применяемые программно-технические средства защиты не должны существенно ухудшать основные функциональные характеристики автоматизированной системы ( надежность , быстродействие , возможность изменения конфигурации автоматизированной системы) исходя из требований руководящего документа "Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации", утвержденного решением Государственной технической комиссии при Президенте Российской Федерации от 30.03.1992 г. Внедрение системы защиты информации осуществляется в соответствии с проектной и эксплуатационной документацией на систему защиты информации и в том числе включает:

установку и настройку средств защиты информации на объекте информатизации в соответствии с разработанной разрешительной системой доступа;
предварительные испытания системы защиты информации информационной системы;
опытную эксплуатацию и отладку настроек системы защиты информации;
анализ уязвимостей и принятие мер защиты информации по их устранению;
приемочные испытания системы защиты информации.

Для реализации требований по защите информации должны использоваться сертифицированные по требованиям безопасности информации средства защиты информации .

Подбор необходимых средств защиты осуществляется, исходя из утвержденных заявителем требований по защите информации. Далее из реестра сертифицированных средств выбираются средства, разрешенные к использованию на объекте информатизации заданного уровня конфиденциальности.

В сертификатах на средства защиты от утечки по каналу побочных электромагнитных излучений и наводок указывается информация на объектах информатизации какой категории они могут быть установлены. То же относится и к средствам защиты речевой информации.

При выборе средств защиты информации от несанкционированного доступа следует также обращать внимание на уровень контроля отсутствия недекларированных возможностей, а также класс защищенности для средств вычислительной техники. Уровень контроля отсутствия недекларированных возможностей определяется в соответствии с Руководящим документом "Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей", утвержденным решением председателя Гостехкомиссии России от 4 июня 1999 г. № 114.

Также реестр содержит данные о сертифицированных операционных системах и средствах антивирусной защиты.

Выбор необходимых для защиты информации на объекте информатизации средств защиты информации проводится, как правило, лицензиатом, который в дальнейшем будет осуществлять его установку и настройку, либо специалистами органа по аттестации.

Итоги: Защита информации , обрабатываемой на объекте информатизации, является составной частью работ по созданию и эксплуатации объекта информатизации и должна обеспечиваться на всех стадиях жизненного цикла : от создания до вывода из эксплуатации с учетом требований нормативно-правовых актов и методических документов по защите информации. Защита информации осуществляется путем принятия организационных и технических мер по защите информации, направленных на блокирование (нейтрализацию) угроз безопасности информации с целью обеспечения конфиденциальности, целостности и доступности информации.

Для защиты информации ограниченного доступа, обрабатываемой на объекте информатизации, могут применяться организационные и технические меры по защите информации. Выбор мер защиты информации осуществляется исходя из класса защищенности автоматизированной системы и угроз безопасности информации, включенных в модель угроз, а также с учетом структурно-функциональных характеристик объекта информатизации. Меры по защите информации используются в двух основных направлениях:

обеспечение защиты информации от хищения, утраты, утечки, уничтожения, искажения и блокирования за счет несанкционированного доступа и специальных воздействий;
обеспечение защиты информации от утечки по техническим каналам при ее воспроизведении, обработке, хранении или передаче по каналам связи.

Мероприятия по защите информации от несанкционированного доступа должны осуществляться взаимосвязано с мероприятиями по специальной защите основных и вспомогательных средств вычислительной техники, средств и систем связи от утечки по техническим каналам. Комплекс программно-технических средств и организационных (процедурных) решений по защите информации от несанкционированного доступа реализуется в рамках системы защиты информации от несанкционированного доступа, условно состоящей из следующих четырех подсистем: управления доступом, регистрации и учета, криптографической защиты и обеспечения целостности.

Ключевые слова: организационные меры по защите информации, подсистема криптографической защиты, подсистема обеспечения целостности, подсистема регистрации и учета, подсистема управления доступом, технические меры по защите информации,

Инструкция пользователя по обеспечению информационной безопасности.

1. Общие положения

1.1. Настоящая Инструкция определяет основные обязанности и ответственность пользователя, допущенного к обработке конфиденциальной информации.

1.2. Пользователь при выполнении работ в пределах своих функциональных обязанностей, обеспечивает безопасность конфиденциальной информации и несет персональную ответственность за соблюдение требований руководящих документов по защите информации.

2. Основные обязанности пользователя:

2.1. Выполнять общие требования по обеспечению режима конфиденциальности проводимых работ, установленные законодательством РФ, внутренними документами организации и настоящей Инструкцией.

2.2. При работе с конфиденциальной информацией располагать во время работы экран видео монитора так, чтобы исключалась возможность просмотра отображаемой на нем информации посторонними лицами.

2.3. Соблюдать правила работы со средствами защиты информации и установленный режим разграничения доступа к техническим средствам, программам, базам данных, файлам и другим носителям конфиденциальной информацией при ее обработке.

2.4. После окончания обработки конфиденциальной информации в рамках выполнения одного задания, а также по окончании рабочего дня, произвести стирание остаточной информации с жесткого диска персонального компьютера.

2.5. В случае выявления инцидентов информационной безопасности (фактов или попыток несанкционированного доступа к информации, обрабатываемой в персональном компьютере или без использования средств автоматизации) немедленно сообщить об этом в Департамент экономической безопасности, по требованию руководителя подразделения написать служебную записку на имя руководителя подразделения и принять участие в служебной проверке по данному инциденту.

2.6. Самостоятельно не устанавливать на персональный компьютер какие-либо аппаратные или программные средства.

2.7. Знать штатные режимы работы программного обеспечения, основные пути проникновения и распространения компьютерных вирусов.

2.9. Помнить личные пароли и персональные идентификаторы, хранить их в тайне, не оставлять без присмотра носители, их содержащие, и хранить в запирающемся ящике стола или сейфе. С установленной периодичностью менять свой пароль (пароли).

2.10. При применении внешних носителей информации перед началом работы провести их проверку на предмет наличия компьютерных вирусов средствами персонального компьютера.

2.11. Знать и строго выполнять правила работы с установленными на его персональном компьютере средствами защиты информации (антивирус, средства разграничения доступа, средства криптографической защиты и т.п.) в соответствии с технической документацией на эти средства.

2.12. Передавать для хранения установленным порядком свое индивидуальное устройство идентификации (Touch Memory , Smart Card , Proximity и т.п.), другие реквизиты разграничения доступа и носители ключевой информации только руководителю подразделения или ответственному за информационную безопасность.

2.13. Надежно хранить и никому не передавать личную печать.

2.14. Немедленно ставить в известность Департамент экономической безопасности и руководителя подразделения при обнаружении:

нарушений целостности пломб (наклеек, нарушении или несоответствии номеров печатей) на аппаратных средствах или иных фактов совершения в его отсутствие попыток несанкционированного доступа к закрепленной за ним защищенном персональном компьютере;
некорректного функционирования установленных на персональный компьютер технических средств защиты;
отклонений в нормальной работе системных и прикладных программных средств, затрудняющих эксплуатацию персонального компьютера, выхода из строя или неустойчивого функционирования узлов персонального компьютера или периферийных устройств (дисководов, принтера и т.п.), а также перебоев в системе электроснабжения.

2.15. По завершении работ по изменению аппаратно-программной конфигурации, закрепленной за ним персонального компьютера проверять его работоспособность.

3. Обеспечение антивирусной безопасности

3.1.Основными путями проникновения вирусов в информационно-вычислительную сеть организации являются: съемные носители информации, электронная почта, файлы, получаемые из сети Интернет, ранее зараженные персональные компьютеры.

3.3. В случае обнаружения при проведении антивирусной проверки зараженных компьютерными вирусами файлов пользователь ОБЯЗАН:

прекратить (приостановить) работу;
немедленно поставить в известность о факте обнаружения зараженных вирусом файлов своего непосредственного руководителя, ответственного за информационную безопасность, а также смежные подразделения, использующие эти файлы в работе;
оценить необходимость дальнейшего использования файлов, зараженных вирусом;
провести лечение или уничтожение зараженных файлов (при необходимости для выполнения требований данного пункта следует привлечь администратора системы).

3.4. Пользователю ЗАПРЕЩАЕТСЯ:

отключать средства антивирусной защиты информации;
без разрешения копировать любые файлы, устанавливать и использовать любое программное обеспечение, не предназначенное для выполнения служебных задач.

4. Обеспечение безопасности персональных данных

4.1. Основанием для допуска работника организации к обработке персональных данных в рамках своих функциональных обязанностей является Перечнем должностей, утвержденным директором организации и должностная инструкция работника. Основанием для прекращения допуска к персональным данным является исключение из Перечня должностей, утвержденным директором организации и (или) изменение должностной инструкции работника.

4.2. Каждый работник организации, участвующий в процессах обработки персональных данных и имеющий доступ к аппаратным средствам, программному обеспечению и базам данных системы организации, является пользователем и несет персональную ответственность за свои действия.

4.3. Пользователь ОБЯЗАН:

знать требования руководящих документов по защите персональных данных;
производить обработку защищаемой информации в строгом соответствии с утвержденными технологическими инструкциями;
строго соблюдать установленные правила обеспечения безопасности персональных данных при работе с программными и техническими средствами.

4.5. Пользователю ЗАПРЕЩАЕТСЯ:

использовать компоненты программного и аппаратного обеспечения не по назначению (в неслужебных целях);
использовать средства разработки и отладки программного обеспечения стандартных программных средств общего назначения (MS Office и др.);
самовольно вносить какие-либо изменения в конфигурацию аппаратно — программных средств персонального компьютера или устанавливать дополнительно любые программные и аппаратные средства;
осуществлять обработку персональных данных в присутствии посторонних (не допущенных к данной информации) лиц;
записывать и хранить персональные данные на неучтенных съемных носителях информации (гибких магнитных дисках, флэш — накопителях и т.п.), осуществлять несанкционированную распечатку персональных данных;
оставлять включенной без присмотра свой персональный компьютер, не активизировав средства защиты от несанкционированного доступа (временную блокировку экрана и клавиатуры);
оставлять без личного присмотра на рабочем месте или где бы то ни было свое персональное устройство идентификации, носители и распечатки, содержащие персональные данные;
умышленно использовать недокументированные свойства и ошибки в программном обеспечении или в настройках средств защиты, которые могут привести к нарушениям безопасности персональных данных. Об обнаружении такого рода ошибок — ставить в известность ответственного за безопасность информации и руководителя подразделения.

4.6. Особенности обработки персональных данных без использования средств автоматизации.

4.6.1. Обработка персональных данных считается не автоматизированной, если она осуществляется без использования средств вычислительной техники.

4.6.2. Допуск к не автоматизированной обработке персональных данных осуществляется в соответствии с Перечнем должностей сотрудников организации, имеющих доступ к персональным данным, которые несут ответственность за реализацию требований по обеспечению безопасности персональных данных.

4.6.3. Персональные данные при их не автоматизированной обработке и хранении должны обособляться от иной информации путем фиксации их на отдельных материальных носителях в специальных разделах или на полях форм (бланков).

4.6.4. При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы.

4.6.5. Для каждой категории персональных данных используется отдельный материальный носитель.

4.6.6. Хранение материальных носителей персональных данных осуществляется в специальных шкафах (ящиках, сейфах и т.д.), обеспечивающих сохранность материальных носителей и исключающих несанкционированный к ним доступ.

5. Обеспечение информационной безопасности при использовании ресурсов сети Интернет

5.2. С целью ограничения использования сети Интернет в неустановленных целях выделяется ограниченное число пакетов, содержащих перечень сервисов и ресурсов сети Интернет, доступных для пользователей. Наделение работников организации правами пользователя конкретного пакета выполняется в соответствии с его должностными обязанностями.

5.3.Особенности использования сети Интернет:

сеть Интернет не имеет единого органа управления (за исключением службы управления пространством имен и адресов) и не является юридическим лицом, с которым можно было бы заключить договор (соглашение). Провайдеры (посредники) сети Интернет могут обеспечить только те услуги, которые реализуются непосредственно ими;
гарантии по обеспечению информационной безопасности при использовании сети Интернет никаким органом не предоставляются.

5.4. При осуществлении электронного документооборота, в связи с повышенными рисками информационной безопасности при взаимодействии с сетью Интернет организация применяет соответствующие средства защиты информации (межсетевые экраны, антивирусные средства, средства криптографической защиты информации и пр.), обеспечивающие прием и передачу информации только в установленном формате и только для конкретной технологии.

5.5. Почтовый обмен конфиденциальной информацией через сеть Интернет осуществляется с использованием защитных мер.

5.6. Электронная почта организации подлежит периодической архивации. Доступ к архиву разрешен только подразделению (лицу) в организации, ответственному за обеспечение информационной безопасности. Изменения в архиве не допускаются.

5.7. При взаимодействии с сетью Интернет Департамент информационных технологий обеспечивает программными и аппаратными средствами противодействие атакам хакеров и распространению спама.

5.8. При пользовании ресурсами сети Интернет ЗАПРЕЩАЕТСЯ:

6. Порядок работы с носителями ключевой информации

6.1. В некоторых подсистемах организации для обеспечения контроля за целостностью передаваемых по технологическим каналам электронных документов (далее – ЭД), а также для подтверждения их подлинности и авторства могут использоваться средства электронной подписи (далее – ЭП).

6.2. Работнику организации (владельцу ключа ЭП), которому в соответствии с его должностными обязанностями предоставлено право постановки на ЭД его ЭП, выдается персональный ключевой носитель информации, на который записана уникальная ключевая информация (ключ ЭП), относящаяся к категории сведений ограниченного распространения.

6.3. Ключевые носители маркируются соответствующими этикетками, на которых отражается: регистрационный номер носителя и, при возможности размещения, дата изготовления и подпись уполномоченного сотрудника, изготовившего носитель, вид ключевой информации — эталон или рабочая копия, фамилия, имя, отчество и подпись владельца ключа ЭП.

6.4. Персональные ключевые носители (эталон и рабочую копию) владелец ключа ЭП должен хранить в специальном месте, гарантирующем их сохранность.

6.6. Владелец ключа ОБЯЗАН:

6.7. Владельцу ключа ЭП ЗАПРЕЩАЕТСЯ:

6.8. Действия при компрометации ключей

6.8.1. Если у владельца ключа ЭП появилось подозрение, что его ключевой носитель попал или мог попасть в чужие руки (был скомпрометирован), он обязан немедленно прекратить (не возобновлять) работу с ключевым носителем, сообщить об этом в Департамент информационных технологий и Департамент экономической безопасности, сдать скомпрометированный ключевой носитель с пометкой в журнале учета ключевых носителей о причине компрометации, написать служебную записку о факте компрометации персонального ключевого носителя на имя руководителя подразделения.

6.8.2. В случае утери ключевого носителя владелец ключа ЭП обязан немедленно сообщить об этом в Департамент информационных технологий и Департамент экономической безопасности, написать объяснительную записку об утере ключевого носителя на имя руководителя подразделения и принять участие в служебной проверке по факту утери ключевого носителя.

6.8.3. Ответственный за информационную безопасность обязан немедленно оповестить о факте утраты или компрометации ключевого носителя руководство организации для принятия действий по блокированию ключей для ЭП указанного исполнителя.

6.8.4. По решению руководства организации установленным порядком владелец ключа ЭП может получить новый комплект персональных ключевых носителей взамен скомпрометированных.

6.8.5. В случае перевода владельца ключа ЭП на другую работу, увольнения или прекращения трудовых отношений иным образом он обязан сдать (сразу по окончании последнего сеанса работы) свой ключевой носитель ответственному за информационную безопасность под подпись в журнале учёта.

7. Организация парольной защиты

7.1. Пароль для своей учетной записи пользователь устанавливает самостоятельно.

7.2. Запрещается использовать пароль домена локальной вычислительной сети (вводится при загрузке персонального компьютера) для входа в иные автоматизированные системы.

7.3. Пароль не должен включать в себя легко вычисляемые сочетания символов (логины, имена, фамилии и т.д.), а также общепринятые сокращения (персональный компьютер, ЛВС, USER и т.п.).

7.4. При смене пароля новое значение должно отличаться от предыдущего не менее чем в 5 позициях.

7.5. Пользователь обязан хранить в тайне свой личный пароль.

7.6. Требования к паролю и периодичность его смены устанавливаются в групповых доменных политиках.

8. Ответственность пользователей

8.1. Работники организации несут ответственность согласно действующему законодательству, за разглашение сведений, составляющих служебную, коммерческую и иную охраняемую законом тайну (в том числе персональные данные) и сведений ограниченного распространения, ставших им известными по роду работы.

8.2. Нарушения установленных правил и требований по обеспечению информационной безопасности являются основанием для применения к работнику (пользователю) мер наказания, предусмотренных трудовым законодательством.

В организационную структуру системы входят:

руководитель – несет персональную ответственность за обеспечение информационной безопасности (устав организации, положение об органе);
заместитель руководителя, курирующий вопросы информационно-технической безопасности (должностной регламент);
постоянно действующий коллегиальный орган, вырабатывающий предложения по решению проблемных вопросов в области защиты информации; (положение о комиссии);
подразделение или специалист, ответственные за реализацию мероприятий по технической защите информации (положение о подразделении, должностная инструкция или регламент специалиста).

Задачи, решаемые системой защиты информации:

исключение неправомерных доступа, копирования, предоставления или распространения информации (обеспечение конфиденциальности информации);
исключение неправомерных уничтожения или модифицирования информации (обеспечение целостности информации);
исключение неправомерного блокирования информации (обеспечение доступности информации).

Жизненный цикл системы защиты информации (СЗИ) объекта обработки информации состоит из стадии создания системы и стадии эксплуатации.

Стадию создания осуществляет (организует) обладатель информации, заказчик; стадию эксплуатации СЗИ осуществляет оператор.

Жизненный цикл системы защиты информации объекта информатизации - совокупность взаимоувязанных процессов последовательного изменения состояния системы защиты информации конкретного объекта от принятия решения о необходимости защиты обрабатываемой на нем информации до окончания его эксплуатации.

Стадия (этап) жизненного цикла – часть жизненного цикла, характеризующаяся определенным состоянием системы защиты информации, совокупностью видов предусмотренных работ с их конечными результатами.

Обладатель информации – лицо, создавшее информацию и (или) имеющее право разрешать или ограничивать доступ к информации.

Заказчик – лицо, заключившее контракт на создание объекта обработки информации.

Оператор – лицо, эксплуатирующее объект, в том числе непосредственно осуществляющее обработку содержащейся в нем информации.

Уполномоченное лицо – лицо, осуществляющее на договорной основе с заказчиком или оператором обработку информационного ресурса и (или) предоставляющее для этих целей вычислительные ресурсы.

Поставщик информации – лицо, наделенное полномочиями по предоставлению сведений для их внесения в базу данных объекта.

Этапы стадии создания системы защиты информации

Этап 1. Формирование требований к системе защиты информации (предпроектный этап).
Этап 2. Разработка системы защиты информации (этап проектирования).
Этап 3. Внедрение системы защиты информации (этап установки, настройки, испытаний).
Этап 4. Подтверждение соответствия системы защиты информации (этап оценки).

Формирование требований к системе защиты информации

Этап 1 осуществляется обладателем информации (заказчиком).

Перечень работ на этапе 1:

Принятие решения о необходимости защиты обрабатываемой информации.
Классификация объекта по требованиям защиты информации (установление уровня защищенности обрабатываемой информации).
Определение угроз безопасности информации, реализация которых может привести к нарушению безопасности обрабатываемой информации.
4. Определение требований к системе защиты информации.

Решение о необходимости создания системы защиты информации принимается на основе анализа стоящих задач, обрабатываемой информации и нормативной базы. В ходе анализа определяются структурно-функциональные характеристики объекта и режим обработки информации:

статус (принадлежность) объекта (государственный, муниципальный, иной);
структура объекта (локальный или распределенный);
масштаб объекта (федеральный, региональный, объектовый);
наличие подключений к сторонним сетям, в том числе сетям общего пользования (имеются или отсутствуют);
режим обработки информации (одно или многопользовательский);
уровень доступа (с разграничением или без разграничения);
перечень технологических операций (чтение, поиск, запись, удаление, сортировка, модификация, передача, голосовой ввод,);
используемые информационные технологии (беспроводный, удаленный доступ, виртуализация, мобильные объекты, туннелирование и пр.),

Категория информации, подлежащей защите, и свойства ее безопасности:

информация ограниченного доступа (конфиденциальность, целостность, доступность);
общедоступная информация (целостность, доступность),

Нормативная правовая база по информационно-технической безопасности выделяет разные задачи по защите информации:

защита информации, составляющей государственную тайну;
защита государственного информационного ресурса, не отнесенного к государственной тайне;
обеспечение безопасности персональных данных в иных информационных системах;
обеспечение безопасности критической информационной инфраструктуры;
обеспечение безопасности информации в информационных системах общего пользования.

Более подробно правовое сопровождение защиты информации рассмотрено в разделе экономических и правовых аспектов защиты информации.

Актуальным на этом этапе видится формулирование целей и задач защиты информации.

Цель защиты информации - минимизировать (предотвратить) ущерб обладателю информации из-за возможных нарушений свойств ее безопасности.

Задача защиты информации - обеспечить необходимый уровень защищенности информации от нарушений ее целостности, доступности, конфиденциальности.

Решение оформляется локальным нормативным правовым актом, в котором отражаются цели и задачи защиты информации, этапы и сроки создания системы защиты информации, функционал и ответственность обладателя информации, заказчика и оператора.

Основные документы, формируемые по результатам исполнения работ на этапе формирования требований к системе защиты информации:

Действие	Документ
1. Принятие решения о необходимости защиты информации	Локальный нормативный правовой акт, определяющий необходимость создания системы защиты информации
2. Классификация по требованиям защиты информации (по уровню защищенности информации)	Акт классификации по требованиям безопасности информации
3.Определение актуальных угроз безопасности информации	Частная модель угроз безопасности информации
4. Определение требований к системе защиты информации	ТЗ на создание системы защиты информации с указанием требований к мерам и средствам защиты информации

Разработка системы защиты информации

Этап 2 - разработка системы защиты информации – организуется обладателем информации (заказчиком).

Перечень работ на этапе 2:

Проектирование системы защиты информации.
Разработка эксплуатационной документации на систему защиты информации.

работы и услуги по аттестационным испытаниям и аттестации на соответствие требованиям по защите информации, а также работы и услуги по проектированию в защищенном исполнении:

средств и систем информатизации;
помещений со средствами (системами) информатизации, подлежащими защите;
защищаемых помещений.

Основные документы, формируемые по результатам исполнения работ на этапе разработки системы защиты информации:

Действие	Документ
1.Проектирование системы защиты информации	Технический проект (рабочая документация) на создание системы защиты информации
2.Разработка эксплуатационной документации на систему защиты информации	Описание структуры системы защиты информации. Технический паспорт с указанием наименования, состава и мест установки аппаратных и программных средств. Перечень параметров настройки средств защиты информации. Правила эксплуатации средств защиты информации.

Действие

Документ

1.Проектирование системы защиты информации

Технический проект (рабочая документация) на создание системы защиты информации

2.Разработка эксплуатационной документации на систему защиты информации

Описание структуры системы защиты информации. Технический паспорт с указанием наименования, состава и мест установки аппаратных и программных средств.
Перечень параметров настройки средств защиты информации. Правила эксплуатации средств защиты информации.

Примерный состав эксплуатационной документации, разрабатываемой на этапе проектирования системы защиты информации

Технический паспорт с указанием состава и мест установки ее технических и программных средств.
Описание технологического процесса обработки информации.
Описание параметров и порядка настройки средств защиты информации.
Описание организационной структуры системы защиты информации, с указанием функциональных обязанностей ее элементов.
Ведомость и журнал учета применяемых машинных носителей информации.
Правила эксплуатации системы защиты информации.

Внедрение системы защиты информации

Этап 3 - Внедрение системы защиты информации – организуется обладателем информации (заказчиком) с привлечением оператора. Перечень работ на этапе 3:

Установка и настройка средств защиты информации.
Внедрение организационных мер защиты информации, в том числе, разработка документов, определяющих правила и процедуры, реализуемые оператором для обеспечения защиты информации в ходе эксплуатации объекта.
Выявление и анализ уязвимостей программных и технических средств, принятие мер по их устранению;
Испытания и опытная эксплуатации системы защиты информации.

Основные документы, формируемые по результатам исполнения работ на этапе внедрения системы защиты информации:

Действие	Документ
1. Установка и настройка средств защиты информации	Акт установки средств защиты информации
2.Внедрение организационных мер, разработка организационно-распорядительных документов	Документы по регламентации правил по эксплуатации и вывода из эксплуатации системы защиты информации
3.Выявление и анализ уязвимостей	Протокол контроля уязвимостей программного обеспечения и технических средств
4.Испытания и опытная эксплуатации системы защиты информации	Протоколы контроля оценки эффективности средств и оценки защищенности информации

Состав обязательных организационно-распорядительных документов, разрабатываемых на этапе внедрения системы защиты информации:

Порядок администрирования системой защиты информации.
Порядок выявления инцидентов, которые могут привести к возникновению угроз безопасности информации и реагирования на них.
Порядок управления конфигурацией объекта и его системы защиты информации.
Порядок контроля за обеспечением уровня защиты обрабатываемой информации.
Порядок защиты информации при выводе из эксплуатации объекта.

Подтверждение соответствия системы защиты информации

Этап 4 - подтверждение соответствия системы защиты информации – организуется обладателем информации (заказчиком) или оператором. Перечень работ на этапе 4 определяется в Программе и методиках аттестационных испытаний, разрабатываемой до их начала. Документ формируется исполнителем работ и согласовывается с заявителем.

Аттестация – комплекс организационных и технических мероприятий, в результате которых подтверждается соответствие системы защиты информации объекта информатизации (информационной системы) требованиям безопасности информации.

Аттестация объектов информатизации делится на обязательную и добровольную.

Обязательная аттестация проводится в принятых законодательством случаях для определения соответствия системы защиты информации объекта исключительно требованиям, установленным федеральными нормативными правовыми актами.

Добровольная аттестация проводится по инициативе заявителя для определения соответствия системы защиты информации объекта требованиям, установленным национальными стандартами, владельцем информации или владельцем объекта.

Обязательной аттестации подлежат государственные (муниципальные) информационные системы и их сегменты, содержащие информацию ограниченного доступа, добровольной – все иные информационные системы.

Порядок проведения аттестации информационных систем по требованиям безопасности информации:

Подача и рассмотрение заявки на аттестацию.
Предварительное ознакомление с аттестуемым объектом (при необходимости).
Разработка программы и методики аттестационных испытаний.
Проведение аттестационных испытаний объекта.
Оформление, регистрация и выдача аттестата соответствия.

Подача и рассмотрение заявки на аттестацию объекта информатизации:

Заявителем выбирается исполнитель работ по аттестации объекта информатизации (организация-лицензиат по технической защите конфиденциальной информации).
Заявителем направляется исполнителю заявка на проведение аттестации с исходными данными на аттестуемый объект.
Исполнителем рассматривается заявка, принимается решение о порядке аттестации, готовятся договорные документы на оказание услуг по аттестации объекта информатизации.

При недостаточности исходных данных в порядок аттестации включаются работы исполнителя по предварительному ознакомлению с аттестуемым объектом.

Аттестуемая распределенная информационно-телекоммуникационная система

Основные документы, формируемые по результатам исполнения работ на этапе подтверждения соответствия системы защиты информации:

Действие	Документ
1.Аттестационные испытания системы защиты информации	Протоколы и заключение по результатам аттестационных испытаний
2.Оформление результатов аттестационных испытаний	Рекомендации по обеспечению защищенности информации на аттестуемом объекте и Аттестат соответствия

После подтверждения соответствия системы защиты информации осуществляется переход на другую стадию жизненного цикла – стадию эксплуатации.

Этапы стадии эксплуатации системы защиты информации

Этап 5. Ввод системы защиты информации в постоянную эксплуатацию.
Этап 6. Промышленная эксплуатация системы защиты информации.
Этап 7. Вывод из эксплуатации системы защиты информации.

Этап 5 - ввод системы защиты информации в постоянную эксплуатацию – осуществляется оператором.

Решение о вводе оформляется локальным нормативным правовым актом, в котором определяются должностные лица, ответственные за эксплуатацию и сопровождение системы защиты информации: начальник объекта, системные администраторы, администраторы информационной безопасности.

Этап 6 - промышленная эксплуатация системы защиты информации – осуществляется оператором.

Также оператор осуществляет администрирование системы защиты информации, выявление инцидентов и реагирование на них, управление конфигурацией объекта и его системой защиты информации, контроль за обеспечение необходимого уровня защищенности информации.

осуществляют эксплуатацию объекта информатизации в соответствии с требованиями безопасности информации, а также условиями и ограничениями, установленными эксплуатационной документацией на систему защиты информации, и аттестатом соответствия;
извещают орган по аттестации (организацию), выдавший аттестат соответствия, о всех изменениях в информационных технологиях, составе и размещении средств и систем, условиях их эксплуатации, которые могут повлиять на эффективность системы защиты информации;
предоставляют необходимые документы и условия для осуществления контроля и надзора за соблюдением порядка аттестации и за эксплуатацией аттестованного объекта информатизации.

Органы по аттестации:

отменяют и приостанавливают действие выданных этим органом (организацией) аттестатов соответствия;
проводят на договорной основе оценку эффективности средств защиты информации и оценку защищенности информации от несанкционированного доступа.

Повторная аттестация ГИС осуществляется вслучае окончания срока действия аттестата соответствия или повышения класса защищенности информационной системы.

При увеличении состава угроз безопасности информации или изменении проектных решений, реализованных при создании системы защиты информации ГИС, проводятся дополнительные аттестационные испытания в рамках действующего аттестата соответствия.

Продление срока действия сертификата организацией, эксплуатирующей СЗИ:

Организация, эксплуатирующая средство защиты информации, заблаговременно , но не позднее чем за три месяца до окончания срока действия сертификата соответствия, связывается с организацией – первичным заявителем, с целью получения информации о проводимых работах по продлению сроков действия сертификата соответствия и о порядке получения копии продленного сертификата.

В случае получения информации об отсутствии намерений первичного заявителя продлевать сроки действия сертификата соответствия эксплуатирующая организация самостоятельно направляет в Федеральный орган по сертификации (ФСТЭК России) соответствующую заявку установленного образца (не позднее, чем за один месяц до окончания срока действия сертификата).

Этап 7 - вывод системы защиты информации из эксплуатации - осуществляется оператором.

На этом этапе производится архивирование информации, уничтожение или стирание данных и остаточной информации с машинных носителей информации, уничтожение машинных носителей информации.

Читайте также: