Організаційні методи захисту інформації

18 березня 2014

Закони й нормативні акти виконуються тільки в тому випадку, якщо вони підкріплюються організаторською діяльністю відповідних структур, створюваних у державі, у відомствах, установах і організаціях. При розгляді питання безпеки інформації така діяльність ставиться до організаційних методів захисту інформації.

Організаційні методи захисту інформації включають заходи та дії, які повинні здійснювати посадові особи в процесі створення й експлуатації системи для забезпечення заданого рівня безпеки інформації.

Відповідно до законів і нормативних актыв у міністерствах, відомствах, на підприємствах (незалежно від форм власності) для захисту інформації створюються спеціальні служби безпеки (на практиці вони можуть називатися й інакше). Ці служби підпорядковуються, як правило, керівництву установи. Керівники служб організують створення й функціонування систем захисту інформації. Повну відповідальність за стан інформаційної безпеки несуть керівники організації. На організаційному рівні вирішуються наступні завдання забезпечення безпеки інформації в системи:

організація робіт з розробки системи захисту інформації;
обмеження доступу на об'єкт і до ресурсів системи;
розмежування доступу до ресурсів системи;
планування заходів;
розробка документації;
виховання й навчання обслуговуючого персоналу й користувачів;
сертифікація засобів захисту інформації;
ліцензування діяльності по захисту інформації;
атестація об'єктів захисту;
удосконалювання системи захисту інформації;
оцінка ефективності функціонування системи захисту інформації;
контроль виконання встановлених правил роботи в системи.

Організаційні методи є базисом комплексної системи захисту інформації в системи. Тільки за допомогою цих методів можливе об'єднання на правовій основі технічних, програмних і криптографічних засобів захисту інформації в єдину комплексну систему. Конкретні організаційні методи захисту інформації будуть приводитися при розгляді протидії загрозам безпеки інформації. Найбільша увага організаційним заходам приділяється при викладі питань побудови й організації функціонування комплексної системи захисту інформації.

До методів і засобів організаційного захисту інформації відносяться організаційно-технічні й організаційно-правові заходи, проведені в процесі створення й експлуатації системи для забезпечення захисту інформації. Ці заходи повинні проводитися при будівництві або ремонті приміщень, у яких буде розміщатися системи; проектуванні системи, монтажі й налагодженню її технічних і програмних засобів; випробуваннях і перевірці працездатності системи.

Основні властивості методів і засобів організаційного захисту:

обмеження фізичного доступу до об'єктів захисту та реалізація режимних заходів;
обмеження можливості перехоплення ПЕМВН;
розмежування доступу до інформаційних ресурсів і процесам (встановлення правил розмежування доступу , шифрування інформації при її зберіганні і передачі , виявлення та знищення апаратних і програмних закладок);
резервне копіювання найбільш важливих з точки зору втрати масивів документів;
перед проведенням наради необхідно проводити візуальний огляд приміщення на предмет виявлення закладних пристроїв;
кількість осіб, що у конфіденційних переговорах має бути обмежена до мінімуму;
вхід сторонніх осіб під час проведення наради має бути заборонений;
повинна бути чітко розроблена охорона виділеного приміщення під час наради , а також спостереження за обстановкою на поверсі ;
будь-які роботи в кімнаті , що проводяться поза часом проведення конфіденційних нарад, наприклад: прибирання , ремонт побутової техніки, невеликий косметичний ремонт, повинен проводитися в обов'язковій присутності працівника служби безпеки;
після проведення наради кімната повинна ретельно оглядатися , закриватися і опечатуватися;
між нарадами кімната повинна бути закрита і опечатана відповідальною особою;
профілактику зараження комп'ютерними вірусами.

Основою проведення організаційних заходів є використання й підготовка законодавчих і нормативних документів в області інформаційної безпеки, які на правовому рівні повинні регулювати доступ до інформації з боку користувачів.