Что нужно для создания политики безопасности
Разработка политики безопасности.
Политика безопасности – это комплекс предупредительных мер по обеспечению информационной безопасности организации. Политика безопасности включает правила, процедуры и руководящие принципы в области безопасности, которыми руководствуется организация в своей деятельности. Кроме этого, политика безопасности включает в себя требования в адрес субъектов информационных отношений, при этом в политике безопасности излагается политика ролей субъектов информационных отношений.
Основные направления разработки политики безопасности:
· определение объема и требуемого уровня защиты данных;
· определение ролей субъектов информационных отношений.
В "Оранжевой книге" политика безопасности трактуется как набор норм, правил и практических приемов, которые регулируют управление, защиту и распределение ценной информации.
Результатом разработки политики безопасности является комплексный документ, представляющий систематизированное изложение целей, задач, принципов и способов достижения информационной безопасности.
Этот документ является методологической основой практических мер по обеспечению информационной безопасности и включает следующие группы сведений:
· основные положения информационной безопасности организации;
· область применения политики безопасности;
· цели и задачи обеспечения информационной безопасности организации;
|
|
|
· распределение ролей и ответственности субъектов информационных отношений организации и их общие обязанности.
Основные положения определяют важность обеспечения информационной безопасности, общие проблемы безопасности, направления их решения, роль сотрудников, нормативно-правовые основы.
При описании области применения политики безопасности перечисляются компоненты автоматизированной системы обработки, хранения и передачи информации, подлежащие защите.
В состав автоматизированной информационной системы входят следующие компоненты:
· аппаратные средства – компьютеры и их составные части (процессоры, мониторы, терминалы, периферийные устройства – дисководы, принтеры, контроллеры), кабели, линии связи и т. д.;
· программное обеспечение – приобретенные программы, исходные, объектные, загрузочные модули; операционные системы и системные программы (компиляторы, компоновщики и др.), утилиты, диагностические программы и т. д.;
· данные – хранимые временно и постоянно, на магнитных носителях, печатные, архивы, системные журналы и т. д.;
· персонал – обслуживающий персонал и пользователи.
|
|
|
Цели, задачи, критерии оценки информационной безопасности определяются функциональным назначением организации. Например, для режимных организаций на первое место ставится соблюдение конфиденциальности. Для сервисных информационных служб реального времени важным является обеспечение доступности подсистем. Для информационных хранилищ актуальным может быть обеспечение целостности данных и т. д.
Политика безопасности затрагивает всех субъектов информационных отношений в организации, поэтому на этапе разработки политики безопасности очень важно разграничить их права и обязанности, связанные с их непосредственной деятельностью.
С точки зрения обеспечения информационной безопасности разграничение прав и обязанностей целесообразно провести по следующим группам (ролям):
· специалист по информационной безопасности;
· владелец информации;
· поставщики аппаратного и программного обеспечения;
· менеджер отдела;
· операторы;
· аудиторы.
В зависимости от размеров организации, степени развитости ее информационной системы, некоторые из перечисленных ролей могут отсутствовать вообще, а некоторые могут совмещаться одним и тем же физическим лицом.
|
|
|
Специалист по информационной безопасности (начальник службы безопасности, администратор по безопасности) играет основную роль в разработке и соблюдении политики безопасности предприятия. Он проводит расчет и перерасчет рисков, выявляет уязвимости системы безопасности по всем направлениям (аппаратные средства, программное обеспечение и т. д.).
Владелец информации – лицо, непосредственно владеющее информацией и работающее с ней. В большинстве случае именно владелец информации может определить ее ценность и конфиденциальность.
Поставщики аппаратного и программного обеспечения обычно являются сторонними лицами, которые несут ответственность за поддержание должного уровня информационной безопасности в поставляемых им продуктах.
Администратор сети – лицо, занимающееся обеспечением функционирования информационной сети организации, поддержанием сетевых сервисов, разграничением прав доступа к ресурсам сети на основании соответствующей политики безопасности.
Менеджер отдела является промежуточным звеном между операторами и специалистами по информационной безопасности. Его задача – своевременно и качественно инструктировать подчиненный ему персонал обо всех требованиях службы безопасности и следить за их выполнением на рабочих местах. Менеджеры должны доводить до подчиненных все аспекты политики безопасности, которые непосредственно их касаются.
|
|
|
Операторы обрабатывают информацию, поэтому должны знать класс конфиденциальности информации и какой ущерб будет нанесен организации при ее раскрытии.
Аудиторы – внешние специалисты по безопасности, нанимаемые организацией для периодической проверки функционирования всей системы безопасности организации.
Что нужно для создания политики безопасности
Основной этап построения защищенной информационной системы, это этап разработки политики безопасности. Подробная политика нужна для создания эффективной системы безопасности предприятия. Далее показано основные шаги обеспечения безопасности:
- Уточнение важности информационных и технологических активов предприятия;
- определения уровня безопасности для каждого актива, а так же средства безопасности которые будут рентабельными для каждого актива
- Определение рисков на угрозы активам;
- Привлечение нужных денежных ресурсов для обеспечения политики безопасности, а так же приобретение и настройка нужных средств для безопасности;
- Строгий контроль поэтапной реализации плана безопасности, для выявление текущих прощетов а также учета изменения внешних факторов с дальнейшим изменением требуемых методов безопасности;
- Проведение объяснительных действий для персонала и остальным ответственным сотрудникам
Следующие требования к политикам безопасности составлены на ряде ошибок и проб большинства организаций:
Политики безопасности должны:
- указывать на причины и цели создания политики безопасности;
- осматривать, какие границы и ресурсы охватываются политикой безопасности;
- определить ответственных по политике безопасности;
- определить условие невыполнения и наказание
- политики безопасности должны быть реальными и осуществимыми;
- политики безопасности должны быть доступными, краткими и однозначными для понимания;
- должна быть золотая середина между защитой и производительностью;
Основные шаги по разработке политики есть:
- создание адекватной команды для создания политики;
- решить вопросы об возникающих особенностях при разработке.
- решить вопросы об области действии и цели создании политики;
- решить вопросы по поводу ответственных за создания и выполнение данного документа;
Нужно проанализировать локальную сеть на локальные атаки. Сделав основные шаги нужно проанализировать есть ли выход локальной сети в интернет. Ведь при выходе сети в интернет возникает вопрос о проблемах защиты информации в сетях. Потом какие компьютеры и сетевые сервисы используются уже в сети. Определить количество сотрудников по ряду критерию. К примеру, скольким нужен доступ в интернет, сколько пользуется электронной почтой и другими онлайн сервисами. Также определить есть ли удаленный доступ к внутренней сети. Самый главный вопрос, через который должны быть определенны все вопросы, это «Входит ли этот сервис с список требований для проведение бизнеса?»
После проведения анализа и систематизации информации, команде нужно перейти к анализу и оценки рисков. Анализ рисков — это самый важный этап формирования политики безопасности.
На этом этапе реализуются следующие шаги:
- анализ угроз информационной безопасности которые непосредственно обозначены для объекта защиты;
- оценка и идентификация цены информационных и технологических активов;
- осмотр вероятности реализации угроз на практике;
- осмотр рисков на активы;
После осмотра рисков на активы нужно переходить к установке уровня безопасностикоторый определяет защиты для каждого актива. Есть правило, что цена защиты актива не должна превышать цены самого актива
Рассмотрим создания одного из процессов безопасности. Процесс показано на рис.2.
- Вход, допустим это пользователь делает запрос на создания нового пароля;
- механизм, определяет какие роли участвуют в этом процессе.
Пользователь запрашивает новый пароль у Администратора;
- Управление — описывает сам алгоритм, который управляет процессом. При запросе нового пароля, пользователь должен пройти аутентификацию;
- Выход, это результат процесса. Получение пароля.
Дата добавления: 2019-11-25; просмотров: 715; Мы поможем в написании вашей работы! |
Мы поможем в написании ваших работ!