16. Основные группы требований к ксиб.

Разработка КСИБ должна проходить в трех параллельных направлениях: методическом, организационном и техническом.

Методическое направление предусматривает разработку концепции безопасности.

Под концепцией понимается взаимоувязанный комплекс организационно-технических мер, методологических указаний, регламентов, комплектов форм типовых документов и т.д., решающих задачи ЗИ.

Концепция безопасности – это документ, в котором:

- применяется методика определения и описания информационных потоков (ИП), представляющая собой формальное и точное описание работы с информацией, с учетом их изменений со временем;

- определены критерии, по которым принимается решение о появлении или прекращении конкретного ИП;

- анализируются, описываются и фиксируются ИП, существующие на текущий момент;

- определяются для каждого ИП фазы существования информации;

- определяются категории конфиденциальной информации, и разрабатывается классификация информации по этим категориям;

- создается матрица конфиденциальности;

- определяются возможные пути разглашения конфиденциальной информации, т.е. модель угроз;

- для каждой угрозы и атаки определяется модель нарушителя, включающая профессиональный круг лиц, к которому принадлежит нарушитель, мотивация и цели нарушителя, его предполагаемая квалификация и характер возможных действий;

- определяются уровни риска для всей матрицы конфиденциальности, вероятности реализации каждой атаки, стоимость ущерба при каждой атаке и усредненные вероятные величины убытков (риски);

- определяется порядок изменения Концепции безопасности.

Разработка Концепции безопасности сводится к следующим практическим шагам:

1. Определение используемых руководящих документов и стандартов, а также основных положений политики ИБ;

2. Определение подходов к управлению рисками;

3. Структуризация контрмер по уровням.

При организационном направлении работ создается организационная компонента КСИБ – совокупность правил (руководящих документов) и технических средств, регламентирующих деятельность сотрудников при обращении с информацией независимо от форм ее представления.

Организационное направление включает в себя:

- разработку регламента обеспечения безопасности;

- применение методологии при работе с персоналом;

- работы по уточнению требований к характеристикам защищенности системы;

- анализ информационной структуры предприятия;

- разнесение субъектов и объектов информационных отношений по категориям конфиденциальности;

- определение допустимых форм их взаимодействий и т.д.

Регламент обеспечения безопасности – комплект документов, регламентирующий правила обращения с конфиденциальной информацией (КИ) в зависимости от фазы ее обработки и категории конфиденциальности. В регламенте определен комплекс методических, административных и технических мер:

- создание подразделения, ответственного за обеспечение КИ;

- определение порядка допуска сотрудников к КИ и обязанностей, ограничений и условий, накладываемых на них;

- определение сотрудников, допущенных к КИ;

- план мероприятий по противодействию атаке на КИ и т д.

Для регламента обеспечения безопасности должны быть разработаны следующие документы:

1. общие документы:

- инструкция по обеспечению режима конфиденциальности на предприятии;

- требования к пропускному и внутриобъектовому режиму;

- общие требования к системе разграничения доступа в помещении;

- регламент взаимодействия Служб обеспечения конфиденциальности и безопасности;

2. документы по работе с кадрами:

- инструкция по работе с кадрами, подлежащими допуску к КИ;

- требования к лицам, оформляемым на должность, требующую допуска к КИ;

3. документы по защите ИС. Они регламентируют:

- режим конфиденциальности при обработке КИ с применением средств вычислительной техники;

- требования к защищенности ИС;

- концепцию безопасности ИС;

- порядок анализа существующей ИС.

Техническая компонента КСИБ – комплекс технических средств и технологий ЗИ при ее обработке, хранении и передаче, включая криптографические средства. Техническая компонента создается в рамках технического направления работ.

При реализации технического направления проводится сбор исходных данных для разработки технических предложений по оснащенности автоматизированной системы обработки, хранения и передачи информации средствами ЗИ, позволяющими реализовать требуемый уровень защищенности.