3. Комплекс засобів захисту інформації (кззі)

КЗЗІ від несанкціонованого доступу розміщується в межах контрольованої території, у визначеному приміщенні разом з іншим телекомунікаційним обладнанням або окремо.

Маскування топології взаємодіючих мереж, автентифікація користувачів та ресурсів, управління зовнішнім доступом до ресурсів локальної мережі досягається шляхом впровадження організаційно-технічних (нормативно-розпорядчих) заходів, мережевих екранів, засобів криптографічного захисту інформації, а також завдяки належному настроюванню та конфігуруванню операційних систем та відповідного прикладного програмного забезпечення.

Шифрування інформаційного обміну, створення VPN-каналів, захист трафіку і з’єднань клієнтів з серверами баз забезпечується використанням засобів криптографічного захисту інформації.

Наприклад, за допомогою програмного засобу ‑ криптографічний сервер (КС) “Славутич” ‑ забезпечується захист загальнодоступних серверів від сторонніх осіб, а також гарантується конфіденційність передачі даних і їх цілісність.

КС реалізує наступні функції:

• захист TCP/IP з’єднань за допомогою шифрування запитів "клієнтів" та відповідей серверів;

• контроль цілісності даних за рахунок формування та перевірки хеш-коду;

• автентифікація інших криптографічних серверів.

КС може функціонувати під управлінням операційних систем Microsoft Windows, Linux та інших, що підтримують технологію програмування Java.

Надійність захисту інформації за допомогою КС досягається шляхом застосування криптографічного алгоритму згідно з вимогами міждержавного стандарту ГОСТ 28147-89, спеціального алгоритму формування спільного ключа і комплексу організаційно-технічних заходів.

У випадку інтегрованої АС переважно використовується модульний принцип побудови КСЗІ, що надасть спрощує процедуру поступового розширення системи, та забезпечує можливість її модернізації без порушення політики безпеки та загальної працездатності системи.

4. Вимоги до організаційних заходів

Для безпосередньої організації робіт із створення і забезпечення ефективного функціонування КСЗІ має бути створений відповідальний підрозділ ‑ служба захисту інформації (СЗІ) в АС.

Організаційні заходи повинні складати невід'ємну частину КСЗІ, запобігати загрозам безпеці інформації і блокувати їх певну частину, а також поєднувати в єдину систему усі засоби захисту.

Організаційні заходи щодо керування КСЗІ повинні передбачати:

• визначення порядку дій користувачів для додержання політики безпеки;

• визначення порядку контролю за додержанням прийнятої в АС політики безпеки, розслідування виявлених порушень та прийняття заходів щодо їх усунення;

• визначення порядку проведення модернізації АС (встановлення нових версій системних і прикладних програм) та контролю за цими процесами;

• розробку організаційно-методичних та розпорядчих документів, що регламентують порядок і правила функціонування КСЗІ (планів, інструкцій, наказів тощо).

Організаційні заходи щодо керування доступом повинні передбачати:

• визначення порядку розподілу атрибутів розмежування доступу;

• визначення порядку доступу користувачів до АРМ, носіїв інформації та його контролю;

• визначення порядку доступу при проведенні ремонтно-регламентних робіт, технічного забезпечення АС та ін. (санкціонування доступу, розгляд і документальне затвердження змін).

Організаційні заходи щодо реєстрації та обліку повинні передбачати:

• визначення порядку обліку, видачі, використання і зберігання з'ємних магнітних носіїв інформації, що містять еталонні і резервні копії;

• визначення порядку організації зберігання, використання і знищення документів і носіїв із ІзОД;

• визначення порядку обліку технічних засобів АС.

Організаційні заходи з резервного копіювання та архівування програмного забезпечення та даних повинні передбачати:

• розробку регламенту та впровадження технології резервного копіювання інформації в АС та ведення архівів;

• розробку порядку відновлення зарезервованої інформації у відповідності до її грифу;

• розробку схеми ротації магнітних носіїв.