Концепция обеспечения безопасности информации в системе организации



         

Организационные (административные) меры защиты - часть 10


·         контролировать деятельность сотрудников подразделений ОРГАНИЗАЦИИ по вопросам ОБИ.

В состав подразделения защиты информации должны входить следующие специалисты:

·         ответственные за администрирование средств защиты от НСД (выбор, установка, настройка, снятие средств защиты, просмотр журналов регистрации событий, оперативный контроль за работой пользователей и реагирование на события НСД и т.п.);

·         ответственные за администрирование криптографических средств защиты (установка, настройка, снятие СКЗИ, генерация и распределение ключей и т.д.);

·         ответственные за решение вопросов защиты информации в разрабатываемых программистами и внедряемых прикладных программах (участие в разработке технических заданий по вопросам защиты информации, выбор средств и методов защиты, участие в испытаниях новых прикладных программ с целью проверки выполнения требований по защите информации и т.д.);

·         специалисты по защите от утечки информации по техническим каналам.

 

Ответственность за нарушения установленного порядка использования АС ОРГАНИЗАЦИИ. Расследование нарушений.

Любое грубое нарушение порядка и правил работы в АС сотрудниками структурных подразделений ОРГАНИЗАЦИИ и других ведомств должно расследоваться. К виновным должны применяться адекватные меры воздействия. Мера ответственности персонала за действия, совершенные в нарушение установленных правил обеспечения безопасной автоматизированной обработки информации, должна определяться нанесенным ущербом, наличием злого умысла и другими факторами по усмотрению руководства центральных или территориальных органов ОРГАНИЗАЦИИ.

Для реализации принципа персональной ответственности пользователей за свои действия необходимы:

·         индивидуальная идентификация пользователей и инициированных ими процессов, т.е.установление за ними идентификатора, на базе которого будет осуществляться разграничение доступа в соответствии с принципом обоснованности доступа;

·         проверка подлинности пользователей (аутентификация) на основе паролей, ключей на различной физической основе, биометрических характеристик личности и т.п.;

·         регистрация (протоколирование) работы механизмов контроля доступа к ресурсам информационных систем с указанием даты и времени, идентификаторов запрашивающего и запрашиваемых ресурсов, вида взаимодействия и его результата;

·         реакция на попытки несанкционированного доступа (сигнализация, блокировка и т.д.).




Содержание  Назад  Вперед