Методы и формы организационной защиты информации.

Содержание

Введение
1.Понятие защиты информации, предмет и объект защиты
2.Общая характеристика организационных методов защиты информации
3.Примерный перечень организационных мероприятий по защите информации
4.Организация защиты коммерческой тайны на предприятии
Заключение
Список использованной литературы

Методы и формы организационной защиты информации.

Насколько важным являются организационные мероприятия в общем арсенале средств защиты, говорит тот факт, что ни одна система обработки данных не может функционировать без участия обслуживающего персонала. Кроме того, организационные мероприятия охватывают все структурные элементы системы защиты на всех этапах их жизненного цикла: строительство помещений, проектирование системы, монтаж и наладка оборудования, испытания и проверка в эксплуатации аппаратуры, оргтехники, средств обработки и передачи данных.
По содержанию все множество организационных мероприятий можно условно разделить на следующие группы7:
1) Мероприятия, осуществляемые при создании системы обработки, накопления, хранения и передачи данных заключающиеся в учете требований защиты при: разработке общего проекта системы и ееструктурных элементов; строительстве или переоборудовании помещений; разработке математического, программного, информационного или лингвистического обеспечений; монтаже и наладке оборудования; испытаниях и приемке системы. Особое значение на данном этапе придается определению действительных возможностей механизмов защиты, для чего целесообразно осуществить целый комплекс испытаний и проверок.
2) Мероприятия, осуществляемые в процессе эксплуатации систем обработки данных: организация пропускного режима; организация автоматизированной обработки информации; распределение реквизитов разграничения доступа (паролей, полномочий и т.д.); организация ведения протоколов; контроль выполнения требований служебных инструкций и т.п.
3) Мероприятия общего характера: учет требований защиты при подборе и подготовке кадров; организация проверок механизма защиты; планирование всех мероприятий по защите информации; обучение персонала; проведение занятий с привлечением ведущих организаций; участие в семинарах и конференциях по проблемам безопасности информации и т.п.
3. Примерный перечень организационных мероприятий по защите информации
В качестве организационных мер защиты данных от потери, несанкционированного доступа и распространения информации в организациях или на предприятиях можно осуществить следующие мероприятия8:
1. Назначить ответственным за обеспечение безопасности персональных данных структурное подразделение или должностное лицо (работника). Это необязательно должно быть отдельный работник, чья главная функция заключается в организации процесса обеспечения безопасности персональных данных. Это может быть дополнительная обязанность кадрового работника, офис-менеджера или программиста. В зависимости от того, в какой форме происходит обработка персональных данных.
2. Определить список лиц, доступ которых к персональным данным необходим для выполнения служебных (трудовых) обязанностей. Скорей всего, в компании в той или иной степени с этого рода информации работает каждый сотрудник. Тем не менее, для выполнения данного требования законодательства приказом руководителя должен быть утвержден поименный перечень сотрудников, работающих с персональными данными. Целесообразно в приказе конкретизировать, кто из сотрудников и к какой информации допущен. Это поможет обеспечить надлежащий внутренний контроль в организации за движением информационных потоков, для надзорных органов это будет критерием соблюдения требований законодательства о создании системы безопасности.
3. Ограничить число людей, которые могут иметь доступ к персональной информации (кто в силу своих должностных обязанностей не работает с персональными данными клиентов).
4. Разработать систему защиты персональных данных на основе моделей угроз их безопасности. Система защиты персональных данных в организации не должна быть очень сложной. При хранении персональных данных в печатной форме - сейф с журналом записи каждого случая доступа к ним, при хранении в электронной форме - наличие специальных кодирующих программ, ограничивающих доступ посторонних лиц.
5. Персонифицировать доступ к данным, определить персонально ответственных сотрудников за ограничение доступа к персональным данным. Необходимо выстраивать систему доступа к персональным данным таким образом, чтобы ответственный сотрудник всегда знал кто, кроме него просматривал персональные данные и использовал их.
6. Установить меры ответственности за намеренное разглашение и уточку информации, контроля за соблюдением мер информационной безопасности и выполнением требований уничтожения и обезличивания данных.
7. Создать электронный журнал учета обращений за получением персональных данных, а также фактов их предоставления. Журнал должен находиться под внутренним контролем кого-нибудь из сотрудников компании. Целесообразно, чтобы это было тоже лицо, которое отвечает за их безопасность.
8. Организовать систему документооборота в организации, касающегося персональных данных. Документооборот должен включать в себя приказы и учетные документы, в которых отражаются принятые меры, а также учет материальных средств, предназначенных для обработки и обеспечения безопасности персональных данных.
9. Установить и ввести в эксплуатацию технические средства защиты информации на основе требований указанных выше органов власти. Использовать программы шифрования информации, защиты от несанкционированного доступа к компьютерам и компьютерным сетям, защиты от вирусов. Делать регулярное резервное копирование данных, для предотвращения их случайной утери или искажения.
10. Информировать сотрудников о требованиях соблюдения конфиденциальности, обучайте их техническим навыкам защиты информации и правилам работы со средствами защиты персональных данных.
11. Ограничивать физический доступ к документам, папкам, архивам, помещениям, где хранятся данные. Использовать приборы для уничтожения бумаги. Избегать хранения электронных баз данных на ноутбуках сотрудников (в том числе, чтобы избежать случайной утери информации вместе с компьютером). Использовать утилиты для уничтожения информации на жестких дисках.
12. Определить продолжительность хранения персональных данных. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.
4. Организация защиты коммерческой тайны на предприятии
Для обеспечения защиты интеллектуальной собственности на предприятиях вводится определенный порядок работы с информацией и доступа к ней, включающий в себя комплекс административных, правовых, организационных, инженерно-технических, финансовых, социально-психологических и иных мер, основывающихся на правовых нормах республики или на организационно-распорядительных положениях руководителя предприятия (фирмы).
Эффективная защита коммерческой тайны возможна при обязательном выполнении ряда условий9:
единство в решении производственных, коммерческих, финансовых и режимных вопросов;
координация мер безопасности между всеми заинтересованными подразделениями предприятия;
научная оценка информации и объектов, подлежащих классификации (защите). Разработка режимных мер до начала проведения режимных работ;
персональная ответственность (в том числе и материальная) руководителей всех уровней, исполнителей, участвующих в закрытых работах, за обеспечение сохранности тайны и поддержание на должном уровне режима охраны проводимых работ;
включение основных обязанностей рабочих, специалистов и администрации по соблюдению конкретных требований режима в коллективный договор, контракт, трудовое соглашение, правила трудового распорядка.
организация специального делопроизводства, порядка хранения, перевозки носителей коммерческой тайны. Введение соответствующей маркировки документов и других носителей закрытых сведений;
формирование списка лиц, уполномоченных руководителем предприятия классифицировать информацию и объекты, содержащие сведения, составляющие коммерческую тайну;
оптимальное ограничение числа лиц, допускаемых к коммерческой тайне;
наличие единого порядка доступа и оформления пропусков;
выполнение требований по обеспечению сохранения коммерческой тайны при проектировании и размещении специальных помещений; в процессе испытаний и производства изделий, сбыта, рекламы, подписания контрактов, при проведении особо важных совещаний, в ходе использования технических средств обработки, хранения и передачи информации и т.п.;
организация взаимодействия с государственными органами власти, имеющими полномочия по контролю определенных видов деятельности предприятий и фирм;
наличие охраны, пропускного и внутри объектового режимов;
плановость разработки и осуществления мер по защите информации, систематический контроль за эффективностью принимаемых мер;
создание системы обучения исполнителей правилам обеспечения сохранности информации.
При организации защиты коммерческой тайны, имущественных и финансовых ценностей директор предприятия руководствуется, прежде всего, экономической целесообразностью. Здесь обязательно надо учитывать два момента10:
затраты на обеспечение экономической безопасности должны быть, как правило, меньшими в сравнении с возможным экономическим ущербом;
планируемые меры безопасности содействуют, как правило, повышению экономической эффективности предпринимательства.
Центральное место в организации обеспечения экономической безопасности предприятия (фирмы) занимает выбор структуры службы, позволяющей эффективно решать эти вопросы.
Служба безопасности является структурной единицей предприятия, непосредственно участвующей в производственно-коммерческой деятельности. Ее деятельность осуществляется во взаимодействии со структурными подразделениями предприятия.
Функции по защите коммерческой тайны:
1) Выработка критериев выделения ценной информации, подлежащей защите
2) Определение объектов интеллектуальной собственности, подлежащих охране
3) Выбор методов защиты (патентование, авторское право, коммерческая тайна)
4) Разработка для последующего утверждения Перечня (дополнений к перечню) сведений, подлежащих защите
5) Установление правил допуска и разработка разрешительной системы доступа к сведениям, подлежащих защите
6) Оформление списков лиц (перечней должностей), имеющих право работать с конкретными составляющими коммерческой тайны
7) Определение списка должностей (лиц), уполномоченных классифицировать информацию
8) Установление правил и процедур классификации, маркировки документов и других носителей информации, а также вывод их из сферы ограниченного доступа (рассекречивание)
9) Разработка и ввод в действие единого порядка обращения с носителями информации (технологии создания, учет, правила работы, хранение, пересылка, транспортировка, размножение, уничтожение)
10) Составление плана размещения и учет помещений, в которых после соответствующей аттестации разрешено постоянное или временное хранение носителей информации, работа с ними, а также проведение закрытых совещаний. Установление единого порядка прохода в эти помещения
11) При непосредственном участии руководителей структурных подразделений и специалистов, имеющих доступ к коммерческой тайне, планирование, осуществление и контроль за реализацией мероприятий при проведении всех видов работ, в которых используется закрытая информация, классифицированные носители
12) Оказание методической помощи руководителям подразделений предприятия в разработке и осуществлении мероприятий по защите сведений, в процессе научной, конструкторской, производственной и иной деятельности (какие технологические меры безопасности необходимо использовать; какие изменения в технологию надо внести; какие требования целесообразно включить в условия контракта; какую информацию надо защищать даже при выходе товара на рынок и т.п.)
13) Разработка и осуществление совместно со специалистами мер по недопущению разглашения ценной информации на стадиях
оформления материалов, предназначенных для опубликования в открытой печати, для использования на конференциях, выставках, в рекламной деятельности (аналогичные меры осуществляются в отношении образцов изделий, содержащих коммерческую тайну);