Конспект лекций

Организационно-правовое обеспечение информационной безопасности сетей и систем

Конспект лекций | назад | содержание | вперед

# 17 ОРГАНИЗАЦИЯ ОБЪЕКТОВЫХ РЕЖИМОВ БЕЗОПАСНОСТИ

## 17.1. Организация пропускного режима

Обеспечение безопасности предприятия (объекта) предполагает использование в рамках законодательства комплекса механизмов, методов и средств, создающих необходимые ограничения доступа посторонних лиц к его ресурсам и активам. Очевидно, что эффективная реализация такой многоплановой задачи в значительной степени зависит от тщательной и кропотливой работы, которую проводят рядовые сотрудники службы безопасности по ограничению бесконтрольных действий персонала и командированных лиц на территории объекта в аспекте обеспечения его безопасности.

Именно эта деятельность и обозначается понятием особого режима объекта, который представляет собой совокупность повседневных контрольно-учетных мероприятий по обеспечению выполнения требований его безопасности.

Практика обеспечения безопасности так называемых режимных объектов показала, что всю совокупность специальных контрольно-учетных мероприятий по функциональному назначению условно можно разделить на следующие виды: пропускной режим, основной целью которого является организация физической защиты внешнего периметра объекта и соответствующего санкционированного допуска сотрудников и других лиц для выполнения своих служебных обязанностей; внутриобъектовый режим, обеспечивающий выполнение требований безопасности на территории и в служебных помещениях режимного объекта и направленный, как правило, на противодействие внутренним угрозам.

Пропускной режим— это совокупность правил, регламентирующих порядок входа (выхода) физических лиц, въезда (выезда) транспортных средств на режимный объект, вноса (выноса), ввоза (вывоза) документов и вещей, а также совокупность мероприятий по реализации этих правил.

Пропускной режим вводится для исключения проникновения посторонних лиц на территорию режимного объекта, в его административные и производственные здания, а также в охраняемые по требованиям режима секретности зоны (категорированные помещения), для ограничения посещения должностными лицами режимных помещений без служебной необходимости, запрещения вноса (ввоза) на территорию объекта посторонних предметов и технических средств, выноса (вывоза) материальных ценностей, документов и других нематериальных активов без разрешения уполномоченного должностного лица.

Пропускной режим предусматривает, в частности, оборудование и организацию работы контрольно-пропускных пунктов (постов). С этой целью ответственные работники службы безопасности должны проанализировать организационную структуру предприятия, места расположения и архитектуру его отдельных производственных и служебных помещений, характер производственной деятельности (производства) в них.

Выяснение этих вопросов позволяет: выделить объекты и территории предприятия, на которых необходимо организовать охранный пропускной режим; определить характер контрольно-пропускных пунктов (КПП) для пропуска физических лиц и транспортных средств, вывоза (ввоза) материальных ценностей; определить перечень предметов, запрещенных к проносу (провозу) в охраняемые зоны режимного объекта.

На основе прогноза объема потоков физических лиц, транспортных средств, грузов, материальных ценностей, пересекающих охраняемый периметр предприятия, задается необходимая пропускная способность КПП и возможный вариант оптимизации автоматизированного контроля «прохода», «проезда», «проноса» и «провоза» на границах охраняемых объектов и территорий.

Организация пропускного режима предполагает также разработку определенного нормативного обеспечения этой деятельности, согласованного с общей нормативно-правовой базой предприятия. Важность этого момента определяется тем, что вводимые требования по ограничению доступа должны строго соответствовать действующему законодательству и ни в коей мере не противоречить конституционным правам и свободам.

Пропускной режим осуществляется на основании внутреннего нормативного документа — инструкции, утверждаемой руководителем предприятия.

Инструкция, как правило, начинается с описания общих целей и задач, решаемых системой пропускного режима; предусматривает создание специального структурного подразделения (бюро пропусков) по оформлению документов, дающих право на проход; вводит систему пропусков для физических лиц и транспортных средств, задает ответственность должностных лиц, в обязанности которых входит организация этого режима; определяет соответствующие структурные подразделения, осуществляющие его практическую реализацию.

Основным разделом инструкции служит порядок пропуска (прохода) физических лиц, вывоза {ввоза) на территорию объекта, который определяет:

- основания права на проход, которыми являются удостоверения сотрудников (работников) предприятия, временные и разовые пропуска, магнитные карты (для электронных проходных),

пропуска-вкладыши к удостоверению личности (паспорту);

- перечень сторонних организаций, контрольно-надзорных органов государственной власти, имеющих право прохода по своим служебным удостоверениям;

- порядок предъявления документов на проход, как правило, в развернутом виде в руки дежурному службы охраны для однозначной идентификации при каждом входе (выходе) на охраняемый объект;

- правила выдачи и оформления временных и разовых пропусков;

- правила досмотра с согласия сотрудника его личных вещей (портфелей) при наличии оснований для подозрений о возможности вноса (выноса) запрещенных предметов, при отказе от досмотра предусматриваются места временного хранения таких вещей;

- предельные сроки пребывания работников на своих рабочих местах и правила оформления разрешения на сверхурочные работы;

- порядок прохода делегаций, иностранных граждан, который, как правило, осуществляется по списку в сопровождении ответственного должностного лица.

Одним из разделов инструкции определяются правила проезда {выезда) транспортных средств, которые предусматривают:

- основания для въезда (выезда) служебного транспорта в виде пропусков установленного образца и/или служебных удостоверений водителей и пассажиров;

- перечень должностных лиц, имеющих право въезда на объект на служебном автотранспорте без проверки документов;

- правила пропуска автотранспорта сторонних организаций по разовым пропускам на въезд автотранспорта в сопровождении сотрудника подразделения, принимающего посетителей или груз, водитель и пассажиры пропускаются на объект в соответствии с установленным порядком для физических лиц;

- порядок въезда автотранспорта для ликвидации чрезвычайных ситуаций, осуществляемый по личному распоряжению уполномоченного должностного лица, в ведении которого находится режимный объект;

- основания для ввоза грузов на режимные объекты, которыми являются товаротранспортные накладные и подтверждение ожидаемого груза от руководителей заинтересованных подразделений;

- основания для вывоза грузов (материальных ценностей) в виде материального пропуска, для выдачи которого оформляется по установленной форме заявка, подписанная материально-ответственным лицом и уполномоченным должностным лицом;

- обязанность дежурного службы охраны по проверке соответствия вывозимого груза (материальных ценностей), указанных вматериальном пропуске.

В заключение инструкция определяет порядок и правила контроля пропускного режима. Контроль за несением службы по организации охраны периметра, действий оперативных дежурных, а также наряда охраны осуществляется уполномоченными должностными лицами, назначенными руководителем предприятия.

Эффективность пропускного режима во многом определяется тем, как организована охрана объекта. В соответствии с действующим законодательством выполнение охранных функций могут осуществлять только специализированные силы и организации.

Например, охрана так называемых критических объектов крупных организаций и предприятий (атомные электростанции, химические производства и т.д.) осуществляется внутренними войсками или подразделениями вневедомственной охраны МВД Роcсии. Действующее законодательство разрешает указанным структурам обеспечивать охрану имущества на договорной и внедоговорной основе. Кроме этого, им разрешены контроль деятельности, используемой на предприятиях других охранных структур, испытание систем и технических средств охранной сигнализации, осуществление технического надзора за оборудованием объектов средствами охранной сигнализации. В ряде случаев охрану государственных объектов осуществляет ведомственная охрана, созда

ваемая отдельными федеральными органами исполнительной власти. Их перечень устанавливает Правительство Российской Федерации. Действующее законодательство разрешает привлечение ведомственной охраны на договорной основе для защиты имущества предприятий, отличных от государственной формы собственности.

Основные задачи ведомственной охраны: защита охраняемых объектов от противоправных посягательств; обеспечение на охраняемых объектах пропускного режима; предупреждение и пресечение преступлений и административных правонарушений на охраняемых объектах.

Выполнение охранных функций, в том числе защиты личного состава на малых и средних предприятиях, как правило, осуществляют частные охранные предприятия (ЧОП), действующие на основе законодательства о частной детективной и охранной деятельности. Частным охранным предприятиям разрешается оказывать различные услуги, в том числе по вооруженной охране имущественных ценностей при транспортировке и защите жизни и здоровья персонала. Кроме этого, ЧОП могут обеспечивать проектирование, монтаж и обслуживание средств охранно-пожарнойсигнализации, консалтинговые услуги по вопросам правомерной защиты от противоправных посягательств.

Нормативной основой организации охранных мероприятий является соответствующая инструкция, утверждаемая руководителем предприятия. Она должна включать общие положения несения охранной службы, состав суточного наряда, его оснащение, особые обязанности должностных лиц охранных нарядов, действия охраны при объявлении тревоги, при пожаре и других видах чрезвычайных ситуаций.

Общее руководство организацией и несением службы нарядами охраны, а также взаимодействие с соответствующими правоохранительными органами и другими охранными структурами, как правило, осуществляет руководитель ЧОП, предоставляющий на договорной основе соответствующие охранные услуги.

Личный состав нарядов охраны непосредственно подчиняется руководителю ЧОП и дежурному по объекту. В нерабочее время и в отсутствие руководителя охранного предприятия руководство охранной службой осуществляет дежурный по объекту.

Перевозка и сопровождение специальных грузов, порядок приема и сдачи под охрану режимных помещений, а также ведение личной охраны регламентируются отдельными инструкциями.

Тревога объявляется при нападении на охраняемый объект или караульный пост. Сигнал тревоги может быть подан сотрудником охраны с поста или поступить на пульт охранной сигнализации. Сигналами тревоги могут являться указания уполномоченного должностного лица, звуковой и световой сигналы, окрики «тревога» и т.д.

Дежурный по объектупри получении тревожных сигналов в зависимости от складывающейся обстановки направляет на место происшествия группу быстрого реагирования из резерва охраны, усиливает охрану на постах объекта, выясняет обстоятельства тревоги, определяет необходимость дополнительных средств охраны и ликвидации причин тревоги и докладывает о принятых мерах руководству охраны и предприятия.

Сотрудники охраны, несущие службу на пропускных постах, приобъявлении тревоги прекращают допуск (вход) на объект и выход с объекта всех лиц, за исключением руководителей объекта, которым они подчиняются по службе.

Сотрудники охраны, находящиеся в резерве, по указанию дежурного по объекту экипируются с учетом характера тревоги и следуют на место происшествия, усиливают посты, а также выполняют другие указания руководства охраны.

При пожаре и возникновении других чрезвычайных ситуаций дежурный по объекту при получении соответствующей информации объявляет тревогу.

Уполномоченные должностные лица в пределах своих полномочий руководят действиями личного состава предприятия в соответствии со сложившейся обстановкой, привлекая при необходимости технических специалистов и персонал ЧОП, о чем немедленно докладывают руководству. Вызывается служба экстренного вызова, аварийные бригады соответствующих коммунальных служб, обеспечивается встреча специалистов и их допуск на объект в сопровождении службы охраны. При принятии решения об эвакуации персонала объекта и посетителей, а также материальных ценностей создаются временные посты для их охраны и усиления пропускного режима.

## 17.2. Организация внутриобъектового режима

Внутриобъектовый режим обеспечивает выполнение требований безопасности на территории и в служебных помещениях режимного объекта и направлен, как правило, на противодействие внутренним угрозам.

К организационному обеспечению внутриобъектового режима традиционно относят мероприятия по обеспечению охраны выделенных помещений, категорированных по специальным требованиям безопасности. Так, посещение посетителями данных помещений ограничивается организационно-техническими мерами.

После окончания работы в них все двери, окна и форточки должны быть надежно заперты, поставлены на охранную сигнализацию и опечатаны. Все ключи от дверей охранных зон должны быть сданы на охранный пост с отметкой в специальном журнале, с подписью лиц, сдавших и принявших ключи. Отключение охранной сигнализации и выдачу ключей для вскрытия помещений осуществляет дежурный охраны поста по требованию лиц, имеющих на это право, на основании списка и подписи сотрудников в специальном журнале. Все сотрудники, имеющие санкционированный доступ в охранные зоны, должны знать способы извещения оперативно-дежурных служб. В охранных зонах запрещается фото-, кино-, видеосъемка, а также пользование мобильными телефонами и портативными ЭВМ.

Более опасным внутренним угрозам должен соответствовать и больший объем деятельности по организации внутриобъектового режима, к которой целесообразно отнести режим секретности и конфиденциального делопроизводства; режим противодействия утечки информации по техническим каналам.

Иногда, учитывая важность и значительный объем мероприятий по организации указанных режимов, их выделяют в самостоятельные направления деятельности службы безопасности, хотя по существу это также отдельные составляющие внутриобъектового режима.

Режим секретности и конфиденциального делопроизводства устанавливается в соответствии с нормами информационного права, согласно которым государственные информационные ресурсы, а по умолчанию и ресурсы коммерческих структур, могут иметь: различные правовые режимы открытые (общедоступные) и с ограниченным доступом, охраняемые в режиме некоторой тайны.

В зависимости от вида тайны режим ограничения доступа к информационным ресурсам с организационно-правовой точки зрения имеет существенные различия.

Так, для сведений, составляющих государственную тайну, законодательно устанавливается единый порядок их выделения, использования и обращения. В соответствии с законодательством в области защиты государственной тайны уполномоченными органами исполнительной власти вводятся очень жесткие обязательные нормы государственного регулирования практически всех организационных процедур. Их нарушение влечет за собой определенную юридическую ответственность.

Для других видов сведений конфиденциального характера законодательные нормы, как правило, имеют декларативный характер. Незначительное количество прописанных в законах норм можно рассматривать лишь как рекомендации обладателю информации, который вправе сам принимать решения о ее защите. В связи с этим он сам принимает на себя весь риск, связанный с реализацией угроз информационной безопасности. Хотя в нынешнем уголовном кодексе существует статья, в соответствии с которой можно понести наказание за разглашение банковской или коммерческой тайны, судебная практика весьма ограничена. Поэтому ответственность, как правило, ограничивается мерами дисциплинарного воздействия и лишь в редких случаях — гражданской ответственностью.

Практика защиты несекретных сведений служебного характера имеет несколько другой характер. После принятия в 1993 г. Закона Российской Федерации «О государственной тайне» Правительством Российской Федерации было принято постановление от 13 ноября 1994 г. № 1233, которое ввело в действие «Положение о порядке обращения служебной информации ограниченного распространения в федеральных органах исполнительной власти». Согласно этому нормативному правовому акту, «к служебной информации ограниченного распространения относится несекретная информация, касающаяся деятельности организаций, ограничение на распространение которой диктуется служебной необходимостью». Указанный нормативный акт заложил правовую основу для широкого распространения на практике простых и хорошо известных организационных процедур делопроизводства и обращения документов с грифом «Для служебного пользования». В частности, такой порядок принят в банковской системе Российской Федерации.

Совет директоров Банка России утвердил аналогичное положение для подведомственных организаций, причем в отличие от правительственного акта к сведениям ограниченного распространения отнесены банковская, коммерческая и служебная тайны.

Рассматривая различные правовые режимы информации, следует отметить, что отнесение тех или иных сведений к категории открытой (общедоступной) информации не означает наличия права их бесконтрольного использования. Речь идет, прежде всего, о так называемой интеллектуальной собственности, к которой, в частности, относятся программы для ЭВМ и базы данных, имеющих правовой статус объектов авторского права. Если такие объекты создаются в рамках выполнения служебного задания, то имущественные права на них принадлежат работодателю и, соответственно, эти объекты также должны быть включены в перечень защищаемых активов.

Режим секретности устанавливает единый порядок обращения со сведениями, составляющими государственную тайну, и предназначен прежде всего для противодействия утечке секретной информации по агентурным каналам, т.е. угрозам от внутренних нарушителей.

Организация режима секретности включает проведение следующих процедур:

- засекречивание (рассекречивание) путем установления степени секретности сведений, содержащихся в документах, используемых или создаваемых на режимном объекте;

- оформление допуска, т.е. особых видов документов, подтверждающих наличие у сотрудника санкции на работу с документами, содержащими государственную тайну;

- контроль выполнения должностными лицами установленных правил работы с секретными документами;

- ведение секретного делопроизводства.

Засекречивание сведений инициируется исполнителем документа на основании действующего на предприятии и утвержденного его руководителем перечня сведений, составляющих государственную тайну. Разработку такого перечня осуществляют сотрудники режимно-секретных органов (РСО), структурно входящие в службу безопасности на основании отраслевых или ведомственных перечней, утвержденных уполномоченным руководителем органа государственной власти, применительно к специфике своего предприятия.

Проект перечня рассматривается специально создаваемой из числа ведущих специалистов предприятия экспертной комиссией, после заключения которой перечень утверждается руководителем предприятия.

Сведения, включенные в перечень, должны быть сгруппированы по степени их секретности. В соответствии с правилами, утвержденными Правительством Российской Федерации 4 сентября 1995 г., к сведениям особой важности относят сведения, распространение которых может нанести ущерб в одной или нескольких областях деятельности, указанных в законе о государственной тайне. К совершенно секретным относятся сведения, разглашение которых связано с ущербом на уровне федерального органа исполнительной власти или отрасли экономики, к секретным — на уровне предприятия, учреждения и организации.

Перечень должен пересматриваться по мере изменения существенных условий деятельности предприятия, но не реже, чем через пять лет. Для рассекречивания или проверки обоснованности также используется механизм комиссионной экспертной оценки, проводимой с участием работников РСО, с обязательным утверждением результатов руководителем предприятия.

Допуск работников к сведениям, составляющим государственную тайну, означает формальное санкционирование возможности работы с такими сведениями, в то время как доступ — это санкционированное полномочным должностным лицом ознакомление с конкретными сведениями. Организационные процедуры оформления допуска регламентируются соответствующей инструкцией, утвержденной Постановлением Правительства Российской

Федерации от 28 октября 1995 г. № 1050. Начальным этапом этого процесса является разработка сроком на 5 лет номенклатуры должностей предприятия, подлежащих оформлению на допуск к сведениям, составляющим государственную тайну. Такая номенклатура является необходимым документом для последующего согласования и взаимодействия с уполномоченным органом государственной власти, осуществляющим проверочные мероприятия.

Наименование должностей должно соответствовать конкретно выполняемой работе с использованием государственной тайны с учетом степени секретности используемых сведений. Каждой степени секретности соответствует своя форма допуска: первая — особой важности, вторая — совершенно секретно, третья — секретно. Это означает, что работник с первой формой допуска может быть допущен ко всем сведениям, составляющим государственную тайну; наличие второй формы дает возможность работы с совершенно секретными и секретными сведениями; наличие третьей — только с секретными.

Очевидно, что каждой форме допуска соответствуют различные объем и уровень проверочных мероприятий. Если в случае допуска по первой и второй форме проверка осуществляется уполномоченным органом государственной власти, то для третьей формы допуск оформляется РСО самого предприятия, за исключением руководителей, работников специальных объектов и лиц, имеющих двойное гражданство.

Участие самого работника в процедуре оформления допуска заключается в правильном и достоверном заполнении анкеты и подписании договора об оформлении допуска к государственной тайне. В договор, наряду с типовыми условиями, рекомендуется включать особые пункты, например конкретные сроки ограничения выезда за границу, порядок хранения заграничного паспорта и т.д.

При снижении степени секретности используемых работником сведений форма допуска может быть понижена на основании решения руководителя предприятия с возможностью ее восстановления без дополнительных проверочных мероприятий.

Основной контроль и учет деятельности сотрудника с использованием сведений, составляющих государственную тайну, проводится путем оформления доступа. Данные процедуры включают получение письменной санкции уполномоченного должностного лица на использование строго дозированного объема таких сведений, выдачу документов под расписку, занесение факта использования конкретных сведений в учетную карточку. Оформление доступа лицам, прибывшим в служебную командировку, производится лишь при наличии удостоверения личности, предписания на выполнение соответствующего задания и справки о наличии допуска.

При обращении секретных документов РСО обеспечивают периодический контроль выполнения должностными лицами следующих правил:

- любая передача секретных документов сопровождается собственноручной подписью участников процедуры с регистрацией в учетных формах РСО;

- работа с секретными документами может осуществляться только в специально аттестованных по требованиям безопасности информации служебных помещениях;

- при работе с секретными документами на рабочем месте должен находиться минимально требуемый объем сведений, составляющих государственную тайну;

- хранение секретных документов производится в специально оборудованных хранилищах (библиотеках) РСО, в сейфах с обеспечением минимально возможного риска их утраты за счет пожаров, протечек и т.д.

- выдача секретных документов на руки исполнителям производится на период не более одного рабочего дня, при временном выходе из рабочего помещения исполнитель обязан убрать секретный документ в свой личный сейф;

- запрещается хранение секретных документов в рабочих столах вместе с несекретными материалами;

- при приеме посетителей секретные документы должны находиться в положении, неудобном для обозрения;

- категорически запрещается вынос секретных документов за пределы охраняемого периметра режимного объекта;

- при окончании работы с секретными документами необходимо проверить их и сдать в библиотеку РСО.

Секретное делопроизводство задает организационные механизмы, правила и процедуры работы с государственной тайной. Документы, содержащие секретные сведения, могут разрабатываться только в специальных блокнотах и рабочих тетрадях, подлежащих учету, регистрации и хранению в библиотеках РСО. Создается минимально возможное количество копий секретного документа, определяемое исключительно служебной необходимостью. Разрабатываемый документ должен содержать минимально возможный объем секретных сведений, необходимых для понимания сути его содержания. Для копирования секретных документов предусматривается специальная разрешительная процедура его осуществления исключительно через РСО. Документирование, т.е. оформление по нормативно установленным правилам, осуществляют сотрудники РСО с обязательным указанием грифа секретности, номера каждого экземпляра, места разработки, исполнителей, количества листов экземпляров и датой документирования.

Передача секретных документов третьим лицам производится исключительно РСО предприятия. Полностью оформленный документ перед отправкой помещается в специальную упаковку (пакет), исключающую несанкционированный доступ. Пересылка секретных документов в другие города осуществляется службами специальной почтовой связи; в рамках одного города используют собственных курьеров, которых обеспечивают служебным транспортом и охраной.

Учет передачи документов осуществляется путем регистрации в разносных книгах, по распискам, реестрам под собственноручную подпись ответственного сотрудника РСО принимающей стороны, которая скрепляется печатью с проставлением времени и числа. Как и каждый документ, секретные сведения имеют свой жизненный цикл, по окончании которого их материальные носители подлежат физическому уничтожению. Для проведения этой процедуры приказом руководителя предприятия назначается комиссия в составе не менее трех человек. Комиссия уточняет необходимость и обоснованность уничтожения, проводит сверку уничтожаемых носителей по журналам и карточкам учета, составляет соответствующий акт, который представляется на утверждение руководителю предприятия и передается на учет и хранение в РСО.

В соответствии с законодательством режим защиты конфиденциальных сведений определяется собственником (владельцем, обладателем) информационного ресурса. Поэтому задача организации по созданию и обращению несекретных документов конфиденциального характера не имеет общепринятых типовых решений. В частности, широко распространены рекомендации по защите коммерческой тайны, которые предусматривают процедуры, аналогичные установленным для секретного делопроизводства. В то же время в практической деятельности наиболее часто используется режим делопроизводства и обращения документов с грифом «Для служебного пользования» (ДСП). Как правило, этот режим предусматривает:

- отнесение сведений к категории ограниченного распространения, он определяется исполнителем и утверждается должностным лицом, подписывающим соответствующий документ (пометка «ДСП» и номер экземпляра проставляются в правом верхнем углу первой страницы документа, на обложке и титульном листе издания, а также на сопроводительном письме к такому документу);

- прием и учет (регистрация) документов осуществляется канцеляриями, ведущими прием и учет несекретной документации;

- при создании документа с грифом «ДСП» на обороте последнего листа указывается количество распечатанных экземпляров,

- исполнители и дата оформления (оформленные документы вместе с черновиками и вариантами проекта передаются в службу регистрации для регистрации и уничтожения черновиков с отражением этого факта в учетных формах);

- отдельный учет от несекретной документации;

- осуществление передачи с разрешения руководителя исключительно под расписку, а пересылку — заказными или ценными почтовыми отправлениями;

- размножение — только с разрешения уполномоченного должностного лица с поэкземплярным учетом;

- хранение в надежно запираемых и опечатываемых шкафах;

- группировку исполненных документов в дела, соответствующие номенклатуре дел несекретного делопроизводства, с проставлением на обложке дела грифа «ДСП»;

- комиссионную проверку наличия документов, которая проводится не реже одного раза в год.

Главной организационной составляющей для обеспечения внутриобъектового режима является создание такой структуры, как постоянно действующая техническая комиссия (ПДТК), в состав которой, кроме ответственных работников РСО, включаются также квалифицированные и компетентные технические специалисты предприятия.

ПДТК является консультативным органом при руководителе предприятия по вопросам режима секретности и противодействия техническим разведкам.

К основным ф ункциям и за да ч а м П Д Т К относятся:

- выявление возможных технических каналов утечки информации, присущих данному предприятию;

- планирование и координация всех внутренних мероприятий по обеспечению режима секретности и противодействию технической разведке;

- экспертиза проектов по разработке и результатам реализации мероприятий по своевременному закрытию выявленных каналов утечки информации с ограниченным доступом;

- организация и ведение общей профилактической работы по защите информации ограниченного доступа от технических разведок.

Минимально возможный объем таких мероприятий сводится к выделению и оборудованию техническими средствами противодействия специальных помещений (охранных зон) и разработкисоответствующих правил их эксплуатации.

Хорошей практикой, использование которой в государственной системе защиты информации является обязательной, служит аттестация объектов информатизации по требованиям безопасности информации. Организацию этой деятельности осуществляет Федеральная служба по техническому и экспертному контролю (ФСТЭК России) как правопреемник Государственной технической комиссии при Президенте Российской Федерации.

Под аттестацией объектов информатизациипонимается комплекс организационно-технических мероприятий, в результате которых посредством специального документа «Аттестат соответствия» подтверждается, что объект соответствует требованиям стандартов или иных нормативно-технических документов по безопасности информации, утвержденных уполномоченными органами государственной власти. Наличие на объекте информатизации действующего «Аттестата соответствия» дает право обработки информации с установленным уровнем секретности (конфиденциальности) и на период времени, определенным в «Аттестате соответствия».

Обязательной аттестации подлежатобъекты информатизации, предназначенные для обработки информации, составляющей государственную тайну, для управления экологически опасными объек тами, для ведения секретных переговоров. В остальных случаях аттестация носит добровольный характер (добровольная аттестация) и может осуществляться по инициативе заказчика или владельца объекта информатизации. Аттестация по требованиям безопасности информации предшествует началу обработки подлежащей защите информации и вызвана необходимостью официального подтверждения эффективности комплекса используемых на конкретном объекте информатизации мер и средств защиты информации.

При аттестации объекта информатизации подтверждаетсяего соответствие требованиям по защите информации от несанкционированного доступа, в том числе от компьютерных вирусов, от утечки за счет побочных электромагнитных излучений и наводок при специальных воздействиях на объект (высокочастотное навязывание и облучение, электромагнитное и радиационное воздействие), от утечки или воздействия на нее за счет специальных устройств, встроенных в объекты информатизации.

Аттестация предусматривает комплексную проверку (аттестационные испытания) защищаемого объекта информатизации в реальных условиях эксплуатации с целью оценки соответствия применяемого комплекса мер и средств защиты требуемому уровню безопасности информации.

Аттестация проводитсяорганом по аттестации в соответствии со схемой, выбираемой на этапе подготовки к аттестации из следующего основного перечня работ:

- анализ исходных данных по аттестуемому объекту информатизации;

- предварительное ознакомление с аттестуемым объектом информатизации;

- проведение экспертного обследования объекта информатизации и анализ разработанной документации по защите информации на этом объекте с точки зрения ее соответствия требованиям нормативной и методической документации;

- проведение испытаний отдельных средств и систем защиты информации на аттестуемом объекте информатизации с помощью специальной контрольной аппаратуры и тестовых средств;

- проведение испытаний отдельных средств и систем защиты информации в испытательных центрах по сертификации средств защиты информации по требованиям безопасности информации;

- проведение комплексных аттестационных испытаний объекта информатизации в реальных условиях эксплуатации;

- анализ результатов экспертного обследования и комплексных аестационных испытаний объекта информатизации и утверждение заключения по результатам аттестации.

На эт а пе аттестационных испытаний объекта инф ормат изации:

- осуществляется анализ организационной структуры объекта информатизации, информационных потоков, состава и структуры комплекса технических средств и программного обеспечения, системы защиты информации на объекте, разработанной документации и ее соответствия требованиям нормативной документации по защите информации;

- определяется правильность категорирования объектов электронно-вычислительной техники и классификации автоматизированных систем при их аттестации, выбора и применения сертифицированных и сертифицированных средств и систем защиты информации;

- проводятся испытания ^сертифицированных средств и систем защиты информации на аттестуемом объекте или анализ результатов их испытаний в испытательных центрах (лабораториях) по сертификации;

- проверяется уровень подготовки кадров и распределение ответственности персонала за обеспечение выполнения требований по безопасности информации;

- проводятся комплексные аттестационные испытания объекта информатизации в реальных условиях эксплуатации путем проверки фактического выполнения установленных требований на различных этапах технологического процесса обработки защищаемой информации;

- оформляются протоколы испытаний и заключение по результатам аттестации с конкретными рекомендациями по устранению допущенных нарушений, приведению системы защиты объекта информатизации в соответствии с установленными требованиями по совершенствованию этой системы, а также рекомендациями по контролю за функционированием объекта информатизации.

## 17.3. Порядок проведения служебных расследований

Порядок проведения служебных расследований инцидентов в случае реализации угроз информационной безопасности предприятия определяет организационные процедуры и правила информирования службы безопасности и руководства, установления причин инцидентов, выявления нарушителей и степени их вины, минимизации негативных последствий и предложения мер по устранению возможностей для реализации угроз в будущем. Установленные процедуры и правила должны строго соответствовать действующему законодательству и внутренним нормативным документам предприятия.

Под инцидентом понимается любое нештатное событие при функционировании любого сервиса информационной технологии или осуществления бизнес-процесса в части нарушения конфиденциальности, целостности, доступности, имеющее умышленный или неумышленный характер. Инциденты нарушений безопасности подразделяются на события, связанные с реализацией конкретной угрозы, приводящей к потерям и необходимости затрат на восстановление и обнаруженные уязвимости. С целью планирования и минимизации потерь, а также упрощения процедур расследования составляется максимально возможный перечень угроз и рисков их реализации.

По каждому инциденту сотрудник службы безопасности, ответственный за мониторинг событий, формирует сообщение с указанием места инцидента, времени и даты, электронного адреса пораженного объекта; сведений об участниках, свидетелях, названии подразделения, задействованных или затронутых информационных активов, журнала событий и т.д.

В случае невозможности быстрого определения всей информации об инциденте она может быть занесена в базу данных позднее.

Сообщение формируется на основании звонка, электронного письма или служебной записки, подготовленной обнаружившим инцидент сотрудником или руководителем структурного подразделения на имя руководителя службы безопасности.

Уровень инцидента в соответствии с утвержденным перечнем определяется руководителем службы безопасности, после чего инцидент считается зарегистрированным и начинается предварительный этап дополнительного сбора информации для подготовки соответствующего заключения. Должно быть установлено максимально возможное время регистрации и подготовки заключения, в том числе в случае обнаружения уязвимости с целью ее устранения в реальном масштабе времени. В заключении даются указания по изменению бизнес-процессов, настройке и конфигурированию технических средств, приобретению средств защиты и т.д.

В случае реализации угрозы для проведения детального расследования инцидента приказом руководителя предприятия создается комиссия, состоящая из опытных и квалифицированных сотрудников в составе не менее трех человек. В приказе о назначении комиссии дополнительно указывается: основание для проведения расследования инцидента; порядок наделения членов комиссии полномочиями по сбору, истребованию необходимых материалов, привлечению консультантов, экспертов и указания оказания содействия всеми службами и подразделениями предприятия для объективной оценки причин и ущерба; срок предоставления акта с материалами расследования и предложениями.

По каждому нарушению информационной безопасности должно быть собрано максимальное количество материалов, данных и сведений (доказательств), необходимых для последующего анализа определения причин инцидента и принятия мер правовой защиты интересов предприятия.

Доказательства в виде конкретных предметов обеспечиваются метками идентификации (дата, время, место изъятия, кто, где обнаружил доказательство). При хранении такие предметы и прежде всего электронные носители должны быть защищены от модификации и уничтожения. Опрос участников инцидента должен быть задокументирован в соответствующем протоколе.

Комиссия в ходе проведения расследования инцидента информационной безопасности наделяется следующими правами: доступа ко всем материалам, имеющим отношение к расследованию инцидента; приглашения на собеседование должностных лиц, обладающих информацией по существу проводимого расследования.

При этом комиссия обязанаруководствоваться нормами законодательства; обеспечивать сохранность и конфиденциальность материалов, приобщаемых к акту о расследовании инцидента; выработать рекомендации и предложения о мерах юридической ответственности нарушителей, а также предложения по совершенствованию комплекса обеспечения информационной безопасности предприятия; оформить результаты расследования инцидента в виде акта с приложениями материалов расследования.

В процессе проведения расследования комиссия устанавливает наличие мероприятий по выполнению политики безопасности и поддерживающих ее нормативно-методических документов, причины нарушения, виновных лиц и другие факторы, способствующие реализации угрозы.

На основании акта комиссии руководителем предприятия принимается решение в соответствии с законодательством о защите интересов своего предприятия.

наверх

назад | содержание | вперед