Организационные меры защиты

Совокупность методов и средств, обеспечивающих целостность, конфиденциальность, достоверность, аутентичность и доступность информации в условиях воздействия на нее угроз естественного или искусственного характера образует защиту информации (Data protection).

Методы и средства обеспечения информационной безопасности (защиту информации) можно разделить на:

административные (организационные) меры защиты информации;

физические и технические средства и способы защиты информации;

аппаратно-программные средства защиты информации.

На основании выработанной политики ИБ в административном порядке организуются соответствующие службы безопасности, регламентируется порядок их работы. К функциям таких служб, например, можно отнести:

охрану объектов организации;

осуществление пропускного режима;

проведение работы с сотрудниками по вопросам безопасности;

организация работы с документами, имеющими критические данные;

организация работы с техническими средствами защиты;

осуществление финансовых мер защиты.

Однако статистика показывает, что 70-80% всех компьютерных преступлений связаны с внутренними нарушениями, осуществляемыми действующими или бывшими сотрудниками организации. Мотивами для совершения противоправных действий являются:

личная или финансовая выгода;

действия с целью развлечения;

чувства самовыражения, эгоизма, зависти, мести;

желание расположить к себе;

карьеризм;

вандализм.

Поэтому важнейшим направлением административных мер является управление персоналом организации в целях обеспечения необходимого уровня безопасности. При управлении персоналом существует два общих принципа: разделение обязанностей и минимизация привилегий.

Данные принципы реализуются в штатном разделе политики безопасности или, если она в организации не разработана, то в соответствующих распоряжениях, должностных инструкциях пользователей и руководящих документах для отделов и служб информационной безопасности. В данных документах должны быть описаны:

правила проверки принимаемого на работу персонала;

обязанности и права пользователей по отношению к информационным ресурсам;

обучение пользователей и порядок допуска к работам с информационными ресурсами;

права и обязанности администраторов;

порядок реагирования на события, несущие угрозу информационной безопасности;

порядок наложения взысканий.

Реализация административных мер безопасности для каждой организации в зависимости от вида ее деятельности и сложившихся инфраструктур осуществляется по-своему и носит индивидуальный характер.