Процедурный уровень

К процедурному уровню защиты информации относятся меры безопасности, реализуемые людьми. Можно выделить следующие группы процедурных (организационных) мер, направленных на обеспечение информационной безопасности:

● управление персоналом;

● физическая защита;

● планирование восстановительных работ.

Управление персоналом заключается в выполнении следующих условий. Во-первых, для каждой должности должны существовать квалификационные требования по информационной безопасности. Во-вторых, в должностные инструкции должны входить разделы, касающиеся информационной безопасности. В-третьих, каждого работника нужно научить мерам безопасности теоретически и на практике.

Меры физической защиты, известные с давних времен, нуждаются в постоянной доработке в связи с распространением сетевых технологий и миниатюризацией вычислительной техники.

Прежде всего, следует защититься от утечки информации по техническим каналам. Этим занимается Гостехкомиссия России.

Планирование восстановительных работ предполагает:

● слаженность действий персонала во время и после аварий;

● наличие заранее подготовленных резервных производственных площадок;

● официально утвержденную схему переноса на резервные площадки основных информационных ресурсов;

● схему возвращения к нормальному режиму работы.

Подобный план нужен не только сверхважным военным организациям, но и обычным коммерческим компаниям, если они не хотят понести крупные финансовые потери.

К описанным выше трем направлениям организационного уровня обеспечения информационной безопасности можно добавить поддержание работоспособности информационной системы и реагирование на нарушения режима безопасности.

В свое время для больших ЭВМ удалось создать инфраструктуру, способную обеспечить практически любой наперед заданный уровень работоспособности на всем протяжении жизненного цикла информационной системы. Эта инфраструктура включала в себя как технические, так и процедурные регуляторы (обучение персонала и пользователей, проведение работ в соответствии с апробированными регламентами и т. п.). При переходе к персональным компьютерам и технологии клиент/сервер инфраструктура обеспечения работоспособности во многом ока­залась утраченной, однако важность данной проблемы не только не уменьшилась, но, напротив, существенно возросла.

Реагирование на нарушения информационной безопасности может быть регламентировано только в рамках отдельно взятой организации. К сожалению, ни одно ведомство, причастное к информационной безопасности, не предложило пока регламент действий в подобной экстремальной ситуации или своей кон­сультационной помощи. Поэтому весьма важным представляется осуществление мониторинга компьютерных преступлений в национальных масштабах и на мировом уровне. Во время Первой международной конференции по компьютерной преступности (г. Лион, 19—20 апреля 1995 г.) Секретариатом Интерпола была рекомендована стандартизованная форма «Сообщения о компьютерном преступлении».

Программно-технический уровень

Весьма объемной составляющей в области информационной безопасности является программно-техническая реализация средств информационной защиты. Согласно современным воз­зрениям, в минимальном наборе надежной информационной системы должны быть следующие механизмы защиты информации:

● идентификация и проверка подлинности (аутентификация) пользователей при входе в систему;

● протоколирование и аудит;

● криптография;

● обеспечение целостности программных и технических средств вычислительной техники и средств защиты информационной безопасности.

Кроме того, необходимо управлять информационной системой в целом и механизмами безопасности в особенности. И управление, и механизмы безопасности должны функционировать в разнородной, распределенной среде, построенной, как правило, в архитектуре клиент/сервер. Это означает, что упомянутые средства должны опираться на общепринятые стандарты, быть устойчивыми к сетевым угрозам, учитывать специфику отдельных сервисов.

На сегодняшний день подавляющее большинство разработок средств защиты информации ориентировано на платформы Intel/DOS/Windows. В то же время наиболее значимая информация концентрируется на иных серверных платформах. В защите нуждаются не отдельные персональные компьютеры, не только локальные сети на базе таких компьютеров, но, в первую очередь, более современные корпоративные системы.