İdari düzeydeki kurumsal koruma önlemlerinin temel amacı. İdari düzeyde bilgi güvenliği

Sayfa 1 / 5

İdari seviye bilgi güvenliğinin sağlanması

İLE idari seviye bilgi Güvenliği kuruluşun yönetimi tarafından gerçekleştirilen genel eylemleri içerir. İdari düzeydeki tedbirlerin temel amacı, bilgi güvenliği alanında bir çalışma programı oluşturmak ve gerekli kaynakları tahsis ederek ve durumu izleyerek uygulanmasını sağlamaktır.

Programın temeli, kuruluşun bilgi varlıklarını korumaya yönelik yaklaşımını yansıtan bir güvenlik politikasıdır. Güvenlik politikası kapsamında Kuruluşun yönetimi tarafından alınan ve bilgileri ve ilgili kaynakları korumayı amaçlayan bir dizi belgelenmiş karar anlamına gelir. Güvenlik politikası, gerçek olarak kabul edilen risklerin analizi temelinde oluşturulmuştur. bilgi sistemi kuruluşlar. Riskler analiz edildiğinde ve koruma stratejisi tanımlandığında, bilgi güvenliği programı. Bu program için kaynaklar tahsis edilir, sorumlu kişiler atanır, programın uygulanmasını izleme prosedürü vb. belirlenir.

Pratik bir bakış açısından, güvenlik politikasının üç ayrıntı düzeyinde ele alınması tavsiye edilir. Üst düzey, organizasyonu bir bütün olarak etkileyen kararları içerir. Doğası gereği çok geneldirler ve genellikle organizasyonun yönetiminden gelirler. Örnek liste bu tür çözümler şunları içerebilir: sıradaki maddeler:

• kapsamlı bir bilgi güvenliği programı oluşturma veya revize etme kararı, programı tanıtmaktan sorumlu kişilerin atanması;
• bilgi güvenliği alanında kuruluş tarafından izlenen hedeflerin oluşturulması, bu hedeflere ulaşmada genel yönlerin belirlenmesi;
• yasa ve yönetmeliklere uyum için bir çerçeve sağlamak;
• Bir bütün olarak kuruluş düzeyinde dikkate alınması gereken güvenlik programının uygulanmasıyla ilgili konularda idari kararların formülasyonu.

Üst düzey güvenlik politikası için Kuruluşun bilgi güvenliği hedefleri, bütünlük, kullanılabilirlik ve gizlilik açısından formüle edilir. Bir kuruluş kritik görev veritabanlarını korumaktan sorumluysa, veri kaybını, bozulmayı veya bozulmayı azaltmak bir öncelik olabilir. Bir satış organizasyonu için bilgisayar Teknolojisi Muhtemelen önemli olan, sağlanan hizmetler ve fiyatlar hakkındaki bilgilerin alaka düzeyi ve bulunabilirliğidir. azami sayı Potansiyel Alıcılar. Güvenli bir işletmenin yönetimi, öncelikle yetkisiz erişime karşı korunmaya, yani gizliliğe önem verir.

Üst düzey, koruyucu kaynakların yönetimini ve bu kaynakların kullanımının koordinasyonunu, kritik kaynakların korunması için özel personel tahsisini içerir. önemli sistemler ve güvenlik rejimini sağlayan veya kontrol eden diğer kuruluşlarla etkileşim.

Üst düzey politika, etki alanını açıkça tanımlamalıdır. Politika, bir güvenlik programı geliştirme ve uygulama konusunda yetkililerin sorumluluklarını tanımlamalıdır. Bu anlamda güvenlik politikası personel hesap verebilirliğinin temelidir.

Üst düzey politika, yasalara uyma ve performans disiplininin üç yönü ile ilgilenir. İlk olarak, kuruluş mevcut yasalara uymalıdır. İkinci olarak, güvenlik programının geliştirilmesinden sorumlu kişilerin eylemleri izlenmelidir. Son olarak, belirli bir düzeyde personel performansının sağlanması ve bunun için bir ödül ve ceza sisteminin geliştirilmesi gerekmektedir.

Orta güvenlik politikası her bir yön için aşağıdaki konuları kapsamalıdır:

1. Yönün açıklaması.Örneğin, kullanıcılar tarafından gayri resmi yazılım kullanımını düşünürsek, ikincisi, kuruluş düzeyinde onaylanmamış ve/veya satın alınmamış yazılım olarak tanımlanabilir.

2. Uygulama alanı. Nerede, ne zaman, nasıl, kime ve neye göre uygulanacağı belirlenmelidir. bu politika güvenlik. Örneğin, resmi olmayan yazılımların kullanımına ilişkin politika, taşeron kuruluşlar için geçerli midir? Dizüstü ve ev bilgisayarları kullanan ve üretim makinelerine bilgi aktarmak zorunda kalan çalışanları etkiler mi?

3. Görev ve Sorumluluklar. Belge, güvenlik politikasının uygulanmasından sorumlu yetkililer hakkında bilgi içermelidir. Örneğin, çalışanlar resmi olmayan yazılımları kullanmak için yönetim onayına ihtiyaç duyuyorsa, bu yazılımın kimden ve nasıl alınacağı bilinmelidir. Resmi olmayan yazılımlar kullanılamıyorsa, bu kuralı kimin uyguladığını bilmelisiniz.

4. yasalara saygılı. Politika şunları içermelidir: Genel açıklama onlar için yasaklanmış fiiller ve cezalar.

5. Bağlantı noktaları. Açıklama, yardım ve yardım için nereye gidileceği bilinmelidir. ek bilgi.

Güvenlik Politikasıalt düzey belirli anlamına gelir bilgi hizmetleri. İki yönü içerir - hedefler ve bunlara ulaşmak için kurallar, bu nedenle bazen onu uygulama sorunlarından ayırmak zordur. ikisinden farklı olarak üst seviyeler, söz konusu politikanın daha ayrıntılı olarak tanımlanması gerekir. özel birçok şey var belirli türler Kuruluş genelinde tek tip olarak düzenlenemeyen hizmetler. Aynı zamanda, bunlar güvenlik rejimi için o kadar önemlidir ki, bunlarla ilgili kararlar teknik değil, yönetsel düzeyde alınmalıdır. Aşağıda, düşük seviyeli bir güvenlik politikasında yanıtlanması gereken bazı soru örnekleri verilmiştir:

• hizmet tarafından tutulan nesnelere kim erişim hakkına sahiptir?
• Veriler hangi koşullar altında okunabilir ve değiştirilebilir?
• ne kadar organize uzaktan erişim servise mi?

Düşük seviyeli politika hedeflerini formüle ederken, bütünlük, kullanılabilirlik ve gizlilik değerlendirmelerinden başlayabilirsiniz, ancak burada duramazsınız. Hedefleri daha spesifik olmalıdır. örneğin, eğer Konuşuyoruz bordro sistemi hakkında, sadece personel departmanı ve muhasebe departmanı çalışanlarının bilgileri girmesine ve değiştirmesine izin verilen bir hedef belirleyebilirsiniz.

Hedeflerden, kimin neyi, hangi koşullar altında yapabileceğini tanımlayan güvenlik kuralları türetilir. Kurallar ne kadar ayrıntılı olursa, o kadar resmi olarak belirtilirse, bunların yazılım ve donanımla uygulanmasını desteklemek o kadar kolay olur. Öte yandan, çok katı kurallar kullanıcı deneyimini etkileyebilir.

Anahtar kavramlar tanıtıldı - güvenlik politikası ve güvenlik programı. İlgili belgelerin yapısı, bunların geliştirilmesi ve sürdürülmesi için önlemler açıklanmıştır. Güvenlik kontrolleri, bilgi sistemlerinin yaşam döngüsünün aşamalarıyla bağlantılıdır.

Temel konseptler

İLE idari düzeyde bilgi güvenliğiyönetim tarafından gerçekleştirilen genel eylemleri içerir. organizasyon.

Tedbirlerin asıl amacıidari seviye- pr formuÖ bilgi güvenliği alanında bir çalışma programı oluşturmak ve gerekli kaynakları tahsis ederek ve işlerin durumunu izleyerek uygulanmasını sağlamak.

Programın temeli,Güvenlik Politikası, kuruluşun bilgi varlıklarını korumaya yönelik yaklaşımını yansıtır. rukovo D Her örgütün hükümeti, bir güvenlik rejimi sürdürme ihtiyacını kabul etmeli ve bu amaç için önemli kaynaklar tahsis etmelidir.

Güvenlik Politikasıtemelinde inşa edilmiş risk analizi Kuruluşun bilgi sistemi için gerçek olarak kabul edilenler. Riskler analiz edilip koruma stratejisi belirlendiğinde bilgi güvenliği programı hazırlanır. Bu program kapsamında m kaynaklar tahsis edilir, sorumlu kişiler atanır, ben program yürütme kontrol yuvası, vb.

Terim "Güvenlik Politikası"tam olarak doğru değil e İngilizce cümlenin suyu " güvenlik Politikası"Ancak, bu sl'de de çay aydınger kağıdı, bu kavramın anlamını dilbilimsel olarak daha iyi yansıtır.Ö daha doğru "güvenlik kuralları". Bireysel kuralları veya bunlara ilişkin dizileri değil (bu tür kararlar aşağıda tartışılacak olan prosedürel düzeyde alınır), ancak kuruluşun sahadaki stratejisini ve n formasyon güvenliği. Şüphesiz bir strateji geliştirmek ve uygulamaya koymak için en üst düzeyde alınan siyasi kararlara ihtiyaç vardır.

Altında güvenlik PolitikasıKuruluşun yönetimi tarafından alınan ve bilgileri ve ilgili kaynakları korumayı amaçlayan belgelenmiş kararlar kümesini anlayacağız.

Böyle bir yorum, elbette, setten çok daha geniştir.erişim kontrol kuralları("Güvenlik politikası" teriminin "Turuncu Kitap"ta ve normatif belgeler diğer ülkeler).

Bir kuruluşun IP'si ve onunla ilgili konuların çıkarları, dikkate alınması için nesne tabanlı uygulamanın gerekli olduğu karmaşık bir sistemdir. odaklı yaklaşım ve ayrıntı düzeyi kavramı. Yaklaşık olarak zaten yapmış olduğumuz bu tür en az üç seviyenin seçilmesi tavsiye edilir. e yeniden ve daha fazla tekrar yapın.

IP'yi somut bir şekilde değerlendirmek için, güncel verileri kullanarak,bilgi sistemi haritası. Bu kart , elbette, sadece değişkenlik gösterme yeteneği ile nesne yönelimli bir tarzda yapılmalıdır.detay seviyesi değil, aynı zamanda görünüm ve nesnelerin yüzlerim. Benzerlerini derlemek, sürdürmek ve görselleştirmek için teknik bir araç kart serbestçe dağıtılabilir e herhangi bir kontrol sistemi çerçevem.

Güvenlik Politikası

Pratik bir bakış açısından, güvenlik politikasının üç ayrıntı düzeyinde ele alınması tavsiye edilir. Üst düzey, organizasyonu bir bütün olarak etkileyen kararları içerir. Doğası gereği çok geneldirler ve genellikle organizasyonun yönetiminden gelirler. Vb ve bu tür çözümlerin boyutlu bir listesi aşağıdaki unsurları içerebilir:

• kapsamlı bir bilgi güvenliği programı oluşturma veya revize etme kararı, programı tanıtmaktan sorumlu kişilerin atanması;
• bilgi güvenliği alanında kuruluş tarafından izlenen hedeflerin oluşturulması, bu hedeflere ulaşmada genel yönlerin belirlenmesi;
• yasa ve yönetmeliklere uyum için bir çerçeve sağlamak;
• Bir bütün olarak kuruluş düzeyinde dikkate alınması gereken güvenlik programının uygulanmasıyla ilgili konularda idari kararların formülasyonu.

Üst düzey bir politika için, bir organizasyonun infografik hedefleri r ulusal güvenlik bütünlük açısından formüle edilmiştir, dÖ ayaklık ve mahremiyet. Organizasyon sorumlu ise r Görev açısından kritik veritabanlarını ön planda tutmak, veri kaybını, bozulmasını veya bozulmasını azaltmak olabilir. kuruluş için a bilgisayar ekipmanlarının satışıyla uğraşan kuruluş, muhtemelen va kuyu sağlanan hizmetler ve fiyatlar hakkındaki bilgilerin alaka düzeyi ve aptal hakkında maksimum potansiyel alıcı sayısına kadar. Güvenli bir işletmenin yönetimi, öncelikle yetkisiz kişilere karşı korunmaya önem verir.İle erişim kontrolü, yani gizlilik.

En üst düzey, koruyucu kaynakların yönetimi ve Koordinasyon Bu kaynakların kullanımı, özel tahsisat r kritik sistemleri korumak ve güvenlik rejimini sağlayan veya kontrol eden diğer kuruluşlarla etkileşim kurmak için personel tehlikeden.

Üst düzey politika, etki alanını açıkça tanımlamalıdır. Belki hepsi olacak bilgisayar sistemleri kuruluş (veya politika bazı yönleri ve hatta daha fazlasını düzenliyorsa,İle ev bilgisayarlarının çalışanları tarafından kullanılması). Muhtemelen, oh D Ancak, etki alanına yalnızca en önemli sistemlerin dahil olduğu bir durum da vardır.

Politika, bir güvenlik programı geliştirme ve uygulama konusunda yetkililerin sorumluluklarını tanımlamalıdır. Bu manadaGüvenlik Politikasıkişilerin hesap verebilirliğinin temelidir bir la.

Üst düzey politika, hukukun üç yönü ile ilgilenirÖ itaat ve performans disiplini. İlk olarak, kuruluş mevcut yasalara uymalıdır. İkincisi, kontrol etmelisin ve Bir güvenlik programının geliştirilmesinden sorumlu kişilerin eylemlerini kontrol etmekÖ şti. Son olarak, belirli bir performans derecesi sağlamak gereklidir. ve personel ve bunun için bir ödül ve ceza sistemi geliştirmek gereklidir.

Genel olarak konuşursak, üst seviye en azındanÖ prosov. Böyle bir beyan, önemli vaatlerde bulunduğunda uygundur. B önemli maliyet tasarrufları veya başka türlü yapılması imkansız olduğunda.

• giriş, üst yönetimin bilgi güvenliği sorunlarıyla ilgili endişesini teyit eden;
• bilgi güvenliği alanındaki çalışmalardan sorumlu bölümlerin, komisyonların, grupların vb. tanımını içeren organizasyonel;
• sınıflandırma, kuruluşta mevcut olan malzeme ve bilgi kaynaklarını tanımlayan ve gereken seviye onların korunması;
• tam zamanlı, personele uygulanan güvenlik önlemlerinin karakterize edilmesi (bilgi güvenliği açısından pozisyonların tanımı, personelin eğitim ve yeniden eğitiminin organizasyonu, güvenlik rejimi ihlallerine yanıt verme prosedürü vb.);
• soruları kapsayan bölümfiziksel koruma;
• bilgisayarları yönetme yaklaşımını açıklayan kontrol bölümü ve bilgisayar ağları;
• anlatan bölümsınır kurallarıüretim bilgilerine erişim;
• bölüm karakterizegeliştirme sırasıve sistemlerin bakımı;
• sağlamaya yönelik önlemleri açıklayan bölümsürekli çalışma kuruluşlar;
• güvenlik politikasının mevcut mevzuata uygunluğunu teyit eden yasal bir bölüm.

Orta seviye, bilgi güvenliğinin belirli yönleriyle ilgili, ancak çeşitli amaçlar için önemli olan soruları içerir.İle Kuruluş tarafından işletilen sistemler. Bu tür soruların örnekleri, gelişmiş (ancak belki de yeterince test edilmemiş) teknolojilere yönelik tutumlardır.Ö İnternete erişim (bilgiye erişim özgürlüğü ile internetten korunma nasıl birleştirilir? dış tehditler?), ev bilgisayarlarının kullanımı, resmi olmayan yazılımların kullanıcılar tarafından kullanılması vb.

Orta düzey politika, her bir yön için aşağıdaki konuları kapsamalıdır:

Yönün açıklaması. Örneğin, kullanımını düşünürsekÖ resmi olmayan yazılım üreticileri, ikincisi, kuruluş düzeyinde onaylanmamış ve/veya satın alınmamış yazılımlar olarak tanımlanabilir.

Uygulama alanı. Buna göre nerede, ne zaman, nasıl belirlenmelidir.Ö bu kime ve neyeGüvenlik Politikası. Örneğin, gayri resmi kullanımla ilgili politika ve yazılım, taşeron kuruluşlar? Maliyet a Dizüstü bilgisayar ve ev bilgisayarı kullanan ve diğerlerine bilgi aktarmaya zorlanan çalışanları caydırıyor mu? D devlet makineleri?

Örgütün bu konudaki konumu. n örneğinden devam e resmi yazılım, biri hayal edebilir ve tion toplam yasak, bu tür yazılımları kabul etmek için bir prosedür geliştirmek, vb. Pozisyon çok daha fazla formüle edilebilir Genel görünüm, kuruluşun bu açıdan takip ettiği bir dizi hedef olarak. Genel olarak, güvenlik politikasını tanımlayan belgelerin stili (ve bunların e chen), farklı organizasyonlarda çok farklı olabilir.

Görev ve Sorumluluklar. Bir "siyasi" belge şunları içermelidir: Yu güvenlik politikasının uygulanmasından sorumlu yetkililer hakkındaki bilgileri okuyun. Örneğin, gayri resmi kullanım içinÖ th yazılım çalışanlarının el iznine ihtiyacı varÖ rehberliğin kimden ve nasıl alınabileceği bilinmelidir. eğer n e resmi yazılım kullanılamaz, bu kuralın uygulanmasını kimin izlediğini bilmelisiniz.

Kanunlara saygılı. Politika, yasaklanmış faaliyetlerin genel bir tanımını ve bunlara yönelik cezaları içermelidir.

Bağlantı noktaları. Açıklama, yardım ve ek bilgi için nereye gidileceği bilinmelidir. Genellikle "bu H hangi temas "belirli bir görevliye hizmet eder ve özel kişi işgal etmek şu an bu gönderi.

Güvenlik Politikasıalt düzey, belirli bilgi hizmetlerini ifade eder. İki yönü içerir - hedefler vb. a onları elde etme isteği, bu nedenle bazen onu gerçek sorunlardan ayırmak zordur. ve zasyon. İki üst seviyeden farklı olarak, dikkate alınan siyaset daha ayrıntılı olarak tanımlanmalıdır. Tek tip olarak düzenlenemeyen belirli hizmet türlerine özgü birçok şey vardır. ve organizasyon genelinde rasyon. Aynı zamanda bu işler çok kuyu Onlarla ilgili kararların teknik düzeyde değil, yönetim düzeyinde alınması gereken güvenlik rejimini sağlamak istiyoruz. tercih e İşte cevaplanması gereken bazı soru örnekleri: ve düşük seviyeli güvenlik işareti:

• hizmet tarafından tutulan nesnelere kim erişim hakkına sahiptir?
• Veriler hangi koşullar altında okunabilir ve değiştirilebilir?
• Hizmete uzaktan erişim nasıl düzenlenir?

Düşük seviyeli politika hedeflerini formüle ederken, bütünlük, kullanılabilirlik ve gizlilik değerlendirmelerinden başlayabilirsiniz, ancak burada duramazsınız. Hedefleri daha spesifik olmalıdır. Örneğin, bir bordro sisteminden bahsediyorsak, şunları yapabilirsiniz:Ö sadece personel departmanı çalışanları ve muhasebe için bir hedef belirlemek H bilgileri girmeye ve değiştirmeye istekliydi. Daha fazlası Genel dava hedefler, hizmet nesnelerini ve eylemleri bunlarla bağlantılı hale getirmelidir.

Hedeflerden, kimin neyi, hangi koşullar altında yapabileceğini tanımlayan güvenlik kuralları türetilir. Kurallar ne kadar ayrıntılı olursa, o kadar resmi olarak belirtilirse, bunların yazılım ve donanımla uygulanmasını desteklemek o kadar kolay olur. Öte yandan, çok katı kurallar kullanıcı deneyimini engelleyebilir ve sık sık gözden geçirilmesi gerekebilir. Yönetim, kabul edilebilir bir güvenlik seviyesinin kabul edilebilir bir fiyata sağlandığı ve çalışanların aşırı bağlı olmadığı durumlarda makul bir uzlaşma bulmak zorunda kalacaktır. Genellikle, bu konunun özel önemi nedeniyle nesnelere erişim hakları en resmi olarak belirtilir.

Güvenlik programı

formüle edildikten sonraGüvenlik Politikası, uygulanması için ve aslında gerçek olana bir program hazırlamaya başlayabilirsiniz. ve zasyonlar.

Herhangi bir programı anlamak ve uygulamak için,İle genellikle organizasyon yapısına göre seviyeler arasında gezin a tion. En basit ve en yaygın durumda, iki seviye yeterlidir - tüm organizasyonu kapsayan üst veya merkezi. a ve daha düşük veya hizmet anlamına gelen hizmet bireysel hizmetler veya benzer hizmet grupları.

Üst düzey program, sorumlu kişi tarafından yönetilir ve n örgütün biçimsel güvenliği. Bu program aşağıdaki ana hedeflere sahiptir:

• Risklerin yönetimi ( risk değerlendirmesi , tercih Etkili araçlar koruma);
• Koordinasyon bilgi güvenliği, kaynakların ikmali ve dağıtımı alanındaki faaliyetler;
• stratejik Planlama;
• kontrol bilgi güvenliği alanındaki faaliyetler.

Üst düzey program çerçevesinde kabul edilen stratejik kararlar güvenliğini sağlamak, teknolojikÖ göz kırpıyor. Bilgi Teknolojisiçok hızlı gelişir veÖ Yeni araçları izlemek ve uygulamak için net bir politikaya sahip olmak önemlidir.

Kontrol güvenlik alanındaki faaliyetlerin iki yönü vardır n yön. İlk olarak, kuruluşun eylemlerinin yasaları ihlal etmemesini sağlamak gerekir. Aynı zamanda, dış düzenleyici kuruluşlarla temaslar sürdürülmelidir. İkincisi, kuruluş içindeki güvenlik durumunu sürekli olarak izlemeniz gerekir. a müdahale etme, ihlal olaylarına müdahale etme ve değişen koşullar ışığında koruyucu önlemleri iyileştirme.

Üst düzey programın olması gerektiği vurgulanmalıdır. ve Annenin kuruluş faaliyetlerinde kesin olarak tanımlanmış bir yeri vardır, yönetim tarafından resmi olarak kabul edilip desteklenmesi, ayrıca belirli bir kadro ve bütçeye sahip olması gerekir.

Alt düzey programın amacı, güvenilir ve ekonomikÖ taklit koruma özel hizmet veya benzer hizmet grupları. Bu seviye, hangi koruma mekanizmalarının kullanılması gerektiğine karar verir; H a banyo yap ve ayarla teknik araçlar; her koşu e günlük uygulama; izlenen durum zayıflıklar vb. Sunucu yöneticileri genellikle alt düzey programdan sorumludur. ve baykuşlar.

Güvenlik programının sistemlerin yaşam döngüsü ile senkronizasyonu

Alt düzey güvenlik programını aşağıdakilerle senkronize edersenizyaşam döngüsü korumalı hizmet, daha fazla e elde edebilirsiniz F etkisi daha düşük maliyetle sağlanır. Programcılar ne ekleyeceklerini bilir yeni fırsatşimdiden bitmiş sistem başlangıçta tasarlamaktan ve uygulamaktan daha zor bir büyüklük sırası. Aynı şey bilgi için de geçerli n Nuh güvenlik.

yaşam döngüsünde bilgi hizmeti şu şekilde ayırt edilebilir: e üfleme aşamaları:

başlatma . Üzerinde bu aşama ihtiyacını ortaya çıkarır e yeni bir hizmet fikri, amaçlanan amacı belgelenmiştir.

Satın alma .Bu aşamada teknik özellikler hazırlanır ustabaşı s satın alma seçenekleri değerlendiriliyor, gerçek satın alma .

Kurulum . Hizmet kurulur, yapılandırılır, test edilir ve operasyon .

sömürü . Bu aşamada hizmet sadece çalışmakla kalmaz ve yönetici ve çizgili, ancak aynı zamanda değişikliklere tabidir.

hizmetten çıkarma. geçiş var yeni hizmet.

Aşamaların her birinde gerçekleştirilen eylemleri göz önünde bulundurun, n'den fazla oh fraksiyonel olarak.

Başlatma aşamasında Yeni bir sistem satın almanın veya mevcut bir sistemi önemli ölçüde yükseltmenin gerekli olduğu konusunda bir anlayış oluşturuldu. r vis; hangi özelliklere ve hangi işlevselliğe sahip olması gerektiği belirlenir; mali ve diğer kısıtlamalar değerlendirilir.

güvenlik açısından büyük eylem burada hem hizmetin kendisinin hem de onun yardımıyla işlenecek bilgilerin kritikliğinin bir değerlendirmesi bulunmaktadır. Aşağıdaki soruların cevaplarını formüle etmek gerekir:

• Yeni hizmet tarafından ne tür bilgilerin sunulması amaçlanıyor?
• nelerdir Olası sonuçlar Bu bilgilerin gizliliğinin, bütünlüğünün ve kullanılabilirliğinin ihlali?
• hizmet ve bilgilerin en savunmasız olacağı tehditler nelerdir?
• Yeni hizmetin özel prosedür önlemleri gerektiren herhangi bir özelliği (örneğin bileşenlerin bölgesel dağılımı) var mı?
• güvenlikle ilgili personelin özellikleri nelerdir (nitelik, güvenilirlik)?
• yasal hükümler nelerdir ve iç kurallar, yeni hizmet hangisine karşılık gelmelidir?

Kritiklik değerlendirmesinin sonuçları, aşağıdakiler için başlangıç ​​noktasıdır:Ö ayar özellikleri. Ayrıca kuruluşun güvenlik hizmetinin yeni sunucuya ne kadar dikkat etmesi gerektiğini de belirlerler. ve sonraki aşamalarında suyaşam döngüsü.

Tedarik aşaması - en zorlarından biri. Sonunda spho'ya ihtiyacım var r bilgisayar için yeni hizmetin koruyucu ekipmanı için gereksinimleri simüle etmek a kimin tedarikçi olarak kalifiye olabileceği ve satın alınan ürünü kullanan veya bakımını yapan personel için gerekli nitelikler. Tüm bu bilgiler, yalnızca donanım ve yazılımı değil, aynı zamanda aşağıdakilerle ilgili belgeleri de içeren bir belirtim biçiminde belgelenmiştir. B hizmet, personel eğitimi. Tabii ki, yeni hizmetin mevcut kodla uyumluluğuna özel dikkat gösterilmelidir. n figürasyon. Ayrıca, genellikle güvenlik araçlarının ben vardır isteğe bağlı bileşenler ticari Ürünler, ve ilgili öğelerin spesifikasyondan düşmediğinden emin olmanız gerekir.

Bir ürün satın alındığında mutlaka Yüklemek . Görünen basitliğe rağmen, Kurulum çok sorumlu bir iştir. Birinci olarak, Yeni ürün yapılandırılmalıdır. Kural olarak, gel r cal ürünleri, güvenlik özellikleri devre dışı bırakılarak gönderilir; etkinleştirilmeli ve uygun şekilde yapılandırılmalıdır. büyük oh için r çok sayıda kullanıcı ve verinin bulunduğu kuruluşlar, ilk kurulumçok zaman alıcı ve sorumlu bir görev haline gelebilir.

İkincisi, yeni hizmetin prosedürel kontrollere ihtiyacı var. Tesislerin temizliğine ve güvenliğine özen göstermelisiniz, belgeler, e durumunda planların hazırlanması konusunda hizmetin kullanımının düzenlenmesi acil durumlar, kullanıcı eğitiminin organizasyonu hakkında vb.

Yukarıdaki önlemleri aldıktan sonra bir test yapmak gerekir.Ö ing. Bütünlüğü ve karmaşıklığı, güvenlik garantisi olarak hizmet edebilir. operasyon hakkında normal modda.

operasyon süresi - en uzun ve en zoru. psikolog ve Çek bakış açısı en büyük tehlikeşu anda temsil e hizmetin yapılandırmasında, kullanıcıların davranışında önemli değişiklikler a veznedarlar ve yöneticiler. Güvenlik sağlanmazsa zayıflar e vaet. Kullanıcılar, iş araçlarını gerçekleştirme konusunda çok hevesli değilİle yöneticiler, kaydı analiz eder ve n oluşum. Bir veya diğer kullanıcı ek ayrıcalıklar alır. Görünüşe göre aslında hiçbir şey değişmedi; aslında eski güvenlikten eser yok.

Yavaş değişikliklerin etkisiyle mücadele etmek için periyodik servis güvenlik kontrollerine başvurmanız gerekir. tabii ki sonra a önemli değişiklikler, bu tür kontroller zorunludur.

saat devreden çıkarmahizmetin donanım ve yazılım bileşenleri ve hizmet tarafından işlenen veriler etkilenir. Görünür a tur satılır, elden çıkarılır veya atılır. Sadece belirli e Aşırı durumlarda, cihazın fiziksel tahribatına dikkat etmek gerekir. T depolayan herhangi bir bileşen kesin bilgi. program m başka türlü lisanslanmadıkça muhtemelen silindik n herhangi bir anlaşma.

saat veri hizmetten çıkarmagenellikle başka bir sisteme aktarılır, arşivlenir, atılır veya imha edilir. Arşivleme, verileri daha sonra başka bir yerde okumak amacıyla yapılıyorsa, okuyucuların ve yazarların donanım-yazılım uyumluluğuna dikkat etmelisiniz. Bilgi teknolojisi çok hızlı gelişiyor ve birkaç yıl içinde eski medyayı okuyabilen cihazlar orada olmayabilir. Veriler şifreli biçimde arşivleniyorsa, anahtar ve şifre çözme araçları saklanmalıdır. Arşiv bilgilerini arşivlerken ve saklarken, verilerin gizliliğini korumayı unutmamak gerekir.

Bilgi güvenliği yönetim düzeyi 1

Kaynak 1

1. Bilgi güvenliğinin idari düzeyi: Temel kavramlar 1

2. Güvenlik politikası 2

3. Güvenlik programı 6

4. Güvenlik programının sistemlerin yaşam döngüsü ile senkronizasyonu 7

edebiyat 9

Bir kaynak

Bilgi güvenliğinin temelleri. V.A. Galatenko. İdari düzeyde bilgi güvenliği [ http://www.intuit.ru/department/security/secbasics/class/free/6/]

1. Bilgi güvenliğinin idari düzeyi: Temel kavramlar

Bilgi güvenliğinin idari düzeyi, kuruluşun yönetimi tarafından alınan genel eylemleri içerir.

İdari düzeydeki tedbirlerin temel amacı, bilgi güvenliği alanında bir çalışma programı oluşturmak ve gerekli kaynakları tahsis ederek ve durumu izleyerek uygulanmasını sağlamaktır.

Programın temeli, kuruluşun bilgi varlıklarını korumaya yönelik yaklaşımını yansıtan bir güvenlik politikasıdır. Her organizasyonun yönetimi, bir güvenlik rejimi sürdürme ihtiyacını anlamalı ve bu amaç için önemli kaynaklar tahsis etmelidir.

Güvenlik politikası, kuruluşun bilgi sistemi için gerçek olarak kabul edilen risklerin analizine dayanmaktadır. Riskler analiz edilip koruma stratejisi belirlendiğinde bilgi güvenliği programı hazırlanır. Bu program için kaynaklar tahsis edilir, sorumlu kişiler atanır, programın uygulanmasını izleme prosedürü vb. belirlenir.

"Güvenlik politikası" terimi, İngilizce "güvenlik politikası" ifadesinin tam olarak doğru bir çevirisi değildir. bu durum aydınger kağıdı, bu kavramın anlamını dilsel olarak daha doğru "güvenlik kurallarından" daha iyi yansıtır. Bireysel kuralları veya setlerini (bu tür kararlar aşağıda tartışılacak olan prosedürel düzeyde alınır) değil, organizasyonun bilgi güvenliği stratejisini göz önünde bulunduracağız. Bir strateji geliştirmek ve uygulamaya koymak için kuşkusuz en üst düzeyde alınan siyasi kararlara ihtiyaç vardır.

Güvenlik politikasını, kuruluşun yönetimi tarafından alınan ve onunla ilişkili bilgi ve kaynakları korumayı amaçlayan bir dizi belgelenmiş karar olarak anlayacağız.

Böyle bir yorum, elbette, bir dizi erişim kontrol kuralından çok daha geniştir (bu, "Turuncu Kitap"ta ve bunun temelinde oluşturulan diğer ülkelerin normatif belgelerinde "güvenlik politikası" teriminin tam olarak ne anlama geldiğidir).

Bir organizasyonun IS'si ve onunla ilişkili konuların çıkarları, dikkate alınması için nesne yönelimli bir yaklaşım ve ayrıntı düzeyi kavramının uygulanmasının gerekli olduğu karmaşık bir sistemdir. Örnekte zaten yaptığımız ve daha sonra tekrar edeceğimiz bu tür en az üç seviyenin seçilmesi tavsiye edilir.

IP'yi somut bir şekilde ele almak için güncel veriler kullanılarak bir bilgi sistemi haritası çıkarılmalıdır. Bu harita, elbette, yalnızca ayrıntı düzeyini değil, aynı zamanda nesnelerin görünür kenarlarını da değiştirebilme özelliğine sahip, nesne yönelimli bir tarzda yapılmalıdır. Herhangi bir kontrol sisteminin serbestçe dağıtılan bir çerçevesi, bu tür haritaların derlenmesi, bakımı ve görselleştirilmesi için teknik bir araç olarak hizmet edebilir.

İdari seviye

İdari seviyenin temel amacı, bilgi güvenliği alanında bir çalışma programı oluşturmak ve gerekli kaynakları tahsis ederek ve durumu izleyerek uygulanmasını sağlamaktır. Programların temeli, kuruluşun bilgi varlıklarını korumaya yönelik yaklaşımını yansıtan bir güvenlik politikasıdır.

Kuruluşların bilgi sistemi ve ilgili konular, konuların çıkarları, Nesne yönelimli bir yaklaşımın kullanıldığı değerlendirme ve analiz için ve ayrıntı düzeyi kavramı için karmaşık bir sistemdir. Pratik bir bakış açısından, güvenlik politikasının 3 ayrıntı düzeyinde ele alınması tavsiye edilir.

1. En üst düzey, organizasyonu bir bütün olarak kapsayan bir karardır: kapsamlı bir bilgi güvenliği programı oluşturma veya revize etme kararı, bu programı tanıtmaktan sorumlu kişilerin atanması.

2. Kuruluşun bilgi güvenliği alanında izlediği hedeflerin oluşturulması, hedefe ulaşmak için genel yönlerin belirlenmesi.

3. Kanun ve yönetmeliklere uyum için bir çerçeve sağlayın.

4. Kuruluşu bir bütün olarak etkileyen güvenlik programının uygulanmasına ilişkin idari kararların formüle edilmesi.

En üst düzeyde, koruyucu kaynakların yönetimi ve bu kaynaklarla çalışmanın koordinasyonu tanımlanır. Sistemleri korumak ve diğer kuruluşlarla etkileşim kurmak için özel personel tanımlama.

Orta düzey, güvenliğin belirli yönleriyle ilgili, ancak sistemdeki çeşitli işletim kuruluşlarına özgü soruları içerir.

Orta düzey politika, her bir yön için aşağıdaki konuları kapsamalıdır:

1. Yönün tanımı (örneğin, uluslararası ağlara erişim)

2. Kapsam

3. Kuruluşun pozisyonları bu konu

4. Roller ve sorumluluklar

5. Yasalara uyma

6. İletişim noktaları

Düşük seviyeli güvenlik politikası, belirli bilgi hizmetleri için geçerlidir. Kurallar ne kadar ayrıntılı olursa, o kadar spesifik olarak belirtilirse, yazılım ve donanım yardımıyla uygulamalarını desteklemek o kadar kolay olur.

Güvenlik politikası formüle edildikten sonra, uygulanması ve uygulanması için bir program hazırlamaya başlarlar.

Güvenlik alanındaki faaliyetlerin kontrolü iki yönlü bir odak noktasıdır, öncelikle örgütün eylemlerinin yürürlükteki yasalara aykırı olmamasını sağlamak gerekir. İkinci olarak, kurum içindeki güvenlik durumunu sürekli olarak izlemek, ihlal durumlarına müdahale etmek ve değişen koşullar ışığında koruyucu önlemleri iyileştirmek gerekir.

Bilgi güvenliği politikası.

Bir dizi yasa, kural, pratik tavsiye ve bilgi güvenliği alanında yönetim ve tasarım kararlarını belirleyen deneyimler. Güvenlik politikasına dayalı olarak sistemdeki kritik bilgilerin yönetimi, korunması ve dağıtılması kurulur. Belirli durumlarda bilgi sisteminin davranışını tanımlayan bilgi işleme sürecinin tüm özelliklerini kapsamalıdır.

Bilgi güvenliğini geliştirirken ve uygularken aşağıdaki ilkelere göre hareket edilmesi tavsiye edilir:

1. Koruyucu araçları atlamanın imkansızlığı - imkansızlık ilkesi, her şeyin bilgi akışları korunan ağdan ve ağdan bilgi koruma araçlarından geçmelidir.

2. Kendini Güçlendirmek zayıf bağlantı- genellikle böyle bir bağlantı bir bilgisayar veya program değil, bir kullanıcıdır. O zaman bilgi güvenliğini sağlama sorunu teknik olmaktan çıkıyor.

3. Açık duruma geçişin kabul edilemezliği - herhangi bir koşulda bilgi güvenliği sisteminin işlevlerini tam olarak yerine getirmesi veya erişimi tamamen engellemesi gerektiği anlamına gelir.

4. Ayrıcalıkların en aza indirilmesi - bu ilke kullanıcılara ve yöneticilere yalnızca görevlerini yerine getirmeleri için ihtiyaç duydukları erişim haklarının verilmesini zorunlu kılar.

5. Görevlerin ayrılığı - rollerin ve sorumlulukların dağılımının kötü niyetli veya vasıfsız eylemlerin önlenmesini sağlayacağını varsayar sistem yöneticisi(1 kişi, kuruluş için kritik olan bir süreci kesintiye uğratamaz).

6. Çok katmanlı koruma - tek bir savunma hattına güvenmemeyi öngörür. Fiziksel güvenliği yazılım ve donanım takip etmeli, kimlik ve kimlik doğrulamayı erişim kontrolü, loglama ve denetleme takip etmelidir.

7. Çeşitli koruyucu araçlar - potansiyel bir saldırganın bilgi koruma araçlarının üstesinden gelmek için çeşitli ve mümkünse uyumsuz becerilere hakim olması için çeşitli nitelikte savunma hatlarının düzenlenmesini önerir.

8. Bilgi sisteminin basitliği ve yönetilebilirliği - resmi kanıt, doğruluk, koruma mekanizmalarının uygulanması olasılığını belirler. Sadece basit ve yönetilebilir bir sistemde konfigürasyonların tutarlılığını kontrol edebilirsiniz. çeşitli bileşenler ve merkezi yönetim uygulamak.

9. Güvenlik önlemleri için evrensel desteğin sağlanması - teknik nitelikte değildir, başlangıçta sürekli pratik ve teorik eğitimde personelin sadakatini sağlamayı amaçlayan bir dizi önlemin geliştirilmesi önerilir.

İki tür güvenlik politikası: seçici ve yetkili.

Seçici: Seçici politikanın temeli seçici erişim kontrolüdür: sistemin tüm özneleri ve nesneleri tanımlanmalıdır, özneye / nesneye erişim hakları bazı kurallara göre belirlenir. seçicilik özelliği. Seçici erişim kontrolünün özelliklerini tanımlamak için erişim matrisine dayalı bir sistem modeli kullanılır. Erişim matrisi, erişim sistemlerini modellemek için en basit yaklaşımdır.

Yetkili güvenlik politikası: Yetkili bir politikanın temeli, yetkili erişim kontrolüdür: 1. Tüm özneler ve nesneler benzersiz bir şekilde tanımlanmalıdır.
2. Sistemin her nesnesine, içerdiği bilgilerin değerini belirleyen bir kritiklik etiketi atanır.
3. Her bir varlığa aşağıdakileri belirleyen bir şeffaflık düzeyi atanır: maksimum değeröznenin erişebildiği nesnelerin kritiklik işaretleri.

Otoriter politikanın temel amacı, sistem konularının farklı kritiklik seviyelerine sahip nesnelere erişimini düzenlemek ve iş hiyerarşisinin üst düzeylerinden altlarına bilgi sızmasını önlemek ve ayrıca olası sızmayı engellemektir. daha düşük seviyeler Başa. Ticari sektördeki kullanımı aşağıdakilerle sınırlıdır: aşağıdaki nedenler:
1. Ticari kuruluşlarda saklanan ve işlenen bilgilerin net bir sınıflandırmasının olmaması.
2. Yüksek fiyat uygulama ve yüksek genel giderler.

Güvenlik politikası, çok çeşitli organizasyonel ve teknik önlemleri içerir. İşte ana olanların bir listesi:

1. Geliştirme ve onay fonksiyonel görevler bilgi güvenliği yetkilileri.

2. Güvenlik konuları ile ilgili tüm organizasyonel ve idari belgelerde gerekli değişiklik ve eklemelerin yapılması ve kritik durumlarda yapılması gerekenler.

3. Bu bilgi sistemine yönelik en olası tehditlerin ve bilgi işleme sürecindeki ve ona erişim kanallarındaki güvenlik açıklarının belirlenmesi.

4. Belgelerin ve medyanın sınıflandırılmış bilgilerle muhasebeleştirilmesi, depolanması, kullanılması ve imha edilmesi.

5. Kullanılan bilgi güvenliği araçlarının işleyişinin ve yönetiminin kontrolü.

6. Durumun periyodik analizi ve bilgi koruma önlemlerinin etkinliğinin değerlendirilmesi.

7. Bilgi sistemi ekipmanındaki tüm değişikliklerin dikkate alınması ve onaylanması, güvenlik gereksinimlerine uygunluğunun kontrol edilmesi ve değişikliklerin belgelenmesi. Vb.

Koruma derecesini önemli ölçüde artıran bir dizi eylemi listeliyoruz Şirket ağıönemli olmadan Finansal maliyetler:

1. Personelin dikkatli bir şekilde izlenmesi (özellikle düşük ücretli işçiler).

2. Çalışanın sicilinin gizli bir şekilde doğrulanması.

3. İşe alınan çalışanın bilgi güvenliği alanındaki kuruluşun politikasını açıklayan belgelere aşina olması ve makbuz alınması.

4. Tüm giriş ekranlarının içeriğini, kuruluş tarafından benimsenen güvenlik politikasını yansıtacak şekilde değiştirin.

5. Fiziksel koruma düzeyinin artırılması.

6. Bilgisayar hırsızlığı ve virüs bulaşma riskini en aza indirmek.

7. Çalışanlar için tanınma belirli haklarörneğin bilgisayarlarla çalışırken:

A. İlan panolarının organizasyonu.

B. E-postanın Gizliliğinin Korunması.

C. Belirli bilgisayar oyunlarını kullanma izni.

Şirket çalışanları, veri güvenliği mücadelesinde sistem yöneticisinin rakibi değil müttefiki olmalıdır!!!

Organizasyonel ve rejim önlemleri, bilgi güvenliğine ilişkin yasal ve düzenleyici belgelere dayanmaktadır ve bilgi kaynaklarını korumanın aşağıdaki ana yollarını kapsamalıdır:

1. Kısıtlama fiziksel erişim bilgilerin işlenmesi ve depolanması ve güvenlik önlemlerinin uygulanması nesnelerine.

2. Fiziksel alanların mevcudiyeti nedeniyle bilgileri engelleme olasılığının sınırlandırılması.

3. Erişimi kısıtlama bilgi kaynakları ve diğer veri işleme unsurlarını erişim kontrol kuralları oluşturarak, veri iletim kanallarının kriptografik olarak kapatılmasını sağlar.

4. Veri dizilerinin kaybolması durumunda basılı kopyaların oluşturulması.

5. Virüslerin bulaşmasına karşı önleyici ve diğer tedbirlerin alınması.

1. Bilgi sistemi oluşturulurken yürütülen faaliyetler

A. Geliştirme ortak proje sistem ve yapısal elemanları.

B. Direklerin inşası veya yenilenmesi.

B. Matematik, yazılım, bilgi veya dil desteğinin geliştirilmesi.

D. Ekipmanın kurulumu ve ayarlanması.

D. Sistemin test edilmesi ve kabulü.

Bu aşamada özellikle önemli olan, koruma mekanizmalarının gerçek yeteneklerinin belirlenmesidir. Neden bir dizi test ve yük uygulanması tavsiye edilir?

2. Bilgi sisteminin işletilmesi sırasında gerçekleştirilen faaliyetler.

A. Erişim kontrolünün organizasyonu.

B. Organizasyon otomatik işleme bilgi.

B. Kayıt tutma organizasyonu.

D. Erişim kontrol detaylarının dağıtımı.

D. Servis talimatlarının gerekliliklerine uygunluğun izlenmesi.

3. Genel faaliyetler:

A. Personel seçiminde koruma gereksinimlerinin muhasebeleştirilmesi.
B. Koruma mekanizmasındaki boşlukların giderilmesi.
B. Bilgi koruma önlemlerinin planlanması.
D. Personel eğitimi.
D. Önde gelen kuruluşların katılımıyla sınıflar yürütmek.
E. Bilgi güvenliği konularında seminer ve konferanslara katılım.

Gizli ofis çalışmalarının organizasyonu.

Önemli belgelerle çalışırken aşağıdaki gereksinimler karşılanmalıdır:

1. Personelin gizli belgelere erişimi üzerinde sıkı kontrol.

2. Gizli büro işlerini organize eden ve kontrol eden şirketin yönetimi ve çalışanlarından belirli kişilerin atanması, onlara uygun yetkiler verilmesi.

3. Sınıflandırılmış belgelerle çalışma talimatlarının geliştirilmesi ve ilgili çalışanların tanıtılması.

4. Şirketin ticari sırlarını korumak için yazılı yükümlülüklerin çalışanlar tarafından kabulü üzerinde kontrol.

5. Gizli bilgilere erişimi olan şirket çalışanları için bir maddi ve diğer teşvikler sisteminin tanıtılması.

6. Şirketin ticari sırlarını korumaya yönelik mekanizma ve teknolojilerin günlük uygulamalarına giriş.

7. Kişisel kontrol hizmet şirketi başkanı tarafından iç güvenlik ve gizli iş.

Çeşitli hileler ticari sırların sızmasını önlemeye yönelik gizli kayıtlar tutmak. Ticari sırlar içeren belgeler, gizlilik derecesine göre farklılık gösterir ve bunlara karşılık gelen bir damga bulunur.

Ofis çalışmasının bileşenleri	Belgelerle çalışırken bilgi güvenliği özellikleri	Bunu yapmanın yolları
belgeler	1. Belgelerin makul olmayan şekilde üretilmesinin önlenmesi 2. Fazladan gizli bilgilerin belgelere dahil edilmesinin önlenmesi. 3. Belgelerin gizlilik derecesinin makul olmayan şekilde abartılmasının önlenmesi. 4. Mantıksız dağıtım uyarısı.	1. Belge listesinin belirlenmesi 2. Belgenin içeriği ve gizlilik derecesinin kontrolü 3. Belgede yer alan bilgilerin gerçek gizlilik derecesinin belirlenmesi. 4. Belgelerin çoğaltılması ve dağıtılması üzerinde kontrol
Belge muhasebesi	Belge Kaybını Önleme	1. Her bir belgenin kaydının ve arama kolaylığının sağlanması 2. Belgenin yerinin kontrol edilmesi
Belge saklama	1. Belgelerin güvenliğinin sağlanması	1. Seçim özel ekipman, bunlara erişimi engelleyen belgeler yabancılar 2. Erişim sırasının belirlenmesi kişisel ilişkiler 3. Vakaların oluşumunun zamanında ve doğruluğunu izleme
Belgelerin imhası	1. Değerini kaybetmiş belgelerin iş akışından çıkarılması	1. İmha için belge hazırlama prosedürünün oluşturulması 2. gerekli koşullar imha için 3. Belgelerin imhasının doğruluğu ve zamanındalığı üzerinde kontrol
Belge Kullanılabilirliği Kontrolü	1. Belgelerin mevcudiyetinin kontrolü, bunların işlenmesi, muhasebeleştirilmesi, yürütülmesi ve teslimi için gerekliliklere uygunluk	1. Belgelerin mevcudiyetini kontrol etme prosedürünü ve bunların işlenmesi için prosedürü oluşturma.

Sistem çerçevesinde, bilgi koruma türlerinin çokluğu ve çeşitliliği, artan bilgi güvenliği göstergeleri doğrultusunda istikrarsızlaştırıcı faktörleri veya nedenlerini, bilgi sisteminin unsurlarını, korunan bilgileri ve çevreyi etkileme yöntemleri ile belirlenir.