Для обеспечения защиты информации в институте должны быть разработаны и введены в действие инструкции для всех категории персонала, в которых должны найти отражение следующие задачи для каждой категории:
Руководители подразделений обязаны:
•Постоянно держать в поле зрения вопросы безопасности. Следить за тем, чтобы то же делали их подчиненные.
•Проводить анализ рисков, выявляя активы, требующие защиты, и уязвимые места систем, оценивая размер возможного ущерба от нарушения режима безопасности и выбирая эффективные средства защиты.
•Организовать обучение персонала мерам безопасности. Обратить особое внимание на вопросы, связанные с антивирусным контролем.
•Информировать администраторов локальной сети и администраторов сервисов об изменении статуса каждого из подчиненных (переход на другую работу, увольнение и т.п.).
•Обеспечить, чтобы каждый компьютер в их подразделениях имел хозяина или системного администратора, отвечающего за безопасность и имеющего достаточную квалификацию для выполнения этой роли.
Администраторы локальной сети обязаны:
•Информировать руководство об эффективности существующей политики безопасности и о технических мерах, которые могут улучшить защиту.
•Обеспечить защиту оборудования локальной сети, в том числе интерфейсов с другими сетями.
•Оперативно и эффективно реагировать на события, таящие угрозу. Информировать администраторов сервисов о попытках нарушения защиты. Оказывать помощь в отражении угрозы, выявлении нарушителей и предоставлении информации для их наказания.
•Использовать проверенные средства аудита и обнаружения подозрительных ситуаций.
•Ежедневно анализировать регистрационную информацию, относящуюся к сети в целом и к файловым серверам в особенности.
•Следить за новинками в области информационной безопасности, сообщать о них пользователям и руководству.
•Не злоупотреблять данными им большими полномочиями. Пользователи имеют право на тайну.
•Разработать процедуры и подготовить инструкции для защиты локальной сети от зловредного программного обеспечения. Оказывать помощь в обнаружении и ликвидации зловредного кода.
•Регулярно выполнять резервное копирование информации, хранящейся на файловых серверах.
•Выполнять все изменения сетевой аппаратно-программной конфигурации. •Гарантировать обязательность процедуры идентификации и аутентификации для доступа к сетевым ресурсам.
•Выделять пользователям входные имена и начальные пароли только после заполнения регистрационных форм.
•Периодически производить проверку надежности защиты локальной сети. Не допускать получения привилегий неавторизованными пользователями.
Администраторы сервисов обязаны:
•Управлять правами доступа пользователей к обслуживаемым объектам. •Оперативно и эффективно реагировать на события, таящие угрозу. Информировать администраторов локальной сети о попытках нарушения защиты. Оказывать помощь в отражении угрозы, выявлении нарушителей и предоставлении информации для их наказания.
•Регулярно выполнять резервное копирование информации, обрабатываемой сервисом.
•Выделять пользователям входные имена и начальные пароли только после заполнения регистрационных форм.
•Ежедневно анализировать регистрационную информацию, относящуюся к сервису.
•Регулярно контролировать сервис на предмет зловредного программного обеспечения.
•Периодически производить проверку надежности защиты сервиса. Не допускать получения привилегий неавторизованными пользователями.
Пользователи обязаны:
•Знать и соблюдать законы, правила, принятые в организации, политику безопасности, процедуры безопасности.
•Использовать доступные защитные механизмы для обеспечения конфиденциальности и целостности своей информации.
•Использовать механизм защиты файлов и должным образом задавать права доступа.
•Выбирать хорошие пароли, регулярно менять их. Не записывать пароли на бумаге, не сообщать их другим лицам.
•Помогать другим пользователям соблюдать меры безопасности. Указывать им на проявленные упущения.
•Информировать администраторов или руководство о нарушениях безопасности и иных подозрительных ситуациях.
•Не использовать слабости в защите сервисов и локальной сети в целом.
•Не совершать неавторизованной работы с данными, не создавать помех другим пользователям.
•Всегда сообщать корректную идентификационную и аутентификационную информацию, не пытаться работать от имени других пользователей.
•Обеспечивать резервное копирование информации с жесткого диска своего компьютера.
•Знать принципы работы зловредного программного обеспечения, пути его проникновения и распространения, слабости, которые при этом могут использоваться.
•Знать и соблюдать процедуры для предупреждения проникновения зловредного кода, для его обнаружения и уничтожения.
•Знать слабости, которые используются для неавторизованного доступа.
•Знать способы выявления ненормального поведения конкретных систем, последовательность дальнейших действий, точки контакта с ответственными лицами.
•Знать и соблюдать правила поведения в экстренных ситуациях, последовательность действий при ликвидации последствий аварий.
Реакция на нарушения режима безопасности
Программа безопасности, принятая учреждением, должна предусматривать набор оперативных мероприятий, направленных на обнаружение и нейтрализацию вторжений хакеров и зловредного кода. Важно, чтобы в подобных случаях последовательность действий была спланирована заранее, поскольку меры нужно принимать срочные и скоординированные. Реакция на нарушения режима безопасности преследует две главные цели:
•блокирование нарушителя и уменьшение наносимого вреда;
•недопущение повторных нарушений.
В учреждении должен быть человек, доступный 24 часа в сутки (лично, по телефону, пейджеру или электронной почте), отвечающий за реакцию на нарушения. Все должны знать координаты этого человека и обращаться к нему при первых признаках опасности.
Для недопущения повторных нарушений необходимо анализировать каждый инцидент, выявлять причины, накапливать статистику. Каковы источники зловредного кода? Какие пользователи имеют обыкновение выбирать слабые пароли? На подобные вопросы и должны дать ответ результаты анализа.
Очень важными являются программно-технические меры, которые образуют последний и самый важный рубеж информационной защиты. Основную часть ущерба наносят действия легальных пользователей, по отношению к которым операционные регуляторы не могут дать решающего эффекта. Главные враги - некомпетентность и неаккуратность при выполнении служебных обязанностей, и только программно-технические меры способны им противостоять.
Физическую защиту, целесообразно необходимости, поручить интегрированным компьютерным системам, что позволяет одновременно отслеживать перемещения сотрудников и по пространству предприятия, и по информационному пространству. Это вторая причина, объясняющая важность программно-технических мер.
В случае умышленного нарушения информационной безопасности выражающуюся в утере, хищении, уничтожении, модификации информации, внесении программ-вирусов, осуществлении действий, в результате которых наносится ущерб информационной целостности организации и раскрытие конфиденциальной информации сотрудники данного учреждения согласно Закону привлекаются к ответственности в зависимости от нанесенного ущерба от административной ответственности до лишения свободы сроком до 10 лет.
ВЫЧИСЛИТЕЛЬНЫХ СЕТЯХ ОБРАЗОВАТЕЛЬНОГО УЧРЕЖДЕНИЯ МВД РФ.
3.1.Политика безопасности КЮИ МВД РФ.
Под политикой безопасности понимается совокупность документированных управленческих решений, направленных на защиту информации и ассоциированных с ней ресурсов.
Политика (стратегия) безопасности Краснодарского юридического института МВД РФ представляет собой официальную линию руководства института на реализацию комплекса мероприятий по основным направлениям обеспечения информационной безопасности института.
Главной целью стратегии безопасности института является четкое описание технологии обеспечения информационной безопасности в институте и реализация функций должностных лиц, ответственных за ее реализацию на всех уровнях.
Политику безопасности разделяется на три уровня. К верхнему уровню относятся решения, затрагивающие институт в целом. Они носят весьма общий характер и, как правило, исходят от руководства института. Список подобных решений включает в себя следующие элементы:
•формирование или пересмотр комплексной программы обеспечения информационной безопасности, определение ответственных за продвижение программы;
•формулировка целей, которые преследует институт в области информационной безопасности, определение общих направлений в достижении этих целей;
•обеспечение базы для соблюдения законов и правил;
•формулировка управленческих решений по тем вопросам реализации программы безопасности, которые должны рассматриваться на уровне организации в целом.
Для политики верхнего уровня цели института в области информационной безопасности формулируются в терминах целостности, доступности и конфиденциальности.
На верхний уровень выносится управление защитными ресурсами и координация использования этих ресурсов, выделение специального персонала для защиты критически важных систем, поддержание контактов с другими организациями, обеспечивающими или контролирующими режим безопасности. Политика верхнего уровня обязана четко очерчивать сферу своего влияния.