Политика информационной безопасности как основа организационных мероприятий. Основные требования к разработке организационных мероприятий

Политика информационной безопасности – совокупность требований и правил обеспечения информационной безопасности, разработанных в целях противодействия нарушителю по реализации угроз с учетом ценности защищаемой информации и стоимости системы обеспечения информационной безопасности.

Политика информационной безопасности организации – общее положение о намерениях и целях разработки программы обеспечения информационной безопасности организации (ГОСТ Р ИСО ТО 13569-2007).

На основе ПИБ строится управление, защита и распределение критичной информации в информационной системе. Она должна охватывать все особенности процесса обработки информации, определяя поведение ИС в различных ситуациях.

В результате разработки КСЗИ определяется перечень организационных мероприятий защиты информации, которые представляют собой действия, выполняемые сотрудниками служб безопасности, органов ОБИ, обслуживающим персоналом и пользователями, в интересах обеспечения безопасности информации. Все организационные мероприятия защиты можно разделить на два класса:

1) защитные мероприятия, непосредственно направленные на обеспечение безопасности информации;

2) эксплуатационные мероприятия, связанные с организацией эксплуатации сложных систем.

Подавляющее большинство защитных, организационных мероприятий связано с обслуживанием технических, программных и криптографических средств защиты.

Под эксплуатационными организационными мероприятиями понимается комплекс мероприятий, связанных с необходимостью технической эксплуатации системы защиты информации, как подсистемы сложной человеко-машинной системы.

Требования к разработке организационных мероприятий:

· системность (необходимость учета всех взаимосвязанных, взаимодействующих и изменяющихся во времени элементов, условий и факторов при всех видах информационной деятельности и информационного проявления, во всех структурных элементах, при всех режимах функционирования, на всех этапах жизненного цикла, с учетом взаимодействия объекта защиты с внешней средой);

· комплексность (согласование разнородных средств при построении целостной системы защиты);

· непрерывность защиты;

· разумная достаточность;

· гибкость управления и применения;

· открытость алгоритмов и механизмов защиты (Знание алгоритмов работы системы защиты не должно давать возможности ее преодоления (даже автору), однако распространить тоже не надо);

· простота применения защитных мер и средств (интуитивно понятны и просты в использовании);

· все организационные меры должны быть обоснованны (на базе исследования системы);

· выполнение всех организационных мер должно контролироваться.