Организация защиты информации на предприятии от несанкционированного доступа

В соотв. с РД «Защита от НСД к информации. Термины и определения» НСД к информации - доступ к информации, нарушающий правила разграничения доступа с использованием штатных средств, предоставляемых средствами вычислительной техники или автоматизированными системами. При этом под штатными средствами понимается совокупность программного, микропрограммного и технического обеспечения средств вычислительной техники или автоматизированных систем.

Организация ЗИ от НСД – это комплекс организационных и технических мер по предотвращению НСД к информации.

Организационные мероприятия:

1. выявление конфиденциальной информации и ее документальное оформление в виде перечня сведений, подлежащих защите;
2. определение порядка установления уровня полномочий субъекта доступа, а также круга лиц, которым это право предоставлено;
3. установление и оформление правил разграничения доступа, т.е. совокупности правил, регламентирующих права доступа субъектов к объектам;
4. ознакомление субъекта доступа с перечнем защищаемых сведений и его уровнем полномочий, а также с организационно-распорядительной и рабочей документацией, определяющей требования и порядок обработки конфиденциальной информации;
5. получение от субъекта доступа расписки о неразглашении доверенной ему конфиденциальной информации;
6. обеспечение охраны объекта, на котором расположена защищаемая АС, (территория, здания, помещения, хранилища информационных носителей) путем установления соответствующих постов, технических средств охраны или любыми другими способами, предотвращающими или существенно затрудняющими хищение СВТ, информационных носителей, а также НСД к СВТ и линиям связи;
7. выбор класса защищенности АС в соответствии с особенностями обработки информации (технология обработки, конкретные условия эксплуатации АС) и уровнем ее конфиденциальности;
8. организация службы безопасности информации (ответственные лица, администратор АС), осуществляющей учет, хранение и выдачу информационных носителей, паролей, ключей, ведение служебной информации СЗИ НСД (генерацию паролей, ключей, сопровождение правил разграничения доступа), приемку включаемых в АС новых программных средств, а также контроль за ходом технологического процесса обработки конфиденциальной информации и т.д.;
9. разработка СЗИ НСД, включая соответствующую организационно-распорядительную и эксплуатационную документацию;
10. осуществление приемки СЗИ НСД в составе АС.

Механизмы защиты:

1. Идентификация и аутентификация. Процедура проверки подлинности предъявленного субъектом доступа идентификатора называется аутентификацией. Идентификация – присвоение пользователям идентификаторов и проверка предъявляемых идентификаторов по списку присвоенных.
2. Разграничение доступа (аутентификация)
3. Регистрация и аудит
4. Криптографическая подсистема (электронно цифровая подпись, шифрование и пр.)
5. Межсетевое экранирование (брандмауэры, файерволы).

Техническими же мероприятиями является использование различных технических средств защиты информации от НСД. При выборе средств защиты от НСД следует руководствоваться РД «АС. Защита от НСД. Классификация и требования по защите информации» и РД «СВТ. Защита от НСД. Показатели защищенности СВТ», в которых указаны уровни защищенности.