Принципы организации системы информационной безопасности

Принцип – некоторое положение, из которого исходят в какой-либо стороне действительности. Для защиты информации ее принципы должны обеспечивать ее эффективность – меньшие на нее затраты, большую результативность.

Непрерывное совершенствование. Суть принципа – в постоянном выявлении слабых мест системы защиты, которые обнаруживаются или могут возникать при изменениях внутренних и внешних условий системы.

Комплексный характер. Защита использует все доступные средства, распространяется на все структурные элементы организации и на все этапы работы с информацией. Исходят из того, что злоумышленники ищут самое слабое звено в системе безопасности.

Достаточность. Если какие-либо средства обеспечивают необходимый уровень защиты в некотором направлении, то других средств в этом направлении привлекать нет необходимости.

Законность. Все меры и средства не должны выходить за рамки закона.

Подготовка сотрудников. Знания и умения, связанные с защитой информации, которые ожидаются от пользователей и сотрудников системы безопасности, должны целенаправленно формироваться некоторой систематической подготовкой.

Взаимодействие с правоохранительными органами. Не все вопросы безопасности организация может решить своими силами. Часть вопросов могут быть переложены на государственную правоохранительную систему.

С позиций системного подхода можно назвать ряд требований на процесс и саму систему защиты информации, которая должна быть:

– открытой для изменения и дополнения;

– разнообразной по используемым средствам;

– эффективной экономически (как уже говорилось, затраты на систему защиты не должны превышать размеры возможного ущерба).

Наряду с основными требованиями существует ряд устоявшихся рекомендаций, которые будут полезны создателям систем информационной безопасности:

– средства защиты должны быть просты для технического обслуживания и «прозрачны» для пользователей;

– каждый пользователь должен иметь минимальный набор привилегий, необходимых для работы;

– система защиты должна быть независимой от субъектов защиты;

– разработчики должны предполагать, что пользователи имеют наихудшие намерения, что они будут совершать серьезные ошибки и искать пути обхода механизмов защиты;

– в организации информация о существовании и механизмах защиты должна быть доступна в пределах компетенции и служебных обязанностей сотрудников.

Изложенные основные концептуальные положения являются основой конкретных предложений по формированию политики и построению системы информационной безопасности.

Поиск по сайту: