4.2. Система защиты информации

Для защиты информации создается система защиты информации, состоящая из совокупности органов и (или) исполнителей, используемой ими техники защиты, организованная и функционирующая по правилам, установленным правовыми, распорядительными и нормативными документами в области защиты информации [18-23].

Государственную систему защиты информации образуют:

·       Федеральная служба по техническому и экспортному контролю (ФСТЭК России) и ее центральный аппарат;

·       ФСБ, МО, СВР, МВД, их структурные подразделения по защите информации;

·       структурные и межотраслевые подразделения по защите информации органов государственной власти;

·       специальные центры ФСТЭК России;

·       организации по защите информации органов государственной власти;

·       головные и ведущие научно-исследовательские, научно-технические, проектные и конструкторские учреждения;

·        предприятия оборонных отраслей промышленности, их подразделения по защите информации;

·        предприятия, специализирующиеся на проведении работ в области защиты информации;

·       вузы, институты по подготовке и переподготовке специалистов в области защиты информации.

ФСТЭК России является федеральным органом исполнительной власти, осуществляющим реализацию государственной политики, организацию межведомственной координации и взаимодействия, специальные и контрольные функции в области государственной безопасности по вопросам:

·        обеспечения безопасности информации в ключевых системах информационной инфраструктуры;

·        противодействия иностранным техническим разведкам;

·        обеспечения защиты информации, содержащей государственную тайну, некриптографическими способами;

·        предотвращения  утечки информации по техническим каналам, несанкционированного доступа к ней;

·        предотвращения специальных воздействий на информацию (ее носители) с целью ее добывания, уничтожения, искажения и блокирования доступа к ней.

Руководство деятельностью ФСТЭК России осуществляет президент РФ.

Непосредственное руководство работами по защите информации осуществляют руководители органов государственной власти и их заместители.

В органе государственной власти могут создаваться технические комиссии, межотраслевые советы.

Головные и ведущие НИО органов государственной власти разрабатывают научные основы и концепции, проекты нормативно-технических и методических документов по защите информации. На них возлагается разработка и корректировка моделей иностранных технических разведок.

Предприятия, занимающиеся деятельностью в области защиты информации, должны получить лицензию на этот вид деятельности. Лицензии выдаются ФСТЭК России, ФСБ, СВР в соответствии с их компетенцией и по представлению органа государственной власти.

Организация работ по защите информации возлагается на руководителей организаций. Для методического руководства и контроля за обеспечением защиты информации может быть создано подразделение по защите информации или назначен ответственный (штатный или внештатный) за безопасность информации.

Разработка системы ЗИ производится подразделением по технической защите информации или ответственным за это направление во взаимодействии с разработчиками и ответственными за эксплуатацию объектов ТСОИ. Для проведения работ по созданию системы ЗИ могут привлекаться на договорной основе специализированные предприятия, имеющие соответствующие лицензии.

Работы по созданию системы ЗИ проводятся в три этапа (см. рис. 4.3).

На I этапе разрабатывается техническое задание на создание СЗИ:

·        вводится запрет на обработку секретной (служебной) информации на всех объектах ТСОИ до принятия необходимых мер защиты;

·        назначаются ответственные за организацию и проведение работ по созданию системы защиты информации;

·        определяются подразделения или отдельные специалисты, непосредственно участвующие в проведении указанных работ, сроки введения в эксплуатацию системы ЗИ;

·        проводится анализ возможных технических каналов утечки секретной информации;

·        разрабатывается перечень защищаемых объектов ТСОИ;

·        проводится категорирование ОТСС, а также ВП;

·        определяется класс защищенности автоматизированных систем, участвующих в обработке секретных (служебных) данных;

·        определяется КЗ;

·        оцениваются возможности средств ИТР и других источников угроз;

·        обосновывается необходимость привлечения специализированных предприятий для создания системы защиты информации;

·        разрабатывается техническое задание (ТЗ) на создание СЗИ.

Разработка технических проектов на установку и монтаж ТСОИ производится проектными организациями, имеющими лицензию ФСТЭК.

На II этапе:

·        разрабатывается перечень организационных и технических мероприятий по защите объектов ТСОИ в соответствии с требованиями ТЗ;

·        определяется состав серийно выпускаемых в защищенном исполнении ТСОИ, сертифицированных средств защиты информации, а также состав технических средств, подвергаемых специальным исследованиям и проверке; разрабатываются технические паспорта на объекты ТСОИ и инструкции по обеспечению безопасности информации на этапе эксплуатации технических средств.

На III этапе осуществляются:

·        проведение специальных исследований и специальной проверки импортных ОТСС, а также импортных ВТСС, установленных в выделенных помещениях;

·        размещение и монтаж технических средств, входящих в состав объектов ТСОИ;

·        разработка и реализация разрешительной системы доступа к средствам вычислительной техники и автоматизированным системам, участвующим в обработке секретной (служебной) информации;

·        приемосдаточные испытания системы защиты информации по результатам ее опытной эксплуатации;

·        аттестация объектов ТСОИ по требованиям защиты информации.

Вводится разрешение на обработку секретной информации на объектах ТСОИ, на которые получены аттестаты.

 Рис. 4.3. Этапы построения системы защиты информации