Главная » Безопасность » Защита5 » Организационная политика безопасности и порядок ее формирования

Организационная политика безопасности и порядок ее формирования

Прежде чем предлагать какие-либо решения по системе информационной безопасности, предстоит разработать политику безопасности. Организационная политика безопасности описывает порядок предоставления и использования прав доступа пользователей, а также требования отчетности пользователей за свои действия в вопросах безопасности.

Система информационной безопасности окажется эффективной, если она будет надежно поддерживать выполнение правил политики безопасности, и наоборот.

Этапы построения организационной политики безопасности это внесение в описание объекта автоматизации структуры ценности и проведение анализа риска, и определение правил для любого процесса пользования данным видом доступа к ресурсам объекта автоматизации, имеющим данную степень ценности.

Организационная политика безопасности оформляется в виде отдельного документа. Прежде всего, необходимо составить детализированное описание общей цели построения системы безопасности объекта, выражаемое через совокупность факторов или критериев, уточняющих цель. Совокупность факторов служит базисом для определения требований к системе (выбор альтернатив). Факторы безопасности, в свою очередь, могут распределяться на правовые, технологические, технические и организационные.

Требования гарантии достигаемой защиты выражаются через оценки функций безопасности системы информационной безопасности объекта. Оценка силы функции безопасности выполняется на уровне отдельного механизма защиты, а ее результаты позволяют определить относительную способность соответствующей функции безопасности противостоять идентифицированным угрозам – razgovorodele.ru. Исходя из известного потенциала нападения, сила функции защиты определяется, например, категориями «базовая», «средняя», «высокая». Потенциал нападения определяется путем экспертизы возможностей, ресурсов и мотивов побуждения нападающего. Перечень требований к системе информационной безопасности, эскизный проект, план защиты (далее – техническая документация), содержит набор требований безопасности информационной среды объекта, которые могут ссылаться на соответствующий профиль защиты, а так лее содержать требования, сформулированные в явном виде. В общем виде разработка технической документации включает:

– уточнение функций защиты;
– выбор архитектурных принципов построения системы информационной безопасности;
– разработку логической структуры системы информационной безопасности (четкое описание интерфейсов);
– уточнение требований функций обеспечения гарантоспособности системы информационной безопасности;
– разработку методики и программы испытаний на соответствие сформулированным требованиям.

На этапе оценки достигаемой защищенности производится оценка меры гарантии безопасности информационной среды. Мера гарантии основывается на оценке, с которой после выполнения рекомендованных мероприятий можно доверять информационной среде объекта – razgovorodele.ru. Базовые положения данной методики предполагают, что степень гарантии следует из эффективности усилий при проведении оценки безопасности. Увеличение усилий оценки предполагает:

– значительное число элементов информационной среды объекта, участвующих в процессе оценивания;
– расширение типов проектов и описаний деталей выполнения при проектировании системы обеспечения безопасности;
– строгость, заключающуюся в применении большего числа инструментов поиска и методов, направленных на обнаружение менее очевидных уязвимостей или на уменьшение вероятности их наличия.

Оставить комментарий