Організація режиму секретності на державних підприємствах та в установах. Організація та обладнання режимно – секретних органів

 
5. Керівники підрозділів зобов'язані:

Постійно тримати в полі зору питання безпеки. Стежити за тим, щоб те ж робили їхні підлеглі. Проводити  аналіз ризиків, виявляючи активи, що вимагають захисту, і уразливі місця систем, оцінюючи розходів від можливого збитку порушення режиму безпеки і вибираючи ефективні засоби захисту. Організувати навчання персоналу заходів безпеки. Звернути особливу увагу на питання, зв'язані з антивірусним контролем. Інформувати адміністраторів локальної мережі й адміністраторів сервісів про зміну статусу кожного з підлеглих (перехід на іншу роботу, звільнення і т.п.). Забезпечити, щоб кожен комп'ютер у їхніх підрозділах мав системного адміністратора, що відповідає за безпеку і має достатню кваліфікацію для виконання цієї ролі.

 

6. Адміністратори локальної мережі зобов'язані:

Інформувати керівництво про ефективність існуючої політики безпеки і про  технічні заходи, що можуть поліпшити  захист. Забезпечити захист устаткування локальної мережі, у тому числі інтерфейсів з іншими мережами. Оперативно й ефективно реагувати на події, що тають в собі загрозу. Інформувати адміністраторів сервісов про спроби порушення захисту. Робити допомогу у відображенні погрози, виявленні порушників і наданні інформації для їхнього покарання. Використовувати перевірені засоби аудита і виявлення підозрілих ситуацій. Щодня аналізувати реєстраційну інформацію, що відноситься до мережі в цілому і до файлових серверів особливо. Стежити за новинками в області ІБ, повідомляти про їх користувачам і керівництву. Не зловживати даними їм великими повноваженнями. Користувачі мають право на таємницю. Розробити процедури і підготувати інструкції для захисту локальної мережі від шкідливого ПЗ. Робити допомогу у виявленні і ліквідації злобливого коду. Регулярно виконувати резервне копіювання інформації, що зберігається на файлових серверах. Виконувати всі зміни мережної апаратно-програмної конфігурації. Гарантувати обов'язковість процедури ідентифікації й автентификації для доступу до мережевих ресурсів. Виділяти користувачам вхідні імена і початкові паролі тільки після заповнення реєстраційних форм. Періодично робити перевірку надійності захисту локальної мережі. Не допускати одержання привілеїв неавторизованими користувачами. 
 
7.Користувачі  зобов'язані:

Знати і дотримувати закони, правила, політику безпеки, процедури безпеки.  
Використовувати доступні захисні механізми для забезпечення конфіденційності і цілісності своєї інформації. Використовувати механізм захисту файлів і належним образом задавати права доступу. Вибирати гарні паролі, регулярно змінювати їх. Не записувати паролі на папері, не повідомляти їх іншим обличчям. Допомагати іншим користувачам дотримувати заходів безпеки. Указувати їм на виявлені недогляди. Інформувати адміністраторів чи керівництво про порушення безпеки й інших підозрілих ситуацій.  
Не використовувати слабості в захисті сервісів і локальної мережі в цілому. Не робити неавторизованої роботи з даними, не створювати перешкод іншим користувачам. Не намагатися працювати від імені інших користувачів. Забезпечувати резервне копіювання інформації з жорсткого диску свого комп'ютера. Знати принципи роботи шкідливого ПЗ, шляху його проникнення і поширення, слабості, що при цьому можуть використовуватися. Знати і дотримуватись процедури для попередження проникнення злобливого коду, його виявлення і знищення. Знати слабості, що використовуються для неавторизованого доступу. Знати способи виявлення ненормального поводження конкретних систем, послідовність подальших дій. Знати і дотримувати правила поведінки в екстрених ситуаціях та послідовність дій при ліквідації наслідків аварій.

 

Голова аналітичної  комісії                         А.О. Гончарук ____________

 

Заступник директора

Лабораторія мікробіології                         Н.О. Морозов ____________

“_20_”_ грудня  2006 р.

 

 

 

 

 

З метою забезпечення належного  режиму при проведені на підприємстві робіт і усунення можливих каналів витоку інформації з обмеженим доступом за рахунок технічних засобів

НАКАЗУЮ:

1. Обов’язки щодо організації робіт з технічного захисту інформації з обмеженим доступом органу, щодо якого здійснюється ТЗІ покласти на Іванов В. Б. Обов’язки щодо контролю повноти та якості реалізованих заходів покласти на комісію підрозділу.

2. Затвердити перелік інформації з обмеженим доступом, яка наявна в органі, щодо якого здійснюється ТЗІ, додаток № 7 до наказу.

3. Затвердити перелік виділених приміщень, інформаційних систем, спеціальних об’єктів на яких утворюється, обробляється, зберігається, передається інформація з обмеженим доступом, додаток № 4 до наказу.

4. Начальнику підрозділу ТЗІ в термін до 08.12.2006 представити мені для затвердження список осіб, відповідальних за забезпечення режиму у виділених приміщеннях, на об’єктах.

5. Встановити в органі, щодо якого здійснюється ТЗІ контрольовану зону (зони) відповідно до затвердженої мною планом-схемою, додаток № 10 до наказу.

6. Підрозділу ТЗІ вжити заходів, що виключають несанкціоноване перебування в контрольованій зоні сторонніх осіб і транспортних засобів.

7.     Комісії  з категоріювання провести категоріювання  виділених об’єктів.

8. Підрозділу ТЗІ провести первинну атестацію виділених об’єктів, результат атестації зареєструвати в атестаційному паспорті виділеного приміщення (об’єкту, інформаційної системи).

9. Установити, що роботу з ІзОД допускається здійснювати тільки в приміщеннях, що пройшли атестацію.

10. При роботі з ІзОД дозволяється використовувати технічні засоби передачі, обробки і збереження інформації, що тільки входять у затверджений мною перелік (додаток № 4  до наказу).

11. Для забезпечення захисту ІзОД від витоку з виділених приміщень за межі контрольованих зон певного підрозділу органу, щодо якого здійснюється ТЗІ (наприклад, головного енергетика) у цих приміщеннях провести захисні заходи відповідно до затвердженого мною плану-графіку  ( додаток № 10 до наказу).

11. Контроль за виконанням плану-графіка захисних заходів покласти на підрозділ ТЗІ.

12. На підрозділ ТЗІ покласти обов’язки з підготовки технічних засобів у виділених приміщеннях (якщо ці засоби вимагають попередньої підготовки) до проведення особливо важливих заходів.

13. Про проведення особливо важливих заходів відповідальним особам вчасно повідомляти підрозділ ТЗІ.

14. Начальнику підрозділу по завершенні організаційних, організаційно-технічних і технічних заходів для захисту об’єктів органу, щодо якого здійснюється ТЗІ провести перевірку заходів і представити мені Акт прийому робіт із захисту від можливого витоку ІзОД для узгодження і наступного затвердження.

15. Начальнику підрозділу разом із призначеними мною відповідальними за забезпечення режиму у виділених приміщеннях підготувати і представити мені на затвердження графік проведення періодичних атестаційних перевірок виділених приміщень і технічних засобів, що в них знаходяться.

16. Про всі виявлені при атестації й атестаційних перевірках порушення доповідати мені для вжиття оперативних заходів.

 

 

 

 

 

План проведення захисних заходів для забезпечення захисту ІзОД від витоку за межі контрольованих зон (відповідно до план-графіку)

 

Здійснити такі заходи для  забезпечення захисту ІзОД від витоку за межі контрольованих зон:

1. Встановити охорону на КПП та організувати його роботу по перепуску відвідувачів, працівників за певним видом перепустки (див. додаток №6 до наказу);
2. Встановити охорону всередині будівлі організації;
3. Затвердити план проведення провірки території, приміщення, стану сигнальних систем тощо працівниками, що перечисленні в п.1 та п.2 додатку №5 до наказу;
4. Вибір засобів захисту інформації і їхніх характеристик;
5. Встановити пожежну сигналізацію та привести її в дію;
6. Встановити відеонагляд, політики збереження записаних даних та привести його в дію;
7. Встановити антивірусні та програми захисту від доступу через мережу Internet для збереження цілісності інформації та унеможливлення її модифікації;
8. Встановити системи охорони периметру та призвести її в дію;
9. Встановити антипрослуховуючих пристроїв для телефонної (АОН)та радіоапаратури, або таких, що можуть вести спостереження, запис подій чи підслуховування;

10. Встановити системи завад та придушити побічні електромагнітні   випромінювання;

11. Встановити порядок проведення робіт з резервування даних;

12. Встановити порядок ведення журналів реєстрації подій;

13. Організувати політику доступу до ІзОД та призначити грифи секретності комерційній та секретній державній інформації (згідно розділу ІІ статей 10, 12 та 13 закону України «Про державну таємницю»; розділів ІІІ та ІV закону України «Про захист інформації в автоматизованих системах»; див. додаток №6);

14. Створити профілі для кожного з користувачів та затвердити план про обновлення та збереження анонімності паролів доступу в комп’ютерній мережі;

      15. Затвердити політику ІБ (див. додаток №9 до наказу);

16. Ввести в дію системний журнал спостереження за діями персоналу в мережі;

17. Унеможливити доступ до кімнат №3, 4, 5 та 6 посторонніх осіб, включаючи охорону та забезпечити розпізнавання осіб на вході до них за допомогою біометричних систем розпізнавання сітківки ока, відбитків пальця або голосу;

18. Забезпечити джерелом резервного живлення підприємство на час виходу з ладу      основного джерела;

19. Покрити протиударні вікна плівкою захисту від зчитування по електромагнітному полю, навколо підприємства;

      20. Встановити броньовані двері та грати на вікна;

      21.Заборонити  неконтрольоване, не підтримане  необхідним наказом внесення всіх інших              технічних пристроїв, заміну уже існуючим або неочікуваний і безпідставний ремонт діючої системи обробки, зберігання та передачі інформації, що наведеної в додаток №4 до наказу 005/1.

      22. Здійснити захист процесів, процедур і програм обробки інформації.

      23. Здійснити контроль цілісності й керування системою захисту;

      24. Впровадити й організувати використання обраних мір, способів і засобів захисту.

 

Перелік складено головою  аналітичної комісії Гончаруком А. О.:_____________

 

Додаток №10

Об’єкт захисту Центр  космічної геодезії –Приміщення складається з семи кімнат(згідно плану №7). Визначимо кожну з низ окремо, її функціональне призначення, персонал, що має доступ до цієї кімнати, технічні пристрої, що тут розташовані. Для цього кімнати пронумеруємо і на плані розташуємо усі основні і додаткові технічні пристрої (згідно варіанту №7) *

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Умовні позначення, використані  на плані:

- комп’ютер виділений під сервер                - сканер                      - ксерокс                                                                                 

 

- розподільчий щиток 220V                             -  умивальник                    - заземлення

 

- стіл                                                       -   крісло                       - диван                                                              

 

- стілець                                                          - гардеробна шафа            - стилажі з приладами  

 

-  комп’ютерний стіл та крсло           - кабінка WC       - член персоналу

                                  

  -   каналізаційний люк                            - люк водопроводу              - КПП

   - позначення нумерації дверей                - позначення нумерації вікон                           

- проводовий телефон                   - переговорний пристрій

  - радіотелефон                                -

      -  символізує наявність пожежної сигналізації     - лінія, що показує межі стоянок            - лінія мережі електроживлення - стоянка автомобілів - стоп

                              - кабелі локальної мережі - зелене насадження - автомобіль                    - труби водопроводу

СПИСОК ВИКОРИСТАНОЇ ЛІТЕРАТУРИ

 

1. Організація захисту інформації на об’єктах державної та підприємницької діяльності.

В. Домарєв, С.О. Скворцов,  в-во Європейського університету -  2006 р.

 

2. Физические основы технических средств обеспечения информационой безопастности: Учебное пособие. - М.: Гелиос АРВ, 2004,-224с.

 

3. Теоретические основы защиты информации: Учебное пособие.-М.: Гериос АРВ, 2004,-240с.

 

4. Антонюк О. А. Основи захисту інформації в автоматизованих системах : навчальний посібник - .К.: в - во дім “КМ академія”, 2003, - 244с.

 

5. Методи захисту банківської інформації. Навчальний посібник В.К. Задірака

 

6. Використані нормативні документи, закони, положення України:

 

а) Конституція України;

 

б)  Закон України “Про інформацію”;

 

в) Закон України “Про державну таємницю”;

 

г) “Положення про технічний захист інформації в Україні”, затверджене Указом Президента України від 27.09.1999 № 1229/99;

 

д) “Положення про контроль за функціонуванням системи технічного захисту інформації”, зареєстроване в Міністерстві юстиції України 11.01.2000 за № 10/4231;

 

е) Державні стандарти України “Технічний захист інформації” ДСТУ 3396.0-96, 3396.1-96, 3396.2-96;

 

є) Державні будівельні норми України ДБН А.2.2.-2.96;

 

ж) “Зведений перелік відомостей, що становлять державну таємницю”

 

з) Нормативні документи Державної служби з питань технічного захисту інформації:

- “Тимчасове положення про категоріювання об’єктів” (ТПКО-95), затверджене наказом № 35 від 10.07.1995;

- Тимчасові рекомендації з технічного захисту інформації ТР ТЗІ - ПЕМВН-95, ТР ЕОТ-95, затверджені наказом № 25 від 09.06.1995;