Введение в эксплуатацию системы защиты информации
Введение в эксплуатацию системы защиты информации подразумевает выполнение мероприятий по защите информации, предусмотренных техническим проектом. К работам по монтажу технических средств обработки информации, вспомогательных технических средств, а также проведения технических мероприятий по защите информации должны привлекаться организации, имеющие лицензию ФСТЭК РФ.
Монтажной организацией или заказчиком проводятся закупка сертифицированных ТСОИ и специальная проверка не сертифицированных ТСОИ на предмет обнаружения возможно внедренных в них электронных устройств перехвата информации (“закладок”) и их специальные исследования.
По результатам специальных исследований ТСОИ уточняются мероприятия по защите информации. В случае необходимости вносятся соответствующие изменения в технический проект, которые согласовываются с проектной организацией и заказчиком.
Проводятся закупка сертифицированных технических, программных и программно-технических средств защиты информации и их установка в соответствии с техническим проектом.
Службой (специалистом) безопасности организуется контроль проведения всех мероприятий по защите информации, предусмотренных техническим проектом.
В период установки и монтажа ТСОИ и средств защиты информации особое внимание должно уделяться обеспечению режима и охране защищаемого объекта.
К некоторым мероприятиям по организации контроля в этот период можно отнести:
- — перед монтажом необходимо обеспечить скрытную проверку всех монтируемых конструкций, особенно установочного оборудования, на наличие разного рода меток и отличий их друг от друга, а также закладных устройств;
- — необходимо организовать периодический осмотр зон выделенных помещений в вечернее или в нерабочее время при отсутствии в нем строителей в целях выявления подозрительных участков и мест;
- — организовать контроль за ходом всех видов строительных работ на территории и в здании. Основная функция контроля заключается в подтверждении правильности технологии строительно-монтажных работ и соответствия их техническому проекту;
- — организовать осмотр мест и участков конструкций, которые по технологии подлежат закрытию другими конструкциями. Такой контроль может быть организован легально под легендой необходимости проверки качества монтажа и материалов или скрытно;
- — необходимо тщательно проверять соответствие монтажных схем и количество прокладываемых проводов техническому проекту. Особое внимание необходимо уделять этапу ввода проводных коммуникаций и кабелей в зону выделенных помещений. Все прокладываемые резервные провода и кабели необходимо нанести на план-схему с указанием мест их начала и окончания.
Перед установкой в выделенные помещения и на объекты информатизации мебели и предметов интерьера технические устройства и средства оргтехники должны проверяться на отсутствие закладных устройств. Одновременно целесообразно провести проверку технических средств на уровни побочных электромагнитных излучений. Такую проверку целесообразно проводить в специально оборудованном помещении или на промежуточном складе.
После установки и монтажа технических средств защиты информации проводится их опытная эксплуатация в комплексе с другими техническими и программными средствами в целях проверки их работоспособности в составе объекта информатизации и отработки технологического процесса обработки (передачи) информации.
По результатам опытной эксплуатации проводятся приемо-сдаточные испытания средств защиты информации с оформлением соответствующего акта.
По завершении ввода в эксплуатацию СЗИ проводится аттестация объектов информатизации и выделенных помещений по требованиям безопасности. Она является процедурой официального подтверждения эффективности комплекса реализованных на объекте мер и средств защиты информации.
При необходимости по решению руководителя организации могут быть проведены работы по поиску электронных устройств съема информации (“закладных устройств”), возможно внедренных в выделенные помещения, осуществляемые организациями, имеющими соответствующие лицензии ФСБ России.
В период эксплуатации периодически должны проводиться специальные обследования и проверки выделенных помещений и объектов информатизации. Специальные обследования должны проводиться под легендой для сотрудников организации или в их отсутствие (допускается присутствие ограниченного круга лиц из числа руководителей организации и сотрудников службы безопасности).
Глава 3. Оценка финансовых затрат на установку и эксплуатацию комплексной системы безопасности
Затраты на оборудование для комплексной защиты информации можно представить в виде таблицы 5.
Таблица 5 Затраты на оборудование для комплексной защиты информации
Извещатель пассивный оптико-электронный объёмный Фотон-9
Извещатель акустический Стекло-3
Извещатель магнитоконтактный ИО 102-5
Тревожная кнопка Астра-321
Приемно-контрольный прибор Сигнал 20
Модуль защиты телефоной линии»SEL SP-17/D»
Виброакустический генератор Соната АВ 1М
Извещатель пожарный дымовой ИП-212-45
Оповещатель световой Молния
Оповещатель речевой, звуковой Флейта
Плата видеозахвата TVISS 1-4 HL4
Реализация любого проекта, связанного с защитой информации, требует определённых финансовых ресурсов. Для того, чтобы определить общую потребность в финансовых ресурсах (материальных, денежных, трудовых и др.), необходимо составить смету затрат на комплексную систему защиты объекта. В результате проведенных расчётов у собственника должна появиться возможность оценить в денежной форме затраты, связанные с обеспечением информационной безопасность объекта.
Расчёт затрат целесообразно разделить на два этапа:
- — Затраты на разработку комплексной системы защиты объекта;
- — Затраты на эксплуатацию данной системы.
В соответствии с вышеперечисленными этапами должны формироваться и расходы, т.е. отдельно должны быть выделены затраты, связанные с разработкой комплексной системы защиты объекта и эксплуатацией системы.
Для формирования структуры затрат необходимо использовать следующую группировку статей расходов:
- — прямые материальные затраты;
- — расходы на оплату труда;
- — амортизационные отчисления;
- — прочие расходы;
- — накладные расходы.
Таким образом, затраты на проведение комплексной системы защиты объекта — С, составят:
Где З1 — затраты на этапе проектирования системы информационной безопасности объекта:
З1 =ЗМ1 -ЗАМ1+ЗОТ1 +ЗПР1+ЗН1 , (2)
З2 — Суммарные ежегодные затраты на этапе эксплуатации системы. :
З2 =ЗМ2 -ЗАМ2+ЗОТ2 +ЗПР2+ЗН2 + Зк2 (3)
— контроль результатов разработки и прием в эксплуатацию новой
Изложенные этапы дипломной работы можно считать типовыми для процесса разработки систем защиты, так как они в значительной мере охватывают практически весь объем работ на организационном уровне.
Самым начальным, исходным шагом, направленным на развертывание работ по созданию или совершенствованию СЗИ, является разработка приказа руководителя организации (предприятия) на проведение работ с указанием конкретного должностного лица, ответственного за создание СЗИ в целом. В приказе излагаются цели и задачи создания СЗИ в данной организации, определяются этапы и сроки их выполнения, назначаются конкретные должностные лица, ответственные за отдельные этапы, отдельные виды работ. В приказе определяется подразделение или временный творческий (научно-технический) коллектив, который будет вести работы по созданию (совершенствованию) системы.
Если к работе по созданию СЗИ будут привлекаться сторонние организации, в приказе оговаривается способ взаимодействия с ними, а также даются необходимые поручения по его обеспечению.
В соответствии со сложившейся практикой разработки сложных систем устанавливаются следующие стадии:
- — предпроектирование работ (обследование и разработка технического задания);
- — проектирование (разработка технического, рабочего или техно-рабочего проектов);
- — ввод СЗИ в эксплуатацию.
Окончательное решение о стадийности проектирования разработки СЗИ определяется на стадии предпроектных работ при разработке ТЗ исходя из производственно-технических условий, экономических возможностей, особенностей СЗИ и используемых технических средств.
Независимо от того, насколько хорошо разработаны технические и организационные меры безопасности, они, в конце концов, основываются на человеческой деятельности, в которой возможны ошибки и злой умысел. Если отдельный сотрудник обманет доверие, то никакая система безопасности и секретности не сможет предотвратить неправомерное овладение информацией.
Для обеспечения уверенности в том, что данная организация успешно поддерживает функционирование системы безопасности, применяются различные методы проверки. Это регулярные независимые инспекции и ревизии, а также проверочные комиссии, включающие представителей всех участвующих в работе с конфиденциальной информацией.
Так как ни одна из форм не является идеальной, то общий контроль за деятельностью системы защиты и ее функционированием должен осуществлять высший орган руководства организации (предприятия через специальные подразделения обеспечения безопасности).
Оценка эффективности защиты должна осуществляться в соответствии с принципом комплексности.
Особое внимание при оценке эффективности системы защиты техническими средствами необходимо обратить на их надежность и безотказность. При их эксплуатации имеют место поломки, сбои, отказы, вследствие чего они не обеспечивают выполнение задачи защиты. Отсюда задача обеспечения надлежащей надежности технических средств обретает значительную важность, так как уровень, качество и безопасность защиты находятся в прямой зависимости от надежности технических средств.