6 раздел. Вопрос 3. Состав компонентов комплексной системы обеспечения информационной безопасности (КСИБ), функциональные и обеспечивающие подсистемы. Определение компонентов КСЗИ.
Структура информационной системы состоит из функциональной и обеспечивающей подсистем.
Функциональная подсистема включает планирование, учет, контроль, и регулирование. Функциональная подсистема – это комплекс управления организационно-экономическими задачами с высокой степенью информационно-технологических связей.
Обеспечивающие подсистемы:
 Информационное обеспечение
 Техническое обеспечение
 Математическое и программное обеспечение
 Организационное обеспечение
 Правовое обеспечение

Информационное обеспечение — совокупность единой системы классификации и кодирования информации, унифицированных систем документации, схем информационных потоков, циркулирующих в организации, а также методология построения баз данных.
Схемы информационных потоков отражают маршруты движения информации и ее объемы, места возникновения первичной информации и использования результатной информации. За счет анализа структуры подобных схем можно выработать меры по совершенствованию всей системы управления.
Организационное обеспечение — совокупность документов, устанавливающих организационную структуру, права и обязанности пользователей и эксплуатационного персонала ИС в условиях функционирования, проверки и обеспечения работоспособности ИС.
Организационное обеспечение реализует следующие функции:
 анализ существующей системы управления организацией, где будет использоваться ИС, и выявление задач, подлежащих автоматизации;
 подготовку задач к решению на компьютере, включая техническое задание на проектирование ИС и технико-экономическое обоснование ее эффективности;
 разработку управленческих решений по составу и структуре организации, методологии решения задач, направленных на повышение эффективности системы управления.
Организационные меры защиты - это меры организационного характера, регламентирующие процессы функционирования системы обработки данных, использование ее ресурсов, деятельность персонала, а также порядок взаимодействия пользователей с системой таким образом, чтобы в наибольшей степени затруднить или исключить возможность реализации угроз безопасности. Они включают:
 мероприятия, осуществляемые при проектировании, строительстве и оборудовании вычислительных центров и других объектов систем обработки данных;
 мероприятия по разработке правил доступа пользователей к ресурсам системы (разработка политики безопасности);
 мероприятия, осуществляемые при подборе и подготовке персонала системы;
 организацию охраны и надежного пропускного режима;
 организацию учета, хранения, использования и уничтожения документов и носителей с информацией;
 распределение реквизитов разграничения доступа (паролей, ключей шифрования и т.п.);
 организацию явного и скрытого контроля за работой пользователей;
27
 мероприятия, осуществляемые при проектировании, разработке, ремонте и модификациях оборудования и программного обеспечения и т.п.
Правовое обеспечение - совокупность правовых норм, регламентирующих правовые отношения при функционировании ИС и юридический статус результатов ее функционирования (правовое обеспечение реализуют в организационном обеспечении ИС).
В состав правового обеспечения входят законы, указы, постановления государственных органов власти, приказы, инструкции и другие нормативные документы министерств, ведомств, организаций, местных органов власти. В правовом обеспечении можно выделить общую часть, регулирующую функционирование любой информационной системы, и локальную часть, регулирующую функционирование конкретной системы.
К правовым (законодательным) мерам защиты относятся действующие в стране законы, указы и нормативные акты, регламентирующие правила обращения с информацией, закрепляющие права и обязанности участников информационных отношений в процессе ее обработки и использования, а также устанавливающие ответственность за нарушения этих правил, препятствуя тем самым неправомерному использованию информации и являющиеся сдерживающим фактором для потенциальных нарушителей.
Техническое обеспечение - совокупность всех технических средств, используемых при функционировании ИС
Комплекс технических средств составляют:
1. Физические меры защиты основаны на применении разного рода механических, электро- или электронно-механических устройств и сооружений, специально предназначенных для создания физических препятствий на возможных путях проникновения и доступа потенциальных нарушителей к компонентам системы и защищаемой информации, а также технических средств визуального наблюдения, связи и охранной сигнализации:
• система охранного видеонаблюдения;
• охранно-пожарная сигнализация;
• системы контроля и управления доступом;
• системы инженерной защиты объекта (заборы, решетки на окнах) и др.
2. Технические (аппаратно-программные) меры защиты основаны на использовании различных электронных устройств и специальных программ, входящих в состав АС и выполняющих (самостоятельно или в комплексе с другими средствами) функции защиты (идентификацию и аутентификацию пользователей, разграничение доступа к ресурсам, регистрацию событий, криптографическое закрытие информации и т.д.). Включает:
• подсистему антивирусной защиты;
• подсистему резервного копирования и архивирования;
• подсистемы обнаружения атак;
• подсистемы управления информационной безопасности, централизованного мониторинга и аудита событий ИБ;
• подсистемы защиты каналов передачи данных;
• подсистемы управления доступом (идентификации и аутентификации пользователей);
• подсистему регистрации и учета;
• подсистему обеспечения целостности;
• криптографическая подсистема и др.
Математическое и программное обеспечение — совокупность математических методов, моделей, алгоритмов и программ для реализации целей и задач информационной системы, а также нормального функционирования комплекса технических средств.
К средствам математического обеспечения относятся:
• средства моделирования процессов управления;
• типовые задачи управления;
• методы математического программирования, математической статистики, теории массового обслуживания и др.
В состав программного обеспечения входят общесистемные и специальные программные продукты, а также техническая документация.
Управление КСЗИ – вид деятельности по организации ресурсов, направленный на обеспечение ИБ предприятия
Задачи управления КСЗИ:
28
1) предотвращения несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации;
2) своевременного обнаружения фактов несанкционированного доступа к информации;
3) предупреждения возможности неблагоприятных последствий нарушения порядка доступа к информации;
4) недопущения воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;
5) незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;
6) постоянный контроль за обеспечением уровня защищенности информации.
Содержание управления КСЗИ:
1) непрерывное добывание, сбор, изучение и анализ данных обстановки;
2) поддержание системы в постоянной готовности к выполнению задач ЗИ;
3) принятие решений по ЗИ - суть принятия решения состоит в том, что необходимо определить:
 замысел ЗИ;
 задачи подразделениям и подчиненным;
 основные вопросы взаимодействия и обеспечения;
 организацию управления.
4) доведение задач до подчиненных;
5) планирование мероприятий ЗИ;
6) организация и поддержание взаимодействия структурных подразделений предприятия;
7) всестороннее обеспечение мероприятий ЗИ;
8) организация управления, под которой понимается создание системы управления, обеспечение ее эффективного функционирования (в том числе и защита системы управления от всех видов воздействия злоумышленника), а также совершенствование этой системы с применением, прежде всего, новых информационных технологий;
9) управление подготовкой подразделений ЗИ;
10) организация и осуществление контроля и помощи подчиненным.