Наталия Гришина - Организация комплексной системы защиты информации

Чем выше влияние неопределенности на характер планируемой деятельности, тем более целесообразным является итерационный способ планирования. Данный способ планирования наиболее приемлем для КСЗИ.

При определении тех или иных мероприятий плана необходимо получить ответы на следующие вопросы:

1. Способствует ли данное мероприятие достижению поставленных задач, замыслу?

2. Является ли оно правомерным, не противоречит ли законам, нормативным актам?

3. Будет ли оно оптимальным, не дублирует ли другие мероприятия?

На определение сроков осуществления намеченных мероприятий влияют: прошлый опыт их реализации, трудоемкость, условия, в которых они будут выполняться, подготовленность исполнителей.

Содержание мероприятия должно включать: желаемый результат, краткую программу действий, планируемые к использованию, силы и средства, срок исполнения.

Основные положения вновь разработанного плана базируется на результатах проделанной работы по выполнению планов за предыдущий период и согласовываются с планами на смежных направлениях деятельности.

В начальной стадии планирования руководитель всесторонние изучает обстановку по защите информации на предприятии, ту совокупность условий, событий, обстоятельств проведения закрытых работ, которые оказывают существенное влияние на надежность и эффективность защиты. Моделируются вероятные тенденции ее изменения, появление принципиально новых факторов (условий, событий).

Мероприятия в плане следует систематизировать по следующим четырем разделам:

1) организационно-методическая работа;

2) контрольно-проверочная работа;

3) профилактическая работа;

4) работа с кадрами.

В вводной части делается анализ и оценка обстановки на предприятии с точки зрения решения вопросов по защите сведений, акцентируется внимание на ее главных особенностях. Оценка и прогноз развития обстановки служат исходной базой для определения содержания основных разделов плана.

Организационно-методическая деятельность может включать в себя:

— разработку инструкций, методик по различным направлениям режима охраны информации;

— внесение изменений и дополнений в действующие инструкции, методики с учетом изменившихся условий;

— разработку и внедрение новых организационных методов защиты информации;

— обеспечение мероприятий в связи с приемом делегаций, командированных, участием в работе конференций и т. д.;

— подготовку и проведение крупных совещаний, заседаний, экспертных комиссий, выставок и т. п.;

— совершенствование системы делопроизводства, технологии обработки документов;

— сокращение закрытой переписки;

— разработку и внедрение информационно-поисковых систем для классифицированных документов;

— заслушивание руководителей различных уровней о ходе выполнения утвержденных директором мероприятий;

— обоснование и внедрение новых технических средств охраны;

— совершенствование структуры подразделения экономической безопасности, создание и оборудование новых рабочих мест;

— меры по координации и взаимодействию различных подразделений предприятия и т. п.

Контрольно-проверочная работа может рассматриваться и как проверка исполнения, и как изучение состояния дел, что приближает ее к аналитической работе. Она включает в себя:

— контроль за выполнением работниками предприятия требований соответствующих приказов, инструкций;

— проверку выполнения мероприятий, разработанных по результатам предыдущих анализов, проверок;

— контроль за порядком хранения и обращения с носителями тайны на рабочих местах;

— проверку подразделений предприятия;

— проверку режима при приеме командированных лиц, делегаций, проведении совещаний;

— проверку охраны, пропускного режима и т. п.

В разделе профилактических мероприятий планируются действия, направленные на формирование у исполнителей мотивов поведения, побуждающих к неукоснительному соблюдению в полном объеме требований режима, правил проведения закрытых работ и т. п.

В разделе работы с кадрами целесообразно включение мероприятий по обучению исполнителей и работников новым приемам, методам защиты тайны и т. п. Одним из направлений обучения и практической работы должен быть курс социально-психологических проблем взаимоотношений в коллективах лиц, допущенных к классифицированной информации.

Разработка плана невозможна без анализа предыдущей деятельности. Оцениваются имевшиеся случаи нарушения режима, причины и условия им сопутствующие. С учетом возможностей определяется надежность принимаемых мер по защите сведений. Рассматривается целесообразность привлечения необходимых средств и сил.

В процессе планирования должны быть выделены следующие стадии.

1. Обоснование целей и критериев, которое заключается в

— формулировании целей, которые представляют собой совокупность желаемых результатов и имеют иерархическую структуру. Плановые цели должны обеспечивать основу для единообразного планирования на всех уровнях управления, предпосылки для последующего более детального планирования, основу для руководства выполнения планов, для мотивации поведения людей, т. е. понимании ими значения выполняемых работ; основу для четкого распределения ответственности и децентрализации планирования на всех уровнях управления, для координации различной деятельности функциональных подразделений аппарата управления КСЗИ;

— выборе критериев, который определяется целями планируемой деятельности.

2. Анализ условий. На этой стадии анализируются условия, в которых будет осуществляться планируемая деятельность. Анализу подлежат как внешние условия, так и внутренние (организационная структура, характеристики персонала, имеющиеся технологические схемы и т. д.).

Кроме того, в ходе функционирования КСЗИ могут возникнуть различные непредвиденные ситуации а также система будет испытывать на себе воздействие дестабилизирующих факторов.

Все эти условия должны быть проанализированы на данной стадии.

3. Формирование задач.

Осуществляется постановка задачи и формируется комплекс задач, решение которых приведет к достижению конкретных плановых целей, а также определяются метода и разрабатываются процедуры решения каждой задачи.

4. Анализ ресурсов, которые могут быть использованы для решения задач.

Анализируют материальные (информационные, технические, программные, математические, лингвистические) и людские ресурсы. Разрабатываются прогнозы изменения этих ресурсов в процессе реализации планов. Определение факторов, влияющих на удовлетворение потребностей в ресурсах, зависит от вида планирования, т. е. от длительности планируемого периода.

5. Согласование целей, задач, условий, ресурсов.

На этой стадии происходит выделение комплексов задач в соответствии с целями и условиями распределения ресурсов по задачам и закрепление за каждой задачей конкретных исполнителей.

6. Определение последовательности выполнения задач.

Происходит путем установления взаимосвязи результатов решений задач. Определяет время, необходимое для выполнения каждой задачи, сроки выполнения, определяются ответственные за выполнение задач.

7. Определение методов контроля выполнения планов:

— зависит от целей планирования, выбранных критериев, а также подхода и методов планирования;

— включает в себя определение параметров плана и разработку соответствующих процедур контроля.

Методы контроля будут эффективны только тогда, когда они выявляют характер и причины отклонения от плана.

8. Определение порядка корректировки планов.

Порядок должен быть регламентирован. Корректировка должна проводиться в той мере, в какой это необходимо для достижения поставленных целей.

На этой стадии определяются параметры планов, подлежащих корректировке, условия корректировки планов, способы корректировки и разрабатываются процедуры корректировки планов.

Таким образом, можно сделать следующие основные выводы:

— планирование является неотъемлемой частью деятельности КСЗИ, как и деятельности любых других систем;

— от рационального планирования зависит эффективность деятельности КСЗИ, а также принятие решений в экстремальных ситуациях.

Контроль является одним из важнейших и необходимых направлений работ по ЗИ. Цель контроля выявить слабые места системы, допущенные ошибки, своевременно исправить их и не допустить повторения.

Процесс контроля включает три стадии:

1. Установление фактического состояния СЗИ;

2. Анализ сравнения фактического положения с заданным режимом, обстановкой и оценка характера допущенных отклонений и недоработок;