Организационная защита информации

Организационная  защита информации —  это  регламентация деятельности  и  взаимоотношений  исполнителей на  нормативно-правовой  основе,  исключающей  или  существенно затрудняющей  неправомерное  овладение  конфиденциальной информацией и проявление внутренних и внешних угроз.Организационная защита обеспечивает:

• организацию  охраны,  режима,  работу  с  кадрами,  с документами;
• использование  технических  средств  безопасности  и информационно-аналитическую  деятельность  по выявлению  внутренних  и  внешних  угроз  предпринимательской деятельности.

Организационная защита включает в себя регламентацию:

1) Формирования  и  организации  деятельности  службы  безопасности, обеспечения деятельности этих служб нормативно-методическими документами по организации защиты информации.

2) Составления  и  регулярного  обновления  состава  защищаемой  информации  компании,  составления  и  ведения  перечня защищаемых  бумажных  и  электронных документов.

3) Разрешительной  системы разграничения доступа  персонала к защищаемой информации.

4) Методов  отбора  персонала  для  работы  с  защищаемой информацией, методики обучения и инструктирования сотрудников.

5) Направлений  и  методов  воспитательной  работы  с  персоналом,  контроля  соблюдения  сотрудниками  порядка  защиты информации.

6) Технологии  защиты,  обработки  и  хранения  бумажных  и  электронных  документов.

7) Порядка  защиты  ценной  информации  компании  от  случайных или умышленных несанкционированных действий персонала.

8)  Ведения всех видов аналитической работы.

9)  Порядка  защиты  информации  при  проведении  совещаний, заседаний,  переговоров,  приеме  посетителей,  работе  с представителями СМИ.

10) Оборудования  и  аттестации  помещений  и  рабочих  зон,  выделенных для работы с конфиденциальной информацией.

11) Пропускного  режима на территории, в здании, помещениях,  идентификации транспорта и персонала компании.

12) Системы охраны  территории.

13) Действий персонала  в экстремальных ситуациях.

14) Организационных  вопросов  приобретения,  установки  и  эксплуатации технических средств защиты информации и охраны.

15) Работы по  управлению системой защиты информации.

16) Критериев  и  порядка  проведения  оценочных  мероприятий по  установлению  степени  эффективности  системы  защиты информации.

Система  организационных  мер  по  защите  информации представляют  собой  комплекс  мероприятий,  включающих четыре основных компонента:

—   изучение обстановки на объекте;

—   разработку программы защиты;

—   деятельность по проведению указанной программы в жизнь;

—   контроль за  ее  действенностью  и  выполнением  установленных правил.

Выделяют следующие  организационные мероприятия:

—   ознакомление  с  сотрудниками,  их  изучение,  обучение  правилам работы с конфиденциальной информацией, ознакомление с мерами  ответственности  за  нарушение  правил  защиты информации и др.;

—   организация  надежной  охраны  помещений  и  территории прохождения линии связи;

—   организация,  хранения  и  использования  документов  и носителей  конфиденциальной  информации,  включая  порядок учета, выдачи, исполнения и возвращения;

—   создание  штатных  организационных  структур  по  защите ценной  информации  или  назначение  ответственного  за  защиту информации на конкретных этапах еѐ обработки и передачи;

—   создание  особого  порядка  взаимоотношений  со  сторонними организациями и партнерами;

—   организация конфиденциального делопроизводства.

Организационные мероприятия  играют  существенную  роль  в создании  надежного  механизма  защиты  информации,  так  как возможности  несанкционированного  использования конфиденциальных  сведений  в  значительной  мере обусловливаются  не  техническими  аспектами,  а  злоумышленными действиями,  нерадивостью,  небрежностью  и  халатностью пользователей  или  персонала  защиты.  Влияния  этих  аспектов практически  невозможно  избежать  с  помощью  технических средств.  Для  этого  необходима  совокупность  организационно-правовых  и  организационно-технических  мероприятий,  которые исключали  бы  (или,  по  крайней  мере,  сводили  бы  к  минимуму) возможность  возникновения  опасности  конфиденциальной информации.