Проблемы нормативно правового обеспечения подготовки специалистов по вопросам информационной безопасности и смежных областей

    Каждому обучающемуся должен быть обеспечен  доступ к комплектам библиотечного  фонда, состоящего не менее чем из четырех наименований отечественных и не менее четырех наименований зарубежных журналов.

      Ученый совет высшего учебного  заведения при введении основных  образовательных программ бакалавриата  утверждает размер средств на  реализацию соответствующих основных образовательных программ бакалавриата.

    Финансирование  реализации основных образовательных  программ бакалавриата должно осуществляться в объеме не ниже установленных нормативов финансирования высшего учебного заведения <*>.

    --------------------------------

    <*> Пункт 2 статьи 41 Закона Российской  Федерации "Об образовании"  от 10 июля 1992 г. N 3266-1 (Собрание законодательства  Российской Федерации, 1996, N 3, ст. 150; 2002, N 26, ст. 2517; 2004, N 30, ст. 3086; N 35, ст. 3607; 2005, N 1, ст. 25; 2007, N 17 ст. 1932; N 44, ст. 5280). 

      Высшее учебное заведение, реализующее  основные образовательные программы  бакалавриата, должно располагать  материально-технической базой,  включая приборы, оборудование  и программно-аппаратные средства  специального назначения, обеспечивающей проведение всех видов дисциплинарной и междисциплинарной подготовки, лабораторной, практической и научно-исследовательской работы обучающихся, предусмотренных учебным планом вуза, и соответствующей действующим санитарным и противопожарным правилам и нормам.

    Минимально  необходимый для реализации ООП  бакалавриата перечень материально-технического обеспечения включает в себя:

    Лаборатории в области:

    физики;

    электротехники, электроники и схемотехники;

    сетей и систем передачи информации;

    технической защиты информации;

    аппаратных  средств вычислительной техники;

    программно-аппаратных средств обеспечения информационной безопасности.

    В условиях конкретного вуза возможно объединение по блокам, или, напротив, комплексирование практикума на базе различных лабораторий с учетом профиля подготовки.

    Специально  оборудованные кабинеты и аудитории  в области:

    иностранного  языка;

    информатики;

    технологий  и методов программирования.

    Компьютерные  классы должны быть оборудованы современной  вычислительной техникой для занятий по дисциплинам из расчета одно рабочее место на двух обучаемых при проведении занятий в данных классах.

    При использовании электронных изданий  и проведении самостоятельной подготовки вуз должен обеспечить обучающихся  возможностью выхода в Интернет из расчета не менее одного рабочего места в компьютерном классе на 10 обучающихся по данной ООП.

    Вуз должен быть обеспечен необходимым  комплектом лицензионного программного обеспечения и сертифицированными программными и аппаратными средствами защиты информации. 

Вывод по первой главе:

Основная задача реализации относящихся к управлению ИБ учебных дисциплин –

представить обучающимся  систематизированный подход к проблеме управления ИБ, ознакомить

их с возможными вариантами решений, показать главные  составляющие процесса управления

ИБ, изложить базовые  концептуальные подходы к правильной организации управления ИБ на

основе создания СУИБ с учетом выявленных рисков ИБ, а также научить квалифицированно

разрабатывать документальное обеспечение для  СУИБ, оценивать уровень функционирования

СУИБ, выбирать, применять и самостоятельно разрабатывать  защитные меры и средства

защиты информации (СЗИ) для обеспечения требуемого уровня ИБ. Освоение обучающимися

этих дисциплин  должно способствовать эффективному формированию у них следующих

профессиональных  компетенций:

способность участвовать  в управлении ИБ объекта;

•

способность участвовать  в проектировании и разработке системы  управления ИБ

•

объекта;

способность участвовать  в проведении контрольных мероприятий  по определению

•

эффективности и результативности СУИБ объекта.

Эти профессиональные компетенции необходимы для решения  задач, относящихся к

таким видам  профессиональной деятельности в сфере  управления ИБ, как организационно-

управленческая, проектно-конструкторская или контрольно-аналитическая.

При этом выпускник  образовательного учреждения, прошедший  обучение, должен:

«иметь представление»:

о принципах  построения СУИБ объекта;

•

о современных  подходах к управлению ИБ объекта  и направлениях их развития;

•

о взаимосвязи отдельных процессов управления ИБ в рамках СУИБ;

•

«знать»:

основные международные  и российские стандарты, регламентирующие управление ИБ;

•

принципы разработки процессов управления ИБ;

•

принципы создания основных документов, регламентирующих вопросы управления

•

ИБ;

подходы к интеграции СУИБ в общую систему управления организации;

•

«уметь»:

анализировать текущее состояние ИБ на предприятии  с целью установления требований

•

к разрабатываемым  процессам управления ИБ;

определять цели и задачи, решаемые разрабатываемыми процессами управления ИБ;

•

применять процессный подход к управлению ИБ в различных  сферах деятельности;

•

используя современные  методы и средства, разрабатывать процессы управления ИБ 

2.Подготовка  специалистов разных  странах

Предварительный анализ существующих подходов к построению процесса подготовки специалистов в области защиты информации в США, странах Западной Европы и в некоторых государствах СНГ позволил выделить доминирующие направления и сконцентрировать внимание на рассмотрении существующих подходов к процессу обучения, в основном, в двух странах: США и Россия.

2.1Подготовка  специалистов в  США.

В США  самое серьезное внимание уделяют  проблеме подготовки специалистов для  защиты национальных информационных структур. Важно отметить, что в США очень много внимания уделяется привлечению общественного внимания к проблеме информационной безопасности. В 1998 году был создан Национальный центр защиты инфраструктуры (NIPC), который объединяет представителей органов власти, военных и частного сектора, для защиты национальных инфраструктур. Международная ассоциация специалистов по компьютерным исследованиям (IACIS), обеспечивает обучение в области компьютерных технологий. Успешно функционирует Национальный союз кибербезопасности, созданный совместно правительством и промышленниками США. Цель союза — разработка подходов к проблеме безопасности в киберпространстве, повышение уровня образования в сфере информационной безопасности, привлечение общественного внимания к проблеме кибертерроризма .

Проведенный обзор Интернет-сайтов, посвященных  подготовке специалистов в США, позволил выделить крупнейшие компании, проводящие обучение в области информационной безопасности: Check Point Software Technologies, Cisco Systems, IBM Tivoli Systems Global Security Laboratory, Internet Security Systems, Microsoft, Network Associates, Prosoft Training. Com, Sun Microsystems, Symantec. Среди учебных центров, специализирующихся на подготовке специалистов по защите информации можно отметить: CERT, GIAC, CSI, Cisco Systems .

Помимо  коммерческих компаний, подготовку специалистов в области информационной безопасности осуществляет ряд государственных  структур: аспирантура NAVAL предлагает 12 различных курсов, агентство по защите информационных систем (Defense Information Systems Agency, DISA) – 8 курсов, колледж управления информационными ресурсами (Information Resource Management College)

Для совершенствования  методов обучения в Министерстве обороны создано специальное  подразделение – «Управление  программ по информационной безопасности (Information Assurance Program Office)». Агентство национальной безопасности (NSA) сформировало ещё в 1999 году ряд центров послевузовского образования, а в 2000 году подключило к ним 14 ведущих университетов США. Одновременно Белый Дом приступил к обучению правительственных чиновников (до 10 тыс. человек) в рамках федеральной программы обеспечения безопасности информационных технологий с бюджетом 25 млн. долларов в год.

После трагических событий 11 сентября 2001 года во многих городах США начали регулярно проводиться семинары, конференции, симпозиумы по проблемам киберпреступности и кибертерроризма. Практически на каждой из встреч звучали призывы улучшить подготовку и обучение пользователей компьютеров по информационной безопасности. Так, например, в 2002 году проводился семинар «Компьютерные преступления и безопасность» городов Тампа и Сарасота (штат Флорида), в работе которого, наряду со специалистами по компьютерным технологиями, приняли участие и сотрудники правоохранительных органов . «Как и везде, в мире компьютеров подготовка и обучение играют первостепенную роль», — подчеркивает сотрудник ФБР по компьютерной преступности Хейс. «Организации должны быть уверены, что их пользователи компьютеров знают об опасностях, которые таит в себе Интернет. Пользователям также необходимо следовать политике и правилам той организации, на которую они работают»

Обучение  в США концентрируется, в основном, на подготовке и переподготовке специалистов по техническим аспектам защиты информации. Намечается отставание в подготовке юристов по расследованию компьютерных преступлений. «Мы только начинаем обучение юристов, умеющих вести дела против компаний, которые шли на компромиссы в отношении защиты информации», — отмечает Рэй Каплан (Ray Kaplan), консультант фирмы Security Services, занимающейся защитой корпоративной информации (Ричфилд, шт. Миннесота). По мнению С.Вилдера и Б.Виолино , для успешной борьбы с киберпреступностью необходимо, чтобы, с одной стороны, полицейские академии включали вопросы расследования компьютерных преступлений в основной курс уголовного розыска; с другой стороны – в учебные планы подготовки специалистов по обеспечению информационной безопасности должны быть включены разделы, касающиеся профилактики компьютерных преступлений.

Как видно, сеть подготовки специалистов достаточно развитая. Но даже при таких масштабах, по мнению экспертов, в США ощущается нехватка специалистов в области безопасности информационных систем. На сегодняшний день дефицит таких кадров составляет почти 50000 человек.

Одним из направлений совершенствования  системы подготовки специалистов по защите информации в США видят  в создании международных консорциумов.

Подготовка  кадров по защите информации в США через  международные консорциумы

Интернациональный характер проблемы государственного обеспечения защиты информации требует консолидации и координации усилий всех стран в плане подготовки специалистов по защите информации. США выступили инициаторами создания сети международных консорциумов по подготовке кадров в области защиты информации.

Международный консорциум по сертификации в области безопасности информационных систем International Information Systems Security Certification Consortium, Inc.

Мировым лидером по сертификации специалистов по информационной безопасности является международный консорциум по сертификации в области безопасности информационных систем: International Information Systems Security Certification Consortium, Inc. — (ISC)2, который базируется в Вене и Виржинии, а также имеет офисы в Лондоне и Гонконге. (ISC)2 является головной организацией в обеспечении профессионалов в области информационной безопасности и специалистов-практиков всего мира стандартом профессиональной сертификации, основанном на «Общепринятом объеме знаний» (ISC)2 для специалистов по информационной безопасности. Существуя более 14 лет, (ISC)2 уже сертифицировал тысячи профессионалов в области безопасности более чем 100 стран. К претендентам на получение сертификата Certified Information Systems Security Professional (CISSP) предъявляются достаточно высокие требования. Необходимо иметь опыт не менее 4 лет работы в качестве специалиста по информационной защите (или не менее 3 лет и степень бакалавра), сдать строгий экзамен, подписать Кодекс Этики (ISC)2 и постоянно поддерживать свою квалификацию. Для подтверждения сертификации CISSP не требуется повторной сдачи экзамена, достаточно каждые три года проходить обучение на авторизованных курсах по информационной безопасности и принимать участие в конференциях по этой теме.

Сдача официального экзамена требует от кандидатов детального и всестороннего знания теории и практики информационной безопасности. Вопросы экзамена охватывают широкий диапазон проблем безопасности, основанных на «Общепринятом объеме знаний» (Common Body of Knowledge, «CBK»). СВК состоит из десяти областей (доменов): методы управления информационной безопасностью, архитектура и модели безопасности, методология и системы управления доступом, безопасность разработки приложений и систем, безопасность операций, физическая безопасность, криптография, безопасность телекоммуникаций, сетей и Интернет, планирование непрерывности бизнеса и планирование восстановления после сбоев, законодательство, расследования и этика