Категорирование защищаемых ресурсов –установление градаций важности обеспечения защиты (категорий) ресурсов и отнесение конкретных ресурсов к соответствующим категориям.

Упрощенный алгоритм оценки защищенности объекта информатизации:

Инвентаризация информационных ресурсов и выявление защищаемой информации

Выявлениеисточников потенциально возможных угроз

Выявлениеуязвимыхзвеньев объекта информатизации

Составлениеперечня потенциально возможных угроз

Оценка возм-тиреализации и опасности угроз , составление перечня актуальных угроз

1. Если в файле имеется защищаемая информация , то весь файл подлежит защите и файлу присваивается соответствующий уровень важности;

2. с позиций обеспечения ее конфиденциальности полностью определяетсяприсвоенным ей грифом секретности или конфиденциальности. Для конфиденциальной информации гриф конфиденциальности определяется в зависимости от того, какой круг лиц имеет право ознакомления с ней, и определяется преимущественно пользователем;

3. Градация критичности информации с позиции обеспечения ее целостности или доступности определяется пользователем и зависит от уровня и приемлемости затрат (времени, трудовых ресурсов, финансовых средств) на восстановление целостности или доступности информации;

4. Исполняемые файлы прикладных программ, запуск которых обусловливает доступ к файлам с данными пользователя, имеют не меньшую важность с позиции обеспечения как целостности, так и их доступности, чем сами файлы с данными пользователя;

5. Файлы информации, нарушение целостности или доступности которых приводит к срыву работы ОС, имеют большую важность с позиции обеспечения их целостности или доступности, чем остальные хранящиеся в системе файлы;

6. Если в помещении хранится конфиденциальная информация или помещение выделено для конфиденциальных переговоров, то считается, что распространяемая в ходе разговоров должностных лиц или при передаче по линиям связи информация имеет высший уровень конфиденциальности, предусмотренный для данного помещения, то есть, возможна утечка информации с наибольшим уровнем критичности для данного помещения.

создание нормативно-методической основы для дифференц-го подхода к защ. ресурсов автоматиз. системы на основе их классификации по степени риска в случае нарушения их доступности, целостности или конфиденциальности;

типизацию принимаемых организационных мер и распределения аппаратно-программных средств защиты ресурсов по АРМ АС организации и унификацию их настроек.

«высокая » - к данной категории относится несекретная информация, являющаяся конфиденциальной в соответствии с требованиями действующего законодательства РФ (банковская тайна, персональные данные);

«низкая » - к данной категории относится конфиденциальная информация, не отнесенная к категории «высокая», ограничения на распространение которой вводятся решением руководства организации в соответствии с предоставленными ей как собственнику информации действующим законодательством правами;

«нет требований » - к данной категории относится информация, обеспечения конфиденциальности (введения ограничений на распространение) которой не требуется.

«высокая » - к данной категории относится информация, несанкционированная модификация или фальсификация которой может привести к нанесению значительного прямого ущерба организации, ее клиентам и корреспондентам, целостность и аутентичность кот.должна обеспечиваться гарантированными методами в соответствии с обязательными требованиями действующего законодательства;

«низкая » - к данной категории относится инфа, несанкционированная модификация, удаление или фальсификация которой может привести к нанесению незначительного косвенного ущерба организации, ее клиентам и корреспондентам, целостность (а при необходимости и аутентичность) которой должна обеспечиваться в соответствии с решением руководства организации (методами подсчета контрольных сумм, ЭЦП и т.п.);

«нет требований » - к данной категории относится информация, к обеспечению целостности (и аутентичности) которой требований не предъявляется.

Требуемые степени доступности функциональных задач:

«беспрепятственная доступность » – к задаче должен обеспечиваться доступ в любое время (задача решается постоянно, задержка получения результата не должна превышать нескольких секунд или минут);

«высокая доступность » – доступ к задаче должен осуществляться без существенных временных задержек (задача решается ежедневно, задержка получения результата не должна превышать нескольких часов);

«средняя доступность » – доступ к задаче может обеспечиваться с существенными временными задержками (задача решается раз в несколько дней, задержка получения результата не должна превышать нескольких дней);

«низкая доступность » – временные задержки при доступе к задаче практически не лимитированы (задача решается с периодом в несколько недель или месяцев, допустимая задержка получения результата – несколько недель).

Категории АРМ. В зависимости от категорий решаемых на АРМ задач устан-ся 4 категории АРМ: «A », «B », «C » и «D ». К группе АРМ категории «A» относятся АРМ, на кот.решается хотя бы одна функц. задача первой категории. Категории остальных задач, решаемых на данном АРМ, не должны быть ниже второй. К группе АРМ категории «B» относятся АРМ, на которых решается хотя бы одна функциональная задача второй категории. Категории остальных задач, решаемых на данном АРМ, должны быть не ниже третьей и не выше второй. К группе АРМ категории «C» относятся АРМ, на которых решается хотя бы одна функциональная задача третьей категории. Категории остальных задач, решаемых на данном АРМ, должны быть не выше третьей. К группе АРМ категории «D» относятся АРМ, на которых решаются функциональные задачи только четвертой категории.

Категорирование информации по важности существует объективно и не зависит от желаний руководства, поскольку определяется механизмом деятельности банка и характеризует опасность уничтожения либо модификации информации. Можно указать много вариантов такого категорирования. Здесь приводится наиболее простой :

1. Важная информация - незаменимая и необходимая для деятельности банка информация, процесс восстановления которой после уничтожения невозможен либо очень трудоемок и связан с большими затратами, а ее ошибочное изменение или подделка приносит большой ущерб.

2. Полезная информация - необходимая информация, которая может быть восстановлена без больших затрат, причем ее модификация или уничтожение приносит относительно небольшие материальные потери.

Категорирование информации по конфиденциальности выполняется субъективно руководством или персоналом в соответствии с выделенными ему полномочиями в зависимости от риска ее разглашения. Для деятельности коммерческого банка достаточно двух степеней градации.

1. Конфиденциальная информация - информация, доступ к которой для части персонала или посторонних лиц нежелателен, так как может вызвать материальные и моральные потери.

2. Открытая информация - информация, доступ к которой посторонних не связан ни с какими потерями.

Руководство должно принять решение о том, кто и каким образом будет определять степень важности и конфиденциальности информации. Без такого решения невозможна никакая целесообразная работа по созданию банковской электронной системы.

План защиты

Анализ риска завершается принятием политики безопасности и составлением плана защиты со следующими разделами:

1. Текущее состояние. Описание статуса системы защиты в момент подготовки плана.

3. Ответственность. Список ответственных сотрудников и зон ответственности.

4. Расписание. Определение порядка работы механизмов защиты, в том числе и средств контроля.

5. Пересмотр положений плана, которые должны периодически пересматриваться.

Ключевым вопросом начального этапа создания системы безопасности является назначение ответственных за безопасность системы и разграничение сфер их деятельности. Как правило, при начальной постановке таких вопросов выясняется, что за этот аспект безопасности организации никто отвечать не хочет. Системные программисты и администраторы систем склонны относить эту задачу к компетенции общей службы безопасности, тогда как последняя, в свою очередь, считает, что подобная проблема должна находиться в компетенции специалистов по компьютерам.

Положения о безопасности

При решении вопросов распределения ответственности за безопасность компьютерной системы необходимо учитывать следующие положения :

1. никто, кроме руководства, не может принять основополагающих решений в области политики компьютерной безопасности;

2. никто, кроме специалистов, не сможет обеспечить правильное функционирование системы безопасности;

3. никакая внешняя организация или группа специалистов жизненно не заинтересованы в экономической эффективности мер безопасности.

К области стратегических решений при создании системы компьютерной безопасности должна быть отнесена разработка общих требований к классификации данных, хранимых и обрабатываемых компьютерной системой. Во многих случаях существует путаница между понятиями конфиденциальности (секретности) и важности информации.

Сегодня вряд ли удастся найти организацию, в которой никто и никогда не задумывался бы о защите информации. Вместе с тем не всегда можно встретить правильное понимание информационной безопасности как комплекса организационных и технических мероприятий. Важнейшим элементом ее обеспечения является человек, и он же - основной фактор ее нарушения.

Информационная безопасность должна восприниматься как комплекс организационно-технических мер, поскольку обеспечить конфиденциальность, целостность и доступность нельзя ни отдельно взятыми техническими мерами, ни только организационными.

Скажем, вы решили обеспечивать защиту только техническими мерами, при этом организационные документы у вас полностью отсутствуют. Так часто бывает, если защитой занимается отдел ИТ или начальник отдела информационной безопасности (ИБ) - бывший представитель ИТ-структур. Что в этом случае произойдет? Предположим, что один из сотрудников компании систематически передает конфиденциальную информацию по электронной почте конкурентам. Вы обнаружили утечку, но документов у вас нет, следовательно, наказать сотрудника (например, уволить его) вы просто не имеете права. А если вы это сделаете, умный злоумышленник подаст на вас в суд за нарушение его конституционных прав на личную переписку. Самое печальное в том, что юридически он будет абсолютно прав: внутри вашей организации не документировано, что вся информация, передаваемая средствами электронной почты с адресов, принадлежащих вашей организации, является собственностью фирмы.

Рассмотрим вторую крайность. Она, как правило, характерна для бывших военнослужащих и сотрудников спецслужб. У вас подготовлены великолепные документы, но абсолютно отсутствует их техническая поддержка. Что произойдет в таком случае? Ваши сотрудники рано или поздно нарушат положения организационных документов и, увидев, что их никто не контролирует, будут делать это систематически.

Таким образом, информационная безопасность - гибкая система, включающая в себя как организационные, так и технические меры. При этом нужно понимать, что здесь нельзя выделить более значимые меры или менее значимые. Важно всё. Нужно соблюдать меры защиты во всех точках сети, при работе любых субъектов с вашей информацией. (Под субъектом в данном случае понимается пользователь системы, процесс, компьютер или программное обеспечение для обработки информации). Каждый информационный ресурс, будь то компьютер пользователя или сервер организации, должен быть полностью защищен. Защищены должны быть файловые системы, сеть и т. д. Способы реализации мы здесь обсуждать не будем.

Существует огромное количество программного обеспечения, направленного на решение задачи защиты информации. Это и антивирусные программы, и сетевые экраны, и встроенные средства операционных систем. Однако самым уязвимым фактором всегда остается человек. Работоспособность любого программного обеспечения зависит от качества его написания, от грамотности администратора, который его настроил.

Многие организации в связи с этим создают отделы защиты информации или ставят задачи по обеспечению безопасности информации перед своими ИТ-отделами. Но не раз уже говорилось, что нельзя взваливать на ИТ-службу не свойственные ей функции. Предположим, что в вашей организации создан отдел ИТ-безопасности. Что делать дальше? С чего начинать его деятельность?

Первые шаги отдела ИБ

На мой взгляд, начинать нужно с обучения сотрудников! И в дальнейшем делать это не реже двух раз в год. Обучение обычного персонала основам защиты информации должно стать постоянным делом сотрудников отдела защиты информации!

Многие руководители пытаются сразу же получить от отдела защиты информации документ под названием «Политика безопасности». Это ошибка. Перед тем как вы сядете за написание этого серьезнейшего документа, который будет определять в дальнейшем все ваши усилия по обеспечению информационной безопасности вашей организации, нужно задать себе следующие вопросы:

Какую информацию вы обрабатываете?

Как ее классифицировать?

Какими ресурсами вы обладаете?

Как распределена обработка информации по ресурсам?

Как классифицировать ресурсы?

Постараемся ответить на эти вопросы.

Классификация информации

В нашей стране исторически сложился подход к классификации информации (в первую очередь государственной) по уровням требований к ее защищенности исходя из одного ее свойства - конфиденциальности (секретности).

Требования к обеспечению целостности и доступности информации, как правило, лишь косвенно упоминаются среди общих требований к системам обработки данных.

Если такой подход в какой-то степени оправдан для обеспечения безопасности информации, составляющей государственную тайну, то это не означает, что перенос его в другую предметную область (с другими субъектами и их интересами) будет правильным.

Во многих областях доля конфиденциальной информации сравнительно мала. Для открытой информации, ущерб от разглашения которой несущественен, важнейшими являются совершенно другие свойства, скажем такие, как доступность, целостность или защищенность от неправомерного тиражирования. К примеру, для платежных (финансовых) документов самым важным является их целостность (достоверность). Затем следует свойство доступности (потеря платежного документа или задержка платежей может обходиться очень дорого). Требования к обеспечению конфиденциальности платежных документов, как правило, находятся на третьем месте.

Для сайта Internet-газеты на первом месте будет стоять доступность и целостность информации, а не ее конфиденциальность. Попытки подойти к решению вопросов защиты такой информации с позиций традиционного обеспечения только конфиденциальности, терпят провал. Основными причинами этого являются узость традиционного подхода к защите информации, отсутствие у отечественных специалистов опыта и соответствующих проработок в плане обеспечения целостности и доступности информации, не являющейся конфиденциальной.

Для усовершенствования классификации информации в зависимости от требований к ее защищенности следует ввести несколько степеней (градаций, категорий) требований по обеспечению каждого из свойств безопасности информации: доступности, целостности, конфиденциальности.

Количество градаций и вкладываемый в них смысл могут различаться.

Исходя из необходимости обеспечить различные уровни защиты разных видов информации (не содержащей сведений, составляющих государственную тайну), хранимой и обрабатываемой в организации, введем несколько категорий конфиденциальности и целостности защищаемой информации.

«Строго конфиденциальная» - информация, являющаяся конфиденциальной в соответствии с требованиями действующего законодательства (банковская тайна, персональные данные), а также информация, ограничения на распространение которой введены решениями руководства организации (коммерческая тайна), разглашение которой может привести к тяжким финансово-экономическим последствиям для организации, вплоть до банкротства (нанесению тяжкого ущерба жизненно важным интересам клиентов, корреспондентов, партнеров или сотрудников).

«Конфиденциальная» - информация, не отнесенная к категории «строго конфиденциальная», ограничения на распространение которой вводятся решением руководства организации в соответствии с предоставленными ему как собственнику (уполномоченному собственником лицу) информации действующим законодательством правами, разглашение которой может привести к значительным убыткам и потере конкурентоспособности организации (нанесению ощутимого ущерба интересам клиентов, корреспондентов, партнеров или сотрудников).

«Открытая» - информация, обеспечения конфиденциальности (введения ограничений на распространение) которой не требуется.

«Высокая» - к данной категории относится информация, несанкционированная модификация (искажение, подмена, уничтожение) или фальсификация (подделка) которой может привести к нанесению значительного прямого ущерба организации, целостность и аутентичность (подтверждение подлинности источника) которой должна обеспечиваться гарантированными методами (средствами электронной цифровой подписи, ЭЦП) в соответствии с обязательными требованиями действующего законодательства, приказов, директив и других нормативных актов.

«Низкая» - к данной категории относится информация, несанкционированная модификация, подмена или удаление которой может привести к нанесению незначительного косвенного ущерба организации, ее клиентам, партнерам или сотрудникам, целостность которой должна обеспечиваться в соответствии с решением руководства (методами подсчета контрольных сумм, хеш-функций).

«Нет требований» - к данной категории относится информация, к обеспечению целостности (и аутентичности) которой требований не предъявляется.

В зависимости от периодичности решения функциональных задач и максимально допустимой задержки получения результатов вводится четыре требуемых степени (категории) доступности информации.

«Беспрепятственная доступность» - доступ к задаче должен обеспечиваться в любое время (задача решается постоянно, задержка получения результата не должна превышать нескольких секунд или минут).

«Высокая доступность» - доступ должен осуществляться без существенных задержек по времени (задача решается ежедневно, задержка получения результата не должна превышать нескольких часов).

«Средняя доступность» - доступ может обеспечиваться с существенными задержками по времени (задача решается раз в несколько дней, задержка получения результата не должна превышать нескольких дней).

«Низкая доступность» - задержки по времени при доступе к задаче практически не лимитированы (задача решается с периодом в несколько недель или месяцев, допустимая задержка получения результата - несколько недель).

На первом этапе работ производится категорирование всех видов информации, используемой при решении задач на конкретном компьютере (установление категорий конфиденциальности и целостности конкретных видов информации). Составляется «Перечень информационных ресурсов, подлежащих защите».

На втором этапе происходит категорирование всех функциональных задач, решаемых на данном компьютере. В ходе третьего этапа устанавливается категория компьютера, исходя из максимальных категорий обрабатываемой информации и задач, решаемых на нем.

После того как вы распределили обрабатываемую у вас информацию по соответствующим категориям, следует провести инвентаризацию ресурсов.

Категорирование ресурсов подразумевает выявление (инвентаризацию) и анализ всех ресурсов информационной системы организации, подлежащих защите. Вот примерная последовательность и основное содержание этих работ.

Прежде всего для анализа всех подсистем информационной системы организации, инвентаризации и категорирования ресурсов, подлежащих защите, формируется специальная рабочая группа. В ее состав включаются специалисты (осведомленные в вопросах технологии автоматизированной обработки информации) подразделения компьютерной безопасности и других подразделений организации.

Издается распоряжение руководства организации, в котором, в частности, даются указания всем руководителям структурных подразделений оказывать содействие и помощь рабочей группе в проведении анализа ресурсов всех компьютеров.

Для оказания помощи должны выделяться сотрудники, владеющие детальной информацией по вопросам автоматизированной обработки информации в подразделениях.

В ходе обследования конкретных подразделений организации и подсистем информационной системы предприятия выявляются и описываются все функциональные задачи, решаемые с использованием компьютеров, а также все виды сведений, используемые при решении этих задач в подразделениях.

После этого составляется общий перечень функциональных задач и для каждой задачи оформляется формуляр. Следует учитывать, что одна и та же задача в разных подразделениях может называться по-разному, и наоборот, различные задачи могут иметь одно и то же название. Одновременно ведется учет программных средств, используемых при решении функциональных задач подразделения.

При обследовании подсистем и анализе задач выявляются все виды входящей, исходящей, хранимой, обрабатываемой и т. п. информации. Необходимо выявлять не только информацию, которая может быть отнесена к конфиденциальной (к банковской и коммерческой тайне, персональным данным), но и информацию, подлежащую защите в силу того, что нарушение ее целостности или доступности может нанести ощутимый ущерб организации.

Выявляя все виды информации, циркулирующей и обрабатываемой в подсистемах, необходимо оценивать последствия, к которым могут привести нарушения ее свойств. Для получения первоначальных оценок целесообразно проводить опрос (например, в форме анкетирования) специалистов, работающих с данной информацией. При этом надо выяснять, кого может интересовать данная информация, как можно на нее воздействовать или незаконно использовать, к каким последствиям это может привести.

Если невозможно количественно оценить вероятный ущерб, то дается его качественная оценка (например: очень низкая, низкая, средняя, высокая, очень высокая).

При составлении перечня и формуляров функциональных задач, решаемых в организации, необходимо выяснять периодичность их решения, максимально допустимое время задержки получения результатов и степень серьезности последствий, к которым могут привести нарушения их доступности (блокирование возможности решения задач).

Все выявленные в ходе обследования виды информации заносятся в соответствующий документ.

Далее необходимо определить, к какому типу тайны (банковская, коммерческая, персональные данные, не составляющая тайны) относится каждый из выявленных видов информации (на основании требований действующего законодательства и предоставленных организации прав).

Первоначальные предложения по оценке категорий обеспечения конфиденциальности и целостности конкретных видов информации выясняются у руководителей (ведущих специалистов) структурного подразделения (на основе их личных оценок вероятного ущерба вследствие нарушения свойств конфиденциальности и целостности информации). Затем перечень согласовывается с руководителями отделов подразделений автоматизации и компьютерной безопасности и выносится на рассмотрение руководства организации.

На следующем этапе происходит категорирование функциональных задач. На основе требований по доступности, предъявляемых руководителями подразделений организации и согласованных со службой ИТ, категорируются все прикладные функциональные задачи, решаемые в подразделениях с использованием компьютерной техники. Информация заносится в формуляры задач. Не следует проводить категорирование системных задач и программных средств вне привязки к конкретным компьютерам и прикладным задачам.

В дальнейшем с участием ИТ-специалистов и подразделения ИБ необходимо уточнить состав информационных и программных ресурсов каждой задачи и внести в ее формуляр сведения по группам пользователей задачи и указания по настройке применяемых при ее решении средств защиты. Эти данные будут использоваться в качестве эталона настроек средств защиты соответствующих компьютеров, а также для контроля правильности их установки.

На последнем этапе устанавливается категорирование компьютеров, исходя из максимальной категории специальных задач, решаемых на нем, и максимальных категорий конфиденциальности и целостности информации, используемой при решении этих задач. Информация о категории компьютера заносится в его формуляр.

В понятие инвентаризации ресурсов входит не только сверка активных и пассивных сетевых ресурсов, которыми вы обладаете, со списком оборудования (и его комплектности), закупленного организацией. Для сверки оборудования и его комплектности можно воспользоваться соответствующим программным обеспечением (например, Microsoft SMS Server) и т. п.

Сюда же можно отнести создание карты сети с описанием всех возможных точек подключения, составление списка используемого программного обеспечения, формирование фонда эталонов лицензионного программного обеспечения, используемого в организации, а также фонда алгоритмов и программ собственной разработки.

Следует учесть, что программное обеспечение может быть допущено к работе лишь после его проверки отделом защиты информации на соответствие поставленным задачам, отсутствие всевозможных закладок и «логических бомб».

Хотелось бы сказать о появившейся у нас тенденции к использованию приложений с открытыми кодами. Бесспорно, они приносят существенную экономию ресурсов. Однако, думается, в этом случае безопасность определяется доверием уже не только к разработчику системы, но и к вашему администратору. А если принять во внимание зарплату администратора, то нетрудно сделать вывод, что купить ваши секреты намного проще и дешевле, чем осуществлять прямую внешнюю атаку. Стоит упомянуть и о том, что большую часть успешных атак осуществили инсайдеры (служащие самой компании).

Думается, что применять свободно распространяемое ПО, если существует риск нанесения серьезного ущерба, можно лишь при условии, что оно будет поставляться вам в откомпилированном виде и с цифровой подписью организации, гарантирующей отсутствие логических бомб, всяческого рода закладок и «черных ходов». Причем организация-гарант должна нести материальную ответственность. Однако на сегодня такое предложение стоит отнести к разряду нереальных.

После проверки эталонное программное обеспечение заносится в фонд алгоритмов и программ (эталонная копия должна сопровождаться файлом контрольной суммы, а лучше - электронной подписью разработчика). В дальнейшем, при смене версий, появлении обновлений, проверка программного обеспечения производится установленным порядком.

В формуляр каждого компьютера заносятся сведения об установленном программном обеспечении, указывается дата установки, цели, решаемые с помощью данного ПО, задачи, ставится фамилия и подпись лица, производившего установку и настройку ПО. После создания подобных формуляров служба информационной безопасности должна обеспечивать регулярную проверку соответствия реального положения формуляру.

Следующим этапом в построении службы защиты информации должен стать анализ рисков организации, на основе которого будет создаваться политика безопасности.

Документированная информация категории ограниченного доступа по условиям ее правового режима подразделяется на информацию, отнесенную к государственной тайне, и конфиденциальную информацию.

Информация является секретной, если она содержит сведения, отнесенные к государственной тайне.

Государственной тайной называют защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации.

Степень секретности сведений, составляющих государственную тайну, должна соответствовать степени тяжести ущерба, который может быть нанесен безопасности Российской Федерации вследствие распространения указанных сведений.

Устанавливаются три степени секретности сведений, составляющих государственную тайну, и соответствующие этим степеням грифы секретности для носителей указанных сведении: особой важности, совершенно секретно и секретно. Грифом секретности называют реквизиты (проставляются на самом носителе и (или) в сопроводительной документации на него), свидетельствующие о степени секретности сведений, содержащихся в их носителе.

К сведениям особой важности относятся сведения в военной, внешнеполитической, экономической, научно-технической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб интересам Российской Федерации в указанных областях.

Совершенно секретными сведениями называются сведения в области военной, внешнеполитической, экономической, научно-технической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб интересам министерства (ведомства) или отрасли экономики Российской Федерации в одной или нескольких из перечисленных областей.

К секретным сведениям следует отнести сведения, содержащие государственную тайну, распространение которых может нанести ущерб интересам предприятия, учреждения или организации в военной, внешнеполитической, экономической, научно-технической, разведывательной, контрразведывательной или оперативно-розыскной деятельности.

Конфиденциальной информацией называют документированную информацию, доступ к которой ограничивается в соответствии с законодательством Российской Федерации.

Конфиденциальная информация может быть личной, служебной, коммерческой, судебно-следственной, профессиональной, производственной.

К конфиденциальной личной информации относится информация, содержащая персональные данные (сведения о фактах, событиях и обстоятельствах частной жизни гражданина), позволяющие идентифицировать его личность, за исключением сведений, подлежащих распространению в средствах массовой информации в установленном порядке.

Служебной тайной называют защищаемые сведения, не являющиеся государственной тайной, несанкционированное распространение которых служащим, которому эти сведения были доверены в связи с исполнением им должностных обязанностей, может нанести ущерб органам государственной власти, государственным предприятиям, учреждениям, организациям или нарушить их функционирование.

К коммерческой тайне относятся сведения, содержащие действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам. К ней нет свободного доступа на законном основании, и обладатель информации принимает меры по охране ее конфиденциальности.

Судебно-следственная конфиденциальная информация содержит сведения, составляющие тайну следствия и судопроизводства.

К профессиональной конфиденциальной информации относится информация, содержащая сведения, связанные с профессиональной деятельностью, доступ к которым ограничен законами (врачебными, нотариальными, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных и иных сообщений).

Производственная конфиденциальная информация содержит сведения о сущности изобретения, полезной модели или промышленного образца до официальной публикации информации о них.

В зависимости от степени секретности обрабатываемой информации объекты ВТ и выделенные помещения также категорируются.

При определении категорий объектов информатики технические средства и системы могут быть составной частью стационарных или подвижных объектов. В пределах одной контролируемой зоны могут располагаться несколько объектов, в том числе имеющих разные категории. Категория объекта определяется высшим грифом обрабатываемой информации.

Условия расположения считаются особыми, если объект информатики расположен на удалении менее 100 м от учреждений иностранных государств (посольств, консульств, миссий, постоянных представительств иностранных государств, офисов иностранных и совместных с инофирмами предприятий, квартир и дач их иностранных сотрудников, пользующихся экстерриториальностью).

Если объект информатики расположен на расстоянии более 100 м от учреждений иностранных государств, то условия расположения считаются обычными.

К первой категории относят объекты информатики, где обрабатывается информация особой важности, независимо от условий их расположения, а также совершенно секретная информация при расположении объектов ВТ и выделенных помещений в особых условиях.

Объекты ВТ, где обрабатывается информация с грифом «совершенно секретно» при обычных условиях расположения и «секретно» в особых условиях, относятся ко второй категории.

Если объект ВТ расположен в обычных условиях и на объекте обрабатывается информация с грифом «секретно», то объект ВТ относится к третьей категории.

По требованиям обеспечения защиты информации объекты органов управления, военные и промышленные объекты делятся на 3 категории:

· первая – объекты, при строительстве, реконструкции и эксплуатации которых необходимо сокрытие или искажение информации об их местоположении, предназначении или профиле деятельности;

· вторая – объекты, на которых необходимо обеспечить защиту информации, циркулирующей в технических средствах, а также информации о разрабатываемых (производимых, испытываемых) или эксплуатируемых образцах вооружения и военной техники или о производствах и технологиях, подлежащих защите;

· третья – объекты, на которых необходимо обеспечить защиту информации, циркулирующей в технических средствах, а также предприятия, проводящие в инициативном порядке и на основе самофинансирования научно-исследовательские и опытно-конструкторские работы, необходимость защиты информации о которых может появиться в ходе проводимых работ.

Защищаемая информация (информация, подлежащая защите) - информация (сведения), являющаяся предметом собственности и подлежащая защите в соответствии с требованиями законодательных и иных нормативных документов или в соответствии с требованиями, устанавливаемыми собственником информации (Банком).

Защищаемые ресурсы информационной банковской системы (ресурсы ИБС подлежащие защите) - информация, функциональные задачи, каналы передачи информации, рабочие места, подлежащие защите с целью обеспечения информационной безопасности Банка, его клиентов и корреспондентов.

Защищаемое рабочее место (РМ) - объект защиты (персональный компьютер с соответствующим набором программных средств и данных), для которого признана необходимость установления регламентированного режима обработки информации и характеризуемого:

• местоположением, а также степенью его физической доступности для посторонних лиц (клиентов, посетителей, сотрудников, не допущенных к работе с РМ и т.п.);

  составом аппаратных средств;

  составом программных средств и решаемых на нем задач (определенных категорий доступности);

  составом хранимой и обрабатываемой на РМ информации (определенных категорий конфиденциальности и целостности).

Формуляр РМ - документ установленной формы (Приложение 3), фиксирующий характеристики РМ (местоположение, конфигурацию аппаратных и программных средств, перечень решаемых на РМ задач и др.) и удостоверяющий возможность эксплуатации данного РМ (свидетельствующий о выполнении требований по защите обрабатываемой на РМ информации в соответствии с категорией данного РМ).

Защищаемая задача - функциональная задача, решаемая на отдельном РМ, для которой признана необходимость установления регламентированного режима обработки информации и характеризуемая:

• совокупностью используемых при решении ресурсов (программных средств, наборов данных, устройств);

  периодичностью решения;

  максимально допустимым временем задержки получения результата решения задачи.

Формуляр задачи - документ установленной формы (Приложение 2), фиксирующий характеристики задачи (ее наименование, назначение, тип, используемые при ее решении ресурсы, группы пользователей данной задачи, их права доступа к ресурсам задачи и др.).

Защищаемый канал передачи информации - путь, по которому передается защищаемая информация. Каналы делятся на физические (от одного устройства к другому) и логические (от одной задачи к другой).

Конфиденциальность информации - субъективно определяемая (приписываемая) информации характеристика (свойство), указывающая на необходимость введения ограничений на круг субъектов (лиц), имеющих доступ к данной информации, и обеспечиваемая способностью системы (среды) сохранять указанную информацию в тайне от субъектов, не имеющих полномочий на доступ к ней.

Целостность информации - свойство информации, заключающееся в ее существовании в неискаженном виде (неизменном по отношению к некоторому фиксированному ее состоянию).

Доступность информации (задачи) - свойство системы обработки (среды), в которой циркулирует информация, характеризующееся способностью обеспечивать своевременный беспрепятственный доступ субъектов к интересующей их информации (при наличии у субъектов соответствующих полномочий на доступ) и готовность соответствующих автоматизированных служб (функциональных задач) к обслуживанию поступающих от субъектов запросов всегда, когда в обращении к ним возникает необходимость.

1. Общие положения

1.1. Настоящим Положением вводятся категории (градации важности обеспечения защиты) ресурсов и устанавливается порядок категорирования ресурсов информационной системы, подлежащих защите (отнесения их к соответствующим категориям с учетом степени риска нанесения ущерба Банку, ее клиентам и корреспондентам в случае несанкционированного вмешательства в процесс функционирования ИБС и нарушения целостности или конфиденциальности обрабатываемой информации, блокирования информации или нарушения доступности решаемых ИБС задач).

1.2. Категорирование ресурсов (определение требований к защите ресурсов) ИБС является необходимым элементом организации работ по обеспечению информационной безопасности Банка и имеет своими целями:

создание нормативно-методической основы для дифференцированного подхода к защите ресурсов автоматизированной системы (информации, задач, каналов, РМ) на основе их классификации по степени риска в случае нарушения их доступности, целостности или конфиденциальности;

типизацию принимаемых организационных мер и распределения аппаратно-программных средств защиты ресурсов по РМ ИБС и унификацию их настроек.

2. Категории защищаемой информации

2.1. Исходя из необходимости обеспечения различных уровней защиты разных видов информации, хранимой и обрабатываемой в ИБС, а также с учетом возможных путей нанесения ущерба Банку, ее клиентам и корреспондентам вводится три категории конфиденциальности защищаемой информации и три категории целостности защищаемой информации.

«ВЫСОКАЯ» - к данной категории относится несекретная информация, являющаяся конфиденциальной в соответствии с требованиями действующего законодательства Российской Федерации (банковская тайна, персональные данные);

«НИЗКАЯ» - к данной категории относится конфиденциальная информация, не отнесенная к категории «ВЫСОКАЯ», ограничения на распространение которой вводятся решением руководства Банка в соответствии с предоставленными ей как собственнику (уполномоченному собственником лицу) информации действующим законодательством правами;

«НЕТ ТРЕБОВАНИЙ» - к данной категории относится информация, обеспечения конфиденциальности (введения ограничений на распространение) которой не требуется.

«ВЫСОКАЯ» - к данной категории относится информация, несанкционированная модификация (искажение, уничтожение) или фальсификация которой может привести к нанесению значительного прямого ущерба Банку, ее клиентам и корреспондентам, целостность и аутентичность (подтверждение подлинности источника) которой должна обеспечиваться гарантированными методами (например, средствами электронной цифровой подписи) в соответствии с обязательными требованиями действующего законодательства;

«НИЗКАЯ» - к данной категории относится информация, несанкционированная модификация, удаление или фальсификация которой может привести к нанесению незначительного косвенного ущерба Банку, ее клиентам и корреспондентам, целостность (а при необходимости и аутентичность) которой должна обеспечиваться в соответствии с решением руководства Банка (методами подсчета контрольных сумм, ЭЦП и т.п.);

«НЕТ ТРЕБОВАНИЙ» - к данной категории относится информация, к обеспечению целостности (и аутентичности) которой требований не предъявляется.

2.2. С целью упрощения операций по категорированию задач, каналов и РМ категории конфиденциальности и целостности защищаемой информации объединяются и устанавливаются четыре обобщенных категории информации: «жизненно важная», «очень важная», «важная» и «не важная». Отнесение информации к той или иной обобщенной категории осуществляется на основе ее категорий конфиденциальности и целостности в соответствии с Таблицей 1.

Таблица 1

1 – «Жизненно важная» информация

2 – «Очень важная» информация

3 – «Важная» информация

4 – «Не важная» информация

3. Категории функциональных задач

3.1. В зависимости от периодичности решения функциональных задач и максимально допустимой задержки получения результатов их решения вводится четыре требуемых степени доступности функциональных задач.

Требуемые степени доступности функциональных задач:

«БЕСПРЕПЯТСТВЕННАЯ ДОСТУПНОСТЬ» – к задаче должен обеспечиваться доступ в любое время (задача решается постоянно, задержка получения результата не должна превышать нескольких секунд или минут);

«ВЫСОКАЯ ДОСТУПНОСТЬ» – доступ к задаче должен осуществляться без существенных временных задержек (задача решается ежедневно, задержка получения результата не должна превышать нескольких часов);

«СРЕДНЯЯ ДОСТУПНОСТЬ» – доступ к задаче может обеспечиваться с существенными временными задержками (задача решается раз в несколько дней, задержка получения результата не должна превышать нескольких дней);

«НИЗКАЯ ДОСТУПНОСТЬ» – временные задержки при доступе к задаче практически не лимитированы (задача решается с периодом в несколько недель или месяцев, допустимая задержка получения результата - несколько недель).

3.2. В зависимости от обобщенной категории защищаемой информации, используемой при решении задачи, и требуемой степени доступности задачи устанавливаются четыре категории функциональных задач: «первая», «вторая», «третья» и «четвертая» (в соответствии с Таблицей 2).

Таблица 2

Определение категории функциональной задачи
Обобщенная категория информации	Требуемая степень доступности задачи
	«Беспрепятственная доступность»	«Высокая доступность»	«Средняя доступность»	«Низкая доступность»
«Жизненно важная»	1	1	2	2
«Очень важная»	1	2	2	3
«Важная»	2	2	3	3
«Не важная»	2	3	3	4

4. Требования по обеспечению безопасности каналов передачи защищаемой информации (категории каналов)

4.1. Требования по обеспечению безопасности (категории) логического канала передачи защищаемой информации определяются по максимальной категории двух задач, между которыми данный канал установлен.

5. Категории РМ

5.1. В зависимости от категорий решаемых на РМ задач устанавливаются четыре категории РМ: «A», «B», «C» и «D».

5.3. К группе РМ категории «B» относятся РМ, на которых решается хотя бы одна функциональная задача второй категории. Категории остальных задач, решаемых на данном РМ, должны быть не ниже третьей и не выше второй.

5.4. К группе РМ категории «C» относятся РМ, на которых решается хотя бы одна функциональная задача третьей категории. Категории остальных задач, решаемых на данном РМ, должны быть не выше третьей.

Таблица 3

5.6. Требования по обеспечению безопасности РМ различных категорий (по применению соответствующих мер и средств защиты) приведены в Приложении 5.

6. Порядок определения категорий защищаемых ресурсов ИБС

6.1. Категорирование проводится на основе инвентаризации ресурсов информационной банковской системы (РМ, задач, информации) и предполагает составление и последующее ведение (поддержание в актуальном состоянии) перечней (совокупностей формуляров) ресурсов ИБС, подлежащих защите.

6.2. Ответственность за составление и ведение перечней ресурсов ИБС возлагается:

в части составления и ведения перечня РМ (с указанием их размещения, закрепления за подразделениями Банка, состава и характеристик, входящих в его состав технических средств) - на Управление информационных технологий (далее УИТ);

в части составления и ведения перечня системных и прикладных (специальных) задач, решаемых на РМ (с указанием перечней используемых при их решении ресурсов - устройств, каталогов, файлов с информацией) - на отдел технического обеспечения УИТ.

6.3. Ответственность за определение требований к обеспечению конфиденциальности, целостности, доступности и присвоение соответствующих категорий ресурсам конкретных РМ (информационным ресурсам и задачам) возлагается на подразделения Банка, которые непосредственно решают задачи на данных РМ (владельцев информации), и отдел информационной безопасности.

6.4. Утверждение назначенных в соответствии с настоящим «Положением о категорировании ресурсов ИБС» категорий информационных ресурсов ИБС производится Председателем Правления Банка.

6.6. Категорирование ресурсов ИБС может осуществляться последовательно для каждого РМ в отдельности с последующим объединением и формированием единых перечней ресурсов ИБС подлежащих защите:

перечня информационных ресурсов ИБС, подлежащих защите (Приложение 2);

перечня подлежащих защите задач (совокупности формуляров задач);

перечня подлежащих защите РМ (совокупности формуляров РМ).

На первом этапе работ по категорированию ресурсов конкретного РМ производится категорирование всех видов информации, используемой при решении задач на данном РМ. Обобщенные категории информации определяются на основе установленных категорий конфиденциальности и целостности конкретных видов информации. Подлежащие защите информационные ресурсы включаются в «Перечень информационных ресурсов, подлежащих защите».

На втором этапе, с учетом обобщенных категорий информации, используемой при решении задач, установленных ранее, и требований к степени доступности задач происходит категорирование всех функциональных задач, решаемых на данном РМ.

На четвертом этапе, на основании категорий взаимодействующих задач устанавливается категория логических каналов передачи информации между функциональными задачами (на разных РМ). 6.7. Переаттестация (изменение категории) информационных ресурсов ИБС производится при изменении требований к обеспечению защиты свойств (конфиденциальности и целостности) соответствующей информации.

Переаттестация (изменение категории) функциональных задач производится при изменении обобщенных категорий информационных ресурсов, используемых при решении данной задачи, а также при изменении требований к доступности функциональных задач.

Переаттестация (изменение категории) логических каналов производится при изменении категорий взаимодействующих задач.

Переаттестация (изменение категории) РМ производится при изменении категорий или состава решаемых на данных РМ задач.

6.8. Периодически (раз в год) или по требованию руководителей структурных подразделений Банка производится пересмотр установленных категорий защищаемых ресурсов на предмет их соответствия реальному положению дел.

7. Порядок пересмотра Положения

7.1. В случае изменения требований по защите РМ различных категорий пересмотру (с последующим утверждением) подлежит Приложение 5.

7.2. В случае внесения изменений и дополнений в «Перечень информационных ресурсов, подлежащих защите» пересмотру (с последующим утверждением) подлежит Приложение 4.

Приложение 1 - Методика категорирования защищаемых ресурсов

Настоящая методика предназначена для уточнения порядка проведения работ по категорированию защищаемых ресурсов в ИБС Банка в соответствии с «Положением о категорировании ресурсов информационной банковской системы». Категорирование предполагает проведение работ по обследованию подсистем ИБС и структурных подразделений Банка и выявлению (инвентаризации) всех ресурсов ИБС, подлежащих защите. Примерная последовательность и основное содержание конкретных действий по осуществлению этих работ приведены ниже.

1. Для проведения информационного обследования всех подсистем информационной системы Банка и проведения инвентаризации ресурсов ИБС, подлежащих защите, формируется специальная рабочая группа. В состав этой группы включаются специалисты отдела информационной безопасности и Управления информационных технологий Банка (осведомленные в вопросах технологии автоматизированной обработки информации). Для придания необходимого статуса рабочей группе, издается соответствующее распоряжение Председателя Правления Банка, в котором, в частности, даются указания всем начальникам структурных подразделений Банка об оказании содействия и необходимой помощи рабочей группе в проведении работ по обследованию ИБС. Для оказания помощи на время работы группы в подразделениях начальниками этих подразделений должны выделяться сотрудники, владеющие детальной информацией по вопросам обработки информации в данных подразделениях.

2. В ходе обследования конкретных подразделений Банка и информационных подсистем выявляются и описываются все функциональные задачи, решаемые с использованием ИБС, а также все виды информации (сведений), используемые при решении этих задач в подразделениях.

3. Составляется общий перечень функциональных задач и по каждой задаче оформляется (заводится) формуляр (Приложение 2). При этом следует учитывать, что одна и та же задача в разных подразделениях может называться по-разному, и наоборот, различные задачи могут иметь одно и то же название. Одновременно с этим ведется учет программных средств (общих, специальных), используемых при решении функциональных задач подразделения.

4. При обследовании подсистем и анализе задач выявляются все виды входящей, исходящей, хранимой, обрабатываемой и т.п. информации. Необходимо выявлять не только информацию, которая может быть отнесена к конфиденциальной (к банковской и коммерческой тайне, персональным данным), но и информацию, подлежащую защите в силу того, что нарушение ее целостности (искажение, фальсификация) или доступности (уничтожение, блокирование) может нанести ощутимый ущерб Банку, ее клиентам или корреспондентам.

5. При выявлении всех видов информации, циркулирующей и обрабатываемой в подсистемах желательно проводить оценку серьезности последствий, к которым могут привести нарушения ее свойств (конфиденциальности, целостности). Для получения первоначальных оценок серьезности таких последствий целесообразно проводить опрос (например, в форме анкетирования) специалистов, работающих с данной информацией. При этом надо выяснять, кого может интересовать данная информация, как они могут на нее воздействовать или незаконно использовать, к каким последствиям это может привести.

6. Информация об оценках вероятного ущерба заносится в специальные формы (Приложение 3). В случае невозможности количественной оценки вероятного ущерба производится его качественная оценка (например: низкая, средняя, высокая, очень высокая).

7. При составлении перечня и формуляров функциональных задач, решаемых в Банке необходимо выяснять периодичность их решения, максимально допустимое время задержки получения результатов решения задач и степень серьезности последствий, к которым могут привести нарушения их доступности (блокирование возможности решения задач). Оценки вероятного ущерба заносится в специальные формы (Приложение 3). В случае невозможности количественной оценки вероятного ущерба производится качественная оценка.

8. Все, выявленные в ходе обследования, различные виды информации заносятся в «Перечень информационных ресурсов, подлежащих защите».

9. Определяется (и затем указывается в Перечне) к какому типу тайны (банковская, коммерческая, персональные данные, не составляющая тайны) относится каждый из выявленных видов информации (на основании требований действующего законодательства и предоставляемых им прав).

10. Первоначальные предложения по оценке категорий обеспечения конфиденциальности и целостности конкретных видов информации выясняются у руководителей (ведущих специалистов) структурного подразделения Банка (на основе их личных оценок вероятного ущерба от нарушения свойств конфиденциальности и целостности информации). Данные оценки категорий информации заносятся в «Перечень информационных ресурсов, подлежащих защите» (в колонки 2 и 3).

11. Затем Перечень согласовывается с руководителями Управления безопасности, УИТ и Отдела информационной безопасности и выдвигается на рассмотрение Комитета по управлению информационной безопасностью.

12. При рассмотрении Перечня Комитетом по управлению информационной безопасностью в него могут вноситься изменения и дополнения. Подготовленный вариант «Перечня информационных ресурсов, подлежащих защите» представляется на утверждение Председателю Правления Банка.

13. В соответствии с указанными в утвержденном «Перечне информационных ресурсов, подлежащих защите» категориями конфиденциальности и целостности определяется обобщенная категория каждого вида информации (в соответствии с таблицей 1 Положения о категорировании).

14. На следующем этапе происходит категорирование функциональных задач. На основе требований по доступности, предъявляемых руководителями операционных подразделений Банка и согласованных с Управлением безопасности и УИТ, категорируются все специальные (прикладные) функциональные задачи, решаемые в подразделениях с использованием ИБС (Таблица 2 Положения о категорировании ресурсов). Информация о категориях специальных задач заносится в формуляры задачи. Категорирование общих (системных) задач и программных средств вне привязки к конкретным РМ не производится.

В дальнейшем, с участием специалистов УИТ необходимо уточнить состав информационных и программных ресурсов каждой задачи и внести в ее формуляр сведения по группам пользователей задачи и указания по настройке применяемых при ее решении средств защиты (полномочия доступа групп пользователей к перечисленным ресурсам задачи). Эти сведения будут использоваться в качестве эталона настроек средств защиты соответствующих РМ, на которых будет решаться данная задача, и для контроля правильности их установки.

15. Затем производится категорирование всех логических каналов между функциональными задачами. Категория канала устанавливается исходя из максимальной категории задач, участвующих во взаимодействии.

16. На последнем этапе происходит категорирование РМ. Категория РМ устанавливается, исходя из максимальной категории специальных задач, решаемых на нем (либо категории информации, используемой при решении общих задач). На одном РМ может решаться любое количество задач, категории которых ниже максимально возможной на данном РМ, не более чем на единицу. Информация о категории РМ заносится в формуляр РМ.