GSZI_IB_presentation

1.

УЧЕБНЫЙ ПРОЕКТ • ИНФОРМАЦИОННАЯ
БЕЗОПАСНОСТЬ
Государственная система защиты
информации и организационные структуры
ИБ на предприятии
Архитектура нормативно-правового регулирования, структура государственных органов и
практическая организация службы защиты информации на корпоративном уровне
на основе материалов курса ИБ
ФОРМАТ ПРЕЗЕНТАЦИИ 16:9
СЛАЙД 1

2.

Содержание презентации
01
02
03
04
05
ПЛАН ДОКЛАДА
Государственная система защиты информации (ГСЗИ)
Правовой статус, основные задачи и направления работ
Структура государственных органов
Президент, Совбез, ФСТЭК, ФСБ, ФСО и смежные ведомства
Организация службы ИБ на предприятии
3 уровня управления, комиссии и зоны ответственности
Отдел защиты информации (ОЗИ)
Задачи, функции и кадровый состав службы
Требования и разграничение полномочий
Лицензирование, сертификация, аттестация и роли специалистов
СЛАЙД 2

3.

Государственная система защиты информации (ГСЗИ)
РАЗДЕЛ I
Правовая концепция и статус ГСЗИ
Единая государственная система, сочетающая правовые нормы, организационные структуры и технические
средства. Является составной частью системы обеспечения национальной безопасности РФ (ФЗ № 149-ФЗ,
Доктрина ИБ РФ).
Пресечение неправомерных действий
Обеспечение конфиденциальности
Исключение и предотвращение НСД,
уничтожения, модифицирования, блокирования,
копирования и распространения защищаемых
сведений.
Защита информации ограниченного доступа:
государственная тайна, персональные данные
(ФЗ-152), служебная и коммерческая тайна.
1. ПД ИТР (Разведка)
2. Технические каналы
3. ПО и воздействия
Противодействие иностранным
техническим разведкам и
добыванию сведений.
Защита от утечки по акустическим,
виброакустическим и ПЭМИН
каналам.
Предупреждение программнотехнических воздействий на
автоматизированные системы.
АВТОР: УЧЕБНЫЙ ПРОЕКТ
СЛАЙД 3

4.

Основные задачи ГСЗИ
РАЗДЕЛ I
1
Проведение единой технической политики,
организация и координация работ по защите
информации
5
Принятие правовых актов, регулирующих
отношения в области защиты информации
2
Исключение или существенное затруднение
добывания информации техническими
средствами разведки
6
Анализ состояния и прогнозирование
возможностей технических средств разведки
3
Предотвращение утечки по техническим
каналам и несанкционированного доступа
7
Организация сил, создание средств защиты
информации и контроль эффективности
4
Предупреждение преднамеренных
программно-технических воздействий
8
Контроль состояния защиты информации в
органах государственной власти и на
предприятиях
АВТОР: УЧЕБНЫЙ ПРОЕКТ
СЛАЙД 4

5.

Матрица государственных регуляторов в сфере ИБ
РАЗДЕЛ II
ОРГАН УПРАВЛЕНИЯ
КЛЮЧЕВЫЕ ПОЛНОМОЧИЯ
Президент РФ / Совбез
Общее руководство силами ИБ, утверждение Стратегии нацбезопасности
и Доктрины ИБ, выработка решений по стратегическим угрозам.
Правительство РФ
Координация деятельности исполнительных органов (ФОИВ), бюджетное
и материальное обеспечение программ в сфере ИБ.
ФСТЭК России (Технический регулятор)
• Защита информации некриптографическими
методами
• Безопасность объектов КИИ
ФСБ России (Криптография и ГТ)
• Регулирование СКЗИ (шифрование, ЭЦП)
• Лицензирование работ с гостайной
• Сертификация СЗИ и лицензирование ТЗИ
• Обнаружение спецсредств негласного съёма
• Противодействие иностранным техразведкам
• Контроль организационно-режимных мер
АВТОР: УЧЕБНЫЙ ПРОЕКТ
СЛАЙД 5

6.

Другие ключевые органы системы
РАЗДЕЛ II
ФСО России
Межведомственная
комиссия по ГТ
СВР / Минобороны / МВД
Специальная связь, защита
категорированных
помещений, предотвращение
утечки по техканалам в
системах спецсвязи
Формирование Перечня
сведений, составляющих
гостайну; координация
лицензирования и
сертификации
Отраслевые задачи защиты
информации в рамках своей
компетенции
Роскомнадзор
Научноисследовательские
центры
Органы лицензирования
и сертификации
Надзор в сфере связи,
информационных технологий
и массовых коммуникаций
НИОКР, разработка средств
защиты, учебно-методическое
обеспечение
Лицензирование
деятельности, сертификация
СЗИ, аттестация объектов
информатизации
АВТОР: УЧЕБНЫЙ ПРОЕКТ
СЛАЙД 6

7.

Организация службы ИБ на предприятии
РАЗДЕЛ III
1
2
3
Уровень 1: Руководство
Уровень 2: Комиссии
Уровень 3: Исполнители
Совещания по ИБ, Комиссия по
приёмке СЗИ и Экспертная
комиссия по открытым
публикациям материалов.
Профильный Отдел защиты
информации (ОЗИ) совместно со
Службой безопасности
предприятия.
Генеральный директор формирует
стратегию, утверждает Политику
безопасности и несёт
персональную ответственность за
ИБ.
Задачи высшего управленческого
персонала
• Утверждение перечня сведений ограниченного
доступа
• Регулярный разбор инцидентов и оценка риска
утечки
• Назначение ответственных администраторов
ресурсов
• Анализ и утверждение Политики
информационной безопасности
АВТОР: УЧЕБНЫЙ ПРОЕКТ
Специализированные комиссии
Экспертная комиссия:
проверяет статьи, доклады и рекламные материалы
во избежание разглашения коммерческой тайны.
Приёмная комиссия:
осуществляет аттестационные испытания и ввод в
эксплуатацию новых защищённых ИТ-систем.
СЛАЙД 7

8.

Отдел защиты информации (ОЗИ) vs Служба безопасности (СБ)
РАЗДЕЛ IV
СФЕРА КОНТРОЛЯ
СЛУЖБА БЕЗОПАСНОСТИ (СБ)
ОТДЕЛ ЗАЩИТЫ ИНФОРМАЦИИ
(ОЗИ)
Предмет защиты
Физическая охрана, пропускной режим,
кадры, экономическая безопасность
Информационные системы, базы
данных, каналы связи, криптография и
ЭДО
Методы работы
Видеонаблюдение, физический досмотр,
проверка контрагентов и кандидатов
Настройка МЭ, DLP-системы,
шифрование, аудит логов
Нормативно-методический блок ОЗИ
Технико-эксплуатационный блок ОЗИ
• Проектирование и актуализация Политики ИБ
• Анализ договоров с подрядчиками на предмет
требований ИБ
• Обучение сотрудников правилам кибергигиены
• Экспертиза публикаций и рекламных
материалов
• Администрирование СЗИ, СКЗИ и ключей ЭЦП
АВТОР: УЧЕБНЫЙ ПРОЕКТ
• Мониторинг атак и реакция на инциденты ИБ
• Резервное копирование и контроль
целостности БД
• Контроль разрешительной системы допуска
СЛАЙД 8

9.

Структура и кадровый состав ОЗИ
РАЗДЕЛ IV
Основные задачи Отдела защиты информации
Разработка единой политики (концепции) ИБ • Организация и координация работ всех
подразделений • Контроль и оценка эффективности мер защиты • Экспертиза договоров • Участие
в проектировании и приёмке ИС • Контроль разрешительной системы допуска
Специалисты по объектам
ВТ
Специалисты по связи
Специалисты по
помещениям
Защищают серверы и АРМ,
обеспечивают безопасность
объектов вычислительной
техники
Обеспечивают безопасность
коммуникаций: телефон,
телеграф, факс, передача
данных
Защищают от утечек по
акустике, виброакустике и
ПЭМИН в выделенных
помещениях
В каждом подразделении назначается администратор информационной безопасности. Руководитель ОЗИ
может подчиняться напрямую первому лицу или входить в структуру службы безопасности.
АВТОР: УЧЕБНЫЙ ПРОЕКТ
СЛАЙД 9

10.

Требования регуляторов и кадровая модель
РАЗДЕЛ V
1. Лицензирование
2. Сертификация
3. Аттестация
Получение официального
разрешения ФСТЭК / ФСБ на
осуществление деятельности
в области защиты
информации и гостайны.
Проверка используемого ПО и
технических средств (СЗИ) на
соответствие стандартам
безопасности РФ.
Комплексная проверка
объекта информатизации с
выдачей «Аттестата
соответствия» перед
запуском.
Квалификационные требования
Сотрудники службы ИБ должны иметь профильное высшее образование по направлению
«Информационная безопасность» либо пройти государственную профессиональную переподготовку
в объёме не менее 500 часов.
Должности специалистов по направлениям (ВТ, связь, помещения) могут исполняться по
совместительству при условии соответствующей подготовки. В каждом подразделении назначается
администратор ИБ.
АВТОР: УЧЕБНЫЙ ПРОЕКТ
СЛАЙД 10

11.

Ключевые выводы
ГСЗИ — единая система правовых, организационных и технических мер.
ФСТЭК и ФСБ — ключевые регуляторы (техзащита и криптография).
На предприятии — три уровня: руководство → комиссии → ОЗИ + СБ.
Обязательный триптих: лицензирование, сертификация, аттестация.
Спасибо за внимание
СЛАЙД 11