Политика ИБ. Политика_информационной_безопасности_1. Содержание Вводные положения 4 Введение 4 Цели 4 Задачи 4
 Скачать 354 Kb.
|
Вводные положенияВведениеПолитика информационной безопасности муниципального бюджетного общеобразовательного учреждения «Средняя общеобразовательная школа № 93» (далее – Учреждение) определяет цели и задачи системы обеспечения информационной безопасности (ИБ) и устанавливает совокупность правил МБОУ «СОШ № 93», требований и руководящих принципов в области ИБ, которыми руководствуется Учреждение в своей деятельности. ЦелиОсновными целями политики ИБ являются защита информации Учреждения и обеспечение эффективной работы всего информационно-вычислительного комплекса при осуществлении деятельности, указанной в его Уставе. Общее руководство обеспечением ИБ осуществляет методист. Ответственность за учреждение мероприятий по обеспечению ИБ и контроль за соблюдением требований ИБ несет сотрудник, выполняющий функции администратора информационной безопасности (далее администратор информационной безопасности). Ответственность за функционирование автоматизированной системы Учреждения несет системный администратор (программист). Должностные обязанности администратора информационной безопасности и системного администратора (программиста) закрепляются в соответствующих инструкциях. Руководители структурных подразделений Учреждения ответственны за обеспечение выполнения требований ИБ в своих подразделениях. Сотрудники Учреждения обязаны соблюдать порядок обращения с конфиденциальными документами, носителями ключевой информации и другой защищаемой информацией, соблюдать требования настоящей Политики и других документов ИБ. ЗадачиПолитика информационной безопасности направлена на защиту информационных активов от угроз, исходящих от противоправных действий злоумышленников, уменьшение рисков и снижение потенциального вреда от аварий, непреднамеренных ошибочных действий персонала, технических сбоев, неправильных технологических и организационных решений в процессах обработки, передачи и хранения информации и обеспечение нормального функционирования технологических процессов. Наибольшими возможностями для нанесения ущерба Учреждения обладает собственный персонал. Действия персонала могут быть мотивированы злым умыслом (при этом злоумышленник может иметь сообщников как внутри, так и вне общества), либо иметь непреднамеренный ошибочный характер. Риск аварий и технических сбоев определяется состоянием технического парка, надежностью систем энергоснабжения и телекоммуникаций, квалификацией персонала и его способностью к адекватным действиям в нештатной ситуации. Для противодействия угрозам информационной безопасности в Учреждения на основе имеющегося опыта составляется прогностическая модель предполагаемых угроз и модель нарушителя. Чем точнее сделан прогноз (составлены модель угроз и модель нарушителя), тем ниже риски нарушения ИБ при минимальных ресурсных затратах. Разработанная на основе прогноза политика ИБ и в соответствии с ней построенная система управления ИБ является наиболее правильным и эффективным способом добиться минимизации рисков нарушения ИБ для Учреждения. Необходимо учитывать, что с течением времени меняется характер угроз, поэтому следует своевременно, используя данные мониторинга и аудита, обновлять модели угроз и нарушителя. Стратегия обеспечения ИБ заключается в использовании заранее разработанных мер противодействия атакам злоумышленников, а также программно-технических и организационных решений, позволяющих свести к минимуму возможные потери от технических аварий и ошибочных действий персонала. Задачами настоящей политики являются: описание Учреждения системы управления информационной безопасностью в Учреждения; определение Политик информационной безопасности, а именно: Политика реализации антивирусной защиты; Политика учетных записей; Политика предоставления доступа к информационному ресурсу; Политика использования паролей; Политика защиты АРМ; Политика конфиденциального делопроизводства; определение порядка сопровождения ИС Учреждения. Область действияНастоящая Политика распространяется на все структурные подразделения Учреждения и обязательна для исполнения всеми его сотрудниками и должностными лицами. Положения настоящей Политики применимы для использования во внутренних нормативных и методических документах, а также в договорах. Период действия и порядок внесения измененийНастоящая политика вводится в действие приказом руководителя Учреждения. Политика признается утратившей силу на основании приказа руководителя Учреждения. Изменения в политику вносятся приказом руководителя Учреждения. Инициаторами внесения изменений в политику информационной безопасности являются: Директор; Администратора информационной безопасности. Плановая актуализация настоящей политики производится ежегодно и имеет целью приведение в соответствие определенных политикой защитных мер реальным условиям и текущим требованиям к защите информации. Внеплановая актуализация политики информационной безопасности производится в обязательном порядке в следующих случаях: при изменении политики РФ в области информационной безопасности, указов и законов РФ в области защиты информации; при изменении внутренних нормативных документов (инструкций, положений, руководств), касающихся информационной безопасности Учреждения; при происшествии и выявлении инцидента (инцидентов) по нарушению информационной безопасности, влекущего ущерб Учреждения. Ответственными за актуализацию политики информационной безопасности (плановую и внеплановую) несет администратор информационной безопасности. Контроль за исполнением требований настоящей политики и поддержанием ее в актуальном состоянии возлагается на администратора информационной безопасности. Термины и определенияАвтоматизированная система – система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций. Администратор информационной безопасности – специалист или группа специалистов Учреждения, осуществляющих контроль за обеспечением защиты информации в ЛВС, а также осуществляющие учреждение работ по выявлению и предупреждению возможных каналов утечки информации, потенциальных возможностей осуществления НСД к защищаемой информации. Анализ риска –систематическое использование информации для определения источников и оценки риска. Аудит информационной безопасности – процесс проверки выполнения установленных требований по обеспечению информационной безопасности. Может проводиться как самим обществом (внутренний аудит), так и с привлечением независимых внешних организаций (внешний аудит). Результаты проверки документально оформляются свидетельством аудита. Аутентификация – проверка принадлежности субъекту доступа предъявленного им идентификатора; подтверждение подлинности. Чаще всего аутентификация выполняется путем набора пользователем своего пароля на клавиатуре компьютера. Доступ к информации – возможность получения информации и ее использования. Защищенный канал передачи данных – логические и физические каналы сетевого взаимодействия, защищенные от прослушивания потенциальными злоумышленниками средствами шифрования данных (средствами VPN), либо путем их физической изоляции и размещения на охраняемой территории. Идентификатор доступа – уникальный признак субъекта или объекта доступа. Идентификация – присвоение субъектам доступа (пользователям, процессам) и объектам доступа (информационным ресурсам, устройствам) идентификатора и (или) сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов. Информация – это актив, который, подобно другим активам общества, имеет ценность и, следовательно, должен быть защищен надлежащим образом. Информационная безопасность – механизм защиты, обеспечивающий конфиденциальность, целостность, доступность информации; состояние защищенности информационных активов общества в условиях угроз в информационной сфере. Угрозы могут быть вызваны непреднамеренными ошибками персонала, неправильным функционированием технических средств, стихийными бедствиями или авариями (пожар, наводнение, отключение электроснабжения, нарушение телекоммуникационных каналов и т.п.), либо преднамеренными злоумышленными действиями, приводящими к нарушению информационных активов общества. Информационная система – совокупность программного обеспечения и технических средств, используемых для хранения, обработки и передачи информации, с целью решения задач подразделений Учреждения. В Учреждении используются различные типы информационных систем для решения управленческих, учетных, обучающих и других задач. Информационные технологии – процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов. Информационные активы – информационные системы, информационные средства, информационные ресурсы. Информационные средства – программные, технические, лингвистические, правовые, организационные средства (программы для электронных вычислительных машин; средства вычислительной техники и связи; словари, тезаурусы и классификаторы; инструкции и методики; положения, уставы, должностные инструкции; схемы и их описания, другая эксплуатационная и сопроводительная документация), используемые или создаваемые при проектировании информационных систем и обеспечивающие их эксплуатацию. Информационные ресурсы – совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий. Инцидент информационной безопасности – действительное, предпринимаемое или вероятное нарушение информационной безопасности, приводящее к нарушению доступности, конфиденциальности и целостности информационных активов Учреждения. Источник угрозы – намерение или метод, нацеленный на умышленное использование уязвимости, либо ситуация или метод, которые могут случайно проявить уязвимость. Конфиденциальная информация – информация с ограниченным доступом, не содержащая сведений, составляющих государственную тайну, доступ к которой ограничивается в соответствии с законодательством Российской Федерации. Конфиденциальность – доступ к информации только авторизованных пользователей. Критичная информация – информация, нарушение доступности, целостности, либо конфиденциальности которой, может оказать негативное влияние на функционирование подразделений Учреждения, привести к причинению Учреждение материального или иного вида ущерба. Локальная вычислительная сеть (ЛВС) – группа ЭВМ, а также периферийное оборудование, объединенные одним или несколькими автономными высокоскоростными каналами передачи цифровых данных в пределах одного или нескольких близлежащих зданий. Межсетевой экран (МЭ) – программно-аппаратный комплекс, используемый для контроля доступа между ЛВС, входящими в состав сети, а также между сетью Учреждения и внешними сетями (сетью Интернет). Мониторинг информационной безопасности – постоянное наблюдение за объектами, влияющими на обеспечение информационной безопасности, сбор, анализ и обобщение результатов наблюдения под заданные цели. Объектом мониторинга в зависимости от целей может быть автоматизированная система или ее часть, информационные технологические процессы Учреждения, информационные услуги Учреждения и пр. Несанкционированный доступ к информации (НСД) – доступ к информации, нарушающий правила разграничения уровней полномочий пользователей. Обработка риска – процесс выбора и осуществления мер по модификации риска. Остаточный риск – риск, остающийся после обработки риска. Политика информационной безопасности – комплекс взаимоувязанных руководящих принципов и разработанных на их основе правил, процедур и практических приемов, принятых в Учреждении для обеспечения его информационной безопасности. Пользователь ЛВС – сотрудник Учреждения (штатный, временный, работающий по контракту и т.п.), а также прочие лица (подрядчики, аудиторы и т.п.), зарегистрированный в сети в установленном порядке и получивший права на доступ к ресурсам сети в соответствии со своими функциональными обязанностями. Принятие риска – решение принять риск. Программное обеспечение – совокупность прикладных программ, установленных на сервере или ЭВМ. Рабочая станция – персональный компьютер, на котором пользователь сети выполняет свои служебные обязанности. Регистрационная (учетная) запись пользователя – включает в себя имя пользователя и его уникальный цифровой идентификатор, однозначно идентифицирующий данного пользователя в операционной системе (сети, базе данных, приложении и т.п.). Регистрационная запись создается администратором при регистрации пользователя в операционной системе компьютера, в системе управления базами данных, в сетевых доменах, приложениях и т.п. Она также может содержать такие сведения о пользователе, как Ф.И.О., название подразделения, телефоны, E-mail и т.п. Роль – совокупность полномочий и привилегий на доступ к информационному ресурсу, необходимых для выполнения пользователем определенных функциональных обязанностей. Система менеджмента информационной безопасности (СМИБ) – та часть общей системы менеджмента, которая основана на подходе бизнес-рисков при создании, внедрении, функционировании, мониторинге, анализе, поддержке и совершенствовании информационной безопасности. Системный администратор – сотрудник Учреждения, занимающийся сопровождением автоматизированных систем, отвечающий за функционирование локальной сети Учреждения и ПК. Список контроля доступа (ACL) – правила фильтрации сетевых пакетов, настраиваемые на маршрутизаторах и МЭ, определяющие критерии фильтрации и действия, производимые над пакетами. Собственник – лицо или учреждение, которые имеют утвержденные обязательства по менеджменту для контроля разработки, поддержки, использования и безопасности активов. Термин «собственник» не означает, что лицо действительно имеет какие-либо права собственности на актив. Средства криптографической защиты информации – средства шифрования, средства имитозащиты, средства электронной подписи, средства кодирования, средства изготовления ключевых документов (независимо от вида носителя ключевой информации), ключевые документы (независимо от вида носителя ключевой информации). Угрозы информационным данным – потенциально существующая опасность случайного или преднамеренного разрушения, несанкционированного получения или модификации данных, обусловленная структурой системы обработки, а также условиями обработки и хранения данных, т.е. это потенциальная возможность источника угроз успешно выявить определенную уязвимость системы. Управление информационной безопасностью – совокупность целенаправленных действий, осуществляемых в рамках политики информационной безопасности в условиях угроз в информационной сфере, включающая в себя оценку состояния объекта управления (например, оценку и управление рисками), выбор управляющих воздействий и их реализацию (планирование, внедрение и обслуживание защитных мер). Уязвимость – недостатки или слабые места информационных активов, которые могут привести к нарушению информационной безопасности Учреждения при реализации угроз в информационной сфере. Целостность информации – состояние защищенности информации, характеризуемое способностью АС обеспечивать сохранность и неизменность конфиденциальной информации при попытках несанкционированных или случайных воздействий на нее в процессе обработки или хранения. ЭВМ – электронная - вычислительная машина, персональный компьютер. Электронная цифровая подпись – реквизит электронного документа, предназначенный для защиты электронного документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи и позволяющий идентифицировать владельца ключа подписи, а также установить отсутствие искажения информации в электронном документе. VPN (VIRTUAL PRIVATE NETWORK) – «Виртуальная частная сеть»: технология и Учреждение систематической удаленной связи между выбранными группами узлов в крупных распределенных сетях. |