Технологична база на Интранет

1.2.1. Управленски мерки

Под политика за сигурност може да се разбира съвкупност от управленски решения по отношение защитата на класифицираната информация и присъединените към нея ресурси. От практическа гледна точка политиката за сигурност може да се раздели на три нива.

Към първото ниво са решенията, които имат отношение към цялата организация. Те се вземат от ръководството на организацията и са с по-общ характер, като например: решение да се проектира или преразгледа комплексна програма за защита на информацията; формулиране на целите, които преследва организацията в областта на защитата на класифицираната информация; осигуряване на база за спазване на законите и наредбите; систематизиране на управленските решения по въпросите за реализация на програмите за защита, които са валидни за цялата организация. Към това ниво на управление се отнасят защитата на ресурсите и координацията при използването на тези ресурси, обособяването на специален персонал за защита на критично важни системи, поддържането на контакти с други организации и пр. Политиката за сигурност от това ниво има връзка с три аспекта: първо, организационната единица² е длъжна да спазва съществуващите закони; второ, трябва да контролира действията на лицата, които отговарят за изработване на програмите за сигурност; и трето, да се осигури определена степен на отговорност на персонала.

Към средното ниво се включват отделни аспекти на защитата на информацията. Като пример за това е достъпът до интернет (как да се съчетае правото да получаваш информация със защитата от външни заплахи), използването от потребителите на нелицензирани програми и т.н. Политиката за сигурност на това ниво има отношение към следните теми:

• 
  Описание на аспекта, т.е. описанието на заданието и конкретните изисквания към мрежата - с каква информация ще се работи, с какви ресурси се разполага, на какви изисквания за защита трябва да отговори системата и т.н.
  
• 
  Обхват и ниво на сигурността. Например за АИС и/или мрежи на важно държавно учреждение (МВР, МО и т.н.) може би трябва по-висока степен на защита, отколкото на една малка фирма;
  
• 
  Сфера на използване, т.е. къде, кога, как, по отношение на кого и какво се приема дадената политика за сигурност;
  
• 
  Позиция на организацията по дадения аспект, т.е. целите на организацията по отношение на защитата на класифицираната информация. Най-добрите политики за сигурност на данните използват превантивния подход. Чрез предотвратяване на възможността за неоторизиран достъп данните ще останат защитени;
  
• 
  Права и задължения на лицата, отговарящи за провеждането на политиката за сигурност. Тези права и задължения се определят със Закона за защита на класифицирана информация (ЗЗКИ) и Наредбата³, както и с вътрешни нормативни правила. Политиките определят насоките и правилата, които могат да бъдат от полза на администраторите и потребителите при възникване на непредвидени ситуации в мрежата. Например, ако трябва да се проверяват дискети от друг компютър, е необходимо да се опишат процедурите за проверка. Ако не трябва да се използват нелицензирани програми, трябва да се знае кой отговаря за изпълнението на това правило и т.н. Най-общо, групите хора, които имат отношение към сигурността на информацията в една система или мрежа са: ръководителите, системните инженери, системните администратори, системните организатори и потребителите;
  
• 
  Законосъобразност. Политиката за сигурност трябва да съдържа общо описание на забранените действия и наказанията за тях. Случаите на нарушения от страна на персонала трябва да се разглеждат от ръководството и да се предприемат наказателни мерки, включително и уволнение;
  
• 
  При определяне на политиката за сигурност трябва да се знае всеки служител от кого може да получи разяснение, помощ и допълнителна информация;
  

• 
  При какви условия могат да се четат и модифицират данните в АИС?
  
• 
  Кой има право на достъп до обектите, поддържащи програмното осигуряване?
  

От целите произтичат правила за защита на информацията, описващи кой, какво и при какви условия може да върши. Колкото са по-детайлни правилата, толкова по-лесно е да се изпълняват програмно-техническите изисквания. От друга страна, много строгите правила може да пречат на работата на потребителите. Затова ръководството ще трябва да намери разумен компромис, при който за приемлива цена може да се осигури приемливо ниво на защита, без да се ограничават служителите.

След като се определи политиката за сигурност на една система, може да се пристъпи към изготвяне на програма за сигурност⁴ и към нейното реализиране. Програмата може да се структурира също на отделни нива, съответстващи на структурата на самата организация. В най-честите случаи са достатъчни две нива: централно и изпълнителско.

Програмата на централно ниво се отнася за цялата организация и може да се ръководи от лицето, отговарящо за сигурността на информацията в АИС и/или мрежите, като главните й цели са: оценка на рисковете и заплахите; избор на ефективни средства за защита; координация на дейностите на различни отдели и служители при защитата на информацията; стратегическо планиране; контрол на дейностите в областта на защитата на класифицираната информация.

Целта на програмата на изпълнителско ниво е да осигури надеждна и икономична защита. На това ниво се решава какви механизми на защита могат да се използват, закупуването и установяването на технически средства и т.н. За изпълнението на действията по програмата трябва да отговаря администраторът на мрежата.

Програмата за сигурност не бива да се превръща в набор от технически средства, построени в система, защото така ще загуби своята независимост и авторитет и като следствие висшето ръководство ще забрави за нея.