А,В,Соколов, 0,М, Степанюк - Скачать документы

Глава 3. Основные пути обеспечения безопасности информации 167
биометрическими методами. Можно создать дополнительную систему предупреждения
вторжения в залы (в частности, в нерабочее время для залов без обслуживающего
персонала).
Системы контроля нужно периодически проверять и постоянно поддерживать в
рабочем состоянии. Для этого существуют специализированные подразделения и органы
контроля.
Наконец, должно быть налажено информирование руководства и обучение персонала
по различным вопросам предупреждения и контроля доступа на основе анализа
результатов работы системы безопасности предприятия.
Обязательно нужно проверять систему доступа во вспомогательные помещения
(помещение охраны, архивы, рабочие места анализа и программирования), в частности,
наличие и адекватность системы контроля установленным требованиям.
Можно также предусмотреть различные способы защиты малогабаритного оборудования,
таких как персональные компьютеры и средства физической защиты (ставни
или надежные запоры, футляры для хранения, дополнительные платы логических запирающих
устройств, кнопки включения сигнала тревоги под средствами обработки
информации).
Подводя итоги вышесказанному, рассмотрим, как определяется политика безопасности
информации при защите компьютерных сетей. Обычно для корпоративных сетей
с большим количеством пользователей составляется специальный документ, регламентирующий
работу в сети, называемый «Политика безопасности».
Политика обычно состоит из двух частей: общих принципов и конкретных правил
работы. Общие принципы определяют подход к безопасности в Internet. Правила же
регламентируют, что разрешено, а что запрещено. Правила могут дополняться конкретными
процедурами и различными руководствами.
Правда, существует и третий тип политики; его описание встречается в литературе
по безопасности в Internet — технический подход-анализ, который помогает выполнять
принципы и правила политики. Однако он слишком техничен и сложен для понимания
руководством организации, поэтому не так широко используется, как политика.
Тем не менее он обязателен при описании возможных решений, определяющих
компромиссы политики.
Обычно политика безопасности регламентирует использование основных сервисов
сети (электронную почту, WWW и т. п.), а также ставит в известность пользователей
сети о тех правах доступа, какими они обладают, что обычно определяет и процедуру
аутентификации пользователя.
К этому документу следует относиться со всей серьезностью. Все остальные стратегии
защиты строятся на предположении, что правила политики безопасности неукоснительно
соблюдаются. Политика безопасности вызывает и большинство нареканий
со стороны пользователей, потому что в ней очевидным образом написано, что
именно пользователю воспрещено. Рядовому пользователю может быть непонятен
запрет, скажем, на использование служебного адреса электронной почты для личной
переписки. Однако политика безопасности — это официальный документ, который
составляется на основе, с одной стороны, производственной необходимости в сервисах,
предоставляемых Internet, а с другой — на основе требований безопасности, сформулированных
соответствующими специалистами-профессионалами.