Наталия Гришина - Организация комплексной системы защиты информации
Каждая система защиты уникальна, поэтому документация, как правило, строго индивидуальна и зависит не только от типа и размера объекта защиты, но и от возможностей и опыта заказчика, который будет ее эксплуатировать.
Поскольку документация содержит конфиденциальные сведения, круг лиц, допущенных к ознакомлению и работе с ней, должен быть ограничен.
Ввод в эксплуатацию — это стадия создания системы защиты, состоящая из нескольких этапов (см. выше). На практике при создании систем защиты границы между этими этапами размыты. Состав выполняемых работ следующий:
— комплектация технического обеспечения системы;
— монтажные или строительно-монтажные работы и пуско-наладочные работы;
— обучение персонала (предварительно должны быть укомплектованы все службы системы обеспечения безопасности с учетом требуемой квалификации);
— опытная эксплуатация компонентов и системы в целом;
— приемочные испытания и приемка системы в эксплуатацию.
Все эти работы начинаются только после утверждения всех документов и выделения финансовых средств. Разработчик системы защиты проводит техническое и коммерческое сравнение всех предложений от конкурирующих фирм-изготовителей защитного оборудования, после чего выбирает поставщика, заключает договор на поставку оборудования и оплачивает его.
При получении оборудования желательно сразу проводить его проверку на соответствие сопроводительным документам и техническим условиям, а также (если это возможно) проверку работоспособности в условиях эксплуатации.
Все работы по монтажу и отладке системы защиты должны выполнять специалисты. Силами заказчика можно выполнять только специфические и небольшие по трудозатратам работы такие, как, например установка скрытого теленаблюдения, перенос датчиков охранной сигнализации, ремонт системы радиосвязи и т. п.
Желательно, чтобы в монтаже и настройке защитных систем участвовали те сотрудники службы охраны объекта, которые будут их эксплуатировать.
После окончания работ и испытаний необходимо уточнить все вопросы гарантийного и послегарантийного обслуживания системы защиты.
В разработке системы могут принимать участие несколько групп разработчиков, каждая из которых объединяет специалистов определенного профиля. Так, например, в разработке проектных решений в зависимости от стадии проектирования, особенностей объекта и видов защиты могут участвовать специалисты по охранно-пожарной сигнализации и охранному телевидению, системам связи и коммуникациям, общестроительным и монтажным работам и т. п. Поэтому важнейшая задача организации создания системы безопасности состоит в четком распределении функций и в согласовании выполняемых работ. Практика показывает, что основной причиной плохих разработок является отсутствие единого руководства, единого координационного плана и неудовлетворительная организация контроля и управления ходом разработки со стороны заказчика.
7.3. Факторы, влияющие на выбор состава КСЗИИдеология разрабатываемой системы, стратегические вопросы ее функционирования должны быть согласованы и утверждены высшим руководством заказчика.
Создание у заказчика группы, задачей которой является осуществление контакта с разработчиками, курирование разработки, утверждение и оперативная корректировка планов работы, выделяемых финансовых ресурсов являются крайне необходимыми условиями. Без создания такой группы, обладающей достаточным авторитетом и необходимыми полномочиями, разработка системы заранее обречена на неудачу. Но и при наличии такой группы результат будет неудовлетворительным, если ее руководитель не является квалифицированным и полномочным представители заказчика.
На предпроектной стадии выполняется важнейшая работа: изучается объект защиты. Ошибки, допущенные в ходе этой работы, могут существенно снизить эффективность создаваемой системы защиты, и, наоборот, тщательно проведенное обследование позволит сократить затраты на внедрение и эксплуатацию системы.
Изучение объекта защиты сводится к сбору и анализу следующей информации:
1) об организации процесса функционирования объекта. В состав этих данных входят сведения, характеризующие:
— график работы объекта и его отдельных подразделений;
— правила и процедуры доступа на объект, в отдельные помещения и к оборудованию персонала и посетителей (регулярный, случайный, ограниченный доступ);
— численность и состав сотрудников и посетителей объекта (постоянный штат, персонал, работающий по контракту, клиенты);
— процедуру доступа на территорию транспортных средств.
Для получения этих данных можно применять следующие способы: анкетирование сотрудников; опрос сотрудников; личное наблюдение; изучение директивных и инструктивных документов. Следует иметь в виду, что ни один из этих способов не дает объективной информации: каждый имеет свои достоинства и недостатки. Поэтому их применяют вместе, в совокупности;
2) об организации транспортных и информационных потоков. В состав этих данных входят сведения, характеризующие:
— пути и организацию транспортировки и хранения материальных ценностей на территории объекта;
— уровни конфиденциальности информации, пути и способы ее обработки и транспортировки (документы, телефонная и радиосвязь и т. п.);
3) об условиях функционирования объекта. В состав этих данных входят сведения, характеризующие:
— пространство, непосредственно прилегающее к территории объекта;
— ограждение периметра территории и проходы;
— инженерные коммуникации, подземные хранилище и сооружения на территории;
— размещение подразделений и сотрудников по отдельным помещениям (с поэтажными планами);
— инженерные коммуникации в помещениях;
— состояние подвальных и чердачных помещений;
— размещение, конструкции и состояние входов, дверей, окон;
— существующую систему защиты;
— состав и настроение населения, экономические факторы и криминогенную обстановку на прилегающей территории.
На основе результатов анализа всех перечисленных сведений должны быть определены: назначение и основные функции системы защиты; основные виды возможных угроз и субъекты угроз; внешняя среда; условия функционирования системы защиты (наличие энергетических и других ресурсов, естественные преграды и т. п.).
Эти данные рекомендуется систематизировать в виде пояснительной записки, структурных схем и планов.
Целесообразно иметь следующие планы:
1) план территории объекта с указанием расположения всех зданий и других наземных сооружений; подземных сооружений; всех коммуникаций и мест их выхода за территорию объекта; всех ограждений, в том числе по периметру территории объекта, с обозначением их технического состояния на момент обследования; средств защиты (существующей системы, если она имеется);
2) поэтажные планы, где должно быть указано расположение всех помещений с обозначением дверных и оконных проемов, внутренних и наружных (пожарных) лестниц, толщины материала стен и существующих средств защиты; всех коммуникаций с обозначением коммуникационных шкафов и других мест санкционированного доступа к каналам связи и жизнеобеспечения;
3) планы помещений с указанием мест размещения оборудования и других технических средств (телефонов, персональных ЭВМ, принтеров и т. д.); расположения коммуникаций и мест размещения коммутационного оборудования (коробки, розетки и т. п.); функционального назначения и степени конфиденциальности получаемой и обрабатываемой информации; особенностей технологического процесса (для производственных помещений), важных с точки зрения обеспечения безопасности.
На основе этих планов целесообразно подготовить структурные схемы:
— ограждения каждого помещения, указав на ней (схематично) все стены и другие инженерно-технические сооружения, окружающие помещение. Эта схема позволит оценить возможности эшелонирования защиты, выработать рекомендации по рубежам защиты, выбрать и определить зоны безопасности и оценить «прочность» рубежей;
— документооборота (для документов с ограниченным доступом), указав источник и приемники документа; его связи с другими документами; способ подготовки (ручной, машинный); способ транспортировки (с курьером, по телефону, по факсу, по компьютерной сети и т. п.); место хранения; для описания документооборота можно использовать специально разработанные формы.
Каждое предприятие уникально. Поэтому и система защиты конкретного предприятия тоже уникальна. Тем не менее, можно перечислить основные параметры предприятия и показать, каким образом они могут оказывать влияние на разрабатываемую комплексную систему защиты информации:
