Комплекс мероприятий по защите информации в налоговых информационных системах Защита конфиденциальной информации в налоговых информационных системах осуществляется путем проведения организационных, организационно-технических, инженерно-технических, программно-аппаратных и правовых мероприятий. Организационные мероприятия предусматривают: - формирование и обеспечение функционирования системы информационной безопасности; - организацию делопроизводства в соответствии с требованиями руководящих документов; - использование для обработки информации защищенных систем и средств информатизации, а также применение технических и программных средств защиты, сертифицированных в установленном порядке; - возможность использования информационных систем для подготовки документов конфиденциального характера только на учтенных установленным порядком съемных магнитных носителях и только при отключенных внешних линиях связи; - организацию контроля за действиями персонала при проведении работ на объектах защиты организации; - обучение персонала работе со служебной (конфиденциальной) информацией и др. Основными организационно-техническими мероприятиями по защите информации являются: - экспертиза деятельности организации в области защиты информации; - аттестация объектов по выполнению требований обеспечения защиты информации при проведении работ со сведениями, составляющими служебную тайну; - сертификация средств защиты информации и контроля за ее эффективностью, систем и средств информатизации и связи в части защищенности информации от утечки по техническим каналам связи; - обеспечение условий защиты информации при подготовке и реализации международных договоров и соглашений; - создание и применение информационных и автоматизированных систем управления в защищенном исполнении; - разработка и внедрение технических решений и элементов защиты информации при проектировании, строительстве (реконструкции) и эксплуатации объектов, систем и средств информатизации и связи; - разработка средств защиты информации и контроля за эффективностью их использования; - применение специальных методов, технических мер и средств защиты информации, исключающих перехват информации, передаваемой по каналам связи. Для предотвращения угрозы утечки информации по техническим каналам проводятся следующие инженерно-технические мероприятия: - предотвращение перехвата техническими средствами информации, передаваемой по каналам связи; - выявление возможно внедренных на объекты и в технические средства электронных устройств перехвата информации (закладных устройств); - предотвращение утечки информации за счет побочных электромагнитных излучений и наводок, создаваемых функционирующими техническими средствами, электроакустических преобразований и др. Программные (программно-аппаратные) мероприятия по предотвращению утечки информации предусматривают: - исключение несанкционированного доступа к информации; - предотвращение специальных воздействий, вызывающих разрушение, уничтожение, искажение информации или сбои в работе средств информатизации; - выявление внедренных программных или аппаратных "закладок"; - исключение перехвата информации техническими средствами; - применение средств и способов защиты информации и контроля эффективности при обработке, хранении и передаче по каналам связи. Правовыемероприятия - создание в организации нормативной правовой базы по информационной безопасности - предусматривают разработку на основе законодательных актов Российской Федерации необходимых руководящих и нормативно-методических документов, перечней охраняемых сведений, мер ответственности лиц, нарушивших установленный порядок работы с конфиденциальной информацией, и т.д. В результате созданная система обеспечения информационной безопасности должна обеспечить: - пресечение и выявление попыток несанкционированного получения информации и доступа к управлению автоматизированной системой; - пресечение и выявление попыток несанкционированной модификации информации; - пресечение и выявление попыток уничтожения или подмены (фальсификации) информации; - пресечение и выявление попыток несанкционированного распространения или нарушения информационной безопасности; - ликвидацию последствий успешной реализации угроз информационной безопасности; - выявление и нейтрализацию проявившихся и потенциально возможных дестабилизирующих факторов и каналов утечки информации; - определение лиц, виновных в проявлении дестабилизирующих факторов и возникновении каналов утечки информации, и привлечете их к ответственности определенного вида (уголовной или административной). |