Митні інформаційні технології - Пашко П.В. - Рівні інформаційної безпеки

Політика ІБ Держмитслужби України є головним зведенням правил, рекомендацій, положень, інструкцій, актів та наказів Держмитслужби України, які регламентують порядок дотримання інформаційної безпеки під час використання та обробки засобами ЄАІС інформації, що потребує захисту.

Політика інформаційної безпеки ДМСУ спрямована:

— на забезпечення рівня інформаційної безпеки в ЄАІС Державної митної служби України, що відповідає нормативно-правовим актам у цій сфері;

— обґрунтування доцільності вибору заходів захисту інформації;

— розробку регламенту створення, придбання, застосування сертифікованих програмно-апаратних засобів забезпечення технологічних процесів Держмитслужби України;

— забезпечення інформаційної безпеки в кожному з об'єктів інформаційної діяльності Держмитслужби України;

— розроблення планів реагування та відновлення ситуацій для усіх функціональних галузей з метою забезпечення безперервності роботи;

— забезпечення відповідності КСЗІ нормативно-правовим актам у сфері захисту інформації, що має бути прийнято та затверджено в установленому законодавством порядку.

Рівні інформаційної безпеки

До політики інформаційної безпеки вищого рівня належать положення, які стосуються питань забезпечення захисту інформації в ЄАІС Держмитслужби України в цілому та вирішення питань, що визначають стратегічні рішення та напрями розвитку інформаційної безпеки.

До середнього рівня політики інформаційної безпеки зараховують питання, що визначають загальний порядок поводження з інформаційними, програмними та технічними ресурсами і є важливими для різних автоматизованих систем, що входять до складу ЄАІС Держмитслужби України.

До нижчого рівня політики інформаційної безпеки належать завдання, що стосуються окремих аспектів функціонування ЄАІС Держмитслужби України та визначають регламент робіт з тими чи іншими функціональними сервісами ЄАІС Держмитслужби України.

Завдання, що повинні вирішуватись для забезпечення інформаційної безпеки ресурсів ЄАІС Держмитслужби України

Метою адміністративних завдань забезпечення є досягнення правильної і надійної роботи інформаційних систем шляхом виконання правил експлуатації ЄАІС та покладання відповідальності за їх недотримання (за необхідності з використанням додаткових заходів).

Вимоги до засобів керування інформаційної безпеки:

— надійність засобів керування безпекою забезпечується поділом ролей і обов'язків адміністраторів;

— наявність як мінімум інспектора із захисту інформації, адміністратора бази даних, адміністратора автоматизованої інформаційної системи, користувачів;

— контроль питань перерозподілу і додавання посадових обов'язків, пов'язаних з інформаційною безпекою;

— засоби адміністрування, що належать до інформаційної безпеки, повинні контролюватися на предмет їхнього несанкціонованого використання, модифікації, знищення;

— у системі повинні використовуватися механізми захисту під час реєстрації нових користувачів;

— повинен бути встановлений граничний час пасивності користувачів, після якого вони виключаються з числа легальних

— користувачів;

— системний адміністратор повинен мати можливість проводити аудит дій одного чи вибраної групи користувачів;

— засоби проведення аудиту повинні бути захищені від неавторизованого використання, модифікації, знищення;

— повинен існувати захисний механізм, що забезпечує доступ тільки авторизованого персоналу до виконання функцій адміністратора.

Аспекти, пов'язані з безпекою, повинні бути враховані на стадії набору персоналу та включені до посадових інструкцій і договорів та підлягати контролю протягом усього часу роботи такого співробітника. Про порушення режиму інформаційної безпеки необхідно негайно повідомляти адміністративними каналами. Усі співробітники повинні бути ознайомлені з процедурою повідомлення про різні типи інцидентів (порушення безпеки, загроза безпеці чи збій).