Programu ya TSF nje ya kernel ina programu zinazoaminika ambazo hutumiwa kutekeleza kazi za usalama. Kumbuka kwamba maktaba zinazoshirikiwa, ikiwa ni pamoja na moduli za PAM katika baadhi ya matukio, hutumiwa na programu zinazoaminika. Walakini, hakuna mfano ambapo maktaba iliyoshirikiwa yenyewe inachukuliwa kama kitu kinachoaminika. Amri zinazoaminika zinaweza kuwekwa kama ifuatavyo.

• Uanzishaji wa mfumo
• Utambulisho na Uthibitishaji
• Programu za Mtandao
• Usindikaji wa Kundi
• Usimamizi wa mfumo
• Ukaguzi wa kiwango cha mtumiaji
• Usaidizi wa Cryptographic
• Usaidizi wa mashine ya kweli

Vipengee vya utekelezaji wa kernel vinaweza kugawanywa katika sehemu tatu za sehemu: kernel kuu, nyuzi za kernel, na moduli za kernel, kulingana na jinsi zitakavyotekelezwa.

• Msingi ni pamoja na msimbo unaofanya kazi ili kutoa huduma, kama vile kuhudumia simu ya mfumo wa mtumiaji au kuhudumia tukio la kipekee, au kukatiza. Nambari nyingi za kernel zilizokusanywa huanguka katika kitengo hiki.
• Nyuzi za Kernel. Ili kutekeleza majukumu fulani ya kawaida, kama vile kufuta akiba za diski au kukomboa kumbukumbu kwa kubadilishana vizuizi vya kurasa ambazo hazijatumika, kernel huunda michakato ya ndani au nyuzi. Mazungumzo yamepangwa kama michakato ya kawaida tu, lakini hayana muktadha katika hali isiyo na upendeleo. Nyuzi za Kernel hufanya kazi maalum za lugha ya kernel C. Nyuzi za Kernel ziko kwenye nafasi ya kernel na huendeshwa tu katika hali ya upendeleo.
• Moduli ya kernel na moduli ya kiendeshi cha kiendeshi cha kifaa ni vipande vya msimbo vinavyoweza kupakiwa na kupakuliwa ndani na nje ya punje inavyohitajika. Wanapanua utendakazi wa kernel bila hitaji la kuwasha upya mfumo. Mara baada ya kupakiwa, msimbo wa kitu cha moduli ya kernel unaweza kufikia msimbo wa kernel na data kwa njia sawa na msimbo wa kitu cha kernel kilichounganishwa.

Dereva wa kifaa ni aina maalum ya moduli ya kernel ambayo inaruhusu kernel kufikia maunzi yaliyounganishwa kwenye mfumo. Vifaa hivi vinaweza kuwa anatoa ngumu, wachunguzi, au miingiliano ya mtandao. Dereva huwasiliana na kernel iliyosalia kupitia kiolesura kilichobainishwa ambacho huruhusu kernel kushughulika na vifaa vyote kwa njia ya ulimwengu wote, bila kujali utekelezaji wao wa kimsingi.

Kernel ina mifumo ndogo ya kimantiki ambayo hutoa utendakazi mbalimbali. Ingawa kernel ndio programu pekee inayoweza kutekelezwa, huduma mbalimbali zinazotolewa zinaweza kutengwa na kuunganishwa katika vipengele tofauti vya kimantiki. Vipengele hivi vinaingiliana ili kutoa kazi maalum. Msingi unajumuisha mifumo ndogo ya kimantiki ifuatayo:

• Mfumo mdogo wa faili na mfumo mdogo wa I/O: Mfumo huu mdogo hutekeleza kazi zinazohusiana na vipengee vya mfumo wa faili. Kazi zinazotekelezwa ni pamoja na zile zinazoruhusu mchakato kuunda, kudumisha, kuingiliana na, na kufuta vipengee vya mfumo wa faili. Vipengee hivi ni pamoja na faili za kawaida, saraka, viungo vya ishara, viungo ngumu, faili mahususi kwa aina fulani za kifaa, mirija iliyopewa jina na soketi.
• Mchakato wa mfumo mdogo: Mfumo huu mdogo hutekeleza kazi zinazohusiana na usimamizi wa mchakato na usimamizi wa nyuzi. Vipengele vilivyotekelezwa hukuruhusu kuunda, kuratibu, kutekeleza na kufuta michakato na mada za nyuzi.
• Mfumo mdogo wa kumbukumbu: Mfumo huu mdogo hutekeleza kazi zinazohusiana na kudhibiti rasilimali za kumbukumbu za mfumo. Vipengele vinavyotekelezwa ni pamoja na zile zinazounda na kudhibiti kumbukumbu pepe, ikiwa ni pamoja na kudhibiti algoriti za kurasa na majedwali ya kurasa.
• Mfumo mdogo wa mtandao: Mfumo huu mdogo unatumia soketi za kikoa cha UNIX na Mtandao na kanuni zinazotumika kuratibu pakiti za mtandao.
• Mfumo mdogo wa IPC: Mfumo huu mdogo hutekeleza utendakazi zinazohusiana na mitambo ya IPC. Vipengele vinavyotekelezwa ni pamoja na vile vinavyowezesha ubadilishanaji unaodhibitiwa wa taarifa kati ya michakato, kuwaruhusu kushiriki data na kusawazisha utekelezaji wao wakati wa kuingiliana na rasilimali iliyoshirikiwa.
• Mfumo mdogo wa moduli ya Kernel: Mfumo huu mdogo hutekelezea miundombinu ili kusaidia moduli zinazoweza kupakiwa. Vipengele vilivyotekelezwa ni pamoja na kupakia, kuanzisha na kupakua moduli za kernel.
• Viendelezi vya Usalama vya Linux: Viendelezi vya usalama vya Linux hutekeleza vipengele mbalimbali vya usalama ambavyo vinatolewa kote kwenye kernel, ikiwa ni pamoja na mfumo wa Moduli ya Usalama ya Linux (LSM). Mfumo wa LSM hutumika kama msingi wa moduli zinazoruhusu utekelezaji wa sera mbalimbali za usalama, ikiwa ni pamoja na SELinux. SELinux ni mfumo mdogo wa kimantiki. Mfumo huu mdogo hutekeleza kazi za udhibiti wa ufikiaji wa lazima ili kufikia ufikiaji kati ya masomo na vitu vyote.
• Mfumo mdogo wa Dereva wa Kifaa: Mfumo huu mdogo hutoa usaidizi kwa maunzi na vifaa mbalimbali vya programu kupitia kiolesura cha kawaida, kisichotegemea kifaa.
• Mfumo mdogo wa ukaguzi: Mfumo huu mdogo hutekeleza utendakazi zinazohusiana na kurekodi matukio muhimu ya usalama katika mfumo. Kazi zilizotekelezwa ni pamoja na zile zinazonasa kila simu za mfumo ili kurekodi matukio muhimu kwa usalama na zile zinazotekeleza ukusanyaji na kurekodi data ya ukaguzi.
• Mfumo mdogo wa KVM: Mfumo huu mdogo unatumia matengenezo ya mzunguko wa maisha wa mashine pepe. Inafanya kukamilika kwa maagizo, ambayo hutumiwa kwa maagizo ambayo yanahitaji hundi ndogo tu. Kwa ukamilishaji mwingine wowote wa maagizo, KVM huita sehemu ya nafasi ya mtumiaji ya QEMU.
• Crypto API: Mfumo huu mdogo hutoa maktaba ya kriptografia ya kernel-ndani kwa vipengee vyote vya kernel. Inatoa primitives cryptographic kwa wapiga simu.

Kernel ndio sehemu kuu ya mfumo wa uendeshaji. Inawasiliana moja kwa moja na maunzi, hutumia ugavi wa rasilimali, hutoa huduma za kawaida kwa programu, na inazuia programu kufikia vitendakazi vinavyotegemea maunzi moja kwa moja. Huduma zinazotolewa na kernel ni pamoja na:

1. Usimamizi wa utekelezaji wa michakato, ikijumuisha utendakazi wa uundaji wao, kusitishwa au kusimamishwa, na ubadilishanaji wa data. Hizi ni pamoja na:

• Upangaji sawa wa michakato ya utekelezaji kwenye CPU.
• Mchakato wa kugawanya kwenye CPU kwa kutumia hali ya kushiriki wakati.
• Utekelezaji wa mchakato kwenye CPU.
• Kusimamisha punje baada ya muda uliowekwa kuisha.
• Ugawaji wa wakati wa kernel kwa mchakato mwingine.
• Kupanga upya wakati wa kernel kutekeleza mchakato uliosimamishwa.
• Dhibiti metadata inayohusiana na mchakato wa usalama kama vile UID, GIDs, lebo za SELinux, vitambulishi vya vipengele.

2. Ugawaji wa RAM kwa mchakato wa utekelezaji. Operesheni hii ni pamoja na:

• Ruhusa iliyotolewa na kernel kwa michakato ya kushiriki sehemu ya nafasi yao ya anwani chini ya hali fulani; hata hivyo, kernel hulinda nafasi ya anwani ya mchakato kutokana na kuingiliwa na nje.
• Ikiwa mfumo una kumbukumbu ya chini, kernel huweka kumbukumbu huru kwa kuandika mchakato kwa muda hadi kwenye kumbukumbu ya kiwango cha pili au kubadilishana.
• Mwingiliano ulioratibiwa na maunzi ya mashine ili kuanzisha anwani pepe ya uchoraji ramani ya anwani ambayo huanzisha ramani kati ya anwani zinazozalishwa na mkusanyaji na anwani za mahali.

3. Matengenezo ya mzunguko wa maisha ya mashine, ambayo ni pamoja na:

• Huweka vikomo kwenye rasilimali zilizosanidiwa na programu ya uigaji kwa mashine fulani pepe.
• Inaendesha msimbo wa programu ya mashine ya kutekelezwa.
• Hushughulikia kuzima kwa mashine pepe kwa kukamilisha maagizo au kuchelewesha kukamilika kwa maagizo ya kuiga nafasi ya mtumiaji.

4. Matengenezo ya mfumo wa faili. Inajumuisha:

• Ugawaji wa kumbukumbu ya sekondari kwa uhifadhi mzuri na urejeshaji wa data ya mtumiaji.
• Kugawa kumbukumbu ya nje kwa faili za mtumiaji.
• Rejesha tena nafasi ya hifadhi ya data ambayo haijatumika.
• Kuandaa muundo wa mfumo wa faili (kwa kutumia kanuni wazi za muundo).
• Kulinda faili za mtumiaji kutoka kwa ufikiaji usioidhinishwa.
• Kuandaa ufikiaji wa mchakato unaodhibitiwa kwa vifaa vya pembeni kama vile vituo, viendeshi vya tepi, viendeshi vya diski na vifaa vya mtandao.
• Kuandaa ufikiaji wa pamoja wa data kwa masomo na vitu, kutoa ufikiaji unaodhibitiwa kulingana na sera ya DAC na sera nyingine yoyote inayotekelezwa na LSM iliyopakiwa.

Kiini cha Linux ni aina ya kernel ya OS ambayo hutekelezea kuratibu na kuzuia kazi. Katika kernels ambazo hazina kipengele hiki, utekelezaji wa msimbo wa kernel unaendelea hadi kukamilika, i.e. kipanga ratiba hakina uwezo wa kupanga upya kazi ikiwa iko kwenye kernel. Kwa kuongezea, msimbo wa kernel umepangwa kutekeleza kwa ushirikiano, bila kuratibu mapema, na utekelezaji wa nambari hiyo unaendelea hadi utakapomalizika na kurudi kwenye nafasi ya mtumiaji, au hadi uzuie wazi. Katika kokwa za mapema, inawezekana kuahirisha kazi wakati wowote mradi tu kernel iko katika hali ambayo ni salama kuratibiwa upya.

Katika mada hii, nitajaribu kukusanya mwongozo juu ya maendeleo ya nyaraka za udhibiti katika uwanja wa usalama wa habari kwa muundo wa kibiashara, kulingana na uzoefu wa kibinafsi na vifaa kutoka kwenye mtandao.

Hapa unaweza kupata majibu ya maswali:

• kwa nini sera ya usalama wa habari inahitajika;
• jinsi ya kuitunga;
• jinsi ya kuitumia.

Haja ya sera ya usalama wa habari

Sehemu hii inaelezea hitaji la kutekeleza sera ya usalama wa habari na hati zinazoandamana sio kwa lugha nzuri ya vitabu vya kiada na viwango, lakini kwa kutumia mifano kutoka kwa uzoefu wa kibinafsi.

Kuelewa malengo na malengo ya idara ya usalama wa habari

Kwanza kabisa, sera ni muhimu ili kufikisha kwa biashara malengo na malengo ya usalama wa habari wa kampuni. Biashara lazima zielewe kwamba usalama sio tu chombo cha kuchunguza uvujaji wa data, lakini pia ni msaidizi katika kupunguza hatari za kampuni, na kwa hiyo katika kuongeza faida ya kampuni.

Mahitaji ya sera ndio msingi wa kutekeleza hatua za ulinzi

Sera ya usalama wa habari ni muhimu ili kuhalalisha kuanzishwa kwa hatua za ulinzi katika kampuni. Sera lazima iidhinishwe na chombo cha juu zaidi cha usimamizi cha kampuni (Mkurugenzi Mtendaji, bodi ya wakurugenzi, n.k.)

Hatua yoyote ya ulinzi ni maelewano kati ya kupunguza hatari na uzoefu wa mtumiaji. Mtaalamu wa usalama anaposema kwamba mchakato haupaswi kutokea kwa namna fulani kutokana na kuonekana kwa hatari fulani, kila mara anaulizwa swali linalofaa: "Inapaswa kutokeaje?" Mtaalamu wa usalama anahitaji kupendekeza muundo wa mchakato ambapo hatari hizi hupunguzwa kwa kiwango fulani cha kuridhisha kwa biashara.

Zaidi ya hayo, utumiaji wowote wa hatua zozote za ulinzi kuhusu mwingiliano wa mtumiaji na mfumo wa habari wa kampuni daima husababisha athari mbaya kutoka kwa mtumiaji. Hawataki kujifunza tena, kusoma maagizo yaliyotengenezwa kwao, nk. Mara nyingi watumiaji huuliza maswali yanayofaa:

• kwa nini nifanye kazi kulingana na mpango wako uliobuniwa, na sio njia rahisi ambayo nimekuwa nikitumia kila wakati
• ambaye alikuja na haya yote

Mazoezi yameonyesha kuwa mtumiaji hajali hatari, unaweza kumuelezea kwa muda mrefu na kwa uchungu kuhusu wadukuzi, msimbo wa uhalifu, nk, hakuna kitu kitakachotoka lakini kupoteza seli za ujasiri.
Ikiwa kampuni yako ina sera ya usalama wa habari, unaweza kutoa jibu fupi na fupi:

hatua hii ilianzishwa ili kuzingatia mahitaji ya sera ya usalama wa habari ya kampuni, ambayo iliidhinishwa na chombo cha juu cha utawala cha kampuni.

Kama sheria, baada ya hii nishati ya watumiaji wengi hupungua. Wale waliosalia wanaweza kuombwa kuandika memo kwa chombo hiki cha juu zaidi cha usimamizi cha kampuni. Hapa ndipo wengine huondolewa. Kwa sababu hata kama noti itaenda huko, tunaweza kudhibitisha hitaji la hatua zinazochukuliwa kwa usimamizi. Sio bure kwamba tunakula mkate wetu, sivyo? Kuna mambo mawili ya kuzingatia wakati wa kuunda sera.

• Hadhira inayolengwa ya sera ya usalama wa habari ni watumiaji wa mwisho na wasimamizi wakuu wa kampuni, ambao hawaelewi matamshi changamano ya kiufundi, lakini lazima wafahamu masharti ya sera hiyo.
• Hakuna haja ya kujaribu cram katika zisizofaa, ni pamoja na kila kitu unaweza katika hati hii! Lazima kuwe na malengo ya usalama wa habari tu, mbinu za kuyafanikisha na uwajibikaji! Hakuna maelezo ya kiufundi isipokuwa yanahitaji maarifa maalum. Hii ni nyenzo zote za maagizo na kanuni.

Hati ya mwisho lazima ikidhi mahitaji yafuatayo:

• ufupi - kiasi kikubwa cha hati kitamtisha mtumiaji yeyote, hakuna mtu atakayesoma hati yako (na utatumia zaidi ya mara moja kifungu hiki: "huu ni ukiukaji wa sera ya usalama wa habari ambayo uliifahamu")
• ufikiaji wa mtu wa kawaida - mtumiaji wa mwisho lazima aelewe NINI kilichoandikwa katika sera (hatawahi kusoma au kukumbuka maneno na vifungu vya maneno "kukata miti", "mfano wa kuingilia", "tukio la usalama wa habari", "miundombinu ya habari", "teknolojia". ”, “anthropogenic” ", "sababu ya hatari", nk.)

Jinsi ya kufikia hili?

Kwa kweli, kila kitu ni rahisi sana: sera ya usalama wa habari inapaswa kuwa hati ya ngazi ya kwanza, inapaswa kupanuliwa na kuongezwa na nyaraka nyingine (kanuni na maelekezo), ambayo tayari itaelezea kitu maalum.
Mfano unaweza kuchorwa na serikali: hati ya kiwango cha kwanza ni katiba, na mafundisho, dhana, sheria na kanuni zingine zilizopo katika serikali zinakamilisha tu na kudhibiti utekelezaji wa vifungu vyake. Mchoro wa takriban unaonyeshwa kwenye takwimu.

Ili sio kupaka uji kwenye sahani, hebu tuangalie mifano ya sera za usalama wa habari ambazo zinaweza kupatikana kwenye mtandao.

	Idadi muhimu ya kurasa*	Imejaa masharti	Ukadiriaji wa jumla
OJSC Gazprombank	11	Juu sana
Mfuko wa Maendeleo ya Ujasiriamali wa JSC "Damu"	14	Juu	Hati ngumu ya kusoma kwa uangalifu, mtu wa kawaida hataisoma, na ikiwa ataisoma, hataielewa na hataikumbuka.
JSC NC "KazMunayGas"	3	Chini	Rahisi kuelewa hati, sio kujazwa na maneno ya kiufundi
JSC "Taasisi ya Uhandisi wa Redio iliyopewa jina la Msomi A. L. Mints"	42	Juu sana	Hati ngumu ya kusoma kwa uangalifu, mtu wa kawaida hataisoma - kuna kurasa nyingi sana

* Ninaita muhimu idadi ya kurasa bila jedwali la yaliyomo, ukurasa wa kichwa na kurasa zingine ambazo hazina habari maalum

Muhtasari

Sera ya usalama wa habari inapaswa kuendana na kurasa kadhaa, iwe rahisi kwa mtu wa kawaida kuelewa, na kuelezea kwa jumla malengo ya usalama wa habari, mbinu za kuyafanikisha na majukumu ya wafanyikazi.

Utekelezaji na matumizi ya sera ya usalama wa habari

Baada ya kupitishwa kwa sera ya usalama wa habari, lazima:

• kuwafahamisha wafanyikazi wote waliopo na sera;
• kufahamisha wafanyikazi wote wapya na sera (jinsi bora ya kufanya hivyo ni mada ya majadiliano tofauti; tuna kozi ya utangulizi kwa wageni, ambayo mimi hutoa maelezo);
• kuchambua michakato iliyopo ya biashara ili kutambua na kupunguza hatari;
• kushiriki katika uundaji wa michakato mpya ya biashara, ili usikimbie treni baadaye;
• kuendeleza kanuni, taratibu, maagizo na nyaraka zingine zinazosaidia sera (maelekezo ya kutoa upatikanaji wa mtandao, maelekezo ya kutoa ufikiaji wa maeneo yaliyozuiliwa, maagizo ya kufanya kazi na mifumo ya habari ya kampuni, nk);
• kagua sera ya usalama wa habari na hati zingine za usalama wa habari angalau mara moja kwa robo ili kuzisasisha.

Kwa maswali na mapendekezo, karibu katika maoni na PMs.

Swali %username%

Kuhusu siasa, wakubwa hawapendi ninachotaka kwa maneno rahisi. Wananiambia: "Mbali na mimi na wewe na wafanyikazi wengine 10 wa IT ambao wenyewe wanajua na kuelewa kila kitu, tuna mia 2 ambao hawaelewi chochote kuhusu hili, nusu yao ni wastaafu."
Nilifuata njia ya ufupi wa wastani wa maelezo, kwa mfano, sheria za ulinzi dhidi ya virusi, na hapa chini ninaandika kitu kama vile kuna sera ya ulinzi dhidi ya virusi, nk. Lakini sielewi ikiwa mtumiaji anasaini kwa sera, lakini tena anahitaji kusoma rundo la nyaraka zingine, inaonekana amefupisha sera, lakini inaonekana hajafanya hivyo.

Hapa ningechukua njia ya uchambuzi wa mchakato.
Wacha tuseme ulinzi wa antivirus. Kimantiki, inapaswa kuwa hivyo.

Je, virusi vinaleta hatari gani kwetu? Ukiukaji wa uadilifu (uharibifu) wa habari, ukiukaji wa upatikanaji (muda wa chini wa seva au PC) wa habari. Ikiwa mtandao umepangwa vizuri, mtumiaji haipaswi kuwa na haki za msimamizi wa ndani katika mfumo, yaani, haipaswi kuwa na haki za kufunga programu (na kwa hiyo virusi) kwenye mfumo. Kwa hivyo, wastaafu huanguka, kwani hawafanyi biashara hapa.

Nani anaweza kupunguza hatari zinazohusiana na virusi? Watumiaji walio na haki za msimamizi wa kikoa. Msimamizi wa kikoa ni jukumu nyeti, linalopewa wafanyikazi wa idara za IT, nk. Ipasavyo, wanapaswa kufunga antivirus. Inatokea kwamba wao pia wanajibika kwa shughuli za mfumo wa kupambana na virusi. Ipasavyo, lazima watie saini maagizo juu ya kuandaa ulinzi wa antivirus. Kwa kweli, jukumu hili lazima liandikwe katika maagizo. Kwa mfano, mtu wa usalama anatawala, wasimamizi wanatekeleza.

Swali %username%

Kisha swali ni, ni nini haipaswi kuingizwa katika maagizo ya Anti-Virus ZI wajibu wa uumbaji na matumizi ya virusi (au kuna makala na haiwezi kutajwa)? Au kwamba wanatakiwa kuripoti virusi au tabia ya ajabu ya Kompyuta kwa Dawati la Usaidizi au watu wa TEHAMA?

Tena, ningeangalia kutoka kwa mtazamo wa usimamizi wa hatari. Hii harufu, kwa kusema, ya GOST 18044-2007.
Katika kesi yako, "tabia ya ajabu" si lazima virusi. Hii inaweza kuwa mfumo wa kuvunja au kuvunja, nk. Ipasavyo, hii sio tukio, lakini tukio la usalama wa habari. Tena, kulingana na GOST, mtu yeyote anaweza kuripoti tukio, lakini inawezekana kuelewa ikiwa ni tukio au si tu baada ya uchambuzi.

Kwa hivyo, swali lako hili halitafsiri tena kuwa sera ya usalama wa habari, lakini katika usimamizi wa matukio. Sera yako inapaswa kusema hivyo kampuni lazima iwe na mfumo wa kushughulikia matukio.

Hiyo ni, kama unavyoona, utekelezaji wa kiutawala wa sera hutegemea wasimamizi na maafisa wa usalama. Watumiaji wamesalia na vitu maalum.

Kwa hivyo, unahitaji kuteka baadhi ya "Utaratibu wa kutumia SVT katika kampuni," ambapo lazima uonyeshe majukumu ya watumiaji. Hati hii inapaswa kuhusishwa na sera ya usalama wa habari na iwe, kwa kusema, maelezo kwa mtumiaji.

Hati hii inaweza kuonyesha kuwa mtumiaji anahitajika kuarifu mamlaka inayofaa kuhusu shughuli isiyo ya kawaida ya kompyuta. Kweli, unaweza kuongeza kila kitu kingine maalum hapo.

Kwa jumla, unahitaji kumjulisha mtumiaji na hati mbili:

• sera ya usalama wa habari (ili aelewe kile kinachofanywa na kwa nini, haitikisi mashua, haapi wakati wa kuanzisha mifumo mpya ya udhibiti, nk)
• hii "Utaratibu wa kutumia SVT katika kampuni" (ili aelewe nini hasa cha kufanya katika hali maalum)

Kwa hiyo, wakati wa kutekeleza mfumo mpya, unaongeza tu kitu kwenye "Utaratibu" na uwajulishe wafanyakazi kuhusu hili kwa kutuma utaratibu kwa barua pepe (au kupitia EDMS, ikiwa inapatikana).

Lebo:

• Usalama wa Habari
• Usimamizi wa hatari
• Sera ya usalama

Ongeza vitambulisho

Katika ulimwengu wa kisasa, dhana ya "sera ya usalama wa habari" inaweza kufasiriwa kwa maana pana na nyembamba. Kwa maana ya kwanza, pana, inaashiria mfumo mgumu wa maamuzi ambayo hufanywa na shirika fulani, iliyoandikwa rasmi na yenye lengo la kuhakikisha usalama wa biashara. Kwa maana nyembamba, dhana hii ina maana hati ya umuhimu wa ndani, ambayo inabainisha mahitaji ya usalama, mfumo wa hatua zilizochukuliwa, wajibu wa wafanyakazi na utaratibu wa udhibiti.

Sera ya kina ya usalama wa habari ni dhamana ya utendakazi thabiti wa kampuni yoyote. Upana wake upo katika kufikiria na kusawazisha kiwango cha ulinzi, pamoja na ukuzaji wa hatua sahihi na mfumo wa udhibiti katika tukio la ukiukwaji wowote.

Mbinu zote za shirika zina jukumu muhimu katika kuunda mpango wa usalama wa habari wa kuaminika, kwa sababu matumizi haramu ya habari ni matokeo ya vitendo viovu, uzembe wa wafanyikazi, na sio shida za kiufundi. Ili kufikia matokeo mazuri, unahitaji mwingiliano wa kina wa hatua za shirika, kisheria na kiufundi, ambazo zinapaswa kuwatenga kupenya zote ambazo hazijaidhinishwa kwenye mfumo.

Usalama wa habari ni dhamana ya uendeshaji mzuri wa kampuni na maendeleo yake thabiti. Walakini, msingi wa kujenga mfumo wa ulinzi wa hali ya juu unapaswa kuwa majibu kwa maswali yafuatayo:

Mfumo wa data ni nini na ni kiwango gani cha ulinzi wa usalama kitahitajika?

Ni nani anayeweza kusababisha uharibifu kwa kampuni kwa kuvuruga utendakazi wa mfumo wa habari na ni nani anayeweza kutumia habari iliyopokelewa?

Hatari kama hiyo inawezaje kupunguzwa kwa kiwango cha chini bila kuvuruga utendakazi mzuri wa shirika?

Wazo la usalama wa habari, kwa hivyo, linapaswa kuendelezwa kibinafsi kwa biashara maalum na kulingana na masilahi yake. Jukumu kuu katika sifa zake za ubora linachezwa na hatua za shirika, ambazo ni pamoja na:

Shirika la mfumo wa udhibiti wa ufikiaji ulioanzishwa. Hii imefanywa ili kuzuia kuingia kwa siri na bila ruhusa katika eneo la kampuni na watu wasioidhinishwa, pamoja na udhibiti wa kukaa katika majengo na wakati wa kuondoka.

Kufanya kazi na wafanyikazi. Kiini chake kiko katika kuandaa mwingiliano na wafanyikazi na wafanyikazi wa kuajiri. Ni muhimu pia kufahamiana nao, kuandaa na kufundisha sheria za kufanya kazi na habari ili wafanyikazi wajue mipaka ya usiri wake.

Sera ya usalama wa habari pia hutoa matumizi ya muundo wa njia za kiufundi zinazolenga kukusanya, kukusanya na kuongezeka kwa usiri.

Kufanya kazi inayolenga ufuatiliaji wa wafanyikazi katika suala la matumizi yao ya habari iliyoainishwa na kuandaa hatua ambazo zinapaswa kuhakikisha ulinzi wake.

Gharama za kutekeleza sera hiyo zisizidi madhara yanayoweza kutokea kutokana na hasara yake.

Sera ya usalama wa habari na ufanisi wake kwa kiasi kikubwa hutegemea idadi ya mahitaji yaliyowasilishwa kwake na kampuni, ambayo inafanya uwezekano wa kupunguza kiwango cha hatari kwa kiwango kinachohitajika.

Kwa biashara, habari yake ni rasilimali muhimu. Sera ya usalama wa habari inafafanua hatua zinazohitajika ili kulinda habari dhidi ya kupatikana kwa bahati mbaya au kwa kukusudia, uharibifu, nk. Kila mfanyakazi wa biashara anajibika kwa kufuata sera ya usalama. Malengo ya sera ya usalama ni:

• Utekelezaji wa upatikanaji endelevu wa rasilimali za kampuni kwa utendaji wa kawaida wa majukumu yao na wafanyikazi
• Kutoa rasilimali muhimu za habari
• Ulinzi wa uadilifu wa data
• Mgawo wa kiwango cha uwajibikaji na kazi za wafanyikazi kwa utekelezaji wa usalama wa habari katika biashara
• Fanya kazi ili kufahamisha watumiaji na hatari zinazohusiana na habari. rasilimali za biashara

Wafanyikazi wanapaswa kuangaliwa mara kwa mara ili kuhakikisha kufuata sera ya usalama wa habari. Sheria za sera zinatumika kwa rasilimali zote na habari za biashara. Kampuni inamiliki haki za umiliki wa rasilimali za kompyuta, taarifa za biashara, programu zilizoidhinishwa na kuundwa, maudhui ya barua pepe, na aina mbalimbali za nyaraka.

Kwa mali zote za taarifa za biashara, lazima kuwe na watu wanaofaa na wajibu wa matumizi ya mali fulani.

Udhibiti wa ufikiaji wa mifumo ya habari

Majukumu yote lazima yafanywe tu kwenye kompyuta zilizoidhinishwa kutumika katika biashara. Matumizi ya vifaa vyako vya kubebeka na vifaa vya kuhifadhi vinawezekana tu kwa idhini. Taarifa zote za siri lazima zihifadhiwe katika fomu iliyosimbwa kwenye diski kuu zilizo na programu ya usimbuaji wa diski kuu. Haki za wafanyikazi kwa mfumo wa habari zinapaswa kupitiwa mara kwa mara. Ili kutekeleza ufikiaji ulioidhinishwa wa rasilimali ya habari, kuingia kwenye mfumo lazima kutekelezwa kwa kutumia jina la mtumiaji na nenosiri la kipekee. Nenosiri lazima liridhishe. Pia, wakati wa mapumziko, au wakati mfanyakazi hayupo mahali pake pa kazi, kazi ya kiokoa skrini inapaswa kuanzishwa ili kuzuia mashine ya kufanya kazi.

Ufikiaji wa wahusika wengine kwa mfumo wa habari wa biashara

Kila mfanyakazi lazima aarifu huduma ya usalama wa habari kwamba anawapa wahusika wengine ufikiaji wa rasilimali za mtandao wa habari.

Ufikiaji wa mbali

Wafanyikazi wanaotumia vifaa vya kubebeka vya kibinafsi wanaweza kuomba ufikiaji wa mbali kwa mtandao wa habari wa biashara. Wafanyikazi wanaofanya kazi nje ya tovuti na wana ufikiaji wa mbali wamepigwa marufuku kunakili data kutoka kwa mtandao wa shirika. Pia, wafanyikazi kama hao hawawezi kuwa na unganisho zaidi ya moja kwa mitandao tofauti ambayo sio ya biashara. Kompyuta zilizo na ufikiaji wa mbali lazima ziwe na .

Ufikiaji wa mtandao

Ufikiaji kama huo unapaswa kuruhusiwa tu kwa madhumuni ya biashara na sio matumizi ya kibinafsi. Yafuatayo ni mapendekezo:

• Hairuhusiwi kutembelea tovuti ambayo inachukuliwa kuwa ya kukera jamii au iliyo na maudhui ya ngono, propaganda, n.k.
• Wafanyikazi hawapaswi kutumia Mtandao kuhifadhi data ya kampuni
• Wafanyakazi ambao wana akaunti zinazotolewa na watoa huduma za umma ni marufuku kutumia vifaa vya biashara
• Faili zote kutoka kwa Mtandao lazima zichunguzwe kwa virusi
• Ufikiaji wa mtandao ni marufuku kwa watu wote wasio waajiriwa

Ulinzi wa vifaa

Wafanyakazi wanapaswa pia kuzingatia kutekeleza usalama wa kimwili kwa vifaa ambavyo data ya biashara inahifadhiwa au kuchakatwa. Ni marufuku kusanidi maunzi na programu wewe mwenyewe; wataalamu wa huduma ya usalama wa habari wanapatikana kwa hili.

Vifaa

Watumiaji wanaofanya kazi na taarifa za siri lazima wawe na chumba tofauti ili kuzuia ufikiaji wao na mahali pao pa kazi.

Kila mfanyakazi, akiwa amepokea vifaa kutoka kwa biashara kwa matumizi ya muda (safari ya biashara), lazima aitunze na sio kuiacha bila kutunzwa. Katika kesi ya upotezaji au hali zingine za dharura, data kwenye kompyuta lazima isimbwe fiche mapema.

Kuumbiza data kabla ya kurekodi au kuharibu midia sio hakikisho la 100% la usafi wa kifaa. Pia, bandari za data kwenye kompyuta za mezani zinapaswa kuzuiwa isipokuwa mfanyakazi ana ruhusa ya kunakili data.

Programu

Programu zote zilizowekwa kwenye kompyuta za biashara ni mali ya biashara na lazima zitumike kwa kazi rasmi. Ni marufuku kwa wafanyikazi kusakinisha programu zingine kibinafsi bila kukubaliana na huduma ya usalama wa habari. Kompyuta zote za mezani lazima ziwe na seti ya chini ya programu:

• Programu ya antivirus
• Programu ya usimbuaji wa kiendeshi kikuu
• Programu ya usimbaji barua pepe

Wafanyikazi wa kampuni hawapaswi:

• kuzuia au kusakinisha programu nyingine ya kuzuia virusi
• badilisha mipangilio ya usalama

Ujumbe wa kielektroniki (hata uliofutwa) unaweza kutumiwa na serikali. mamlaka au washindani wa biashara mahakamani kama ushahidi. Kwa hivyo, maudhui ya ujumbe lazima yazingatie kikamilifu viwango vya ushirika katika uwanja wa maadili ya biashara.

Wafanyikazi hawawezi kusambaza habari za siri za kampuni kupitia barua bila usimbaji fiche. Wafanyikazi pia hawaruhusiwi kutumia sanduku za barua za umma. Kwa mtiririko wa hati, visanduku vya barua vya kampuni pekee ndivyo vinapaswa kutumika. Zifuatazo ni vitendo visivyoweza kutatuliwa wakati wa kutekeleza barua pepe:

• utumaji barua wa kikundi kwa watumiaji wote wa biashara
• kutuma ujumbe wa kibinafsi kwa kutumia rasilimali za barua pepe za kampuni
• kujiandikisha kwa sanduku la barua la kampuni ya majarida
• kutuma nyenzo zisizohusiana na kazi

Kuripoti tukio, majibu na kuripoti

Wafanyakazi wote lazima waripoti udhaifu wowote wa kiusalama unaoshukiwa. Pia, udhaifu katika mfumo wa usalama unaojulikana kwa mfanyakazi lazima usifichuliwe. Ikiwa kuna mashaka ya virusi au vitendo vingine vya uharibifu kwenye kompyuta, mfanyakazi lazima:

• kuwajulisha wafanyikazi wa usalama wa habari
• usiwashe kompyuta iliyoambukizwa na usiitumie
• Usiunganishe kompyuta kwenye mtandao wa habari wa biashara

Majengo yenye mbinu za ulinzi wa kiufundi

Mikutano/mikutano yote ya siri lazima ifanyike katika vyumba vilivyotengwa pekee. Washiriki hawaruhusiwi kuleta vifaa vya kurekodia (Sauti/video) na simu za rununu ndani ya majengo bila idhini ya huduma ya usalama wa habari. Rekodi ya sauti/video inaweza kufanywa na mfanyakazi kwa ruhusa kutoka kwa huduma ya usalama wa habari.

Katika mada hii, nitajaribu kukusanya mwongozo juu ya maendeleo ya nyaraka za udhibiti katika uwanja wa usalama wa habari kwa muundo wa kibiashara, kulingana na uzoefu wa kibinafsi na vifaa kutoka kwenye mtandao.

Hapa unaweza kupata majibu ya maswali:

• kwa nini sera ya usalama wa habari inahitajika;
• jinsi ya kuitunga;
• jinsi ya kuitumia.

Haja ya sera ya usalama wa habari

Sehemu hii inaelezea hitaji la kutekeleza sera ya usalama wa habari na hati zinazoandamana sio kwa lugha nzuri ya vitabu vya kiada na viwango, lakini kwa kutumia mifano kutoka kwa uzoefu wa kibinafsi.

Kuelewa malengo na malengo ya idara ya usalama wa habari

Kwanza kabisa, sera ni muhimu ili kufikisha kwa biashara malengo na malengo ya usalama wa habari wa kampuni. Biashara lazima zielewe kwamba usalama sio tu chombo cha kuchunguza uvujaji wa data, lakini pia ni msaidizi katika kupunguza hatari za kampuni, na kwa hiyo katika kuongeza faida ya kampuni.

Mahitaji ya sera ndio msingi wa kutekeleza hatua za ulinzi

Sera ya usalama wa habari ni muhimu ili kuhalalisha kuanzishwa kwa hatua za ulinzi katika kampuni. Sera lazima iidhinishwe na chombo cha juu zaidi cha usimamizi cha kampuni (Mkurugenzi Mtendaji, bodi ya wakurugenzi, n.k.)

Hatua yoyote ya ulinzi ni maelewano kati ya kupunguza hatari na uzoefu wa mtumiaji. Mtaalamu wa usalama anaposema kwamba mchakato haupaswi kutokea kwa namna fulani kutokana na kuonekana kwa hatari fulani, kila mara anaulizwa swali linalofaa: "Inapaswa kutokeaje?" Mtaalamu wa usalama anahitaji kupendekeza muundo wa mchakato ambapo hatari hizi hupunguzwa kwa kiwango fulani cha kuridhisha kwa biashara.

Zaidi ya hayo, utumiaji wowote wa hatua zozote za ulinzi kuhusu mwingiliano wa mtumiaji na mfumo wa habari wa kampuni daima husababisha athari mbaya kutoka kwa mtumiaji. Hawataki kujifunza tena, kusoma maagizo yaliyotengenezwa kwao, nk. Mara nyingi watumiaji huuliza maswali yanayofaa:

• kwa nini nifanye kazi kulingana na mpango wako uliobuniwa, na sio njia rahisi ambayo nimekuwa nikitumia kila wakati
• ambaye alikuja na haya yote

Mazoezi yameonyesha kuwa mtumiaji hajali hatari, unaweza kumuelezea kwa muda mrefu na kwa uchungu kuhusu wadukuzi, msimbo wa uhalifu, nk, hakuna kitu kitakachotoka lakini kupoteza seli za ujasiri.
Ikiwa kampuni yako ina sera ya usalama wa habari, unaweza kutoa jibu fupi na fupi:

hatua hii ilianzishwa ili kuzingatia mahitaji ya sera ya usalama wa habari ya kampuni, ambayo iliidhinishwa na chombo cha juu cha utawala cha kampuni.

Kama sheria, baada ya hii nishati ya watumiaji wengi hupungua. Wale waliosalia wanaweza kuombwa kuandika memo kwa chombo hiki cha juu zaidi cha usimamizi cha kampuni. Hapa ndipo wengine huondolewa. Kwa sababu hata kama noti itaenda huko, tunaweza kudhibitisha hitaji la hatua zinazochukuliwa kwa usimamizi. Sio bure kwamba tunakula mkate wetu, sivyo? Kuna mambo mawili ya kuzingatia wakati wa kuunda sera.

• Hadhira inayolengwa ya sera ya usalama wa habari ni watumiaji wa mwisho na wasimamizi wakuu wa kampuni, ambao hawaelewi matamshi changamano ya kiufundi, lakini lazima wafahamu masharti ya sera hiyo.
• Hakuna haja ya kujaribu cram katika zisizofaa, ni pamoja na kila kitu unaweza katika hati hii! Lazima kuwe na malengo ya usalama wa habari tu, mbinu za kuyafanikisha na uwajibikaji! Hakuna maelezo ya kiufundi isipokuwa yanahitaji maarifa maalum. Hii ni nyenzo zote za maagizo na kanuni.

Hati ya mwisho lazima ikidhi mahitaji yafuatayo:

• ufupi - kiasi kikubwa cha hati kitamtisha mtumiaji yeyote, hakuna mtu atakayesoma hati yako (na utatumia zaidi ya mara moja kifungu hiki: "huu ni ukiukaji wa sera ya usalama wa habari ambayo uliifahamu")
• ufikiaji wa mtu wa kawaida - mtumiaji wa mwisho lazima aelewe NINI kilichoandikwa katika sera (hatawahi kusoma au kukumbuka maneno na vifungu vya maneno "kukata miti", "mfano wa kuingilia", "tukio la usalama wa habari", "miundombinu ya habari", "teknolojia". ”, “anthropogenic” ", "sababu ya hatari", nk.)

Jinsi ya kufikia hili?

Kwa kweli, kila kitu ni rahisi sana: sera ya usalama wa habari inapaswa kuwa hati ya ngazi ya kwanza, inapaswa kupanuliwa na kuongezwa na nyaraka nyingine (kanuni na maelekezo), ambayo tayari itaelezea kitu maalum.
Mfano unaweza kuchorwa na serikali: hati ya kiwango cha kwanza ni katiba, na mafundisho, dhana, sheria na kanuni zingine zilizopo katika serikali zinakamilisha tu na kudhibiti utekelezaji wa vifungu vyake. Mchoro wa takriban unaonyeshwa kwenye takwimu.

Ili sio kupaka uji kwenye sahani, hebu tuangalie mifano ya sera za usalama wa habari ambazo zinaweza kupatikana kwenye mtandao.

	Idadi muhimu ya kurasa*	Imejaa masharti	Ukadiriaji wa jumla
OJSC Gazprombank	11	Juu sana
Mfuko wa Maendeleo ya Ujasiriamali wa JSC "Damu"	14	Juu	Hati ngumu ya kusoma kwa uangalifu, mtu wa kawaida hataisoma, na ikiwa ataisoma, hataielewa na hataikumbuka.
JSC NC "KazMunayGas"	3	Chini	Rahisi kuelewa hati, sio kujazwa na maneno ya kiufundi
JSC "Taasisi ya Uhandisi wa Redio iliyopewa jina la Msomi A. L. Mints"	42	Juu sana	Hati ngumu ya kusoma kwa uangalifu, mtu wa kawaida hataisoma - kuna kurasa nyingi sana

* Ninaita muhimu idadi ya kurasa bila jedwali la yaliyomo, ukurasa wa kichwa na kurasa zingine ambazo hazina habari maalum

Muhtasari

Sera ya usalama wa habari inapaswa kuendana na kurasa kadhaa, iwe rahisi kwa mtu wa kawaida kuelewa, na kuelezea kwa jumla malengo ya usalama wa habari, mbinu za kuyafanikisha na majukumu ya wafanyikazi.

Utekelezaji na matumizi ya sera ya usalama wa habari

Baada ya kupitishwa kwa sera ya usalama wa habari, lazima:

• kuwafahamisha wafanyikazi wote waliopo na sera;
• kufahamisha wafanyikazi wote wapya na sera (jinsi bora ya kufanya hivyo ni mada ya majadiliano tofauti; tuna kozi ya utangulizi kwa wageni, ambayo mimi hutoa maelezo);
• kuchambua michakato iliyopo ya biashara ili kutambua na kupunguza hatari;
• kushiriki katika uundaji wa michakato mpya ya biashara, ili usikimbie treni baadaye;
• kuendeleza kanuni, taratibu, maagizo na nyaraka zingine zinazosaidia sera (maelekezo ya kutoa upatikanaji wa mtandao, maelekezo ya kutoa ufikiaji wa maeneo yaliyozuiliwa, maagizo ya kufanya kazi na mifumo ya habari ya kampuni, nk);
• kagua sera ya usalama wa habari na hati zingine za usalama wa habari angalau mara moja kwa robo ili kuzisasisha.

Kwa maswali na mapendekezo, karibu katika maoni na PMs.

Swali %username%

Kuhusu siasa, wakubwa hawapendi ninachotaka kwa maneno rahisi. Wananiambia: "Mbali na mimi na wewe na wafanyikazi wengine 10 wa IT ambao wenyewe wanajua na kuelewa kila kitu, tuna mia 2 ambao hawaelewi chochote kuhusu hili, nusu yao ni wastaafu."
Nilifuata njia ya ufupi wa wastani wa maelezo, kwa mfano, sheria za ulinzi dhidi ya virusi, na hapa chini ninaandika kitu kama vile kuna sera ya ulinzi dhidi ya virusi, nk. Lakini sielewi ikiwa mtumiaji anasaini kwa sera, lakini tena anahitaji kusoma rundo la nyaraka zingine, inaonekana amefupisha sera, lakini inaonekana hajafanya hivyo.

Hapa ningechukua njia ya uchambuzi wa mchakato.
Wacha tuseme ulinzi wa antivirus. Kimantiki, inapaswa kuwa hivyo.

Je, virusi vinaleta hatari gani kwetu? Ukiukaji wa uadilifu (uharibifu) wa habari, ukiukaji wa upatikanaji (muda wa chini wa seva au PC) wa habari. Ikiwa mtandao umepangwa vizuri, mtumiaji haipaswi kuwa na haki za msimamizi wa ndani katika mfumo, yaani, haipaswi kuwa na haki za kufunga programu (na kwa hiyo virusi) kwenye mfumo. Kwa hivyo, wastaafu huanguka, kwani hawafanyi biashara hapa.

Nani anaweza kupunguza hatari zinazohusiana na virusi? Watumiaji walio na haki za msimamizi wa kikoa. Msimamizi wa kikoa ni jukumu nyeti, linalopewa wafanyikazi wa idara za IT, nk. Ipasavyo, wanapaswa kufunga antivirus. Inatokea kwamba wao pia wanajibika kwa shughuli za mfumo wa kupambana na virusi. Ipasavyo, lazima watie saini maagizo juu ya kuandaa ulinzi wa antivirus. Kwa kweli, jukumu hili lazima liandikwe katika maagizo. Kwa mfano, mtu wa usalama anatawala, wasimamizi wanatekeleza.

Swali %username%

Kisha swali ni, ni nini haipaswi kuingizwa katika maagizo ya Anti-Virus ZI wajibu wa uumbaji na matumizi ya virusi (au kuna makala na haiwezi kutajwa)? Au kwamba wanatakiwa kuripoti virusi au tabia ya ajabu ya Kompyuta kwa Dawati la Usaidizi au watu wa TEHAMA?

Tena, ningeangalia kutoka kwa mtazamo wa usimamizi wa hatari. Hii harufu, kwa kusema, ya GOST 18044-2007.
Katika kesi yako, "tabia ya ajabu" si lazima virusi. Hii inaweza kuwa mfumo wa kuvunja au kuvunja, nk. Ipasavyo, hii sio tukio, lakini tukio la usalama wa habari. Tena, kulingana na GOST, mtu yeyote anaweza kuripoti tukio, lakini inawezekana kuelewa ikiwa ni tukio au si tu baada ya uchambuzi.

Kwa hivyo, swali lako hili halitafsiri tena kuwa sera ya usalama wa habari, lakini katika usimamizi wa matukio. Sera yako inapaswa kusema hivyo kampuni lazima iwe na mfumo wa kushughulikia matukio.

Hiyo ni, kama unavyoona, utekelezaji wa kiutawala wa sera hutegemea wasimamizi na maafisa wa usalama. Watumiaji wamesalia na vitu maalum.

Kwa hivyo, unahitaji kuteka baadhi ya "Utaratibu wa kutumia SVT katika kampuni," ambapo lazima uonyeshe majukumu ya watumiaji. Hati hii inapaswa kuhusishwa na sera ya usalama wa habari na iwe, kwa kusema, maelezo kwa mtumiaji.

Hati hii inaweza kuonyesha kuwa mtumiaji anahitajika kuarifu mamlaka inayofaa kuhusu shughuli isiyo ya kawaida ya kompyuta. Kweli, unaweza kuongeza kila kitu kingine maalum hapo.

Kwa jumla, unahitaji kumjulisha mtumiaji na hati mbili:

• sera ya usalama wa habari (ili aelewe kile kinachofanywa na kwa nini, haitikisi mashua, haapi wakati wa kuanzisha mifumo mpya ya udhibiti, nk)
• hii "Utaratibu wa kutumia SVT katika kampuni" (ili aelewe nini hasa cha kufanya katika hali maalum)

Kwa hiyo, wakati wa kutekeleza mfumo mpya, unaongeza tu kitu kwenye "Utaratibu" na uwajulishe wafanyakazi kuhusu hili kwa kutuma utaratibu kwa barua pepe (au kupitia EDMS, ikiwa inapatikana).

Lebo: Ongeza vitambulisho