Информационная безопасность. Макаренко С.И. - 101 стр.

        8. ПРОЦЕДУРНЫЙ УРОВЕНЬ ИНФОРМАЦИОННОЙ
                     БЕЗОПАСНОСТИ

         8.1. Основные классы мер процедурного уровня

      Рассмотрим меры безопасности, которые ориентированы на людей, а
не на технические средства. Именно люди формируют режим
информационной безопасности, и они же оказываются главной угрозой,
поэтому «человеческий фактор» заслуживает особого внимания.
      Следует осознать ту степень зависимости от компьютерной обработки
данных, в которую попало современное общество. Акцент следует делать не
на военной или криминальной стороне дела, а на гражданских аспектах,
связанных с поддержанием нормального функционирования аппаратного и
программного обеспечения, то есть концентрироваться на вопросах
доступности и целостности данных.
      На процедурном уровне можно выделить следующие классы мер:
      - управление персоналом;
      - физическая защита;
      - поддержание работоспособности;
      - реагирование на нарушения режима безопасности;
      - планирование восстановительных работ.
      Рассмотрим меры процедурного уровня более подробно.

                    8.2 Управление персоналом

      Управление персоналом начинается с приема нового сотрудника на
работу и даже раньше - с составления описания должности. Уже на данном
этапе желательно подключить к работе специалиста по информационной
безопасности для определения компьютерных привилегий, ассоциируемых с
должностью.

      Существует два общих принципа, которые следует иметь в виду
при управлении персоналом:
     - Принцип      разделения   обязанностей     предписывает     так
        распределять роли и ответственность, чтобы один человек не мог
        нарушить критически важный для организации процесс.
     - Принцип минимизации привилегий предписывает выделять
        пользователям только те права доступа, которые необходимы им
        для выполнения служебных обязанностей. Назначение этого
        принципа очевидно - уменьшить ущерб от случайных или
        умышленных некорректных действий.

     Когда кандидат определен, он, вероятно, должен пройти обучение, по
крайней мере, его следует подробно ознакомить со служебными


                                  101