Обзор подготовлен при поддержке

ИТ-безопасность в госструктурах: изъян налицо

Федеральные органы государственной власти в первую очередь обеспечивают информационную безопасность своих ресурсов, используя различные административные мероприятия и организационно-распорядительные документы. Однако, несмотря на наличие различных государственных и отраслевых документов, регламентирующих данную сферу, деятельность федеральных органов государственной власти является зачастую бессистемной.

Данные обследований федеральных органов государственной власти, проведенных Мининформсвязи РФ в 2003 и 2004 гг., свидетельствуют о достаточно высокой доле министерств и ведомств, которые не смогли указать: перечень мероприятий, осуществляемых ОГВ в целях обеспечения информационной безопасности (не указали: в 2003 г. — 28% и в 2004 г. — 19%) и состав аппаратно-программных средств, применяемых в целях защиты информации (не указали в 2003 г. — 26% и в 2004 г. — 22%).

В тоже время, доля таких федеральных органов государственной власти за 2005 год несколько снизилась, что, несомненно, является хорошим показателем. Между тем, основные различия между ними обусловлены в первую очередь организационным подходом к обеспечению ИБ, а не возможностями по использованию того или иного аппаратно-программного обеспечения.

Обеспечение информационной безопасности невозможно без знания имеющихся в ведомстве ресурсов и их настроек с точки зрения информационной безопасности. Однако только в единичных из них — по данным на начало декабря 2004 г. — проведен должный аудит ИБ и анализ рисков в соответствии с рекомендациями Государственной технической комиссии при президенте России и ISO 17799. В подавляющем большинстве федеральных органах государственной власти эти работы не были проведены.

Очень немногие органы власти определяют: перечни информации, подлежащей защите; потенциальные каналы утечки информации и пути их предотвращения; списки лиц, имеющих доступ к защищаемым ресурсам и т.д.; перечень лиц, допущенных к работе со средствами международного информационного обмена.

Наличие этих перечней позволяет четко определить, кто, куда и каким образом может получать доступ к информационным ресурсам, что позволяет четко спланировать все дальнейшие мероприятия по защите информации.

В ряде федеральных ведомств разработана Концепция информационной безопасности, определяющая направления деятельности федерального органа государственной власти в области защиты своих ресурсов. Некоторые пошли еще дальше и разработали целый пакет организационно-распорядительных документов, регламентирующих эту область деятельности. К таким документам можно отнести: инструкцию по работе с информацией ограниченного доступа; положение об администраторе ИБ и ответственном за ИБ; регламенты и инструкции по защите информации в локальных сетях и работе в интернете.

В министерствах и ведомствах, которые провели эти мероприятия, доступ к информации обеспечивается только авторизованным пользователям, а в некоторых федеральных органах государственной власти доступ разрешается только после оформления соответствующих заявок.

С целью предотвращения вирусных эпидемий и утечки конфиденциальной информации в ряде ведомств запрещена самостоятельная установка любого программного обеспечения и во многих федеральных органах государственной власти пользователям, на рабочих местах которых обрабатывается конфиденциальная информация, запрещено работать в сети интернет. Этот запрет реализуется либо организационными мероприятиями, либо физическим разделением сети интернет и локальной вычислительной сети ведомства. В отдельных ведомствах вообще запрещено подключать к ЛВС компьютеры, обрабатывающие конфиденциальную информацию. Сами компьютеры, проводящие такую обработку, прошли специальную проверку и экспертизу и установлены в защищенных помещениях.

Для организации работ по обеспечению информационной безопасности в ряде федеральных органов государственной власти созданы подразделения по защите информации, а также организованы или организуются центры по аттестации объектов информатизации на соответствие требованиям информационной безопасности. Ряд ведомств уже провел такую аттестацию своих информационных систем и рабочих мест пользователей. Для работы этих подразделений проводится их укомплектование соответствующими специалистами, которые в некоторых федеральных органах государственной власти осуществляют круглосуточное обслуживание средств защиты информации.

Очень мало ведомств проводят проверку и подбор персонала при предоставлении доступа к информационным ресурсам. Обучение рядовых пользователей правилам информационной безопасности не проводится ни в одном из федеральных органов власти (по данным на начало декабря 2004 г.), и только в единичных ведомствах осуществляется обучение правилам работы в интернете с позиций информационной безопасности.

Несмотря на наличие в Российской Федерации структур, отвечающих за расследование компьютерных преступлений, только в единичных случаях организовало взаимодействие со Службой специальной связи и информации при ФСО РФ. При этом большинство федеральных органов государственной власти взаимодействует с Государственной технической комиссией при президенте России и ФСБ в целях выполнения требований по защите сведений, составляющих государственную тайну.

CNews Analytics

Гарри Кондаков: Каждая государственная организация является для нас VIP-клиентом

На вопросы CNews отвечает Гарри Кондаков, управляющий директор «Лаборатории Касперского» в России, СНГ и странах Балтии.

CNews: Как вы оцениваете динамику изменения рынка корпоративной информационной безопасности за 2004 год? Эксперты отмечают, что в регионе EMEA рост составил 32%, а российский сегмент, по мнению некоторых аналитиков, вырос более чем на 35–40%. С чем связан, на ваш взгляд, такой рост?

Гарри Кондаков: Мы тоже почувствовали стремительный рост. Рост продаж в России, СНГ и странах Балтии составил более 40%, а в корпоративном сегменте, на который приходится более половины наших доходов (53%), — более 50%. Интересно отметить Молдову и Литву, продажи в которых возросли более чем в 2 раза (107% и 118% соответственно).

Причины такой положительной динамики, на мой взгляд, стоит искать в изменении отношения к проблеме обеспечения информационной безопасности в крупных коммерческих компаниях и, что сегодня еще актуальнее, в государственных организациях. Поясню свою мысль.

Полный текст интервью