Руководство предназначено для администраторов изделия "Программноаппаратный комплекс квалифицированной электронной подписи "

Актуальность эффективной защиты

ГИС – это сложный государственный информационный комплекс, состоящий из множества структурных компонентов и машинного анализа данных. Любой, даже самый незначительный, сбой может привести к искажению информации, ее порче или искажению. По этой причине обеспечение информационной безопасности решается с применением только комплексного подхода, когда учитываются все возможные (потенциальные) факторы риска.
Если говорить о правовой основе, то на территории Российской Федерации действуют требования о защите ГИС, изложенные и закрепленные в Приказе ФСТЭК России № 17 от 11.02.2013 и Постановления Правительства РФ № 555 от 11.05.2017. Существует также «Методический документ. Меры защиты информации в государственных информационных системах», утвержденный приказом ФСТЭК России от 11 февраля 2014 г. (Методика охраны). 
Чтобы обеспечить сохранность данных требуется подробный анализ технических средств, которые используются в аналитическом комплексе доступа. Исходя из этого, разрабатываются меры, включающие в себя определение уровней доступа, авторизацию, резервное хранение (backup copy) и прочие операции. Если информация применяется для решения частных (корпоративных) задач, то она обладает коммерческой ценностью и подпадает под определение коммерческой тайны или конфиденциальных сведений. Если же речь идет об информации массового использования, то на первое место выходит защита авторского права, что подразумевает под собой защиту от копирования или же обязательную ссылку на автора контента.
Исходя из этого, становится понятным, что применяемые на предприятиях системы защиты информации должны соответствовать современным требованиям, чтобы успешно противостоять всем потенциальным угрозам. Не следует также забывать о том, что обеспечивать охрану информации, содержащейся в ГИС, следует еще на этапе ее создания, чтобы исключить утечку важных государственных данных.
Согласно Приказу ФСТЭК № 17 операторы ГИС должны обеспечить следующие мероприятия по защите информации:

• 
  сформировать требования, касающиеся защиты сведений, содержащихся в информационной системе;
  
• 
  разработать и внедрить на производство программу защиты информационного комплекса;
  
• 
  пройти аттестацию ИСПДн (Информационная система персональных данных) для получения документа, подтверждающего соответствие требованиям;
  
• 
  обеспечить эффективную защиту информации при эксплуатации системы (вводе и выводе данных). 
  

На любой стадии существует потенциальный риск утечки информации, поэтому очень важно с самого начала организовать эффективную систему контроля и защиты данных. Особое внимание уделяют человеческому фактору, поскольку в большинстве случаев утечки случаются по вине людей. Исследование, проведенное аналитическим центром «СёрчИнформ» в 2018 году, свидетельствует о том, что виновниками утечек ИБ-инцидентов стали 26% руководителей и 74% рядовых сотрудников. Это достаточно высокий показатель, свидетельствующий о необходимости принятия комплекса мер, предотвращающих риск утечки информации. Для этого, прежде всего, ограничивают доступ сотрудников к социальным сетям на рабочем месте, что повышает также результат от выполняемой работы. 
Структурно-функциональные компоненты информационной системы, подверженные угрозам
Для обеспечения эффективной защиты данных всю информационную систему разделяют на несколько функциональных компонентов. Это позволяет точно определить уязвимые стороны (слабые места) и защитить информацию государственного значения от хищения, копирования или искажения. 
Выделяют следующие структурные элементы: 

• 
  главный сетевой сервер, на котором хранится программное обеспечение, используемое для работы. Также на нем хранится СУБД (система управления базами данных), поэтому защите этого оборудования уделяется особое внимание;
  
• 
  автоматизированные рабочие места пользователей (АРМ). Выделяют прикладное и системное программное обеспечение, которое используют сотрудники для получения доступа к информации;
  
• 
  телекоммуникационные системы связи. Они обеспечивают передачу информации по выделенным каналам связи и Интернету с использованием маршрутизаторов и модемов.
  

В состав любой ГИС также входит технический персонал, главной задачей которого является поддержание системы в рабочем состоянии. Речь идет о программистах, системных администраторах и других специалистах, без которых система не может исправно функционировать. Работе с персоналом со стороны службы внутреннего контроля уделяется повышенное внимание, чтобы не допустить утечку информации вследствие человеческого фактора.