Политика информационной безопасности издательства

Цели информационной безопасности
Основной целью, на достижение которой направлена ПИБ, является минимизация ущерба от событий, таящих угрозу безопасности информации, посредством их предотвращения или сведения их последствий к минимуму.

Для достижения цели необходимо обеспечивать решение следующих задач:
Своевременное выявление, оценка и прогнозирование источников угроз ИБ;
Создание механизма оперативного реагирования на угрозы ИБ;
Предотвращение и/или снижение ущерба от реализации угроз ИБ;
Защита от вмешательств в процесс функционирования Информационной Системы (ИС) посторонних лиц;
Соответствие требованиям законодательства по информационной безопасности Республики Беларусь, нормативно-методических документов и договорным обязательствам в части ИБ;

Для достижения цели необходимо обеспечивать решение следующих задач:
Обеспечение непрерывности критических бизнес-процессов;
Достижение адекватности мер по защите от угроз ИБ;
Изучение партнёров, клиентов, конкурентов и кандидатов на работу;
Недопущение проникновения структур организованной преступности и отдельных лиц с противоправными намерениями;
Выявление, предупреждение и пресечение возможной противоправной и иной негативной деятельности сотрудников;
Повышение деловой репутации и корпоративной культуры;

Структура компании

Объекты защиты
коммерческая тайна издательства, данные о ее договорах, финансовых взаимоотношениях, бухгалтерская информация;
коммерческая тайна клиентов и партнеров организации, данные об их активах, имуществе, платежах, произошедших страховых событиях;
персональные данные сотрудников компании и сотрудников клиентов, эта информация иногда включает номера автомобилей, водительских удостоверений, кредитных карт;
Все массивы информации содержатся как на бумажных, так и на электронных носителях.

Основные объекты обеспечения ИБ
информационные ресурсы, содержащие сведения, отнесенные в соответствии с действующим законодательством и внутренними нормативными документами компании к конфиденциальной информации;
средства и системы информатизации, на которых производится обработка, передача и хранение защищаемой информации.
программные средства (операционные системы, системы управления базами данных, другое общесистемное и прикладное программное обеспечение) автоматизированной системы компании, с помощью которых производится обработка защищаемой информации;

Основные объекты обеспечения ИБ
процессы Компании, связанные с управлением и использованием информационных ресурсов;
помещения, в которых расположены средства обработки защищаемой информации;
рабочие помещения и кабинеты работников компании, помещения компании, предназначенные для ведения закрытых переговоров и совещаний;
персонал компании, имеющий доступ к защищаемой информации.

Основные угрозы и их источники
действия внутреннего или внешнего злоумышленника (несанкционированный, в том числе удаленный доступ с целью нарушения работоспособности ИВС, кражи, удаления или модификации информации, несанкционированного распространение материальных носителей за пределами организации);
наблюдение за источниками информации;
подслушивание конфиденциальных разговоров и акустических сигналов работающих механизмов;
перехват электрических, магнитных и электромагнитных полей, электрических сигналов и радиоактивных излучений;
разглашение информации компетентными людьми;

Основные угрозы и их источники
несанкционированное распространение информации через поля и электрические сигналы, случайно возникшие в аппаратуре;
воздействие стихийных сил (наводнения, пожары и т. п.);
сбои и отказы в аппаратуре сбора, обработки и передачи информации;
отказы системы электроснабжения;
воздействие мощных электромагнитных и электрических помех (промышленных и природных).

Оценка рисков. Условная численная шкала для оценки ущерба издательства от НСД

Вероятностно-временная шкала реализации несанкционированного доступа к информационным ресурсам

Оценка рисков

Меры, методы и средства обеспечения требуемого уровня защищенности информационных ресурсов
Информационная безопасность издательства должна обеспечиваться целым комплексом мер, среди которых:
административно-правовые;
организационные;
программно-технические
Данные меры следует применять совместно. Опираться система защиты должна на управление персоналом компании и контроль над ним. Меры технического характера не менее важны, но не могут существовать в отрыве от организационных мер.