Впровадження та організація застосування обраних заходів, способів і засобів захисту, контроль цілісності та управління системою захисту

Ці заходи здійснюються:

- на об’єктах ІС;

- під час використання їх (систем захисту) в процесах і програмах;

- в каналах зв’язку;

- від ПЕМВН;

- в процесі управління системою захисту.

Впровадження та експлуатація системи захисту потребує організаційно-технічної та організаційно-правової підтримки. Така підтримка передбачає розробку відповідних нормативних документів, управління засобами захисту, їх адміністрування і контроль за правильністю експлуатації, виявлення спроб та фактів несанкціонованого доступу до інформаційних ресурсів, підтримка неперервності процесу обробки інформації. У зв’язку з тим, що обробка інформації на об’єкті здійснюється за централізованим принципом, управління системою захисту також не може бути покладено виключно на службу інформаційної безпеки. Певну частину таких функцій, а саме експлуатацію засобів захисту, присвоювання ідентифікаторів користувачам, моніторинг функціонування комп’ютерних систем, аналіз реєстраційних журналів та ін., доцільно покласти на спеціально призначених співробітників тих підрозділів, в яких ведеться обробка критичної інформації.

Умови для успішної реалізації завдання з впровадження і експлуатації системи захисту інформації полягає в забезпеченні належної організаційної підтримки та створення підрозділу, який виконує функції управління засобами захисту, контролю за правильністю їх експлуатації, дотримання плану захисту та плану забезпечення неперервної роботи та поновлення інформації, виявлення намагання та фактів несанкціонованого доступу до неї і вжиття заходів щодо їх нейтралізації.

Контроль цілісності та управління системою захисту здійснюється:

- на об’єктах ІС;

- в ході їх використанні в процесах та програмах;

- у каналах зв’язку;

- від витоку за рахунок ПЕМВН;

- у процесі управління системою захисту.

План захисту потребує щорічного перегляду з урахуванням зовнішніх обставин, що змінюються. Такий термін є своєчасним задля своєчасного внесення необхідних змін (щоправда, якщо не виникають причини для позачергового перегляду, а саме – реорганізація організаційно-штатної структури підприємства, зміна територіального розташування компонентів чи архітектури автоматизованої системи, модифікація використовуваного програмного забезпечення або обчислювальної техніки). Якщо намічені заходи прийнято, то необхідно перевірити їх дієвість, зокрема виконати автономне і комплексне тестування програмно-технічного механізму захисту. Якщо перевірка показує, що внаслідок виконаної роботи остаточні ризики зменшилися до прийнятного рівня, то можна намітити дату найближчої перевірки, якщо ні, то слід проаналізувати допущені помилки і повторно визначити ризик.