6.3.1. Архитектура организационной базы СОБИ ФНС России

Организационная база СОБИ ФНС России строится как иерархически-матричная структура. Иерархичность предполагает создание в ФНС России многоуровневой вертикальной структуры, позволяющей своевременно довести управляющее воздействие до исполнительных механизмов СОБИ и получить оперативную информацию о реакции на эти воздействия для последующего их анализа и коррекции. Матричность предполагает создание разветвленной горизонтальной структуры взаимодействия с подразделениями налоговых органов.

Организационная база архитектурно имеет две составляющие: "Персонал" и "Политика". Первая составляющая определяется и напрямую зависит от организационно-штатной структуры ФНС России, а вторая определяется пакетом организационно-распорядительных документов, направленных на формирование и реализацию Политики безопасности ФНС России.

Элементы организационной базы размещаются на 3 уровнях СОБИ. Общая архитектура организационной базы по уровням СОБИ и их взаимосвязь представлена в Приложении N 1 (Рис. N 10).

Подразделения ИБ налоговых органов являются ядром составляющей "Персонал" организационной базы СОБИ и подчиняются непосредственно руководителю налогового органа. Обязанности, права и полномочия работников подразделений ИБ ФНС России определяются должностными регламентами. При администрировании безопасности информации в ИС налоговых органов должно обеспечиваться сопряжение функций администрирования безопасности информации с функциями системы администрирования процесса обработки информации (комплексное администрирование). Системные администраторы, администраторы операционных систем, администраторы баз данных ИС налоговых органов (подчиненные структурным подразделениям информатизации налоговых органов) непосредственно реализуют мероприятия по защите ИР ФНС России, осуществляют контроль за ходом информационных процессов, обеспечением разграничения доступа к ИР ФНС России в процессе их использования.

Администраторы безопасности информации взаимодействуют со всеми администраторами ИС, обеспечивающими формирование и сопровождение защищаемых ИР ФНС России и контроль за информационными процессами. Задачами администраторов безопасности информации являются:

формирование и контроль списка пользователей ИС налоговых органов, допущенных к работе с каждым видом ИР;

формирование параметров входа в ИС налоговых органов (идентификатора) и ключевых данных пользователей;

контроль текущего состояния ИС налоговых органов, просмотр журнала активных сеансов, контроль за работой конкретных рабочих станций (АРМ) и конкретных пользователей ИС налоговых органов;

контроль за действиями администраторов ИС налоговых органов (администраторов ИС, операционных систем, баз данных) по администрированию штатных (встроенных) для общесистемного программного обеспечения механизмов защиты;

администрирование специализированных средств защиты информации и анализа защищенности ресурсов ИС налоговых органов, поддержка функционирования средств, технологий и процессов обеспечения ИБ ФНС России;

учет наступления системных событий, связанных с инициализацией функций ИС налоговых органов, изменением их конфигурации, а также изменением прав доступа пользователей и процессов.

Численность администраторов безопасности информации и специалистов по защите информации определяется масштабом ИС налоговых органов и объемом защищаемых ИР ФНС России.

Для реализации задач обеспечения безопасности информации, в зависимости от организационно-штатной структуры ФНС России, подразделения налоговых органов в составе СОБИ наделяются следующими полномочиями (но не ограничиваясь):

управлять планами обеспечения ИБ ФНС России;

разрабатывать и вносить предложения по изменению Политики ИБ ФНС России;

изменять существующие и принимать новые организационно-распорядительные и нормативно-методические документы по обеспечению ИБ в ФНС России;

выбирать средства управления и обеспечения ИБ при эксплуатации ИС налоговых органов;

контролировать действия пользователей ИС налоговых органов, в том числе пользователей, имеющих максимальные полномочия;

контролировать активность пользователей ИС налоговых органов, связанную с доступом к ИР ФНС России и использованием средств защиты информации;

осуществлять мониторинг событий ИБ;

расследовать нарушения ИБ и, в случае необходимости, выходить с предложениями по применению санкций в отношении лиц, осуществивших противоправные действия;

участвовать в действиях по восстановлению работоспособности ИС налоговых органов после сбоев и аварий;

создавать, поддерживать и совершенствовать СУИБ ФНС России.

Конкретные полномочия подразделений налоговых органов, в том числе обеспечивающих подразделений (информатизации, делопроизводства, кадров, жизнеобеспечения и энергоснабжения, физической безопасности), по исполнению функций защиты информации определяются в организационно-распорядительном документе "Регламент обеспечения информационной безопасности ФНС России".

Совершенствование и развитие составляющей "Персонал" организационной базы СОБИ ФНС России должно быть направлено на:

создание в центральном аппарате ФНС России и территориальных налоговых органах аппарата администраторов ИБ;

увеличение штата работников подразделений ИБ центрального аппарата ФНС России и территориальных налоговых органов;

оснащение подразделений ИБ программными и программно-техническими средствами мониторинга и контроля состояния ИБ в налоговых органах;

повышение квалификации и профессионализма работников ФНС России, непосредственно задействованных в решении вопросов обеспечения ИБ.

Подготовка и переподготовка пользователей и специалистов ФНС России по защите информации требует создания системы повышения уровня технической грамотности и информированности в области ИБ, а также переподготовки специалистов по защите информации. Для этого необходимо регулярно проводить тренинги для персонала и контроль готовности новых работников по применению правил информационной защиты, а также периодически осуществлять переподготовку специалистов подразделений защиты информации. Особенно важно проводить тренинги при изменении конфигурации ИС налоговых органов (внедрении новых технологий и прикладных систем, смены оборудования, ключевых приложений, новых правил и инструкций).

Политика ИБ ФНС России является собирательным понятием, предполагающим создание совокупности взаимоувязанных нормативных и организационно-распорядительных документов, как единых для всех участников информационного обмена (Общая политика), так и специализированных, для территориальных органов и подведомственных учреждений ФНС России (Частная политика), и устанавливающих порядок обеспечения безопасности информации при осуществлении информационного обмена, управления и контроля ИБ, а также выдвигающих требования по поддержанию этого порядка.

Политика ИБ ФНС России направлена на:

нормативное урегулирование процесса обмена защищаемой информации между участниками информационного обмена;

установление организационно-правового режима использования ИР ФНС России, ответственность должностных лиц и работников ФНС России за соблюдение этого режима;

реализацию комплекса организационных, программных и аппаратно-программных мероприятий по обеспечению целостности, доступности и в необходимых случаях конфиденциальности защищаемой информации;

предоставление участникам информационного обмена необходимых сведений для сознательного поддержания установленного уровня защищенности информации;

организацию в ФНС России постоянного контроля эффективности принятых мер защиты и функционирования системы обеспечения ИБ;

создание в ФНС России и ее территориальных органах резервов и возможностей по ликвидации последствий нарушения режима защиты информации и восстановления ИБ.

Дополнительно, документы, формирующие Частные политики территориальных налоговых органов, должны определять:

роли и ответственность работников налоговых органов за обеспечение ИБ;

требования по соблюдению конфиденциальности;

порядок классификации ИР;

процедуры управления ИР налоговых органов в соответствии с установленными правилами разграничения доступа;

меры по поддержанию требуемого порядка допуска работников налоговых органов к операциям с ИР;

порядок организации физической защиты объектов информатизации налоговых органов;

порядок проведения регламентных работ и сервисного обслуживания на оборудовании ИС налоговых органов;

порядок реагирования на инциденты и другие вопросы, необходимые для обеспечения требуемого уровня безопасности ИР ФНС России.

Укрупненная структура Политики ИБ ФНС России и краткое содержание входящих в нее основных документов приведена в Приложении N 1 (Рис. 11).

На стратегическом уровне Политики ИБ ФНС России формулируются цели обеспечения безопасности информации, которые в дальнейшем определяют правила и требования по всем вопросам безопасности информации и становятся обязательными для всех участников информационного взаимодействия.

Все последующие технические решения по развитию ИС и телекоммуникационной инфраструктуры ФНС России и защите ИР, должны опираться на выводы данной Концепции.

Оперативный уровень Политики ИБ объединяет единые для ФНС России и частные для каждого налогового органа и учреждения ФНС России организационно-распорядительные документы, регламентирующие вопросы организации и проведения работ по защите информации, положений об инфраструктурных элементах системы обеспечения безопасности информации, разрешительной системе доступа исполнителей к документам и сведениям, регламентах выполнения защищенных информационных процессов, а также технические требования к составляющим элементам СиЗИ. Такими документами являются:

стандарты (Технические требования) по обеспечению ИБ в налоговых органах;

регламенты обеспечения ИБ в налоговых органах.

Регламенты являются документами, отражающими организационную составляющую процесса обеспечения безопасности информации. На основании положений Концепции разрабатывается Регламент обеспечения ИБ ФНС России, который основываясь на описании ИР, используемых при исполнении функций государственного управления и оказания государственных услуг, и требуемого уровня их безопасности, определяет общие правила разграничения доступа к ИР, основные обязанности и ответственность конкретных субъектов отношений за обеспечение безопасности информации, с учетом сложившегося делового стиля общения при исполнении государственных функций управления и оказании государственных информационных услуг.

Регламент обеспечения ИБ ФНС России устанавливает:

правила обеспечения режима защиты конкретных ИР;

правила регистрации пользователей и назначения им прав доступа;

правила работы пользователей с защищаемыми ИР;

порядок контроля режима защиты информации и реагирования на нарушения режима защиты (разбор инцидентов);

порядок ликвидации последствий при возникновении нештатных ситуаций и нарушении установленного режима защиты.

Исполнительский уровень Политики ИБ ФНС России объединяет исполнительную документацию, включающую должностные регламенты и инструкции, а также эксплуатационные документы средств защиты информации (далее - СЗИ), обеспечивающих разграничение доступа к защищаемым ИР, средств мониторинга и контроля. Документы этого уровня основываются на эксплуатационной документации СЗИ и программных компонент.