Основні методи і засоби захисту інформації в умовах сучасної організації

Актуальність теми. Інформація та інформаційні системи (ІС) підприємств, мережеве оточення, у яких вони функціонують, є невід’ємними складовими сучасного бізнес-середовища. Їх доступність, цілісність і конфіденційність можуть мати вирішальне значення для забезпечення конкурентоспроможності підприємства, руху коштів, рентабельності, відповідності правовим нормам і стандартам. Водночас, унаслідок посилення залежності підприємств від інформаційних, комунікаційних систем і сервісів вони стають вразливішими до порушень режиму безпеки. Поширення інформаційних і комунікаційних систем надає все нові можливості несанкціонованого доступу до інформаційних ресурсів, а тенденція до переходу на розподілені обчислювальні системи обмежує можливості фахівців централізовано контролювати ІС та мережеве оточення [22, с. 551].

Порушення режиму безпеки ІС може істотно ускладнити реалізацію виробничих завдань, тому вирішення проблеми формування ефективної системи захисту інформації (ЗІ) набуває дуже важливого значення. Це пояснюється тим, що у процесах розроблення й удосконалення систем ЗІ є чимало недостатньо вивчених і досліджених аспектів, які можуть негативно впливати на показники ефективності та надійності функціонування системи безпеки загалом.

Вимогою сьогодення є необхідність вирішення питань фізичної безпеки, управління інцидентами, виконання законодавчих актів, стандартів, настанов.

Аналіз останніх досліджень. Питанням розробки і функціонування систем ЗІ присвячено значну кількість праці В.Б.Дудикевича [8; 25], М.П.Карпінського [30], О.С.Петрова [20; 31], В.О.Хорошка [Нормативне забезпечення інформаційної безпеки].

Дослідженню інформаційної безпеки також присвячені роботи В.В.Баранника, В.М.Богуна, С.В.Віхорева, І.Д.Горбенк, Ю.І.Грицюк, С.В.Казмирчук, Г.Ф.Конаховича, О.Г.Корченка, М.Г.Луцького, А.І.Маруща­ка, В.П.Мельнікова, В.В.Мохора, О.М.Новікова, О.В.Олійника, О.В.Сосніна, С.В.Толюпи, В.О.Хорошко, О.К.Юдіна та ін.

Дослідження різноманітних аспектів інформаційно-аналітичної діяльності здійснювали Т.В.Абрамова, С.С.Алдишев, В.П.Александрова, А.А.Атаян, С.Ф.Багаундінова, Т.В.Вдовіна, А.В.Горячов, Р.О.Гуревич, М.І.Жалдак, О.П.Значенко, В.Г.Кальченко, Н.В.Кисіль, В.І.Клочко, Н.В.Морзе, С.Ю.Нікіфорова, О.В.Пархоменко, С.А.Раков, М.В.Селіна, Ю.М.Ткач, В.А.Сластьонін та ін.

Аналіз наукових публікацій дає підстави стверджувати, що у процесі проектування, створення й експлуатування систем ЗІ трапляються помилки та недоречності, які суттєво знижують ефективність їх функціонування. Вимагає окремого обґрунтування розроблення політики інформаційної безпеки, яка визначає стратегію і тактику системи ЗІ в ІС підприємств і враховує динаміку процесів зміни типів і рівня загроз інформації, що є одним з активних і значущих ресурсів сучасного бізнес-середовища [24, с. 250].

Метою даного дослідження є з’ясування основних методів і засобів захисту інформації в умовах сучасної організації. Означена мета передбачає вирішення таких науково-дослідницьких завдань:

– розглянути сутність заходів із захисту конфіденційної інформації в організації;

– проаналізувати основи захисту інформації в інформаційних системах організацій;

– вивчити діяльність із забезпечення захисту інформації як системної категорії;

– оцінити особливості захисту інформації у комерційній організації.

Об’єктом дослідження являється захист інформації.

Предметом дослідження виступають основні методи й засоби захисту інформації в умовах сучасної організації.

Структура роботи. Структурно дана дослідницька робота складається зі вступу, двох розділів, які містять у своєму складі підрозділи, висновків, списку використаних джерел і літератури, а також додатків.

1.1. Сутність заходів із захисту конфіденційної інформації в організації

Технічний захист конфіденційної інформації – діяльність спрямована на забезпечення інженерно-технічними заходами порядку доступу, цілісності та доступності (унеможливлення блокування) інформації [9].

Заходи із захисту конфіденційної інформації можливо поділити на правові (законодавчі), організаційні (адміністративні), фізичні і технічні (апаратні і програмні), що реалізують функції і задачі комплексної системи захисту конфіденційної інформації в інформаційній системі, повинні забезпечувати:  попередження появи загроз;  виявлення появи загроз; попередження впливу загроз на інформаційну систему;  локалізація впливу загроз на інформаційну систему;  ліквідація наслідків впливу загроз на інформаційну систему.

Забезпечення безпеки конфіденційної інформації в інформаційній системі може бути ефективним тільки в тому випадку, коли її захист буде представляти собою безперервний і цілеспрямований процес, постійно здійснений на всіх етапах життєвого циклу конфіденційної інформації. Так комплексна система захисту конфіденційної інформації в інформаційній системі крім функцій, задач і засобів власне забезпечення захисту конфіденційної інформації повинна включати функції, задачі і засоби управління в якості одного із основних компонентів.

Комплексна система захист конфіденційної інформації інформаційної системи та її складових повинна реалізуватися на принципах:  системності;  комплектності;  адекватності;  функціональній самостійності;  зручності користування;  обмеження доступу до конфіденційної інформації;  повний контроль за роботою інформаційної системи; своєчасне реагування на появу загроз;  економічності.

Основним питанням у цьому контексті є організація захисту конфіденційної інформації на всіх етапах її життєвого циклу. План заходів щодо забезпечення технічного захисту конфіденційної інформації розробляється на підставі технології обробки конфіденційної інформації, аналізу ризиків, сформульованої політики її безпеки. План визначає основні завдання захисту, загальні правила обробки конфіденційної інформації в інформаційній системі, мету побудови та функціонування комплексної системи захисту конфіденційної інформації. План має фіксувати на певний момент часу виконавці які не мають допуску та доступу до конфіденційної інформації, але беруть участь в обслуговуванні системи, склад необхідної технічної документації тощо.

План забезпечення технічного захисту конфіденційної інформації на всіх етапах її життєвого циклу повинен регулярно переглядатися та при необхідності змінюватися. Зміни та доповнення до нього затверджуються на тому ж рівні та в тому порядку, що і основні документи.

Зразок форми плану забезпечення технічного захисту конфіденційної інформації на всіх етапах її життєвого циклу наведено у додатку А.

При виконанні робіт забороняється:

– ознайомлення із конфіденційної інформації представникам інших організацій і співробітників не працюючих за цією темою;

– залучати інших організацій для виконання робіт;

– використовувати матеріали, отримані при виконанні робіт в статтях, дисертаціях, виступах на симпозіумах, конференціях тощо [9].

Для технічного захисту конфіденційної інформації слід застосовувати заходи приховування або заходи технічної дезінформації.

Заходи захисту конфіденційної інформації повинні:

– бути відповідними загрозам;

– бути розробленими з урахуванням можливої шкоди від їх реалізації і вартості захисних заходів та обмежень, що вносяться ними;

– забезпечувати задану ефективність захисту конфіденційної інформації на встановленому рівні протягом часу обмеження доступу до неї або можливостям здійснення загроз.

Рівень захисту конфіденційної інформації визначається системою кількісних та якісних показників, які забезпечують розв’язання завдання захисту конфіденційної інформації на основі норм і вимог технічного захисту інформації.

Мінімально необхідний рівень захисту конфіденційної інформації забезпечують обмежувальними і фрагмент ними заходами протидії найнебезпечнішій загрозі.

Підвищення рівня захисту конфіденційної інформації досягається нарощуванням технічних заходів протидії безлічі загроз.

Порядок розрахунку та інструментального визначення зон безпеки конфіденційної інформації, реалізація заходів технічного захисту конфіденційної інформації, розрахунку ефективності захисту та порядку атестації технічних засобів забезпечення інформаційної діяльності, робочих місць (приміщень) установлюються нормативними документами з технічного захисту інформації.

Технічне завдання на створення комплексної системи захисту конфіденційної інформації в інформаційній системі є організаційно-технічним документом для виконання робіт щодо забезпечення захисту конфіденційної інформації в системі.

Технічне завдання на комплексну систему захисту конфіденційної інформації розробляється у разі необхідності розробки або модернізації комплексної системи захисту конфіденційної інформації існуючої (що функціонує) інформаційної системи. В разі розробки комплексної системи захисту конфіденційної інформації в процесі проектування інформаційної системи допускається оформлення вимог захисту конфіденційної інформації в інформаційній системі у вигляді окремого (часткового) технічного завдання, доповнення до загального технічного завдання на інформаційну систему або розділу загального технічного завдання на інформаційну систему.

В технічному завданні на комплексну систему захисту конфіденційної інформації викладаються вимоги до функціонального складу і порядку розробки та впровадження технічних засобів, що забезпечують безпеку інформації в процесі її оброблення в інформаційній системі. Додатково треба викласти вимоги до організаційних, фізичних та інших заходів захисту, що реалізуються поза інформаційною системою у доповнення до комплексу програмно-технічних засобів захисту конфіденційної інформації.

Перелік вимог з захисту конфіденційної інформації, які включаються в технічне завдання на комплексну систему захисту конфіденційної інформації, може бути для кожної конкретної інформаційної системи як розширений так і скорочений [9].

Крім того, вимоги повинні передбачати розроблення та використання сучасних ефективних засобів і методів захисту, які дають можливість забезпечення виконання цих вимог з найменшими матеріальними затратами.

Важливо також відзначити, що система захисту інформації (ЗІ) в інформаційних системах (ІС) підприємств повинна будуватися на засадах комплексності й адаптивності. Доцільно розробляти організаційну структуру і впроваджувати систему ЗІ в ІС підприємств відповідно до рекомендацій міжнародних стандартів і чинного законодавства України. Такими стандартами є: ІБО/ІБС 27002 «Інформаційні технології. Методи захисту. Кодекс практики для управління інформаційною безпекою» [Міжнародний стандарт ISO/IEC 27002]; ІБО/ІБС 27003 «Інформаційні технології. Методи захисту. Керівництво з застосування системи менеджменту захисту інформації» [15]; ІБО/ІБС 27004 «Інформаційні технології. Методи захисту. Вимірювання» [16]; ІБО/ІБС 27005 «Інформаційні технології. Методи забезпечення безпеки. Управління ризиками інформаційної безпеки» [17]; ІБО/ІБС 27006 «Інформаційні технології. Методи забезпечення безпеки. Вимоги до органів аудиту і сертифікування систем управління інформаційною безпекою» [18]; ІБО/ІБС 27011 «Інформаційні технології. Керівництво з управління інформаційною безпекою для телекомунікацій» [19].

Дотримання принципів стандартів серії ІБО 27000 забезпечує керування і контроль за доступом, розробкою й обслуговуванням апаратно-програмних систем, керування безперервністю бізнес-процесів. Відповідність вимогам ІБО 27000 і дотримання національних правових норм з інформаційної безпеки є необхідними для сталого розвитку бізнесу.

Законодавчі заходи щодо ЗІ полягають у виконанні чинних у державі або введенні нових законів, нормативних документів, настанов, що регулюють правову відповідальність посадових осіб за втрату або зміну інформації, що підлягає захисту, зокрема, за спроби виконувати аналогічні дії за межами своїх повноважень, а також відповідальність сторонніх осіб за спробу несанкціонованого доступу до інформації. Мета правових заходів полягає у запобіганні можливим правопорушенням і встановленні відповідальності за здійснені правопорушення [24, с. 250].

Правову основу у вирішенні проблем ЗІ в Україні формують Конституція України [Конституція], Закони України, акти Президента України та Кабінету Міністрів України, нормативно-правові акти Служби безпеки України, Адміністрації Державної служби спеціального зв’язку та захисту інформації України, інших державних органів, міжнародні угоди України з питань технічного захисту інформації, згода на обов’язковість яких надана Верховною Радою України. В Україні діє близько 60 нормативних актів, які безпосередньо або опосередковано стосуються регулювання відносин у інформаційній сфері. Окрім цього, діє низка відомчих актів, тлумачень, методик, які є обов’язковими для виконання всіма державними органами, підприємствами, установами, організаціями під час виконання функцій із забезпечення захисту інформації з обмеженим доступом (ІзОД), насамперед, це стосується державної таємниці.

Регулятивно-правову основу забезпечення ЗІ в ІС підприємств України різної форми власності становлять: Конституція України [1]; Концепція національної безпеки України [6]; Закони України: «Про державну таємницю» [2]; «Про доступ до публічної інформації» [3]; «Про інформацію» [4]; «Про науково-технічну інформацію» [5].

Впровадження та дотримання вимог стандартів з питань ЗІ не може трактуватися як одномоментна, разова акція. Це, фактично, є безперервним процесом розробки, впровадження, функціонування, моніторингу, перегляду, підтримки та вдосконалення цілісної системи інформаційної безпеки як складової частини ІС підприємств.

З метою протидії процесам неконтрольованого витоку, несанкціонованого доступу (НСД), модифікування службової інформації та зменшення збитків від реалізація цих загроз потрібно фахово формувати заходи і вибирати засоби забезпечення ЗІ. Необхідно також володіти знаннями основних правових положень у цій галузі, вміти ефективно реалізовувати організаційні, програмно-технічні та інші заходи із забезпечення безпеки інформації.

Актуальність вирішення даної проблеми пов’язана із суттєвим зростанням можливостей сучасних інформаційних технологій (ІТ). Розвиток програмно-апаратних засобів, методів і способів обробки інформації та широке застосування ІТ роблять інформацію більш уразливою.

Процедура проектування системи ЗІ та вибору засобів ЗІ в ІС є складним комплексним завданням, при вирішенні якого потрібно враховувати різні типи ймовірних загроз для безпечного функціонування ІС, вартість реалізації ЗІ і наявність численних зацікавлених сторін.

При забезпеченні ЗІ основним елементом є процедура аналізу можливих загроз функціонуванню ІС, тобто загроз, що підвищують уразливість інформації, яка обробляється ІС, призводять до її неконтрольованого витоку, випадкового або цілеспрямованого модифікування, знищення.

Засоби системи ЗІ не варто проектувати, закуповувати або встановлювати доти, поки не буде виконаний аналіз ризиків та імовірних загроз [14]. Тільки ґрунтовний аналіз ризиків і загроз дає об’єктивну оцінку наслідків реалізації загроз, збитків від комерційних втрат, зниження коефіцієнта готовності системи ЗІ, правових проблем, інформацію для визначення найпридатніших методів і засобів забезпечення належного рівня безпеки ІС підприємств.

Розглядаючи загальні засади ЗІ в ІС, доцільно відзначити, що комплексний ЗІ в ІС передбачає використання спеціальних правових, фізичних, організаційних і програмно-апаратних засобів ЗІ, які повинні забезпечувати ідентифікацію й аутентифікацію користувачів, розподіл повноважень доступу до технічних, інформаційних ресурсів і сервісів ІС, реєстрування та облік спроб НСД.

Організаційні заходи ЗІ в ІС, як правило, спрямовані на чіткий розподіл відповідальності персоналу в процесах опрацювання інформації, створення декількох рубежів контролю, запобігання зовнішнім та інсайдерським загрозам, навмисному або випадковому знищенню й модифікуванню інформації.

Об’єктом технічного захисту, відповідно до чинного законодавства, є інформація, яка становить державну або іншу, передбачену чинним законодавством України, таємницю, службова інформація, яка є державною власністю або передана державі у володіння, користування, розпорядження.

Технічний захист інформації (ТЗІ) здійснюється у кілька етапів: перший етап – визначення і аналіз загроз; другий етап – розробка системи ЗІ; третій етап – реалізація плану ЗІ; четвертий етап – контроль за функціонуванням і керуванням системою ЗІ.

На першому етапі здійснюється ґрунтовний аналіз об’єктів ТЗІ, ситуаційного плану, умов функціонування ІС, оцінювання ймовірності прояву загроз та очікувані збитки від їх реалізація, підготовка даних для побудови моделі загроз.

Загрози можуть здійснюватися:

– технічними каналами, які включають канали побічних електромагнітних випромінювань і наведень (ПЕМВН), акустичні, оптичні, радіо-, радіотехнічні, хімічні та інші канали;

– каналами спеціального впливу шляхом формування полів і сигналів з метою руйнування системи ЗІ або порушення цілісності інформації;

– НСД шляхом під’єднання до апаратури та ліній зв’язку, маскуванням під зареєстрованого користувача, подоланням заходів захисту веб-ресурсів, застосуванням закладних пристроїв, програм і вкоріненням комп’ютерних вірусів.

На другому етапі ТЗІ розробляється план, який містить організаційні, первинні технічні й основні технічні заходи захисту ІзОД, визначаються зони безпеки інформації. Організаційні заходи регламентують порядок інформаційної діяльності (ІД) з урахуванням норм і вимог ТЗІ для всіх періодів життєвого циклу ІД.

Первинні технічні заходи передбачають ЗІ блокуванням загроз без використання засобів ТЗІ.

Основні технічні заходи передбачають ЗІ з використанням засобів ТЗІ.

Заходи захисту інформації повинні:

– бути адекватними до загроз;

– бути розробленими з урахуванням можливих збитків від реалізація загроз і вартості захисних заходів та обмежень, які вносяться ними;

– забезпечувати задану ефективність ЗІ на встановленому рівні протягом часу обмеження доступу до неї або можливості здійснення загроз.

Мінімально необхідний рівень ЗІ забезпечують обмежувальними і фрагментарними заходами протидії найнебезпечнішій загрозі.

На третьому етапі ТЗІ слід реалізувати організаційні, первинні технічні й основні технічні заходи захисту ІзОД, установити необхідні зони безпеки інформації, провести атестування технічних засобів забезпечення інформаційної діяльності (ІД) підприємств, технічних засобів ЗІ, робочих місць (приміщень) на відповідність вимогам безпеки інформації [11, с. 94].

ТЗІ передбачає застосування захищених програм і технічних засобів забезпечення ІД, програмних і технічних засобів ЗІ та контролю ефективності захисту, які мають сертифікат відповідності вимогам нормативних документів або дозвіл на їх використання від уповноваженого Кабінетом Міністрів України органу, а також застосуванням спеціальних інженерно-технічних споруд, засобів і систем.

На четвертому етапі здійснюється контроль за функціонуванням та управлінням системою ТЗІ на об’єктах ІД з метою визначення й удосконалення стану ЗІ в ІС, виявлення та запобігання порушенням системи ЗІ. Контроль стану ЗІ в ІС організовується відповідно до планів, затверджених керівниками підприємств, шляхом проведення перевірок.

Контрольно-інспекційна робота з питань ЗІ включає планування та проведення перевірок стану ЗІ в ІС, щодо яких здійснюється ТЗІ, проведення аналізу та надання настанов з удосконалення заходів щодо ТЗІ.

Перевірки поділяються на комплексні, цільові (тематичні) та контрольні.

Під час комплексної перевірки вивчається й оцінюється стан ЗІ в ІС, щодо яких здійснюється ТЗІ.

Під час цільової (тематичної) перевірки вивчаються окремі напрямки ТЗІ, перевіряється виконання рішень (розпоряджень, наказів, вказівок) органів державної влади з питань ЗІ в ІС, щодо яких здійснюється ТЗІ, виконання завдань або провадження діяльності у галузі ТЗІ за відповідними дозволами та ліцензіями суб’єктами системи ЗІ.

Під час контрольної перевірки перевіряється усунення недоліків, які були виявлені попередньою комплексною або цільовою перевіркою. Відзначені перевірки можуть бути планові та позапланові, з попередженням та раптові.

Позапланова перевірка здійснюється за вказівкою вищого менеджменту підприємства у разі виникнення потреби визначення повноти та достатності заходів щодо ТЗІ за наявності відомостей про порушення виконання вимог нормативно-правових актів з питань ЗІ.

Перевірки здійснюються комісіями, на які покладено виконання завдань здійснення контролю за функціонуванням системи ЗІ. При проведенні перевірки стану ЗІ контролю підлягають організаційні, організаційно-технічні, технічні заходи ЗІ у виділених приміщеннях, ІС і периметру корпоративної мережі (КМ), повнота та достатність робіт з атестування виділених приміщень.

Контроль за організаційними заходами ЗІ в ІС включає перевірку:

– переліку відомостей, які підлягають захисту;

– окремої моделі загроз для ІС та периметру КМ;

– плану контрольованої зони, стосовно якої здійснюється ТЗІ;

– переліку виділених приміщень, щодо яких здійснюється ТЗІ, ІС та КМ;

– проведення категоріювання виділених приміщень та інформаційних активів підприємства.

Система менеджменту інформаційної безпеки (СМІБ) полягає в адаптації заходів ТЗІ до поточного завдання ЗІ. За фактами зміни умов здійснення або виявлення нових загроз заходи ТЗІ реалізовуються якнайшвидше.

Варто зауважити, що СМІБ застосовують до обраного підприємством набору процесів функціонування, який є важливим для основного процесу функціонування підприємства, тобто визначається як сфера діяльності (СД) СМІБ. У СД повинні відзначатися критичні для функціонування підприємства процеси, від коректної роботи яких залежить присутність підприємства на ринку, його дохід тощо. Виконання цієї умови надає практичного сенсу впровадженню СМІБ – така система гарантуватиме безпечний процес функціонування підприємства.

За своєю суттю СМІБ є вибором і управлінням відповідними заходами захисту інформаційних активів ІС підприємства від визначених загроз відповідно до їх критичності функціонування [25, с. 118].

Ще одним аспектом запровадження СМІБ є зменшення й оптимізація вартості підтримки системи безпеки. Фінансуватимуться тільки ті напрямки безпеки, які ліквідовують найнебезпечніші ризики. Об’єктивне оцінювання зв’язку «збиток-імовірність» дасть змогу постійно ефективно фінансувати систему ЗІ підприємства.

Діяльнісний аспект захисту інформації здійснюється у рамках організаційної системи захисту інформації. Діяльність має певні властивості, а саме: ефективність, зрілість, адекватність, прийнятність, гнучкість, здійсненність та простоту в адміністративному забезпеченні. Ефективність є досить широкою властивістю, що дозволяє досліджувати її на більш глибокому рівні. Ефективність захисту інформації можна розглядати з точки зору результативності, економічності та оперативності Одним з найважливіших питань у рамках системодіяльнісної методології є визначення поняття та змісту ефективності захисту інформації. Підвищення ефективності захисту інформації саме як діяльності, тобто у рамках організаційної системи захисту інформації, підвищення ефективності організаційних форм та методів захисту інформації є актуальною задачею як у практиці, так і у теорії захисту інформації. У визначенні ефективності захисту інформації, як діяльності виходитимемо з таких поглядів.

У галузі захисту інформації досить глибокий розвиток знайшли питання ефективності технічних, криптографічних, фізичних систем захисту, комплексів, механізмів та способів захисту інформації, що відповідає сучасному розвитку методологічних підходів до захисту інформації. Останнім часом у роботах фахівців, у міжнародних та національних стандартах піднімаються питання управління захистом інформації, починають формулюватися задачі в сфері ефективності управління захистом інформації. Але питання ефективності діяльності із захисту інформації, питання раціональної організації цієї діяльності поки що не знайшли відповідного відображення у сучасних роботах з теорії захисту інформації [21, с. 300].

Зрілість захисту інформації об’єднує множину властивостей які охоплюють аспекти розвитку, еволюції захисту інформації, як діяльності, характеризують функціональні можливості організаційної системи захисту інформації.

Під адекватністю захисту інформації розумітимемо співвідношення рівня функціональної ефективності захисту інформації та рівня небезпеки (ризику) інформаційним активам та іншим ресурсам, що пов’язані з обробкою інформації.

Прийнятність захисту інформації пов’язана з визначенням несуперечливості задач і цілей захисту інформації місії та загальним цілям організації (об’єкта захисту). Оцінка прийнятності уточнює питання, чи необхідні цілі і задачі захисту у конкретній організаційній системі, чи не має протиріччя між загальними задачами, що стоять перед нею? Для оцінки захисту інформації за даним критерієм необхідно врахувати усі показники одночасно, виразити відношення між їхніми кількісними формами. Використання для проектування захисту інформації стандартів безпеки або залучення до розв’язання задач захисту експертів – це один з основних доводів прийнятності захисту інформації. Таким чином, захист інформації є прийнятним, якщо цілі і задачі захисту не мають протиріч між місією та основними задачами організації (об’єктів захисту), узгоджені з цілями функціонування організації [21, с. 301].

Гнучкість системи – це властивість системи, що полягає у можливості її удосконалення, розширення та надання їй нових якостей. Гнучкість передбачає легку, тобто без великих зусиль та витрат, та достатньо швидку зміну стану системи. Гнучкість, як властивість комплексної системи захисту інформації (КСЗІ), була розглянута у роботі. Інтенсивна зміна середовища безпеки (оточення), умов здійснення діяльності із захисту інформації призводить до того, що організаційна система захисту інформації (ОСЗІ) має пристосовуватися (адаптуватися) до розв’язання нових задач захисту, що володіють певним ступенем різноманіття. Гнучкість, як економічна категорія відображає здатність ОСЗІ змінювати свої цілі без суттєвих витрат.

Гнучкість (реагувальність) пов’язано з оцінкою рівня можливостей (здатності) задовольнити потреби власника інформаційних ресурсів у відношенні безпеки інформації в умовах обстановки, що змінюються, під час здійснення діяльності із захисту інформації та реалізації процесів захисту.

Таким чином, захист інформації має бути здатним адекватно реагувати на зміни умов функціонування організації, на зміни цілей і задач функціонування, інтересів і потреб власника інформаційних ресурсів. Захист інформації називається гнучким, якщо він здатний задовольнити потреби у безпеці інформації у будь-яких умовах функціонування організації [21, с. 302].

На правовому рівні необхідно оцінювати процеси захисту інформації з точки зору їх легітимності. Чи можуть конкретні процеси захисту інформації бути реалізовані на даному об’єкті з точки зору правового поля держави в галузі захисту інформації? Чи має право керівництво приймати такого роду рішення? Чи відповідають положення політики безпеки нормам законів та інших нормативних актів у галузі захисту інформації.

Здійсненність процесів захисту інформації на адміністративному рівні залежить від ступеня розуміння керівництвом цілей безпеки і задач захисту, усвідомлення реальності загроз безпеці, реалізація яких може нанести збиток, рівня сформованості потреб у розв’язанні таких задач захисту.

На процедурному рівні здійсненність процесів захисту інформації залежить від ступеня технологічної і організаційної готовності об’єкта інформатизації до їх впровадження. Тут важливе місце набуває готовність персоналу виконувати конкретні роботи та завдання. Така готовність залежить від багатьох чинників: розуміння персоналом необхідності виконання вимог безпеки, рівень усвідомлення і дисциплінованості персоналу, рівень його професійної підготовленості.

На програмно-технічному рівні на здійсненність процесів захисту інформації має вплив можливість закупівлі необхідних засобів захисту і технічні можливості їх застосування на об’єкті інформатизації, розмір фондів, що виділяються на реалізацію програми забезпечення безпеки інформації і планів захисту, наявність на ринку відповідних засобів захисту потрібної якості, технологічний рівень процесів обробки інформації на об’єкті інформатизації (стан парку обчислювальної та іншої спеціалізованої техніки, рівень комп’ютеризації та інформатизації технологічних процесів тощо).

Таким чином, діяльність із захисту інформації є здійсненною, якщо на правовому, адміністративному, процедурному та програмно-технічному рівнях забезпечення безпеки інформації створено всі умови для здійснення процесів захисту інформації.

Властивість простоти в адміністративному забезпеченні характеризує діяльність із захисту інформації з точки зору її придатності для адміністрування, тобто враховує наявність достатнього адміністративного ресурсу для реалізації процесів захисту інформації та впровадження політики безпеки, рівень професіоналізму, організаторських здібностей та навичок персоналу управління, що відповідає за організацію ефективного захисту інформації. Діяльність із захисту інформації є простою в адміністративному забезпеченні, якщо вона потребує мінімальних витрат на організаційно-штатні зміни в структурі організації [21, с. 303].

Захист інформації у комерційній організації (підприємстві) – це вироблення ефективних заходів, пропозицій і рекомендацій керівництву підприємства, спрямованих на недопущення витоку конфіденційної інформації про діяльність підприємства і проведені роботи [10, с. 45]. Основною ефективного захисту інформації є аналітична робота, яка повинна включати елементи прогнозування можливих загроз. Основні напрямки аналітичної роботи на підприємстві такі: аналіз об’єкта захисту; аналіз внутрішніх і зовнішніх загроз інформаційної безпеки підприємства; аналіз можливих каналів несанкціонованого доступу до інформації; аналіз системи комплексної безпеки об’єктів; аналіз порушень режиму конфіденційності інформації; аналіз передумов до розголошення інформації, а також до втрати носіїв конфіденційної інформації.

Функції аналізу на підприємстві покладаються на спеціально створений у його структурі аналітичний підрозділ, який комплектується кваліфікованими фахівцями в галузі захисту інформації [13, с. 143]. Разом із тим, такі фахівці повинні повною мірою володіти інформацією за всіма напрямками діяльності підприємства: знати види, характер і послідовність виконання виробничих робіт, взаємодіючі організації, специфіку діяльності структурних підрозділів підприємства тощо. Переважно аналітичний підрозділ включається до складу служби безпеки підприємства.

Аналітичний підрозділ повинен забезпечувати керівництво підприємства достовірною та аналітично обробленою інформацією, необхідною для прийняття ефективних управлінських рішень в усіх напрямках захисту інформації. Основними функціями аналітичного підрозділу є: забезпечення своєчасного надходження достовірних і всебічних відомостей з проблем захисту інформації; облік, узагальнення та постійний аналіз матеріалів про стан справ у системі захисту інформації підприємства (його філій та представництв); аналіз можливих загроз захисту інформації, моделювання реального сценарію можливих дій конкурентів (зловмисників), які зачіпають інтереси підприємства; забезпечення ефективності роботи з аналізу наявної інформації, виключення дублювання при її зборі, обробленні та розповсюдженні; моніторинг ситуації на ринку продукції, товарів і послуг, а також у зовнішньому середовищі з метою виявлення подій і фактів, які можуть мати значення для діяльності підприємства; забезпечення безпеки власних інформаційних ресурсів, обмеження доступу співробітників підприємства до аналітичної інформації; підготовка висновків і пропозицій, спрямованих на підвищення ефективності планованих і здійснюваних заходів щодо захисту інформації, а також уточнення (коригування) організаційно-плануючих документів підприємства та його структурних підрозділів; вироблення рекомендацій щодо внесення змін і доповнень у методичні документи, які регламентують алгоритм дій співробітників підприємства щодо захисту інформації (стандарти підприємства) [27, с. 14].

Наявність постійної аналітичної роботи, її характер і результати визначають необхідність, основи організації, структуру та зміст системи комплексного захисту інформації, вимоги до її ефективності та напрямки її розвитку і вдосконалення [28, с. 155]. Аналіз стану системи захисту інформації суттєво впливає на кількість, склад і структуру підрозділів підприємства, які безпосередньо вирішують ці завдання (служба безпеки підприємства, служба охорони, режимно-секретний підрозділ та ін.). Від ефективності та якості ведення на підприємстві аналітичної роботи повною мірою залежить стан захищеності інформаційних ресурсів підприємства, віднесених до категорії охоронюваних, а також своєчасність і обґрунтованість прийняття заходів щодо недопущення витоку конфіденційної інформації та втрат носіїв інформації.

Ефективність аналітичної роботи та її результати є основою для прийняття керівництвом підприємства управлінських рішень з питань організації захисту інформації. З урахуванням результатів аналітичної роботи можуть проводяться такі основні заходи: уточнення (доробка) планів роботи підприємства щодо захисту інформації, включення до них додаткових заходів; уточнення розподілу завдань і функцій між структурними підрозділами підприємства; перероблення (уточнення) посадових (функціональних) обов’язків співробітників підприємства, у тому числі керівної ланки, вдосконалення систем пропускного і внутрішньо-об’єктового режимів; обмеження кола осіб, які допускаються до конфіденційної інформації з різних напрямків діяльності підприємства; перегляд ступеня конфіденційності відомостей та їх носіїв; посилення системи охорони підприємства та його об’єктів, застосування особливих заходів захисту інформації на окремих об’єктах (у службових приміщеннях); прийняття рішень про обмеження публікації у відкритій пресі, використання в рекламній та видавничій діяльності окремих матеріалів (матеріалів з окремих тем), доступу відряджених осіб, про виключення розгляду цих матеріалів на конференціях, семінарах, зустрічах тощо [13, с.144].

Ведення ефективної аналітичної роботи можливе лише за наявності необхідної інформації. Для її отримання потрібна чітко сформульована мета, що визначає конкретні джерела інформації. Аналітична робота на підприємстві повинна вестися послідовно і безперервно, являти собою повною мірою цілісне дослідження. В аналітичній роботі можна виділити такі основні етапи: формулювання цілей аналітичної роботи, розроблення програми досліджень, формулювання попередніх гіпотез (результатів аналітичної роботи); відбір і аналіз джерел інформації, збір та узагальнення інформації; повноцінний аналіз наявної інформації та підготовка висновків.

Основна форма ведення аналітичної роботи – аналітичні дослідження. Проведення аналітичних досліджень вимагає чіткої організації процесу, оцінювання наявних ресурсів для виконання досліджень і досягнення необхідного результату. Підсумком дослідження повинні бути висновки, пропозиції та рекомендації щодо вдосконалення системи захисту інформації. На першому етапі аналітичного дослідження формулюються цілі та завдання дослідження, розробляється програма дослідження, яка становить наукову основу збору, узагальнення, обробки та аналізу всієї отриманої інформації. Типова програма досліджень включає такі основні розділи: цілі і завдання аналітичного дослідження; предмети й об’єкти дослідження; терміни (період) проведення аналітичного дослідження; методики проведення дослідження; очікувані результати і передбачувані висновки. При формулюванні цілей і завдань дослідження потрібно враховувати, хто є його організатором і безпосереднім виконавцем, які сили і засоби можуть бути задіяні для його проведення, які будуть використовуватися джерела інформації, способи і методи її збору, обробки та аналізу, які існують можливості для реалізації пропозицій і рекомендацій, які будуть вироблені у ході досліджень.

Залежно від поставлених цілей і завдань визначаються конкретні методи і технології дослідження, а також процедури збору й обробки інформації. Найбільш типові такі завдання аналітичного дослідження: отримання даних про стан системи захисту інформації на підприємстві (його конкретних об’єктах, у філіях, представництвах); виявлення можливих каналів витоку інформації, що підлягає захисту; визначення обставин, причин і факторів, що сприяють виникненню каналів витоку і створенню передумов для витоку інформації; підготовка для керівництва підприємства (філії, представництва) та його структурних підрозділів конкретних рекомендацій щодо закриття виявлених каналів витоку [13, с. 145].

Під об’єктом дослідження розуміється все те, що вивчається та аналізується у ході дослідження. Предмет дослідження – та сторона об’єкта, яка безпосередньо підлягає вивченню у ході аналітичного дослідження. Особливе значення на першому етапі аналітичної роботи має формулювання попередніх гіпотез (версій). Попередні гіпотези повинні пояснити роль і місце висновків аналітичних досліджень у логічній послідовності подій, що відбуваються у сфері захисту охоронюваної інформації.

Побудова попередніх гіпотез проводиться в такому порядку. Спочатку формується повний список відомостей, які передбачається дослідити (проаналізувати). Відомості, що увійшли у список, систематизуються і розташовуються за ступенем важливості. Далі з усього обсягу інформації виділяється група найбільш значущих відомостей, роль яких особливо очевидна в ситуації, що підлягає аналізу та оцінюванню. Обрані відомості класифікуються за актуальністю, способом отримання та ступенем достовірності джерела. Найбільш актуальні відомості аналізуються в першу чергу. Потім проводиться вибір попередніх гіпотез, що пояснюють прояви тих чи інших подій (поява тих чи інших відомостей).

Причому відносно однієї події здійснюється перевірка декількох гіпотез (версій). При послідовній перевірці гіпотез особлива увага приділяється найбільш реальним. Ці гіпотези фіксуються. Найменш реальні гіпотези відхиляються. Таким чином, послідовно вибираються і формулюються найбільш імовірні припущення, що пояснюють появу тих чи інших конкретних подій (виникнення відомостей). Можливі суперечності в отриманих висновках про передбачувані версії подій, що відбуваються, усуваються через всебічну послідовну перевірку реальності гіпотез.

Результатом роботи по формулюванню попередніх гіпотез є вибір версії, яка найбільш точно порівняно з іншими версіями пояснює причину виникнення конкретної ситуації, пов’язаної з появою можливого каналу витоку конфіденційної інформації, і характеризує стан системи захисту інформації, у тому числі дії відповідних посадових осіб, якість виконання заходів тощо. На другому етапі проводиться відбір і аналіз джерел інформації, збір та узагальнення даних з метою виявлення каналу несанкціонованого доступу до відомостей конфіденційного характеру, виключення можливості виникнення такого каналу. Для цього здійснюється постійний контроль об’єктів захисту (інформаційних ресурсів), а також ступеня захищеності оброблюваної (циркулюючої) в них інформації, проводиться аналіз даних, одержуваних з різних джерел. Для вирішення конкретного завдання аналітичного дослідження в межах другого етапу з усіх наявних у розпорядженні аналітичного підрозділу джерел інформації відбираються ті, з яких надходить інформація, найбільш близька до досліджуваних проблем, і водночас достатньо достовірна.

Аналітичне дослідження джерел інформації передбачає проведення таких основних заходів: формування вичерпного переліку джерел конфіденційної інформації на підприємстві; формування і своєчасне уточнення переліку та складу конфіденційної інформації, реально циркулюючої (оброблюваної) на об’єктах підприємства, з зазначенням конкретних носіїв, на яких вона зберігається; організація та ведення обліку обізнаності співробітників підприємства в конфіденційної інформації, накопичення даних про їх ознайомлення з конкретними відомостями конфіденційного характеру з зазначенням носіїв цих відомостей; вивчення та оцінка відповідності ступеня конфіденційності, присвоєної інформації, реальної цінності цієї інформації; вивчення внутрішніх і зовнішніх загроз кожному наявному на підприємстві джерелу конфіденційної інформації; виявлення підприємств, зацікавлених в отриманні конфіденційної інформації (фірм-конкурентів), а також окремих осіб-зловмисників та їх систематизація (класифікація); аналіз повноти та якості заходів щодо захисту конфіденційної інформації, що приймаються (прийнятих) у конкретних ситуаціях.

Облік і аналіз спроб представників фірм-конкурентів, а також інших зловмисників отримати конфіденційну інформацію; облік і аналіз контактів співробітників підприємства з представниками фірм-конкурентів незалежно від того, чи стосувалися вони запитань конфіденційного характеру чи ні [13, с.146].

У ході вивчення і дослідження джерел інформації проводиться їх оцінювання з позиції надійності та достовірності одержуваної з них інформації. Оцінювання джерел інформації здійснюється методом ранжирування (класифікації) самих джерел, з яких надходить інформація. У більшості випадків може використовуватися система експертної оцінки (безпосередньо аналітиком) надійності та достовірності отриманих даних. Рівень підготовки та практичні навички дозволяють співробітнику аналітичного підрозділу найбільш точно оцінити власне інформацію, її джерело і спосіб її отримання.

У процесі оцінювання достовірності інформації та її джерела необхідно враховувати можливість навмисної дезінформації, а також отримання ненавмисно спотвореної інформації. В обох випадках необхідно проведення додаткової перевірки і більш докладного всебічного аналізу отриманої інформації для прийняття рішення про її використання у ході аналітичних досліджень. З урахуванням результатів оцінювання отриманої інформації, а також джерел та способів її отримання здійснюються збір і узагальнення (систематизація) необхідних для проведення повноцінного аналізу відомостей. У ході третього етапу аналітичної роботи проводиться повноцінний аналіз отриманої інформації і, на основі його результатів, – всебічний аналіз стану системи захисту інформації, виробляються ефективні заходи щодо її вдосконалення. На цьому етапі оформляються результати аналітичних досліджень, готуються висновки, рекомендації та пропозиції в галузі захисту інформації, яка охороняється.

Аналіз стану системи захисту інформації включає вивчення можливих каналів витоку інформації, оцінювання ефективності заходів щодо їх закриття, оцінювання дій персоналу підприємства за рішенням завдань у сфері захисту інформації, визначення основних напрямків діяльності щодо захисту інформації [13, с. 147].

Зміст і основні види аналітичних звітів. Основною формою представлення результатів аналітичних досліджень є аналітичний звіт. Звіти можуть оформлятися в письмовому вигляді, також вони можуть бути представлені в усній формі, супроводжуватися графіками, діаграмами, малюнками, таблицями, які пояснюють або відбивають результати проведеної роботи. Основні розділи аналітичного звіту наступні: цілі і завдання аналітичного дослідження (цілі та задачі аналітичного дослідження, шляхи вирішення поставлених завдань, питання, що підлягають аналізу та оцінювання; передбачувані результати дослідження); джерела інформації, ступінь достовірності отриманої інформації (оцінки отриманої інформації, джерел і способів її отримання, результати аналізу ступеня достовірності отриманої з використанням цих джерел аналітичної інформації); узагальнення отриманої інформації (алгоритм збору й узагальнення необхідної для проведення повноцінного аналізу інформації – з усього обсягу отриманої та обробленої інформації виділяються найбільш значущі факти); основні й альтернативні версії чи гіпотези (мотивоване розподіл версій, що пояснюють або характеризують досліджувані події і факти, на основну та додаткові або альтернативні); відсутня інформація (додаткова інформація, необхідна для підтвердження основної версії, її джерела та способи її отримання); висновок, висновки (результати аналізу та оцінювання поставлених питань, висновки про ступінь важливості отриманої та обробленої інформації, значення цієї інформації для прийняття конкретних рішень у сфері захисту конфіденційної інформації, взаємозв’язок результатів цього аналітичного дослідження з іншими напрямками аналітичної роботи у сфері захисту інформації, можливі загрози захищаються, а також можливі наслідки впливу негативних факторів); пропозиції та рекомендації щодо вдосконалення роботи в області захисту інформації (конкретні пропозиції та рекомендації керівництву підприємства та керівникам структурних підрозділів щодо вдосконалення роботи в галузі захисту конфіденційної інформації; вироблені на основі проведеного аналізу отриманої інформації, а також різних подій і фактів конкретні заходи, прийняття яких необхідно для закриття можливих каналів витоку інформації та запобігання потенційних загроз захищається).

В окремих випадках, на основі результатів проведення більш глибокого аналізу стану системи захисту інформації виробляються алгоритм і способи дій персоналу підприємства в конкретних ситуаціях. Залежно від призначення використовуються такі основні види аналітичних звітів: оперативний (тактичний) звіт; перспективний (стратегічний) звіт; періодичний звіт [13, с.148].

Оперативні (тактичні) звіти відображають результати аналітичних досліджень, проведених для підготовки і прийняття будь-якого оперативного (екстреного) рішення з питання короткочасного (термінового) характеру. У ході проведення таких досліджень аналізу та оцінці піддається інформація, переважно, невеликого обсягу. Перспективні (стратегічні) звіти містять інформацію, більш повну за змістом. Аналіз цієї інформації не обмежений терміном (часом) його проведення. У такі звіти, здебільшого, включається інформація, що містить більш повний аналіз передумов конкретних ситуацій, фактів, подій. У звітах викладаються прогнози та перспективи розвитку цих ситуацій. Звіти цього виду відповідають постійним напрямками аналітичних досліджень.

Періодичні звіти призначені для аналізу стану системи захисту інформації (окремих напрямків захисту інформації) відповідно до розробленого та затвердженого керівництвом підприємства графіком. Ці звітів не залежать від подій (виникнення різних ситуацій), пов’язаних із захистом інформації. Такі звіти готуються з проблем (напрямків), що є об’єктами постійної уваги з боку служби безпеки підприємства (його аналітичного підрозділу).

До складання звітів, незалежно від форми їх подання, пред’являються загальні вимоги, такі як: наявність глибокого аналізу подій (фактів, отриманої інформації), простота, чіткість і грамотність викладу матеріалу, логічність наведених міркувань і висновків, відповідність звітів встановленою формою. Одне з найбільш важливих вимог, що висуваються до звітів, полягає в тому, що їх зміст і рівень підготовки аналітичного матеріалу повинні відповідати запитам конкретних споживачів аналітичної інформації – керівників структурних підрозділів або окремих співробітників підприємства.

Класифікація методів аналізу інформації. Повнота та якість проведення аналітичних досліджень, достовірність отриманих результатів і ефективність вироблених пропозицій та рекомендацій великою мірою залежать від тих методів аналізу інформації, які були вибрані і використовувалися співробітниками аналітичного підрозділу безпосередньо у ході проведення досліджень.

Нині в Україні у зв’язку з входженням у світовий інформаційний простір швидкими темпами впроваджуються новітні досягнення комп’ютерних і телекомунікаційних технологій. Створюються локальні і регіональні обчислювальні мережі, великі території охоплені мережами стільникового зв’язку, факсимільний зв’язок став доступний для широкого кола користувачів. Системи телекомунікацій активно впроваджуються у фінансові, промислові, торгові і соціальні сфери. У зв’язку з цим різко зріс інтерес широкого кола користувачів до проблем захисту інформації (ЗІ). Аналіз стану ЗІ – це комплексне вивчення фактів, подій, процесів, явищ, пов’язаних з проблемами ЗІ, у тому числі даних про стан роботи по виявленню можливих каналів витоку інформації, про причини й обставини, що сприяють витоку і порушень режиму секретності (конфіденційності) у ході повсякденної діяльності організації / підприємства.

Вищевикладене дає підстави стверджувати, що система захисту інформації (ЗІ) в інформаційних системах (ІС) підприємств повинна будуватися на засадах комплексності й адаптивності.

Контроль за реалізацією організаційно-технічних заходів щодо технічного захисту інформації (ТЗІ) у виділених приміщеннях, ІС та корпоративних мережах (КМ), повнотою та достатністю робіт з атестування виділених приміщень повинен включати перевірку відповідності виконання цих заходів вимогам чинного законодавства України, нормативно-правових актів з питань ЗІ.

Організаційно-технічні заходи ТЗІ у виділених приміщеннях, ІС та периметру КМ, роботи з атестування виділених приміщень виконуються власними силами або передаються на аутсорсинг суб’єктам підприємницької діяльності у галузі ЗІ, які мають дозвіл і ліцензію від уповноваженого Кабінетом Міністрів України органу. Керівник підприємства зобов’язаний вжити невідкладних заходів з усунення недоліків і реалізації пропозицій комісії відповідно до вимог нормативно-правових актів.

Також важливо зазначити, що у більшості випадків ЗІ як об’єкт досліджень не враховує аспект людської діяльності, або ж йому приділяється не достатньо велика увага. Проте, діяльнісний аспект відіграє значну роль в інформаційній безпеці, і сьогодні можна із впевненістю казати, що серед фахівців формується певний інтерес до розглядання проблем інформаційної безпеки у рамках системодіяльнісного підходу.

Розглядаючи захист інформації як діяльність, слід зазначити, що ця системна категорія характеризується певними властивостями та характеристиками. Властивості – це об’єктивні особливості діяльності, які проявляються під час її здійснення. Захист інформації в свою чергу може бути охарактеризований з точки зору ефективності, цілеспрямованості, безперервності, організованості, керованості, узгодженості тощо.

ЗІ має бути цілеспрямованим, стабільним, безперервним, організованим, керованим, узгодженим та вмотивованим, забезпечувати максимальну ефективність, бути адекватним загрозам та ризикам безпеки, сприйнятим та гнучким в реалізації, здійсненним на різних рівнях забезпечення безпеки інформації, достатньо простим в адміністративному забезпеченні.

Отже, проведення роботи в галузі захисту інформації дозволяє оцінити або переоцінити рівень поточного стану інформаційної безпеки організації, виробити рекомендації щодо забезпечення (підвищенню) інформаційної безпеки організації, знизити потенційні втрати підприємства чи організації через підвищення стійкості функціонування корпоративної мережі, розробити концепцію та політику безпеки установи, а також запропонувати плани захисту конфіденційної інформації організації, що передається по відкритих каналах зв’язку, захисту інформації закладу від навмисного спотворення (руйнування), несанкціонованого доступу до неї, її копіювання чи використання.

1. Конституція України : станом на 10 серп. 2015 р.: офіц. текст. – К. : Правова єдність : Алерта, 2015. – 78 с.
2. Про державну таємницю: Закон України від 21.01.1994 №3855-XII // zakon.rada.gov.ua.
3. Про доступ до публічної інформації: Закон України від 13.01.2011 №2939-VI // zakon.rada. gov.ua.
4. Про інформацію: Закон України від 02.10.1992 №2657-XII // zakon.rada.gov.ua.
5. Про науково-технічну інформацію: Закон України від 25.06.1993 №3322-ХІІ // zakon. rada.gov.ua.
6. Про Концепцію національної безпеки України: Постанова Верховної Ради України від 16.01.1997 №3/97-ВР // zakon.rada.gov.ua.
7. Концепція технічного захисту інформації в галузі зв’язку України [Електронний ресурс]. – Режим доступу : http://zakon1.rada.gov.ua.
8. Гарасимчук О. І. Комплексні системи санкціонованого доступу / О. І. Гарасимчук, В. Б. Дудикевич, В. А. Ромака. – Львів : Львівська політехніка, 2010. – 212 с.
9. Головань С. М. Захист конфіденційної інформації в організації / С.М. Головань // Збірник наукових праць Інституту проблем моделювання в енергетиці ім. Г.Є.Пухова НАН України. – К.: ІПМЕ ім. Г.Є.Пухова НАН України, 2009. – Вип. 52. – Режим доступу: http://dspace.nbuv.gov.ua/handle/123456789/26513.
10. Домарев В. В. Защита информации и безопасность компьютерных систем / В. В. Домарев. – К. : Диасофт, 1999. – 480 с.
11. Когут В. В. Порядок атестування систем технічного захисту інформації / В. В. Когут, Т. В. Рудий, Я. Ф. Кулешник // Проблеми діяльності кримінальної міліції в умовах розбудови правової держави: Матеріали науково-звітної конференції факультету кримінальної міліції Львівського державного університету внутрішніх справ (12 березня 2010 р.). – Львів : ЛьвДУВС, 2010. – С. 90-97.
12. Маркіна І. А. Методологічні питання ефективності управління / І. А. Маркіна // Фінанси України. – 2000. – №6. – С. 24-32.
13. Мехед Д. Б. Захист інформації на підприємстві / Д. Б. Мехед // Вісник Чернігівського державного технологічного університету. Серія : Технічні науки. – 2014. – № 2. – С. 143-148.
14. Міжнародний стандарт ISO/IEC 27002 // www.iso27000security.com.
15. Міжнародний стандарт ISO/IEC 27003 // www.iso27000security.com.
16. Міжнародний стандарт ISO/IEC 27004 // www.iso27000security.com.
17. Міжнародний стандарт ISO/IEC 27005 // www.iso27000security.com.
18. Міжнародний стандарт ISO/IEC 27006 // www.iso27000security.com.
19. Міжнародний стандарт ISO/IEC 27011 // www.iso27000security.com.
20. Нормативне забезпечення інформаційної безпеки / С. М. Головань, О. С. Петров, В. О. Хорошко, Д. В. Чирков, Л. М. Щербак; За ред. проф. В. О. Хорошка. – К. : ДУІКТ, 2008. – 533 с.
21. Потій О. В. Властивості діяльності із забезпечення захисту інформації як системної категорії / О. В. Потій, Д. Ю. Пилипенко, Д. І. Гладкий // Прикладная радиоэлектроника. – 2012. – Т. 11, № 2. – С. 299-303.
22. Рудий В. Т. Засади захисту інформації в інформаційних системах підприємств / Т. В. Рудий, Л. М. Томаневич, О. І. Руда // Актуальні проблеми економіки. – 2014. – № 2. – С. 551-557.
23. Северинов А. В. Анализ угроз и рисков безопасности информации в беспроводных сетях / А. В. Северинов, В. И. Черныш // Системи управління, навігації та зв’язку. – Вип. 1. – К. : ЦНДІ НіУ, 2011. – С. 229- 232.
24. Сєвєрінов О. В. Управління інформаційною безпекою згідно міжнародних стандартів / О. В. Сєвєрінов, В. І. Черниш, М. Є. Молчанова // Системи управління, навігації та зв’язку. – Вип. 4. – К.: ЦНДІ НіУ, 2011. – С. 250-253.
25. Системи менеджменту інформаційної безпеки / В. А. Ромака, В. Б. Дудикевич, Ю. Р. Гарасим, П. І. Гаранюк, І. О. Козлюк. – Львів : Львівська політехніка, 2012. – 232 с.
26. Скрипник Л. В. Гибкость и специализация профиля защиты автоматизированной системы / Л. В. Скрипник, А. В. Потий // Радиотехника. Всеукраинский межвед. Научн.-техн. Сб. – 2001. – Вып. 119. – С. 17-21.
27. Тардаскін М. Ф. Технічний захист комерційної таємниці підприємства зв’язку / М. Ф. Тардаскін; за ред. М. В. Захарченка, М. Ф. Тардаскін, В. Г. Кононович. – Одеса : ОНАЗ, 2002. – 76 с.
28. Ткач Ю. М. Окремі аспекти інформаційно-аналітичної діяльності у процесі навчання математики фахівців з інформаційної безпеки / Ю. М. Ткач / Дидактика математики: проблеми і дослідження : міжнародний збірник робіт. – Донецьк, 2013. – Вип. 40. – С. 151-158.
29. Шорошев В. В. Основи формування політики безпеки комп’ютерних систем: Наук. видання / В. В. Шорошев. – К. : Бизнес и безопасность, 2006. – 141 с.
30. Karpinski M. Information Security / M. Karpinski. – Warsaw: Measurements, Automation and Monitoring, 2012. – 280 p.
31. Lahno V. A. The information protection in automated systems on transport: Monograph / V. A. Lahno, A. S. Petrov. – Krakow (Poland) : Knowledge Press, 2012. – 169 p.