Организационные мероприятия, являются важным и одним из эффективных средств защиты информации.

Анализ материалов отечественных уголовных дел позволяет сделать вывод о том, что основными причинами и условиями, способствующими совершению компьютерных преступлений в большинстве случаев стали:

1) неконтролируемый доступ сотрудников к пульту управ­ления компьютера, используемого как автономно, так и в качестве рабочей станции автоматизированной сети для дистанционной передачи данных первичных бухгалтерских до­кументов в процессе осуществления финансовых операций;

2) бесконтрольность за действиями обслуживающего персо­нала, что позволяет преступнику свободно использовать ЭВМ в качестве орудия совершения преступления;

3) низкий уровень программного обеспечения, которое не имеет контрольной защиты, обеспечивающей проверку соответ­ствия и правильности вводимой информации;

4) несовершенство парольной системы защиты от несанкциони­рованного доступа к рабочей станции и ее программному обеспе­чению, которое не обеспечивает достоверную идентификацию пользователя по индивидуальным биометрическим параметрам;

5) отсутствие должностного лица, отвечающего за режим секретности и конфиденциальности коммерческой информации и ее безопасности в части защиты средств компьютерной тех­ники от несанкционированного доступа;

6) отсутствие категорий допуска сотрудников к доку­ментации строгой финансовой отчетности, в т. ч. находящейся в форме машинной информации;

7) отсутствие договоров с сотрудниками на предмет неразглашения коммерческой и служебной тайны, персональных данных и иной конфиденциальной информации.

Применяемые в большинстве организаций системы позво­ляют обычно использование таких мер безопасности, как паро­ли, недоступность программных и информационных файлов, а также другие меры.

Для любой организации существуют два вари­анта доступа к средствам компьютерной техники, которые предопределяют комплекс защитных мероприятий.

В первом варианте организация приобретает собственную ЭВМ, которую и использует для решения своих задач, являясь ее единственным пользователем. В этом случае все вопросы компьютерной безопасности более или менее контролируемы.

Во втором случае организация становится пользователем какой-либо разветвленной коллективной компьютерной сети. Поэтому многократно возрастает и риск стать потерпевшей стороной от компьютерного преступления.

Наиболее эффективной мерой в этом направлении является введение в штатное распи­сание организации должности специалиста по компьютерной безопасности либо создание специальных отделов, исходя из конкретной ситуации.

Наличие такого отдела в организации, по оценкам специалистов, снижает вероятность совершения компьютерных преступлений вдвое. В обязательном порядке это мероприятие должно осуществляться на крупных вычисли­тельных центрах, электронных «почтовых ящиках», а также в кредитно-финансовых учреждениях и организациях. В последних долж­ны создаваться специальные отделы компьютерной безопасно­сти, которыми, как правило, руково­дит один из замести­телей начальника службы безопасности.

В функциональные обязанности указанных лиц, прежде всего, должны входить следующие позиции осуществления ор­ганизационных мер обеспечения безопасности СКТ.

1) обеспечение поддержки со стороны руководства конкрет­ной организации требований защиты СКТ;

2) разработка комплексного плана защиты информации;

3) определение приоритетных направлений защиты инфор­мации в соответствии со спецификой деятельности организации;

4) составление общей сметы расходов финансирования ох­ранных мероприятий в соответствии с разработанным;

5) определение ответственности сотрудников организации за безопасность информации в пределах установленной им компе­тенции путем заключения соответствующих договоров;

6) разработка, внедрение и контроль за исполнением раз­личного рода инструкций, правил и приказов, регламентирую­щих формы допуска, уровни секретности информации, кон­кретных лиц, допущенных к работе с секретными данными и т. п.;

7) разработка эффективных мер борьбы с нарушителями защиты СКТ.

Кроме этого, в обязательном порядке должны быть реализо­ваны следующие организационные мероприятия:

1) для всех лиц, имеющих право доступа к СКТ, должны быть определены категории допуска;

2) определена административная ответственность для лиц за сохранность и санкционированность доступа к имеющимся ин­формационным ресурсам;

3) налажен периодический системный контроль за качест­вом защиты информации посредством проведения регламент­ных работ как самим лицом, ответственным за безопасность, так и с привлечением компетентных специалистов из других организаций;

4) проведена классификация информации в соответствии с ее важностью, дифференциация на основе этого мер защиты, порядок ее охраны и уничтожения;

5) организована физическая защита СКТ.