В процессе эксплуатации ИТКС необходимо обеспечить надежность и эффективность функционирования системы обеспечения информационной безопасности.

Поэтому, на данном этапе должны выполняться следующие мероприятия:

а) анализ ИТКС и технологии обработки информации с учетом изменений обстановки;

б) переработка и обновление разработанной на предыдущих этапах документации планирование проведения мероприятий по защите информации в соответствии с выводами из анализа;

б) обучение и переподготовка персонала и пользователей ИТКС;

в) соблюдение режима ограничения и разграничения доступа к информации, контроль выполнения установленных правил работы в ИТКС;

д) оценка эффективности функционирования и совершенствование системы, обновление и доработка имеющихся программных и аппаратных средств защиты, замена их на более совершенные.

При выполнении данных мероприятий необходимо особое внимание уделять таким вопросам, как переподготовка и повышение квалификации кадров, выбор процессов и технологий, а также проведение постоянного мониторинга обстановки в области информационной безопасности. Такое положение дел обуславливается тем, что технология обработки информации постоянно меняется, изменяются программные и аппаратные средства, приходит и уходит персонал. В связи с этим необходимо периодически пересматривать разработанные организационно-распорядительные доку­менты, проводить обследование ИТКС или ее подсистем, обучать новый персонал, обновлять средства защиты.

Способность ИТКС противостоять возможным воздействиям на ее информационные ресурсы напрямую зависит от полноты и качества выполнения всех вышеуказанных мероприятий по построению системы обеспечения информационной безопасности. Такая система позволит уменьшить, а во многих случаях и полностью предотвратить, возможный ущерб от атак на компоненты и ресурсы ИТКС, существенно снизить риск неожиданного вторжения, повысить способность поддерживать непрерывность нормального процесса жизнедеятельности и подготовить ИТКС к решению меняющихся задач, т. е. достичь необходимого и достаточного уровня защищенности системы.

Необходимый уровень защиты информации устанавливается собственником информационных ресурсов или уполномоченным лицом в соответствии с действующим законодательством. Однако, в каждом конкретном случае перечень мер защиты, принимаемых для достижения установленного уровня, определяется дифференцировано по результатам обследования ИТКС, с учетом соотношения затрат на организацию защиты информации и величины ущерба, который может быть нанесен собственнику информационных ресурсов. Согласно оценкам специалистов, затраты на средства защиты информации в ИТКС, обрабатывающих конфиденциальную информацию или содержащую коммерческую тайну, должны составлять до 10% от стоимости самой системы, для систем, обрабатывающих сведения, составляющие государственную тайну, – от 15 до 35%. Наиболее затратную и трудоемкую часть работы составляют мероприятия по организации технической защиты информации. Причем, как показывает практика, большую часть статьи расходов по защите информации составляют затраты на программно-техническую составляющую системы обеспечения информационной безопасности.

Вместе с тем, планируя мероприятия по защите информации необходимо исходить не только из вопросов рентабельности, следует также провести анализ возможных социальных последствий воздействий на информацию, циркулирующую в данной системе. ИТКС, или один из ее сегментов может принимать участие в обеспечении функционирования объекта, на котором имеется экологически опасное или социально значимое производство или технологический процесс, нарушение штатного режима работы которого, может привести к чрезвычайной ситуации определенного уровня и масштаба, а также осуществлять управление чувствительными (важными) для государства процессами, нарушение функционирования которыми приводит к значительным негативным последствиям для страны в экономической внутриполитической, социальной, информационной и других сферах. Все это говорит о том, что такие ИТКС следует рассматривать как ключевые системы информационной инфраструктуры. В зависимости от оценки возможных последствий воздействий на них, а также исходя из назначения системы, принадлежности ее к тем или иным важным сегментам информационной и телекоммуникационной инфраструктуры России необходимо проводить градацию ключевых систем информационной инфраструктуры по степени важности.