Практика работы крупнейших мировых компаний показывает, что игнорирование вопросов информационной безопасности существенно увеличивает риск возникновения серьезных материальных потерь вплоть до полного нарушения работы важнейших управляющих, информационных и телекоммуникационных систем, фактической остановки технологического процесса. В настоящее время количество попыток несанкционированных воздействий (атак) на корпоративные информационные ресурсы существенно возросло, и информационные ресурсы ОАО "РЖД", к сожалению, не являются в этом плане исключением. Кроме того, информационные системы ОАО "РЖД" представляют собой потенциальный источник информации, которая может быть использована в целях совершения различных противоправных акций. Именно поэтому руководство ОАО "РЖД" уделяет пристальное внимание проблеме ИБ.
К основным объектам защиты информации в ОАО "РЖД" относятся: программно-технические комплексы и система управления единой магистральной цифровой сетью связи (ЕМЦСС); системы управления автоматических телефонных станций оперативно-технологической и общетехнологической сетей; программно-технические комплексы и система управления сети передачи данных; отдельные автоматизированные рабочие места (АРМ) и локальные вычислительные сети (ЛВС), в том числе задействованные в технологических процессах; серверные сегменты информационных систем и автоматизированных систем управления; программно-технические комплексы[2];
Главными целями создания и функционирования СОИБ являются обеспечение защиты информации, внедрение и эксплуатация технических подсистем, комплексов и средств обеспечения информационной безопасности, обеспечение доступности соответствующих категорий информации для пользователей ОАО "РЖД", других организаций и частных лиц, управление информационной инфраструктурой с точки зрения недопущения непроизводственного и непроизводительного использования ее ресурсов, а также аудит[3].
В составе СОИБ выделяются три составляющие: организационная, нормативно-правовая, техническая.
Работу системы курируют вице-президент ОАО "РЖД" и начальник департамента безопасности ОАО "РЖД". Организация и оперативное управление работами в области защиты информации обеспечиваются отделами системных мер защиты информации и технических средств защиты информации[2].
Непосредственная работа по обеспечению информационной безопасности на сети железных дорог и филиалов ОАО "РЖД" проводится специалистами отделов защиты информации региональных центров безопасности - структурных подразделений ОАО "РЖД", а также специалистами Главного вычислительного центре - филиала ОАО "РЖД".
Разработка нормативной базы по информационной безопасности осуществляется на основе действующего законодательства Российской Федерации (ФЗ "О персональных данных", ГОСТ 51275-99, ГОСТ Р. 51624-2000, ГОСТ Р. 51583-2000 и др.),[1] в том числе нормативных актов, гармонизированных с международными стандартами (например, ИСО/МЭК 15408 - 2002 и др.), а также нормативных актов ФСТЭК и ФСБ России. Среди ключевых направлений формирования нормативной базы следует выделить разработку: комплекса политик информационной безопасности различного уровня; профилей защиты автоматизированных систем (АС) ОАО "РЖД" и отдельных объектов информатизации; документов, обеспечивающих соблюдение режима защиты информации, которая составляет коммерческую тайну; регламентов взаимодействия различных информационных систем, в том числе принадлежащих внешним пользователям;
В качестве примеров нормативных актов, действующих в ОАО "РЖД", можно привести "Перечень сведений, составляющих коммерческую тайну ОАО "РЖД", "Инструкцию о порядке обращения с информацией, составляющей коммерческую тайну ОАО "РЖД", распоряжение "Об организации работ по предотвращению записи, хранения и распространения информации и программных продуктов непроизводственного характера" с "Примерным перечнем категорий информации и программных продуктов..." и "Примерным порядком организации создания корпоративных WEB-сайтов, FTP-серверов, конференций.

Структура технической составляющей СОИБ во многом определяется архитектурой корпоративной инфо-телекоммуникационной сети ОАО "РЖД" (инфо-сети), которая объединяет информационные ресурсы и технические средства обработки и передачи информации центрального аппарата, железных дорог. Большинство информационных систем компании имеют клиент-серверную архитектуру, при этом в ГВЦ и в ИВЦ дорог сосредоточены базы данных и серверы приложений, а клиенты, помимо пользователей ГВЦ и ИВЦ, находятся в линейных подразделениях и на предприятиях ОАО "РЖД".
В процессе формирования технической составляющей СОИБ был реализован[2].
Одним из наиболее важных принципов является функциональная интеграция специализированных программно-технических комплексов защиты с программно-техническими комплексами передачи и обработки информации, имеющими собственные встроенные средства защиты с мощной функциональностью (операционные системы рабочих станций и серверов, активное сетевое оборудование). Функциональная интеграция позволяет достигать высокого уровня защищенности при минимизации затрат на внедрение. В качестве положительных примеров следует упомянуть технологии контроля доступа к ресурсам сети передачи данных, информационным ресурсам системы ЭТРАН, к АСУ "Экспресс-3", ЕК АСУ ФР., к ряду АСУ дорожными центрами управления и станциями, к системе электронной коммерции. Активное совместное использование специализированных и встроенных средств защиты в совокупности с подсистемой антивирусной защиты позволяет предотвращать угрозы распространения шпионских программ или разрушающих программных средств(вирусов)[2].
Еще одним базовым принципом является сегментирование сети по территориально-производственной принадлежности с разделением функций и ролей. Данный принцип подразумевает физическое или виртуальное разделение локальных вычислительных сетей и информационных ресурсов структурных единиц ОАО "РЖД" с жестким распределением прав доступа к ресурсам. Существенное сокращение затрат на внедрение СОИБ обеспечивает базовый принцип защиты инфо - систем с использованием типовых комплексов.
В настоящее время усилиями сотрудников подразделений и филиалов ОАО "РЖД", подрядных организаций внедрены и успешно функционируют комплексы обеспечения информационной безопасности основных объектов защиты, перечисленных ранее. Основу этих комплексов составляют типовые модули, включающие в свой состав средства межсетевого экранирования и фильтрации сообщений, обнаружения вторжений, ограничения.