Грибунин В.Г. Комплексная система защиты информации на предприятии

Подождите немного. Документ загружается.

имосвязи соответствующих подразделений и служб, сторонних спе-

циализированных организаций в этой области, координации их

усилий для достижения поставленных целей, а также сотрудниче-

ства с заинтересованными объединениями и взаимодействия с

органами государственного управления и правоохранительными

органами.

Совершенствование. Совершенствование мер и средств за-

щиты осуществляется на основе собственного опыта, появления

новых технических средств с учетом изменений в методах и сред-

ствах разведки и промышленного шпионажа, нормативно-техни-

ческих требований, достигнутого отечественного и зарубежного

опыта.

Централизация управления. Этот принцип предполагает функ-

ционирование системы

ЗИ

по единым правовым, организацион-

ным, функциональным и методологическим принципам.

15.3.

Структура процессов управления

Система с управлением независимо от ее физической природы

имеет структуру, которая включает управляющий объект, объект

(объекты) управления и каналы связи между ними.

Управляющий объект (S) предназначен для выработки инфор-

мационных воздействий на основе обработки и отображения со-

бранной информации. В роли управляющих объектов могут вы-

ступать объекты, способные воспринимать, хранить, перерабаты-

вать и выдавать информацию.

Объект управления (О) обеспечивает выдачу информации о

своем состоянии и состоянии внешней среды, восприятие инфор-

мационных воздействий от управляющих объектов и их реализа-

цию.

Каналы связи служат для обмена информацией между S и О.

При этом по каналу прямой связи информация передается от S к

О, а по каналу обратной связи — в противоположном направле-

нии.

Совокупность, включающую S и каналы связи, будем называть

системой управления. Объекты управления в систему управле-

ния не входят, а процесс реализации ими управляющих воздей-

ствий в процесс управления не включается.

Процесс управления в такой системе осуществляется следую-

щим образом. S по каналу обратной связи получает информацию

о состоянии О и внешней среды (информация состояния). На

основе целей управления и информации состояния в S вырабаты-

вается управляющее воздействие (командная информация); оно

определяет новое состояние О, в которое он должен перейти при

приближении системы к цели. Совокупность правил, по которым

310

информация состояния преобразуется в командную информацию,

называется алгоритмом управления. Командная информация пе-

редается по каналу прямой связи. Восприняв информацию, О

выполняет предписанные ему действия. Так как система функци-

онирует в некоторой среде, являющейся источником активных и

пассивных помех, а в работе элементов системы возможны ошиб-

ки, то новое состояние О не всегда будет совпадать с желаемым.

Поэтому наряду с выполнением предписанных действий О посто-

янно передает S информацию о своем состоянии.

Совокупность мероприятий по управлению, выполняемых при

изменении среды, принято называть циклом управления. Циклы

различаются по продолжительности и содержанию. Цикл может

быть прерван. Выполняя цикл за циклом, система постепенно

приближается к цели функционирования.

Путь, по которому циркулирует информация между S и О,

называется контуром управления. Различают одноконтурные

(с одним О) и многоконтурные системы управления, а также си-

стемы управления с замкнутым (при наличии каналов обратной

связи) и разомкнутым контуром управления.

15.4.

Основные процессы, функции и задачи

управления КСЗИ

К основным процессам управления КСЗИ относятся:

сбор информации о состоянии элементов системы ЗИ и внеш-

ней среды;

2) обработка и оценка существующего состояния системы ЗИ

(ее элементов) и внешней среды, сравнение и оценка соответ-

ствия системы ЗИ целям ЗИ, выработка командной информации

(информационных воздействий), приближающих КСЗИ к требу-

емому состоянию;

3) доведение информационных воздействий до объектов уп-

равления.

Приведенные процессы при реализации управления КСЗИ

могут быть разделены на более мелкие подпроцессы, задачи, про-

цедуры, операции, действия.

Основным элементом процесса управления является задача

управления — технологический модуль (единица) преобразова-

ния информации, служащий для достижения за заданное время

конкретного результата. Группы задач управления КСЗИ объеди-

няются в функции управления.

Функция управления представляет собой устойчивую совокуп-

ность задач реализации процесса управления (его части) для до-

стижения частных целей управления, основанную на разделении

управленческого труда в органах управления.

311

Выделяются следующие основные управленческие функции:

планирование; оперативное управление; контроль; учет.

•

Планирование — процесс уточнения целей системы и деталь-

ной программы их достижения. Содержанием планирования яв-

ляется распределение ресурсов системы и определение порядка

их использования при достижении поставленной цели.

• Оперативное управление — процесс коррекции поведения

системы при реализации программы достижения поставленной

цели.

• Контроль — процесс проверки информации об элементах

системы и внешней среды и оценки соответствия состояния си-

стемы ее задачам.

• Учет — процесс измерения и регистрации характеристик си-

стемы и внешней среды.

Задачи управления КСЗИ многочисленны, разнообразны, за-

висят от множества факторов и не могут рассматриваться в отры-

ве от конкретной системы ЗИ, конкретного предприятия и усло-

вий его функционирования. Задачи управления КСЗИ в общем

виде могут быть классифицированы по различным признакам. При-

ведем некоторые из них, существенные с точки зрения удобства

изучения и формализации задач.

1. В зависимости от принадлежности к звену управления —

признак, характерный для иерархических систем управления, су-

щественный с точки зрения объемов, важности и стоимости при-

нимаемых решений. Каждая задача более низкого уровня иерар-

хии должна быть согласована (по целям, времени, ресурсам и т.п.)

с соответствующими задачами более высокого уровня.

2. В зависимости от принадлежности к функциональным под-

системам управления — задачи, например, контроля режима сек-

ретности, пропускного режима, охраны, разграничения доступа,

кадрового обеспечения, нормативно-правовые, криптографической

защиты, антивирусной защиты, материального и технического

обеспечения, учета и сохранности носителей информации и др.

3. По периодичности решения — задачи долгосрочные, теку-

щие (квартальные, ежемесячные, ежесуточные) и задачи со слу-

чайной периодичностью.

4. По степени определенности исходной информации — зада-

чи детерминированные, вероятностные и неопределенные задачи

управления.

5. С точки зрения формы мыслительного процесса — задачи

анализа и синтеза. Задачи анализа состоят в определении значе-

ний показателей эффективности функционирования системы при

заданных структуре, характеристиках элементов и условиях функ-

ционирования. Сущность задач синтеза сводится к определению

структуры и (или) ее характеристик при заданных ограничениях

на ресурсы и требованиях (целях) к ее функционированию.

312

6. По характеру преобразования информации — задачи, клас-

сифицируемые по форме представления данных, по содержанию,

по расположению в пространстве или во времени. Если в задаче

преобладает содержательная обработка, ее называют расчетной,

если другие виды преобразований, — информационной. Расчет-

ные задачи классифицируются как задачи согласования действий,

состязательные, маршрутизации, замены оборудования, распре-

деления ресурсов, массового обслуживания, поиска, управления

запасами, упорядочения и др. К информационным задачам отно-

сятся задачи учета, обобщения, систематизации, передачи инфор-

мации, документирования, хранения и т.п.

15.5.

Основные стили управления

Стиль управления — реально используемая система эффектив-

ных способов, средств, форм и методов повседневного функцио-

нирования должностных лиц и органов управления предприятия

в целом, основанная на соответствующих принципах и обеспечи-

вающую рациональное ведение управленческих дел. Стиль — один

из факторов рационализации управления, продуманное и согла-

сованное взаимодействие управленческих элементов и человече-

ского потенциала; основан на синтезе социальных, организацион-

ных, нормативных, информационных и технических параметров

управления.

Стиль управления должен состоять из таких необходимых для

него элементов, как:

— целевые, функциональные и организационные характерис-

тики органов управления, которые определяют их место и право-

вой статус в иерархии управляющей системы предприятия;

— юридически закрепленные и соответственно практически

используемые формы, методы и процедуры управленческой дея-

тельности органов управления и должностных лиц предприятия;

— реально проявляемые общекультурные, профессиональные

и личностные качества должностных лиц, посредством которых

формируются социально-психологические механизмы управле-

ния.

Свойства стиля управления создаются акцентом в названных

элементах и комбинациями из них. Исходя из этого выделено

несколько разновидностей стиля управления:

• директивный {административно-директивный, автокра-

тический) — наличие чрезмерной централизации власти, едино-

началия, самовластного решения крупных и мелких вопросов, со-

знательного ограничения контактов с подчиненными;

• демократический {коллегиальный, кооперативный) — пре-

доставление самостоятельности в соответствии с квалификацией;

313

принятие решений с участием подчиненных, уважение к людям,

забота об их потребностях;

• либеральный — отсутствие размаха в деятельности, безыни-

циативность и постоянное ожидание указаний сверху, нежелание

принять на себя ответственность за решения и их последствия,

когда они неблагоприятны.

Выделяют и другие стили: анархический (когда все пущено на

самотек и каждый делает все, что хочет и как хочет); кампаней-

ский (руководители, должностные лица от случая к случаю хвата-

ются за дело, бурно проводят различные мероприятия, а потом

успокаиваются и так до следующего приступа активности); воле-

вой (характерны исключительно приказы, грубое психологическое

давление, опирающееся на служебные зависимости).

Различают также общий стиль (нормативный, т.е. общеприз-

нанный, проявляющийся в главных своих чертах повсеместно, в

широких масштабах, стиль, разделяемый и поддерживаемый об-

ществом) и стиль индивидуальный (преломленный в соответствии

с конкретными условиями управленческой деятельности и каче-

ствами соответствующих руководителей и должностных лиц).

В чистом виде ни один стиль управления не проявляется. Чаще

всего имеет место сочетание, смешение стилей при явном преоб-

ладании какого-либо одного. Свойство стиля управления, скла-

дывающегося в его системе и подсистемах, напрямую зависит от

качеств лиц, занятых в управленческих процессах.

Наиболее целесообразным, продуктивным и ориентированным

на длительную перспективу является демократический стиль уп-

равления. Именно он позволяет стабилизировать управленческие

процессы и посредством них наладить рациональное и эффектив-

ное функционирование системы и ее развитие.

15.6.

Структура и содержание общей

технологии управления КСЗИ

Структура управления КСЗИ в общем случае может быть

обусловлена следующими факторами: а) целью функционирова-

ния; б) требованиями к управлению; в) количеством и террито-

риальным расположением объектов системы управления; г) ха-

рактером и необходимым объемом информации (информацион-

ной

потребностью КСЗИ); д) возможностями технических средств;

е) спецификой конкретных задач управления; ж) экономическими

факторами и др.

Исходя из анализа этих факторов, определяют структурные

характеристики системы, в частности: а) количество уровней уп-

равления; б) распределение элементов по уровням; в) состав и

характер связей между элементами системы и др.

314

Структуры реальных систем управления КСЗИ чрезвычайно

разнообразны. Известные иерархические структуры управления

по виду связей между элементами можно разделить на четыре ос-

новных типа: 1) линейные; 2) функциональные; 3) линейно-штаб-

ные; 4) линейно-функциональные.

При линейной структуре управления каждый объект управ-

ления КСЗИ имеет лишь один управляющий объект. Связи между

элементами линейные, что обеспечивает в полной мере реализа-

цию принципа единоначалия. Достоинство данной структуры —

четкое распределение полномочий и обязанностей между эле-

ментами. К недостаткам такой структуры следует отнести: от-

носительную трудность координации действий на нижних уров-

нях иерархии и необходимость высокой компетентности управ-

ляющего объекта для организации функционирования объектов

управления. Линейная структура управления используется в си-

стемах со сравнительно простыми функциями элементов, а так-

же в тех случаях, когда функции элементов одного уровня оди-

наковы.

Функциональная структура управления предполагает специ-

ализацию управляющих объектов по определенным функциям.

Основные проблемы, которые должны быть решены при исполь-

зовании этой структуры, сводятся к следующим:

• проблема координации действий — каждый нижестоящий

элемент получает необходимую управляющую информацию от

нескольких вышестоящих элементов, поэтому не всегда удается

найти рациональную последовательность действий;

• проблема развития системы — по мере совершенствования

управления обычно возникают новые функциональные службы, и

нижестоящие элементы получают все большее число управляю-

щих воздействий, что, как правило, приводит к дезорганизации

управления.

При использовании линейно-штабной структуры за основу

принимается линейная структура управления, но к каждому ру-

ководителю прикрепляется штаб, состоящий из квалифицирован-

ных специалистов. Штаб выдает рекомендации, а руководитель

их анализирует, утверждает и передает подчиненным элементам в

качестве приказов. При такой структуре обеспечивается высокое

качество принимаемых решений, но при усложнении функций

управления количество штабных работников увеличивается, а ру-

ководитель превращается в «формальную фигуру».

В линейно-функциональной структуре используются поло-

жительные свойства как линейных, так и функциональных струк-

тур. В этих целях помимо линейных вводятся функциональные

связи между штабами. Штаб вышестоящего уровня обладает опре-

деленными правами отдавать распоряжения штабам нижестоя-

щего уровня. Определенные трудности здесь могут также воз-

315

никнуть при решении проблемы координации. При усложнении

управления и дальнейшей специализации отдельных функций

количество связей возрастает и возникает проблема координа-

ции и согласования указаний различных функциональных служб

штаба. Разрешение данной проблемы возлагается на линейные

элементы.

Под технологией управления КСЗИ понимается организация

деятельности руководства и должностных лиц предприятия по

обеспечению комплексной защиты информации.

Технология управления КСЗИ должна обеспечивать:

•

точную и своевременную реализацию политики информацион-

ной безопасности предприятия;

• гибкость применения положений политики информацион-

ной безопасности (учет особенностей функционирования различ-

ных подсистем предприятия);

• минимизацию затрат на реализацию управляющих воздей-

ствий;

• соответствие принимаемых мер современному уровню разви-

тия информационных технологий.

Для реализации технологии управления КСЗИ предприятия

необходимо:

•

наличие системы взаимосвязанных нормативно-методических

и организационно-распорядительных документов;

• четкое распределение функций и определение порядка взаи-

модействия подразделений предприятия при решении вопросов

ЗИ, зафиксированные в организационно-распорядительных до-

кументах;

• наличие подразделения защиты информации, наделенного

необходимыми полномочиями и непосредственно отвечающего за

формирование и реализацию единой политики информационной

безопасности предприятия, осуществляющего контроль и коор-

динацию действий других структурных подразделений предприя-

тия по вопросам ЗИ на всех этапах ее жизненного цикла.

Технология управления КСЗИ должна предусматривать взаи-

модействие и реализацию функций по ЗИ подразделениями и

должностными лицами предприятия:

• руководством предприятия, принимающим стратегические

решения по вопросам ЗИ и устанавливающим (утверждающим)

основные документы, регламентирующие порядок функциониро-

вания и развития КСЗИ, обеспечивающий безопасную обработку

и использование защищаемой информации;

• подразделением защиты информации;

• подразделением, ведущим учет и хранение носителей защи-

щаемой информации;

• подразделением, отвечающим за разработку и/или приобре-

тение технических средств обработки защищаемой информации;

316

• подразделениями, отвечающими за обеспечение нормальной

работы вычислительных средств, общих (системных) программ-

ных средств, средств телекоммуникации;

• подразделением, отвечающим за проведение проверок под-

разделений предприятия по вопросам соблюдения технологии;

• основных подразделений предприятия, решающих задачи с

использованием защищаемой информации.

Реализация технологии ЗИ на конкретном предприятии требу-

ет адаптации к его структурно-функциональной организации.

Реализация подразделениями и персоналом предприятия функ-

ций по ЗИ осуществляется на основе и в соответствии с разрабо-

танными и утвержденными руководством предприятия организа-

ционно-распорядительными документами — инструкциями, пра-

вилами, должностными обязанностями, положениями и т.п. (под-

робнее

об этом см.

гл.

14).

•и-

iM'ftH

Ю-,

V ,

•;

»>

.-.:. ,•(•'.И'.;.;';. ••,::•,'

u.UH

>i.;l

•»-<

.-'V'

-»i4'>,

ч''^_ _>УЛ/ • "•" ->''

Л "•••-

Л'^ф'^ '•'Он. ,; •.'

Гл

Принципы и методы планирования

функционирования КСЗИ

16.1.

Понятие и задачи планирования

функционирования КСЗИ

Планирование является наиболее ответственным периодом уп-

равленческой деятельности и определяется как процесс (управ-

ленческая функция) уточнения целей системы и детальной про-

граммы их достижения, оформленной в виде совокупности доку-

ментов, служащих основанием для обеспечения последующего эф-

фективного функционирования данной системы и достижения по-

ставленных целей.

Планирование КСЗИ как процесс имеет две стороны:

• приспособление ресурсов системы к изменениям внешних и

внутренних условий;

•

постановка целей, которые должна достигнуть система, и раз-

работка программы их достижения.

Планирование КСЗИ можно рассматривать как деятельность

руководства предприятия и службы защиты информации, направ-

ленную на выработку и принятие обоснованных решений по по-

строению и обеспечению функционирования системы ЗИ, разра-

ботку организационно-распорядительных документов и доведе-

ние их до персонала.

Основной задачей планирования на уровне руководства пред-

приятия является выбор целей, задач, методов и организацион-

ных взаимосвязей КСЗИ. Планирование на этом уровне является

интегрирующей деятельностью, направленной на достижение мак-

симальной эффективности КСЗИ в ходе ее функционирования в

соответствии с установленными целями.

Главным назначением планирования является создание осно-

вы для последующих решений оперативного управления на всех

уровнях системы.

При этом процессы планирования и принятия решений неот-

делимы друг от друга. Решение связано с выбором одного из аль-

тернативных вариантов, но само по себе оно не является планом,

так как не всегда требует включения действий или сроков их ис-

полнения.

318

План — это заранее определенное направление действий. Он

включает: 1) ориентацию на будущее; 2) действия; 3) элемент,

указывающий определенное должностное лицо или орган управ-

ления, выполняющий эти действия (предписание для его выпол-

нения). При создании плана картина будущего (условия функци-

онирования) создается с помощью прогнозирования.

Для обеспечения требуемого качества планирования необхо-

димо обеспечение обратной информационной связи от низших

уровней иерархии к высшим, которая влияет на планирование

последующих этапов функционирования КСЗИ. Поступление от

низших уровней иерархии необходимой для планирования ин-

формации также обеспечивается иерархической структурой про-

цесса планирования. В то же время ясные, хорошо сформулиро-

ванные цели и задачи на вышестоящих уровнях позволяют обес-

печить основу для планирования на более низких иерархических

уровнях.

Значение четкого определения целей для последующего пла-

нирования заключается в том, что они обеспечивают: основу для

реализации планирования на всех уровнях управления КСЗИ; пред-

посылки для последующего более детального планирования; ос-

нову для мотивации поведения должностных лиц, т.е. понимания

ими значения выполняемой работы для достижения известных

целей и задач системы; основу для четкого распределения ответ-

ственности и для децентрализации детального планирования по

нижестоящим подразделениям; основу для координации деятель-

ности функциональных подразделений группы планирования. Бо-

лее общий характер целей высшего уровня делает необходимым

преобразование в процессе планирования этих целей в более дета-

лизированные цели низших уровней иерархии, которые в конеч-

ном счете трансформируются в практические цели подразделений.

Процесс планирования в КСЗИ может рассматриваться как про-

цесс постановки целей, которые должна достигнуть КСЗИ, и раз-

работки плана их достижения. Соответствующая этому процессу

технологически увязанная совокупность работ должностных лиц

может быть представлена посредством ряда этапов, характеризу-

ющихся общностью выполняемых работ на различных иерархи-

ческих уровнях. Самое укрупненное представление планирования

возможно через этапы, соответствующие наиболее важным опе-

рациям.

Должностному лицу, организующему планирование, для до-

стижения поставленных целей прежде всего нужно уяснить по-

ставленные задачи. Естественным продолжением этого процесса

будет оценка существующей ситуации, в которой находится КСЗИ,

что соответствует оценке обстановки.

На основе этого должностными лицами решается задача, ка-

ким образом можно реализовать поставленную цель, что соответ-

319