Грибунин В.Г. Комплексная система защиты информации на предприятии

Подождите немного. Документ загружается.

Политика безопасности является документом верхнего уровня.

Более детальные требования излагаются в регламенте безопасно-

сти — совокупности документов, регламентирующих правила об-

ращения с конфиденциальной информацией в зависимости от фазы

ее обработки и категории конфиденциальности.

В этих документах должен быть определен комплекс мето-

дических, административных и технических мер, включающих

№

•

создание подразделения, ответственного за обеспечение кон-

фиденциальности информации (СОК);

• определение порядка допуска сотрудников к конфиденци-

альной информации;

• определение обязанностей, ограничений и условий, накла-

дываемых на сотрудников, допущенных к конфиденциальной ин-

формации;

• установление категории конфиденциальности информации;

определение категории конфиденциальности работ, проводимых

заказчиком, и информации, содержащейся в рабочих документах;

порядок изменения категории конфиденциальности работ и ин-

формации;

•

требования к помещениям, в которых проводятся конфиден-

циальные работы и обрабатывается конфиденциальная информа-

ция, по категориям;

• требования к конфиденциальному делопроизводству;

•

требования

к учету,

хранению и обращению с конфиденциаль-

ными документами;

•

меры по контролю за обеспечением конфиденциальности ра-

бот и информации;

• план мероприятий по противодействию атаке на конфиден-

циальную информацию (действия, которые надо предпринимать

в случае обнаружения разглашения информации с целью пресе-

чения процесса разглашения/утечки информации);

• план мероприятий по восстановлению конфиденциальности

информации (действия, которые надо предпринимать после пре-

сечения процесса разглашения/утечки информации);

•

определение ответственности за разглашение конфиденциаль-

ной информации.

Для регламента обеспечения безопасности должны быть разра-

ботаны следующие документы:

•

инструкция по обеспечению режима конфиденциальности на

предприятии;

•

требования к пропускному и внутриобъектовому режиму;

• общие требования к системе разграничения доступа в поме-

щения;

• инструкция по работе с кадрами, подлежащими допуску к

конфиденциальной информации;

• требования к лицам, оформляемым на должность, требую-

щую допуска к конфиденциальной информации;

• режим конфиденциальности при обработке конфиденциаль-

ной информации с применением СВТ;

• концепция безопасности АС;

Все разработанные документы должны определять работу

КСЗИ:

• в штатном режиме;

• при изменениях в штатном режиме;

• в нештатном режиме (аварийных ситуациях).

Изложенное выше показывает, что КСЗИ является сложной

человеко-машинной системой, поэтому для ее анализа можно

воспользоваться положениями теории систем. Приведем некото-

рые основные моменты этой теории.

2.3.

Основные положения теории

сложных систем

Целенаправленность процесса функционирования КСЗИ яв-

ляется одной из важных ее особенностей, позволяющих отнести

КСЗИ к классу сложных информационных систем. Формализа-

ция целей функционирования КСЗИ в виде некоторой системы

критериев оптимальности либо обобщенного критерия связана с

определением всех свойств КСЗИ, оказывающих влияние на до-

стижение цели, введением их количественной меры — системы

показателей качества, выбором процедуры редукции, нормализа-

ции и скаляризации (свертки) вектора показателей качества и

получением обобщенного критерия оптимальности КСЗИ либо

показателя эффективности ее функционирования.

Весомый вклад в создание научных основ формулировки си-

стем критериев внесли работы Е. С. Вентцель, Н.П.Бусленко,

Б.

Р.Левина и др., в которых были сформулированы основные тре-

бования к системам критериев (адекватность целям, простота, ми-

нимальная размерность, возможность аналитического представ-

ления и использования эффективных методов исследования) и

даны общие рекомендации по их достижению.

Как и в любой научной дисциплине, в теории систем для обо-

значения используемых понятий применяется специальная тер-

минология. Базовыми понятиями теории систем являются: опе-

рация; цель операции; система; задача системы; стратегия; опера-

ционная система; операционный комплекс.

• Операция — упорядоченная совокупность (система) взаимо-

связанных действий, направленных на достижение определенной

цели. Применительно к КСЗИ операция — это целенаправлен-

ный процесс ее функционирования. Именно наличие общей цели

объединяет множество объектов в систему. Нераздельным атри-

бутом операции является конечная ее длительность, называемая

операционным временем.

• Цель — требуемый (желаемый) исход операции. Пока нет

цели, нет и операции. В рамках теории систем предполагается,

что цель операции — единственная. Операция, преследующая

несколько целей, — это совокупность одноцелевых операций. При

этом эффективности отдельных таких операций могут быть раз-

ными. Если цели операций взаимосвязаны, то иногда их совокуп-

ность может рассматриваться как одна обобщенная цель. Цель

считается достигнутой, если путем преобразования функциони-

рующей системой некоторых ресурсов получен соответствующий

ее результат (исход операции).

• Система — целостное множество (совокупность) взаимосвя-

занных объектов (предметов — элементов системы).

• Сложная система (СС) — система, характеризующаяся мно-

жеством возможных состояний, каждое из которых описывается

набором значений ее конкретных параметров. СС характеризует-

ся сложным строением и сложным поведением. Все рассматрива-

емые в теории эффективности системы — сложные.

• Сложная система КСЗИ — человеко-машинная (эргоди-

ческая) система, множество взаимосвязанных материальных объек-

тов (средств и комплексов ВТ, связи, средств защиты, обслужива-

ющих их групп людей, документов), непосредственно участвую-

щих в проведении операции (функционировании предприятия) и

объединенных общей целью (защищенный обмен информацией).

•

Подсистема {субсистема) — сложная система меньшего мас-

штаба по сравнению с исходной, организационно входящая в по-

следнюю, реализующая самостоятельную операцию, цель кото-

рой подчинена цели операции, проводимой исходной системой,

являющейся по отношению к подсистеме суперсистемой.

• Элемент системы — объект, входящий в состав системы, но

не имеющий в рамках конкретной операции самостоятельной цели

и не подлежащий расчленению на части. Понятия подсистемы и

элемента сугубо модельные и в этом смысле условные. Так, одна

и та же совокупность объектов может в рамках одной операции

являться элементом, в рамках другой — подсистемой, в рамках

третьей — системой или даже суперсистемой. Элементы сложной

системы функционируют во взаимодействии, в результате чего

свойства сложной системы определяются не только (и не столько)

свойствами ее элементов и подсистем, но и характером взаимо-

действия между ними, т.

е.

новыми, так называемыми системны-

ми свойствами.

• Комплекс — совокупность объектов (систем, подсистем, эле-

ментов) различной физической природы, объединенных общей

целью, но с менее жесткими, чем в системе, организационными

связями.

• Задача системы — требуемый исход операции, который дол-

жен быть достигнут в результате функционирования КСЗИ при

заданном расходе ресурсов, за заданное время и характеризуемый

заданным набором количественных данных. Другими словами,

задача — это конкретизированная цель. По-существу, цель опера-

ции становится задачей системы, если конкретизированы коли-

чественные характеристики требуемого результата и отпускаемых

на его получение ресурсов и времени. Практически цель опера-

ции достигается путем выполнения системой последовательности

задач.

Если цель операции сформулирована (задача системы постав-

лена), то может быть начата разработка альтернативных способов

(планов, программ) достижения цели (выполнения задачи). Из

набора альтернативных планов наилучший выбирается на основе

тех или иных концепций и вытекающих из них принципов, кото-

рые формально выражаются в форме критериев (правил сужде-

ния).

• Стратегия — определенная организация и способ проведе-

ния операции (применения системы связи).

•

Результаты операции — совокупность всех ее эффектов (по-

следствий) (рис. 2.1).

Различают операции: положительные и отрицательные; пря-

мые и косвенные (побочные). Кроме того, в рамках каждого из

блоков данной схемы результаты могут быть однородными и нео-

днородными.

• Целевой эффект операции — результат, ради получения ко-

торого проводится операция.

• Ресурсы — запасы материи (сырья), энергии, информации,

времени, а также технические и людские ресурсы, необходимые

для проведения операции и получения требуемого целевого эф-

фекта. Ресурсы могут быть классифицированы по структуре и по

динамике превращения в целевой эффект.

Положительные

результаты (позитивные)

Целевые эффекты

(прямые результаты)

Побочные

положительные

Отрицательные

результаты (негативные)

Расходы ресурсов

(прямые результаты)

Побочные

отрицательные

Рис. 2.1. Результаты операции

По структуре ресурсы делятся на однородные и неоднородные.

Однородность ресурсов существенно упрощает исследование опе-

рации и ее эффективности, однако подобные операции крайне

редки (если вообще есть).

По динамике превращения в целевой эффект различают ре-

сурсы: активные и пассивные; динамические и статические; тру-

довые — людские и т.д.

• Свойство — объективная особенность объекта, зависящая от

его строения и характеризующая отдельную его сторону (аспект).

• Операционная система — совокупность объектов (как мате-

риальных, так и нематериальных: информация, время и т.д.), в

результате взаимодействия которых реализуется операция.

Операционный комплекс — совокупность объектов, включаю-

щая в себя в качестве элементов операционную систему, суперси-

стему и окружающую среду.

Окружающая среда — совокупность объектов, не входящих в

операционную систему, непосредственного участия в операции

не принимающих, но обусловливающих операционную ситуацию

и оказывающих влияние на ее исход. Каждый исследуемый объект

обладает определенными свойствами, обусловливающими его ка-

чество.

Квалиметрия — научная область, в которой разрабатываются

методологические основы, методы и методики количественного

оценивания и анализа качества объектов.

Качество — свойство или совокупность свойств объекта, обу-

словливающих его пригодность для использования по назначе-

нию. Каждое из свойств объекта может быть описано с помощью

некоторой переменной, значение которой характеризует меру (ин-

тенсивность) его качества относительно этого свойства. Эту меру

называют показателем свойства или единичным частным пока-

зателем качества (ЧПК) объекта. Уровень качества объекта ха-

рактеризуется значениями совокупности показателей его суще-

ственных (атрибутивных свойств — АС), т.е. свойств, необходи-

мых для соответствия объекта его назначению. Эта совокупность

называется показателем качества.

•

Показатель качества объекта — вектор, компоненты кото-

рого суть показатели его отдельных свойств, представляющие со-

бой частные, единичные показатели качества объекта.

• Критерий оценивания качества — руководящее правило

(условие или совокупность условий), вытекающее из принятых

(положенных в основу исследования) концепций и принципов

оценивания, реализуемое в случае принятия того или иного ре-

шения (проектного, организационного, управленческого и т.п.) о

качестве исследуемого объекта.

При оценивании качества любого объекта, описываемого

л-мерным

векторным показателем, реализуется совокупность кри-

териев, каждый из которых в общем случае может принадлежать

одному из классов:

классу {G} критериев пригодности;

классу {О} критериев оптимальности;

классу {S} критериев превосходства.

• Оценка качества — числовая характеристика показателя ка-

чества, получаемая опытным путем или с помощью расчетов (при

косвенных измерениях) с использованием модели показателя ка-

чества. По определению, качество — это свойство или совокуп-

ность существенных свойств объекта, обусловливающих его при-

годность для использования по назначению. Применительно к

целенаправленному процессу подобные его свойства — атрибу-

ты — называются операционными. К ним относятся результатив-

ность, ресурсоемкость, оперативность.

• Результативность ЦП— характеризуется получаемым в его

результате целевым эффектом. Она обусловливается способностью

операции давать целевой эффект (т.е. результат, ради которого

проводится операция). Применительно к КСЗИ это свойство опе-

рации называется безопасностью.

• Ресурсоемкость ЦП — характеризуется расходом операци-

онных ресурсов всех видов (материально-технических, энергети-

ческих, информационных, временных, финансовых, людских и

т.п.), требуемых для проведения операции и получении целевого

эффекта.

• Оперативность ЦП — характеризуется расходом операци-

онного времени, т.е. времени, потребного для достижении цели

операции.

• Эффективность — это комплексное операционное свойство

целенаправленного процесса функционирования системы, ха-

рактеризующее его приспособленность к достижению цели

реализуемой КСЗИ операции (к выполнению стоящей перед КСЗИ

задачи).

Любой показатель эффективности операции должен удовлет-

ворять совокупности общих требований, чтобы соответствовать

своему предназначению: представительность (адекватность); кри-

тичность (чувствительность); комплексность (полнота); стохастич-

ность;

«простота».

Представительный показатель позволяет оценивать эффек-

тивность операции по достижении ее основной (а не второсте-

пенных) цели. Цель операции должна находить свое прямое ото-

бражение в показателе ее эффективности. Критичный показатель

чувствителен к изменениям исследуемых характеристик. Комп-

лексный (единый) показатель позволяет решать задачу исследова-

ния эффективности операции без привлечения других ее характе-

ристик. Стохастичный (вероятностный) показатель позволяет

учитывать неопределенность условий проведения операции, обу-

словленную воздействием случайных факторов и всегда сопутству-

ющую исследованию операции и ее эффективности.

Показатель эффективности должен быть достаточно простым

(при необходимой комплексности), чтобы его вычисление и по-

следующий анализ эффективности операции могли быть реализо-

ваны в приемлемые сроки и имели бы наглядную интерпретацию.

Всем перечисленным требованиям удовлетворяет показатель

эффективности, представляющий собой вероятность достижения

цели операции (или вероятность выполнения задачи КСЗИ) —

• Критерий оценивания эффективности — совокупность усло-

вий, определяющих цели операции и в соответствии с ними при-

годность, оптимальность или превосходство исследуемой опера-

ции.

2.4.

Система управления информационной

безопасностью предприятия. Принципы

построения и взаимодействие с другими

подразделениями

КСЗИ предполагает подчиненное единому замыслу эффектив-

ное управление всеми элементами системы обеспечения безопас-

ности информации, анализ и адекватное противодействие вне-

шним и внутренним угрозам, реализацию принципов защиты

информации, обрабатываемой на предприятии.

Управление КСЗИ должно осуществляться специализирован-

ной организационной структурой (системой управления инфор-

мационной безопасностью —

СУИБ),

которая будет координиро-

вать действия подразделений (служб) организации, эксплуатиру-

ющей АС, контролировать реализацию политики безопасности ин-

формации и пресекать выявленные нарушения. Рассмотрим воз-

можную структуру СУИБ без привязки к конкретной организа-

ционно-штатной структуре.

СУИБ

строится как самостоятельная структура организации,

подчиняющаяся непосредственно руководителю (заместителю ру-

ководителя) организации. В состав СУИБ обычно входит специа-

лизированное подразделение (отдел обеспечения безопасности

информации, далее — отдел ОБИ), уполномоченные сотрудники

подразделений и территориально разобщенных объектов, на ко-

торых распоряжением руководителя организации кроме основ-

ных задач дополнительно возложено решение задач по обеспече-

нию безопасности информации (нештатные администраторы без-

опасности, далее — администратор БИ); они управляют деятель-

ностью (по вопросам обеспечения безопасности информации) и

тесно взаимодействуют с администраторами АС (ее сегментов) и

администраторами баз данных.

Примерная структура отдела ОБИ и основные взаимодейству-

ющие подразделения приведены на рис. 2.2. В состав отдела вхо-

дят группы специалистов: главных и ведущих специалистов по

защите информации, инженеров-программистов, отвечающих за

отдельные направления в работе (за анализ состояния информа-

ционных баз, определение требований к защищенности различ-

ных подсистем АС и выбор методов и средств обеспечения их

защиты, а также за разработку необходимых нормативно-методи-

ческих и организационно-распорядительных документов по воп-

росам обеспечения безопасности информации; за эффективное

применение и администрирование штатных для операционных

систем и систем управления базами данных и дополнительных

специализированных средств защиты и анализа защищенности

ресурсов автоматизированных систем).

Отдел ОБИ является самостоятельным структурным подразде-

лением организации и подчиняется заместителю руководителя

организации, отвечающему за безопасность. Начальник отдела

ОБИ назначается и освобождается от занимаемой должности по

согласованию с руководителем организации.

Организационно-

плановая группа

Начальник отдела ОБИ

Группа средств защиты Группа контроля

Начальник группы —

главный специалист

Начальник группы —

ведущий специалист

Начальник группы —

главный специалист

Ведущий специалист

Специалист I категории

администратор БИ

Специалист I категории

Орган

автоматизации

Взаимодействие

itl

Служба МТО Кадровый орган

Орган режима

и безопасности

Администратор АС

Админитратор(ы)

СУБД

Энергетик

Специалист

Физическая

охрана

Противопожарная

охрана

Рис. 2.2. Примерная структура системы управления безопасностью

информации и отдела обеспечения безопасности информации (ОБИ)

Включение отдела ОБИ подразделения в состав других струк-

турных подразделений организации или передача его функций

этим подразделениям, а также возложение на него задач, не свя-

занных с деятельностью по обеспечению безопасности информа-

ции, не допускается.

Основные направления деятельности СУИБ:

• выработка подходов к обеспечению безопасности информа-

ции и их практическая реализация, сбор статистических данных с

целью анализа и выявления источников угроз и уязвимостей;

•

составление и ведение схемы информационных потоков, про-

ведение их анализа с целью выявления недостатков в организа-

ции КСЗИ, составление и выполнение планов по их устранению;

• координация усилий всех подразделений по вопросам обес-

печения безопасности информации на предприятии;

• взаимодействие с подразделениями ОБИ организаций, уч-

реждений, использующих информационные ресурсы;

•

организация и выполнение технологических операций по пре-

доставлению прав доступа сотрудникам к информационным ре-

сурсам и средствам их обработки в соответствии с решениями,

принятыми в установленном порядке;

•

непосредственное обеспечение защиты информационных ре-

сурсов, обрабатываемых с применением технических средств об-

работки, управление СЗИ;

• обеспечение защиты информации, циркулирующей в поме-

щениях;

•

доведение требований по обеспечению безопасности инфор-

мации до сторонних организаций (партнеров), обращающихся к

информационным ресурсам;

• проведение инструктажей сотрудников по мерам обеспече-

ния безопасности информации, обучение их работе с использова-

нием средств защиты информации;

• учет, хранение и выдача носителей информации, генерация

паролей, ключей пользователей, используемых в СЗИ, контроль

соответствия ПО АС эталонному;

• контроль правильности выполнения сотрудниками требова-

ний безопасности информации и расследование случаев их нару-

шения;

•

оказание консультационной

технической поддержки пользо-

вателям АС при выполнении ими обязанностей по обеспечению

безопасности информации;

• постановка и решение научно-технических задач и реализа-

ция технологических процедур в области обеспечения безопасно-

сти информации.

СУИБ, как правило, должна комплектоваться специалистами,

имеющими практический опыт работы в области защиты инфор-

мации и отвечающими соответствующим квалификационным тре-

бованиям для специалистов по комплексной защите информации.

Их численность должна быть достаточна для обеспечения без-

опасности информации с учетом особенностей предприятия.

2.5.

Требования, предъявляемые к КСЗИ

2.5.1.

Требования к организационной

и технической составляющим КСЗИ

Как было показано в гл. 1, в составе КСЗИ можно выделить

три составляющие: организационную (определяющую структуру

КСЗИ, совокупность нормативных документов и т.д.), техниче-

скую (физические средства защиты, средства защиты от утечки по

техническим каналам) и программную (программно-аппарат-

ную) — средства защиты информации от НСД в АС. Соответ-

ственно и требования к этим подсистемам рассматривать целесо-

образно раздельно.

Для эффективного функционирования КСЗИ важно правиль-

но продумать организационно-штатную структуру органа безопас-

ности, подобрать людей. Как правило, на предприятии создается

служба безопасности («первый отдел»), а зачастую еще и служба

информационной безопасности, занимающаяся вопросами защи-

ты информации в АС. Кроме того, защитой информации в АС

занимаются и специалисты ИТ-подразделения. От того, насколь-

ко согласованно будут работать эти службы, во многом зависит

эффективность КСЗИ. Надо сказать, что на Западе отдельной служ-

бы информационной безопасности, как правило, не создается.

Этими вопросами ведает менеджер по информационной безопас-

ности

(CISO

— Chief Information Security

Officer),

который, буду-

чи в ранге замдиректора, осуществляет общее планирование и

руководство. А непосредственно вопросы защиты информации

решают сотрудники ИТ-подразделения и конечные пользователи.

К организационно-распорядительной и нормативной докумен-

тации по безопасности можно предъявить два основных требова-

ния: охват всех сторон деятельности предприятия и разумный

объем. Длинные, стостраничные инструкции никто не будет чи-

тать, а тем более, исполнять, поэтому здесь надо руководство-

ваться тем принципом, что лучше создать много небольших доку-

ментов, чем один большой.

К физическим средствам защиты относятся средства пожарной

и охранной сигнализации, видеонаблюдения, пожаротушения,

разграничения доступа в помещения. При создании КСЗИ важно

не забывать не только о предотвращении угроз информационной

безопасности,

но

защите от стихийных

бедствий. На наш

взгляд,