Шепитько Г.Е., Локтев А.А. Гудов Г.Н. и др. Комплексная система защиты информации на предприятии. Часть 1

Подождите немного. Документ загружается.

и меры защиты информации должны быть реализованы на современном уровне развития науки и

техники, научно обоснованы и технически реализуемы с точки зрения достижения требуемого

уровня информационной безопасности.

Специализация и профессионализм предполагают привлечение специализированных

организаций к разработке объектов информатизации и внедрению мер, средств защиты инфор-

мации, наиболее подготовленных и имеющих опыт практической

работы и государственную

лицензию на право оказания услуг в области защиты информации. Эксплуатация, техническое

обслуживание средств защиты информации и контроль за эффективностью их использования

должны осуществляться профессионально подготовленными специалистами.

Взаимодействие и координация предполагают осуществление мер обеспечения инфор-

мационной безопасности на основе взаимодействия всех заинтересованных структурных подраз-

делений организаций и специализированных

организаций-лицензиатов в области защиты ин-

формации, привлекаемых для разработки и сопровождения объектов информатизации, а также

координации усилий для достижения поставленных целей обеспечения информационной безо-

пасности.

Обязательность и эффективность контроля предполагают непременное и своевремен-

ное обнаружение и пресечение попыток нарушения характеристик информационной безопасно-

сти на основе используемых систем и средств защиты

информации при совершенствовании кри-

териев и методов оценки эффективности этих систем и средств.

Простота применения защитных мер и средств предполагает, что используемые меры и

средства защиты информации не должны приводить к значительным дополнительным трудоза-

тратам на работу пользователей, при необходимости выполнения ими дополнительных сложных,

рутинных операций, заметно ухудшающих экономические показатели

работников предприятия.

Преемственность и непрерывность совершенствования предполагают постоянное со-

вершенствование мер и средств защиты информации на основе преемственности организацион-

ных и технических решений, анализа функционирования объектов информатизации с учётом

изменений в методах и средствах защиты информации, нормативных требований по обеспече-

нию информационной безопасности, достигнутого отечественного и зарубежного опыта в этой

области

Кроме того, принципами построения системы информационной безопасности акцио-

нерных обществ, определяющими их организационную структуру и технологические компо-

ненты, являются:

– использование стандартизованных методических, программных и аппаратных продук-

тов, технологий и коммуникационной среды;

– ориентация на имеющиеся передовые, серийно выпускаемые сертифицированные виды

технологий и технических средств защиты информации.

Принцип своевременности и непрерывности

говорит о том, что система защиты информа-

ции не может оставаться в неизменном виде, а должна периодически анализироваться и изме-

няться с учётом изменяющихся обстоятельств по реализации угроз (появление или совершенст-

вование систем съёма (перехвата) информации, появление новых источников угроз.

Методы обеспечения информационной безопасности разделяются на правовые, органи-

зационные, организационно-технические

, технические, экономические.

К правовым методам обеспечения информационной безопасности относится разработка

нормативных правовых актов и нормативных ведомственных документов по вопросам обеспече-

ния информационной безопасности.

Наиболее важными направлениями являются:

– внесение изменений и дополнений в целях устранения неточностей и разногласий между

законодательными актами Российской Федерации;

– разработка законодательных актов по вопросам защиты конфиденциальной

информа-

ции;

– разработка ведомственных методических материалов по организации и проведению ра-

бот, связанных с защитой конфиденциальной информации.

Организационные, организационно-технические методы обеспечения информацион-

ной безопасности включают:

– создание и совершенствование системы обеспечения информационной безопасности;

– усиление правоприменительной деятельности органов исполнительной власти, а также

предупреждение правонарушений в информационной сфере, а также выявление и привлечение

ответственности лиц, совершивших преступления и другие правонарушения в этой сфере;

– разработку, использование и совершенствование средств защиты информации и методов

контроля их эффективности;

– создание систем защиты от несанкционированного доступа к обрабатываемой инфор-

мации;

– выявление технических и программных средств, представляющих опасность для инфор-

мации, информационных ресурсов, информационных систем;

– сертификацию средств

защиты, лицензирование деятельности в области защиты инфор-

мации;

– контроль за действиями персонала, обеспечивающего обработку и защиту информации;

– формирование системы мониторинга показателей и характеристик информационной

безопасности.

Технические методы обеспечения безопасности информации:

– установка технических, аппаратно-программных, программных средств защиты от не-

санкционированного доступа к обрабатываемой информации от специальных воздействий, вы-

зывающих

разрушение, уничтожение, искажение информации, а также изменение штатных ре-

жимов функционирования систем и средств информатизации и связи;

– выявление технических и программных средств, представляющих опасность для средств

обработки и передачи информации;

– проведение специальных измерений, технических средств обработки на предмет защи-

щенности от утечки информации по техническим каналам;

– технический контроль за

эффективным функционированием средств защиты информа-

ции.

Экономические методы обеспечения информационной безопасности Российской Фе-

дерации включают:

– разработку программ обеспечения информационной безопасности РФ и определение по-

рядка их финансирования;

– совершенствование системы финансирования работ;

– страхование информационных рисков физических и юридических лиц.

Государственная система обеспечения информационной безопасности

Государственная система обеспечения информационной безопасности определяет ос-

новные направления деятельности федеральных органов государственной власти и органов го-

сударственной власти субъектов Российской Федерации в этой области, порядок закрепления их

обязанностей по защите интересов личности, общества, государства.

Для соблюдения законности, а также для выполнения требований нормативных и право

вых документов создана государственная система по обеспечению безопасности информации.

Государственная политика обеспечения информационной безопасности основывается на

следующих принципах:

– соблюдение Конституции РФ, законодательства РФ, общепринятых законов и норм ме-

ждународного права;

– открытость в реализации функций федеральных органов государственной власти, орга-

нов государственной власти субъектов Российской Федерации с учетом ограничений, установ-

ленных законодательством Российской Федерации;

– правовое равенство всех участников процесса информационного взаимодействия, осно-

ванное на конституционном праве граждан на свободный поиск, получение, передачу, производ-

ство и распространение информации;

– приоритетное развитие отечественных,

современных, информационных и теле-

коммуникационных технологий; производство технических и программных средств для со-

блюдения жизненно важных интересов Российской Федерации.

Государство как основной субъект обеспечения защиты информации через свои органы

законодательной, исполнительной и судебной властей, обеспечивает создание условий для осу-

ществления защиты, а именно:

– создание системы правовых норм, регулирующих отношения в

области защиты инфор-

мации;

– проведение единой технической политики, организация, координация и методическое

руководство работами по защите информации;

– разработка технических норм и рекомендаций;

– разработка государственных программ по защите информации;

– общий контроль над состоянием защиты информации.

Элементами государственной системы обеспечения информационной безопасности Рос-

сийской Федерации являются:

– Президент Российской Федерации;

– Совет

Федерации и Государственная Дума Федерального собрания Российской Фе-

дерации;

– Правительство Российской Федерации;

– Совет безопасности Российской Федерации;

– федеральные органы исполнительной власти;

– межведомственные и государственные комиссии, создаваемые Президентом Российской

Федерации и Правительством Российской Федерации;

– органы исполнительной власти;

– органы исполнительной власти субъектов Российской Федерации;

– органы местного самоуправления;

– органы судебной

власти;

– органы государственного управления.

Президент Российской Федерации руководит в пределах своих конституционных полно-

мочий государственными органами по обеспечению информационной безопасности Российской

Федерации, определяет приоритетные направления государственной политики.

Совет Федерации и Государственная Дума Федерального собрания Российской Федерации

на основании Конституции Российской Федерации, по представлению Президента Российской

Федерации и Правительства Российской Федерации,

формируют законодательную базу в облас-

ти обеспечения безопасности информации Российской Федерации.

Правительство РФ координирует деятельность федеральных органов исполнительной вла-

сти и органов исполнительной власти субъектов федерации, а также при формировании в уста-

новленном порядке проектов федерального бюджета предусматривает выделение средств, необ-

ходимых для реализации федеральных программ в этой области.

Совет безопасности

Российской Федерации проводит работу по выявлению и оценке уг-

роз информационной безопасности Российской Федерации, оперативно подготавливает проекты

решений Президента Российской Федерации, разрабатывает предложения по обеспечению ин-

формационной безопасности Российской Федерации, координирует и контролирует деятель-

ность государственных органов по обеспечению информационной безопасности Российской

Федерации, решений Президента Российской Федерации.

Межведомственная комиссия по защите государственной тайны создана Указом Прези-

дента Российской Федерации от 08.11.1995, №1108. К основным функциям этой комиссии отно-

сится формирование Перечня сведений, отнесенных к государственной тайне, наделение полно-

мочиями по распоряжению от лица государства сведениями, отнесенными

к государственной

тайне, экспертиза и принятие решения о межгосударственном обмене сведениями, составляю-

щими государственную тайну.

Федеральные органы исполнительной власти: ФСТЭК, ФСБ, СВР МО России наделены

полномочиями по организации и координации работ, связанных с защитой сведений ограничен-

ного доступа.

Федеральная служба по техническому и экспортному контролю (ФСТЭК), созданная Ука-

зом Президента

РФ от 09.03.2004 № 314 в пределах своей компетенции формирует общую стра-

тегию и приоритетные направления защиты информации, в том числе: основные направления

исследований, требования, нормы, методики, критерии защиты информации; разрабатывает

предложения по развитию научной, экспериментальной и производственной базы, осуществляет

контроль защищённости, координацию работ и методическое руководство по защите информа-

ции, осуществляет методическое

руководство подготовкой кадров для ГСЗИ. Кроме того,

ФСТЭК проверяет организацию защиты информации в органах федерального и регионального

управления, в государственных объединениях, на предприятиях, в организациях и учреждениях,

контролирует, с применением технических средств (с уведомлением и без уведомления) эффек-

тивность защиты государственных и промышленных объектов, информационных систем,

средств и систем связи

и управления, проводит радиоконтроль за соблюдением должностными

лицами государственных объединений, предприятий, организаций и учреждений установленного

порядка передачи служебных сообщений по открытым каналам радио-, радиорелейных, тропо-

сферных и спутниковых линий связи, доступных для иностранной радиоразведки. До создания

ФСТЭК вышеперечисленные функции выполняла Гостехкомиссия России.

ФСБ России осуществляет контроль за обеспечением организационно-режимных меро

приятий в органах государственного управления и на предприятиях, ведущих работы по секрет-

ной тематике, разрабатывает, внедряет и контролирует криптографические средства защиты

информации, проводит работы по выявлению и предотвращению ущерба от средств съёма ин-

формации, выдает лицензию на право проведения работ со сведениями, составляющими госу-

дарственную тайну.

Росстандарт выступает в качестве

национального органа по стандартизации и сертифика-

ции продукции.

Органы судебной власти осуществляют правосудие по делам и преступлениям, связанным

с посягательствами на законные интересы личности, общества, государства.

Органы государственного управления (министерства, агентства, ведомства) в пределах

своей компетенции проводят работу по защите информации: определяют перечень охраняемых

сведений, разрабатывают отраслевые документы, контролируют выполнение предприятиями

установленных норм и требований, создают отраслевые центры по контролю эффективности

принятых мер, организует подготовку и повышение квалификации специалистов.

Правовой институт государственной тайны имеет три составляющие:

– сведения, относимые к определенному типу тайны (уровню секретности), а также прин-

ципы и критерии, по которым эти сведения классифицируются как государственная тайна;

– режим секретности -

механизм ограничения доступа к указанным сведениям, т.е. меха-

низм их защиты;

– санкции за неправомерное получение и (или) распространение этих сведений.

Для осуществления указанных составляющих в составе органов государственного управ-

ления функционируют подразделения по защите информации.

На предприятиях, где выполняются секретные работы, создаются подразделения по защи-

те государственной тайны, в остальных обществах создаются подразделения по защите конфи-

денциальной информации.

Создание системы обеспечения информационной безопасности должно базироваться на

принципе законности и выполнения субъектами своих прав и обязанностей.

2.4. Безопасность личности

Человек, будучи сам объектом и субъектом, системой безопасности

, присутствует во всех

других системах безопасности, играя базовую системообразующую роль. Отсюда обеспечение

личной безопасности становится условием обеспечения безопасности всех других ее форм и

уровней, но, в свою очередь, положение личности определяется состоянием общества, государ-

ства, природы. Личность находится в фокусе практически всех опасностей, так как от любых

деструктивных социально-политических,

экологических, этнических и технических событий

страдает именно человек.

Личная безопасность — состояние защищённости человека от факторов опасности на

уровне его личных интересов и потребностей, имеет множество разновидностей. Это связано

уже с тем, что личность является биосоциальной системой и выступает одновременно в роли и

человека как члена общества, и человека как живого

организма, существующего в ограниченных

параметрах окружающей среды. В первом случае речь идет о правовой безопасности личности,

т.е. защищенности человека — гражданина системой общеобязательных социальных норм, ох-

раняемых традициями общества и правовой деятельности государства; о материальной безопас-

ности, т.е. защищенности его собственности. Во втором случае личная безопасность обеспечива-

ется по классу

параметров среды обитания личности, а также по характеру воздействия: сомати-

ческая безопасность или защищенность тела от травм, ран и прочих поражений; психическая —

защищенность психики, духовная — защищенность сознания, морального состояния, воли и

способности к действию; физиологическая — защищенность физиологических систем организ-

ма, поддерживавших его жизнь и работоспособность; энергетическая — защищенность от охла-

ждения

организма, голодной смерти или потери работоспособности от истощения. Методологи-

чески важно учитывать, что человек как живой организм или личность может прекратить суще-

ствование от любого воздействия, интенсивность и время действия которого превысят предел

его выносливости.

Основным и наиболее комплексным универсальным инструментом обеспечения безопас-

ности призвано быть государство, которое должно дополнять усилия

граждан и общественных

организаций по защите всех индивидуумов и социальных групп, а также всего общества (нацию)

в целом. Это изначально его основная функция и предназначение. В Российской Федерации

основными документами являются Конституция РФ, Гражданский кодекс РФ. Гражданский

кодекс РФ регламентирует правовые отношения граждан.

В последние годы государство утрачивает контроль за

производством и распределением

результатов труда, базовые экономические и правовые рычаги воздействия на экономику. Дея-

тельность же органов государственной власти и государственного управления должна быть на-

правлена на формирование национальной идеи, концепции, стратегии, различных видов поли-

тик, отражающих общественный строй, и создание экономической структуры страны для дости-

жения главной цели — обеспечить благосостояние

нации.

Создание системы ЭБЛ предполагает наличие эффективной социально-экономической

политики.

Социальная политика наряду с другими является составляющей государственной эконо-

мической политики, которая есть генеральная линия действий и совокупность мер, проводимых

правительством от лица государства в области производства, распределения, обмена, потребле-

ния, накопления, экспорта, импорта экономического продукта в стране. Она складывается

из

структурной, инвестиционной, ценовой, финансово-кредитной, внешнеэкономической, социаль-

ной политики, а также политики в области труда и занятости.

Социальная политика — совокупность мероприятий, проводимых органами государст-

венной власти и управления общественным развитием - духовными и материальными сферами

жизнеобеспечения личности.

Политика в области труда и занятости — целенаправленная деятельность ответствен-

ных за эту сферу государственных

органов управления в целях регулирования рынка труда,

основанная на базовых законах РФ.

Экономическая безопасность личности характеризуется состоянием, при котором гаран-

тированы условия защиты жизненных интересов, обеспечивается система социального развития

и социальной защищенности личности.

Вопрос об использовании математических методов оценки экономической безопасности

личности является, вероятно, наиболее сложным, так как здесь требуется рассмотрение

всего воз-

можного спектра поведения личности и множества факторов, влияющих на безопасность. В то же

время можно указать определенные факторы, которые непосредственно влияют на жизнедеятель-

ность человека и могут быть изучены и заданы в форме определенных критериев и стандартов.

Большую роль при этом играют такие факторы, как экология, здравоохранение, правовая

защита.

Экологическая безопасность

Природа, окружающая среда — тонко сбалансированная система. Нарушение одного звена

ведет неизбежно к изменениям в других звеньях, зачастую необратимым. Экологическая безопас-

ность личности зависит от ряда глобальных причин, таких как перенаселение Земли, деградация

почвы, сведение лесов, нехватка пресной воды, радиоактивное загрязнение воздуха, воды, наличие

на рынках сбыта экологически

опасных потребительских продуктов и других причин.

В целом экологическая деятельность соответствующих правительственных органов долж-

на регулироваться следующими группами законов: об институциональных преобразованиях; о

защите атмосферного воздуха; о защите водных бассейнов; о борьбе с загрязнением почв; о ре-

гулировании шумов; о борьбе с оседанием грунта; об охране природы; о несении природоохран-

ных

расходов и мерах финансовой помощи. Особое значение для экологической безопасности

личности имеют экологические стандарты. Их объектами являются:

1)семь видов нарушения среды обитания человека: загрязнение воздуха, почвы и воды;

шум, вибрация, неприятные запахи, оседание грунта.

2) три вида состояния среды обитания: наличие элементов естественной природы, уровень

социальной комфортности среды обитания человека,

воздействие на объекты живой природы.

Стандарты и их нормативы устанавливают правительство и местные администрации с

учетом местной специфики.

В Российской Федерации за последние годы принято значительное количество законода-

тельных документов в области обеспечения экологической безопасности государства, личности.

Вместе с тем решение проблемы экологической безопасности требует постоянной, длительной,

дорогостоящей работы. На современном

этапе особо важную роль приобретают экологически

чистые технологии.

Продовольственная безопасность

Во всем мире огромное значение придается вопросам продовольственной безопасности.

Так, в развитых странах принят расчет коэффициента самообеспеченности продовольствием.

Этот коэффициент рассчитывается как процентное отношение между созданной и потребленной

стоимостью сельскохозяйственной продукции в стране.

На падение коэффициента самообеспеченности населения стран мира

продовольствием

влияет ряд факторов:

– недостаточно высокие темпы роста производства из-за постоянного сокращения обраба-

тываемых площадей в связи с использованием земли под строительство дорог, промышленных

объектов, жилых домов;

– падение коэффициента использования обрабатываемой площади;

– нехватка рабочих рук;

– ввоз более дешевого продовольствия;

– замедление темпов роста урожайности ряда сельскохозяйственных культур;

– снижение плодородия в связи с

усиленной химизацией.

Главной причиной кризиса в сельском хозяйстве стал развал его воспроизводственного

механизма, вызванный прежде всего диспаритетом цен, сложившимся в 1992-1994 гг. в обмене

между аграрным сектором и промышленностью.

В политике продовольственной безопасности личности необходимо придерживаться ра-

зумного сочетания уровней самообеспеченности и импорта, политики международного сотруд-

ничества и приложения усилий для

создания гарантий возможности обеспечения продовольстви-

ем своего населения. Гарантией обеспечения продовольствием за счет внутренних ресурсов

считается достижение такого потенциала сельскохозяйственного производства (рабочей силы,

семян, обрабатываемых площадей), при котором в критической ситуации можно быстро повы-

сить производство продовольственной продукции. Кроме того, необходим стратегический, пе-

риодически обновляемый запас продовольствия. Целесообразно создание запасов, как

централь-

ным правительством, так и органами местного самоуправления, сельскохозяйственными органи-

зациями, пищевыми предприятиями, каждой семьей.

Обеспечение занятости населения — основная составляющая в обеспечении экономиче-

ской безопасности личности

В России на рынке труда существуют очень сложные ключевые проблемы, такие как не-

соответствие между экономической динамикой и динамикой занятости трудоспособного населе-

ния; ограниченность

инвестиционных ресурсов; задолженность государственного бюджета по

выполненным госзаказам; обострение проблем трудоустройства отдельных социально-

демографических групп населения; значительность масштабов скрытой безработицы; недостатки

системы государственного профессионального образования; увеличение разрыва между требуе-

мым качеством и квалификацией претендентов на рабочие места; ухудшение качества рабочих

мест, что приводит к увеличению травматизма; дефицит опытных квалифицированных кадров;

концентрация безработицы в экономически депрессивных зонах.

Федеральная целевая программа содействия занятости населения Российской Федерации

на 1998-2000 гг. от 24 июля 1998 г. № 828 разработана на базе Закона РФ «О занятости» и плана

мероприятий Правительства РФ по реализации Программы социальных реформ в РФ на период

1996-2000 гг., утвержденного постановлением Правительства РФ от 26 февраля 1997 г. № 222.

Экономическая безопасность личности в области образования и информационного

обеспечения

Огромное значение имеют развитие человеческого потенциала и реальное обеспечение

прав каждого гражданина на получение среднего и высшего, а также специального образования,

доступ к общественно значимой информации.

В Российской Федерации в последние годы прослеживаются негативные тенденции по

защите прав личности на образование

и информационное обеспечение, что связывают в основ-

ном с общим ухудшением экономической обстановки.

В Российской Федерации накоплен положительный опыт поддержки студентов и молодых

ученых. Мерами такой поддержки являются повышенные стипендии, поощрение научных работ

различными фондами, президентскими стипендиями, грантами. Также позитивную роль играет

вхождение вузов РФ в интеграционные процессы. Одним из положительных

факторов за по-

следние два года стал рост количества студентов.

В то же время нельзя не отметить ухудшение качества среднего и специального образова-

ния, что, несомненно, сказывается не только на подготовке абитуриентов, но и самое главное на

подготовке кадров для наукоемкого производства в ходе структурной перестройки материально-

го производства РФ.

Информационное обеспечение понимается как необходимый процесс гласности, инфор-

мационной осведомленности, доступа

личности к информации жизнеобеспечения. В целом безо-

пасность социально-экономической системы базируется на соответствующем информационном

обеспечении, поэтому информационная безопасность личности неотрывна от национальной

экономической безопасности.

Наряду с изложенными выше мерами необходимо следующие факторы: реальные доходы,

медицинское обслуживание, культура, обеспечение жильем и жилищно-коммунальное обслужи-

вание, пенсионное обеспечение, формирование личных сбережений

и их защита.

Сложившееся состояние дел в области социальной политики напрямую затрагивает ЭБЛ, и

выход из него возможен при общем улучшении экономической ситуации в стране. Для наведения

порядка в социальной сфере необходимо применение государственных административных мер:

• предоставление субъектам Федерации права уточнять размеры минимальных потреби-

тельских бюджетов (на основе набора товаров

и услуг «потребительской корзины», т.е. прожи-

точного минимума) с учетом национальных и территориальных особенностей;

• приближение минимальных размеров оплаты труда, пенсий, стипендий и пособий к ве-

личине прожиточного минимума на основе соглашений, заключаемых на федеральном и терри-

ториальном уровне между профсоюзами, работодателями и исполнительными органами власти,

упреждение повышения минимальных выплат

в сравнении с ростом цен;

• введение дифференцированной шкалы налога с физических лиц, понижение ставки на-

лога для низко обеспеченных слоев трудящихся и ее повышение для групп населения с высоки-

ми доходами;

• переход от уравнительного предоставления социальной помощи к адресному выделению

средств с ориентацией на остронуждающиеся слои населения. Для этого ввести

учет доходов и

заявительный порядок предоставления помощи, а также определить органы, ведущие эту работу;

размеры помощи следует увязывать со степенью отставания среднедушевого дохода от прожи-

точного минимума;

• повысить дотации культурным учреждениям;

• финансировать здравоохранение с учетом потребностей персонала и населения;

• обеспечить потребности населения в жилье;

• создание системы сохранности личных

сбережений граждан.

Процесс формирования собственности ещё не завершен. Его корректность, равно как и

внесение элементов стабилизации и снятие социальной напряженности, будут в значительной

мере зависеть от поведения основного субъекта экономических отношений — государства. Та-

кова суть экономической ситуации в настоящий, переходный период.

2.5. Безопасность информационных систем

Информационная технология — процесс, использующий совокупность

средств и мето-

дов сбора, обработки и передачи данных (первичной информации) для получения информации

нового качества о состоянии объекта, процесса или явления (информационного продукта).

Цель информационной технологии — производство информации для её анализа челове-

ком и принятия на его основе решения по выполнению какого-либо действия. Информационная

технология является процессом, состоящим

из четко регламентированных правил выполнения

операций, действий, этапов разной степени сложности над данными, хранящимися в компьюте-

рах. Основная цель информационной технологии — в результате целенаправленных действий по

переработке первичной информации получить необходимую для пользователя информацию.

Большое внимание технологическим рискам уделяется, например, в банковском секторе, где

зависимость бизнес-процессов от систем ИТ особенно сильна.

Информационная система является средой, составляющими элементами которой явля-

ются компьютеры, компьютерные сети, программные продукты, базы данных, люди, различного

рода технические и программные средства связи и информационные технологии. Основная цель

информационной системы — организация хранения

и передачи информации. Информационная

система представляет собой человеко-компьютерную систему обработки информации.

Принята практически многими специалистами следующая классификации информацион-

ных систем:

– малые системы (до 30 компьютеров);

– средние системы (30-500 компьютеров);

– большие системы (более 500 компьютеров).

Понятие системности заключается не просто в создании соответствующих механизмов

защиты, а представляет собой регулярный процесс, осуществляемый на

всех этапах жизненного

цикла ИС. При этом все средства, методы и мероприятия, используемые для защиты информа-

ции, объединяются в единый целостный механизм — систему защиты. В то же время построение

систем защиты информации не ограничивается простым выбором тех или иных средств защиты.

Для создания таких систем необходимо иметь определенные теоретические знания,

а именно:

– что представляет собой защищенная информационная система;

– что такое система защиты информации и какие требования предъявляются к ней;

– какие существуют угрозы и причины нарушения безопасности информационных техно-

логий;

– какие функции защиты и каким образом должны быть реализованы, как они противо-

действуют угрозам и устраняют причины нарушения безопасности;

–

как построить комплексную систему защиты информации;

– как достичь высокого уровня безопасности при приемлемых затратах на средства защи-

ты информации.

Методология анализа защищённости информационной системы.

При разработке архитектуры и создании инфраструктуры корпоративной ИС неизбежно

встает вопрос о её защищенности от угроз. Решение вопроса состоит в подробном анализе таких

взаимно пересекающихся видов

работ, как реализация ИС и аттестация, аудит и обследование

безопасности ИС.

Основой формального описания систем защиты традиционно считается модель системы

защиты с полным перекрытием, в которой рассматривается взаимодействие области угроз, за-

щищаемой области и системы защиты. Таким образом, модель может быть представлена в виде

трех множеств:

– множество угроз безопасности;

–

множество объектов (ресурсов) защищенной системы;

– множество механизмов безопасности.

Развитие модели предполагает введение еще двух элементов: набор уязвимых мест и на-

бор барьеров. Под уязвимостью системы защиты понимают возможность осуществления угрозы

в отношении объекта На практике под уязвимостью системы защиты обычно понимают те свой-

ства системы, которые либо способствуют успешному осуществлению

угрозы, либо могут быть

использованы злоумышленником для её осуществления. Набор барьеров, представляет собой

пути осуществления угроз безопасности, перекрытые средствами защиты. В результате получаем

систему, состоящую из пяти элементов, описывающую систему защиты с учётом наличия уязви-

мостей.

Для системы с полным перекрытием для любой уязвимости имеется устраняющий её

барьер. Иными словами, в

подобной системе защиты для всех возможных угроз безопасности

существуют механизмы защиты, препятствующие осуществлению этих угроз. Данное условие

является первым фактором, определяющим защищённость ИС, второй фактор — «прочность» и

надежность механизмов защиты.

В идеале каждый механизм защиты должен исключать соответствующий путь реализации

угрозы. В действительности же механизмы защиты обеспечивают лишь определенную степень

сопротивляемости угрозам безопасности, поэтому в качестве характеристик элемента набора

барьеров может рассматриваться набор:

– вероятность появления угрозы;

– величина ущерба при удачном осуществлении угрозы в отношении защищаемых объек-

тов (уровень серьезности угрозы);

– степень сопротивляемости механизма защиты, характеризующаяся вероятностью его

преодоления.

Надежность барьера характеризуется величиной остаточного риска, связанного с возмож-

ностью осуществления угрозы в отношении объекта информационной системы, при использова-

нии

механизма защиты.

Суммарная величина остаточных рисков характеризует приблизительную совокупную

уязвимость системы защиты, а защищённость определяется как величина, обратная уязвимости.

На практике получение точных значений приведенных характеристик барьеров затрудне-

но, поскольку понятия угрозы, ущерба и сопротивляемости механизма защиты трудно формали-

зовать. Так, оценку ущерба в результате несанкционированного доступа к информации полити-

ческого и военного характера точно определить вообще невозможно, а определение вероятности

осуществления угрозы не может базироваться на статистическом анализе. Построение моделей

системы защиты и анализ их свойств составляют предмет теории безопасных систем, ещё только

оформляющейся в качестве самостоятельного направления.

Для защиты информации экономического характера, допускающей оценку ущерба, разра-

ботаны стоимостные методы

оценки эффективности средств защиты. Для этих методов набор

характеристик барьера дополняет величина затрат на построение средства защиты барьера. В

этом случае выбор оптимального набора средств защиты связан с минимизацией суммарных

затрат, состоящих из затрат на создание средств защиты и возможных затрат в результате ус-

пешного осуществления угроз.

Формальные подходы к

решению задачи оценки защищенности из-за трудностей, связан-

ных с формализацией, широкого практического распространения не получили. Значительно

более действенным является использование неформальных классификационных подходов. Для

этого применяют категорирование: нарушителей (по целям, квалификации и доступным вычис-

лительным ресурсам); информации (по уровням критичности и конфиденциальности); средств

защиты (по функциональности и гарантированно реализуемых возможностей

); эффективности и

рентабельности средств защиты.

Требования к архитектуре информационных систем для обеспечения безопасности её

функционирования.

С практической точки зрения обеспечения безопасности наиболее важными являются сле-

дующие принципы построения архитектуры ИС:

– проектирование ИС на принципах открытых систем, следование признанным стандар-

там, использование апробированных решений, иерархическая организация ИС с небольшим

числом сущностей

на каждом уровне -— все это способствует прозрачности и хорошей управ-

ляемости ИС;

– непрерывность защиты в пространстве и времени, невозможность преодолеть защитные

средства, исключение спонтанного или вызванного перехода в небезопасное состояние — при

любых обстоятельствах, в том числе нештатных, защитное средство либо полностью выполняет

свои функции, либо полностью блокирует доступ в систему

или её часть;