Вайнштейн Ю.В., Демин С.Л., Кирко И.Н., Кучеров М.М., Сомова М.В. Основы информационной безопасности

Подождите немного. Документ загружается.

141

Таблица 8

Основные этапы построения стратегий КЗИ

Наименование

этапов

построения

Стратегии комплексной защиты информации

Оборонительная Наступательная Упреждающая

Формирование

среды защиты

Отсутствует 1. Структурированная

архитектура ИС

2. Структурированная

технология обработки

защищаемой инфор-

мации

3. Четкая организация

работ по защите

Защищенная инфор-

мационная техноло-

гия в унифицирован-

ном исполнении

Анализ средств

защиты

1. Представление организационной структу-

ры ИС в виде графа, узлы которого – типо-

вые структурные компоненты, а дуги –

взаимосвязи между компонентами

2. Представление технологии обработки

защищаемой информации в виде строго оп-

ределенной схемы

3. Определение параметров защищаемой

информации и условий ее обработки

Отсутствует

Оценка

уязвимости ин-

формации

1. Определение значений вероятности на-

рушения защиты информации в условиях ее

обработки

2. Оценка размеров возможного ущерба при

нарушении защиты

Отсутствует

Определение

требований к

защите

Определение вероятности нарушения защиты информации, которая

должна быть обеспечена при обработке защищаемой информации

Построение

системы ком-

плексной защи-

ты

Определение тех-

нических средств,

которые должны

быть использова-

ны при обработке

ЗИ

Выбор типового вари-

анта (профиля) либо

проектирование инди-

видуальной системы

КЗИ

Определение меха-

низмов защиты, ко-

торые должны быть

задействованы при

создании КЗИ

Требования

к среде

защиты

Отсутствует Определяется в зави-

симости от требований

к защите информации

Реализуется на базе

унифицированной

защищенной инфор-

мационной техноло-

гии

Основные принципы построения КЗИ следующие:

142

1. Простота механизма защиты:

Механизм должен быть интуитивно понятен и прост в использовании.

Применение механизма защиты не должно требовать знания языков и быть

трудоемким, если это обычный пользователь, то есть пользователь среднего

уровня квалификации.

2. Постоянство защиты:

Механизм защиты должен быть постоянно защищен от несанкциониро-

ванных изменений. Ни одна КИС не является безопасной, если механизм за-

щиты может стать объектом модификации и изменения.

3. Полнота контроля:

Проверка полномочий любого обращения к любому объекту – это ос-

нова комплексной защиты информации.

4. Открытость проектирования:

КЗИ должна эффективно функционировать, даже если она известна

противнику. То есть должна поддерживаться независимость от опыта про-

тивника. А также знание алгоритма защиты недолжно способствовать пре-

одолению защиты даже автору.

5. Идентификация:

Каждый объект КИС должен быть однозначно идентифицирован. Поль-

зователь – полномочия, файл – уровень доступа.

6. Разделени полномочий:

Применением нескольких ключей защиты, что позволяет разрешить

доступ только при выполнении ряда условий.

7. Минимизация полномочий:

Пользователь получает только то, что необходимо для исполнения

функциональных обязанностей.

8. Надежность:

Должен быть механизм постоянной оценки надежности (исправности)

функционирования КЗИ.

9. Максимальная обособленность защиты:

Защита должна быть отделена от функций управления данными и ИС.

10. Защита памяти:

143

Наличие программ защиты защищаемых полей памяти для локализации

попыток проникновения. При этом все попытки фиксировать, документиро-

вать и отвергать, если не корректны.

11. Непрерывность:

КЗИ не разовое мероприятие и не совокупность мероприятий по защи-

те, либо установок средств защиты. КЗИ это непрерывный целенаправленный

процесс.

12. Гибкость:

Гибкость особенно важна в начале эксплуатации, т.к. существует воз-

можность чрезмерной либо недостаточной защиты и при установке на дейст-

вующей ИС, когда нельзя нарушить нормальное функционирование.

13. Неизбежность наказания нарушений:

Самый простой и действенный способ наказания нарушений – отказ в

доступе.

14. Экономичность:

Минимум расходов на создание и эксплуатацию.

15. Специализированность:

КЗИ только тогда надежна, когда реализована и эксплуатируется спе-

циалистами.

9.4. Структура КЗИ

0. Информация

1. Документ

2. Режим

3. Программа

4. Аппарат

5. Охрана

6. Техника

7. Инженерные сооружения

9.5. Основные характеристики КЗИ

1. Надежность – эшелонированность, многоуровневость.

144

Для достижения цели нарушитель вынужден преодолеть несколько ру-

бежей (слоев, уровней) защиты. Цель состоит в повышении неопределенно-

сти ожидания нарушителя относительно свойств системы защиты:

− длительность и трудоемкость подготовки;

− возможность неудачи и отказ от продолжения нападения.

2. Отказоустойчивость – минимизация последствий отказов рубежей

защиты.

Безотказную систему создать сложно. Следовательно, очень важно

иметь четкий план восстановления после отказа. Желательно автоматизиро-

вать ввод резерва защиты.

3. Равнопрочность – нарушитель должен преодолевать рубежи защиты с

одинаковой трудностью, независимо от направления атаки.

Время преодоления и вероятность обнаружения должны быть равны

независимо от пути вторжения.

9.6. Этапы разработки КЗИ

Процесс разработки КЗИ состоит из следующих этапов:

1. Определение информации, подлежащей защите;

2. Выявление полного множества угроз и каналов утечки информации;

3. Проведение оценки уязвимости и рисков информации по имеющимся

угрозам и каналам утечки;

4. Определение требований к комплексной защите;

5. Осуществление выбора средств защиты информации по их характери-

стикам;

6. Внедрение и организация использования выбранных мер, способов и

средств защиты;

7. Осуществление контроля целостности и управления системой защи-

ты.

На всех этапах разработки КЗИ происходит постоянный анализ и уточ-

нение требований к комплексной защите информации.

Контрольные вопросы

1. Является ли задачей КЗИ обнаружение протеканий системы цен-

трального отопления?

2. В чем разница упреждающей и наступательной стратегии?

145

3. Назовите наиболее действенный метод наказания за нарушения пра-

вил ИБ?

4. Каково количество уровней в структуре КЗИ?

5. Перечислите три основные характеристики КЗИ?

146

ГЛАВА 10. ДОКУМЕНТ КОНФИДЕНЦИАЛЬНЫЙ

10.1. Безопасность ценных информационных ресурсов

Одна из основных функций системы безопасности есть обеспечение

безопасности информации, циркулирующей на уровне руководства. Для это-

го необходимо знать:

− критерии ценности информации;

− методы выделения конфиденциальных документов;

− порядок документирования ценных сведений;

− порядок работы персонала с конфиденциальными материалами;

− построение системы движения, обработки, и хранения конфиденци-

альных документов;

− методы защиты при работе с носителями;

− методы защиты при проведении совещаний и переговоров.

Безопасность ценных информационных ресурсов всегда выступает не-

обходимым условием успеха в деле, получения прибыли, сохранения целост-

ности предприятия и поддержания его эффективного функционирования.

Цель ИБ – безопасность информационных ресурсов в любой момент

времени в любой обстановке. Безопасность информационных ресурсов отно-

сительно гарантированная в конкретной ситуации защищенность информа-

ции во времени и пространстве от любых объективных и субъективных угроз,

для обычных и экстремальных условий функционирования предприятия.

Первоначально всегда необходимо решить следующие вопросы:

− Что защищать?

− Почему защищать?

− От кого защищать?

− Как защищать?

Проблемы ИБ становятся более сложными и значительными со време-

нем, это связано с массовым переходом на безбумажные технологии в управ-

лении, введением электронного документооборота.

Все это существенно расширяет и содержательно обновляет комплекс

организационно-технических и технологических трудностей в предотвраще-

147

нии преступного и достаточно простого вмешательства в информационные

ресурсы.

Если раньше главными опасностями были утрата конфиденциального

документа, разглашение конфиденциальных сведений или утечка по техниче-

ским каналам. То в настоящее время все чаще приходится сталкиваться с не-

законным тайным оперированием электронными документами без кражи из

БД и незаконным использованием информационных ресурсов для извлечения

материальной выгоды.

Текущие и перспективные задачи обеспечения ИБ и ЗИ формируются в

рамках программы информационной безопасности предприятия. Задачи оп-

ределяют формирование и актуализацию технологического процесса защиты,

предупреждающего нарушения доступности, сохранности, целостности и

достоверности информационных ресурсов.

Основа решения – принцип персональной ответственности руководства

всех уровней, службы безопасности и сотрудников за использование инфор-

мации в соответствии с законодательством и функциональными обязанно-

стями.

Задачи защиты реализуются системой защиты информации. Главная

опасность это несанкционированный доступ (несанкционированное ознаком-

ление). Кража, копирование, разглашение, уничтожение, фальсификация, ис-

кажение, модификация и подмена информационных ресурсов являются след-

ствиями главной опасности.

Архитектура систем защиты информации (СЗИ) обязана охватывать:

− Электронные информационные системы;

− Весь комплекс управления предприятием в единстве его функцио-

нальных и структурных систем;

− Традиционные документационные процессы.

Комплексность СЗИ обеспечивается включением обязательных элемен-

тов, соответствующих основным элементам защиты. К обязательным элемен-

там относятся:

− правовые;

− организационные;

− инженерно-технические;

− программно-аппаратные;

148

− криптографические.

При игнорировании этого уязвимость информации на любом носителе

резко возрастает.

10.2. Критерии ценности информации

Предпринимательская деятельность всегда связана с созданием, ис-

пользованием и хранением значительных объемов информационных ресур-

сов. Документированные (т.е. реализованные на каких либо носителях) ин-

формационные ресурсы, используемые в деле или в управлении предприяти-

ем, являются собственной (частной) информацией предпринимателя.

Документированные информационные ресурсы есть интеллектуальная

собственность. Интеллектуальная собственность состоит из элементов – ин-

формационных продуктов (коммерчески ценных идей), реализованных в ин-

формационном виде.

Информационный продукт (ИП) – есть результат творческого труда

предпринимателя (коллектива предприятия), имеющего конкретную ценность

для собственника или владельца.

Ценность ИП можно определить через:

− стоимость:

− размер прибыли при использовании,

− размер убытков при утрате;

− правовое значение для фирмы (для дела):

− учредительные документы,

− программы и планы,

− договоры с партнерами и посредниками;

− перспективно научное значение;

− техническое значение;

− технологическое значение.

Существует следующие виды ценной информации:

1. Техническая и технологическая:

− химическая формула;

− рецепт;

− результат испытаний;

149

− данные контроля качества;

− методы изготовления продукции;

− программное обеспечение;

− производственные показатели.

2. Деловая:

− управленческие решения;

− методы реализации функций;

− стоимостные показатели;

− результаты исследования рынка;

− списки клиентов;

− экономические прогнозы;

− стратегия действий на рынке.

Основные направления формирования ценной информации представ-

лены в табл. 9.

Таблица 9

Основные направления формирования ценной информации

№ Область деятельности Направление формирования

1. Управление предприятием - применение нетрадиционных методов управле-

ния

- порядок подготовки и принятия решения в об-

ластях деятельности

2. Прогнозирование и плани-

рование

- расширение или свертывание производства

- предполагаемый объем исследований

- программы развития

- программы взаимодействия с инофирмами

- планы инвестиций, продаж, покупок.

3. Финансовая деятельность - баланс

- сведения о состоянии банковских счетов

- сведения об уровне доходности продукции

- информация о получении кредитов

- информация о кругообороте средств

- информация о производственных операциях

- информация о долговых обязательствах

150

Продолжение табл. 9

№ Область деятельности Направление формирования

4. Производственная дея-

тельность

- производственные мощности

- тип используемого оборудования

- запасы сырья, материалов, комплектующих

- запасы готовой продукции

5. Торговая деятельность - информация о рыночной стратегии

- методы осуществления продаж

- информация о результатах изучения рынка

- информация о эффективности коммерческой

деятельности.

6. Переговоры и совещания

по направлениям деятель-

ности

- информация о подготовке, содержании и ре-

зультатах переговоров с посредниками и партне-

рами

- о совещаниях с персоналом

7. Формирование ценовой

политики

- структура цены

- предполагаемые расчетные цены

- методы расчета

- размеры скидок

8. Формирование состава

клиентов, компаньонов,

посредников, поставщи-

ков, потребителей

- сведения о зарубежных и внутренних заказчиках,

подрядчиках, поставщиках и потребителях.

9. Изучение направлений ин-

тересов конкурентов

- используемые методы аналитической работы

- способы борьбы за рынок

- результаты маркетинговых исследований

10. Участие в торгах и аук-

ционах

- стратегическая информация

- информация о подготовке к торгам

- информация о намечаемых целях

- о результатах торгов

11. Научная и исследователь-

ская деятельность по соз-

данию новой техники и

технологий

- сведения о программах перспективных исследо-

ваний и результатах

12. Использование новых тех-

нологий

- информация об их содержании

- специфике применения

- получаемом эффекте

13. Управление персоналом - персональные сведения сотрудников

- методики подбора, тестирования кандидатов на

должность

- результаты текущей работы с персоналом.

14 Организация безопасности

предприятия

- сведения о функционировании СБ

- содержание СЗИ

- системы физической защиты