Понятие комплексной системы защиты информации

Работы по защите информации у нас в стране ведутся достаточно интенсивно и уже продолжительное время. Накоплен существенный опыт. Сейчас уже никто не думает, что достаточно провести на предприятии ряд организационных мероприятий, включить в состав автоматизированных систем некоторые технические и программные средства – и этого будет достаточно для обеспечения безопасности.

Главное направление поиска новых путей защиты информации заключается не просто в создании соответствующих механизмов, а представляет собой реализацию регулярного процесса, осуществляемого на всех этапах жизненного цикла систем обработки информации при комплексном использовании всех имеющихся средств защиты. При этом все средства, методы и мероприятия, используемые для ЗИ, наиболее рациональным образом объединяются в единый целостный механизм – причём не только от злоумышленников, но и от некомпетентных или недостаточно подготовленных пользователей и персонала, а также нештатных ситуаций технического характера.

Основной проблемой реализации систем защиты является:

─ с одной стороны, обеспечение надёжной защиты, находящейся в системе информации, т.е. исключение случайного и преднамеренного получения информации посторонними лицами, разграничение доступа к устройствам и ресурсам системы всех пользователей, администрации и обслуживающего персонала;

─ с другой стороны, системы защиты не должны создавать заметных неудобств пользователям в ходе их работы с ресурсами системы.

Проблема обеспечения желаемого уровня защиты информации весьма сложная, требующая для своего решения не просто осуществления некоторой совокупности научных, научно-технических и организационных мероприятий и применения специальных средств и методов, а создания целостной системы организационно-технологических мероприятий и применения комплекса специальных средств и методов по ЗИ.

На основе теоретических исследований и практических работ в области ЗИ сформулирован системно-концептуальный подход к защите информации.

Под системностью как основной частью системно-концептуального подхода понимается:

а) системность целевая, т.е. защищённость информации рассматривается как основная часть общего понятия качества информации;

б) системность пространственная, предлагающая взаимоувязанное решение всех вопросов защиты на всех компонентах предприятия;

в) системность временная, означающая непрерывность работ по ЗИ, осуществляемых в соответствии планам;

г) системность организационная, означающая единство организации всех работ по ЗИ и управления ими.

Концептуальность подхода предполагает разработку единой концепции как полной совокупности научно обоснованных взглядов, положений и решений, необходимых и достаточных для оптимальной организации и обеспечения надёжности защиты информации, а также целенаправленной организации всех работ по ЗИ.

Системный подход к построению любой системы включает в себя: прежде всего, изучение объекта внедряемой системы; оценку угроз безопасности объекта; анализ средств, которыми будем оперировать при построении системы; оценку экономической целесообразности; изучение самой системы, её свойств, принципов работы и возможность увеличения её эффективности; соотношение всех внутренних и внешних факторов; возможность дополнительных изменений в процессе построения системы и полную организацию всего процесса от начала до конца.

Системный подход – это принцип рассмотрения проекта, при котором анализируется система в целом, а не её отдельные части. Его задачей является оптимизация всей системы в совокупности, а не улучшение эффективности отдельных частей. Это объясняется тем, что, как показывает практика, улучшение одних параметров часто приводит к ухудшению других, поэтому необходимо стараться обеспечить баланс противоречий требований и характеристик.

1.2. Сущность комплексной системы защиты информации

Объектами профессиональной деятельности специалиста по защите информации являются методы, средства и мероприятия по обеспечению комплексной системы защиты информации (КСЗИ) на предприятии. А функциями КСЗИ будут функции защиты, то есть совокупность однородных функциональных отношений и мероприятий, регулярно осуществляемых на предприятии с целью создания, поддержания и обеспечения условий, необходимых для защиты информации.

Современное предприятие представляет собой сложную систему, в рамках которой осуществляется защита информации.

Основные особенности такого сложного современного предприятия таковы:

1. сложная организационная структура;
2. многоаспектность функционирования;
3. высокая техническая оснащённость;
4. широкие связи по кооперации;
5. непрерывно расширяющаяся доступность;
6. всё возрастающий удельный вес безбумажной технологии обработки информации.

Кроме того, нахождение информации по местам хранения и обработки, сюда же входят помещения, где разрабатываются программы, обострило ситуацию с ее защитой. Только один пример. Появились в огромных количествах персональные компьютеры и на их основе построены сети ЭВМ (локальные, глобальные, национальные, транснациональные), которые используют различные каналы связи, в том числе спутниковые.

Все это требует постоянного совершенствования, создания и разработки

совокупности методологических, организационных и технических элементов комплексной защиты, взаимообусловленных и взаимоувязанных. Также надо учитывать, что на современном предприятии одновременно присутствуют люди, техника, ЭВМ, т.е. интегрально, комплексная система защиты информации может быть представлена совокупностью трех групп систем:

1) люди – это биосоциальные системы;

2) техника – включает в себя технические системы и помещения, в которых они расположены;

3) ЭВМ, т.е. программное обеспечение, которое является интеллектуальным посредником между человеком и техникой (интеллектуальные системы).

Совокупность этих трех групп образует социотехническую систему.

Но максимально эффективной защита информации будет лишь в том случае, когда будут созданы механизмы защиты, и в процессе функционирования комплексной системы будет осуществляться непрерывное управление этими механизмами. Чтобы это было, в КСЗИ должно быть предусмотрено два вида функций защиты, которые являются основополагающими:

I) функция, основной целью которой является создание механизмов защиты, сводящая до минимума возможность воздействия дестабилизирующих факторов на защищаемую информацию;

II) функция, осуществляемая с целью непрерывного и оптимального управления механизмами комплексной защиты.

Первая функция включает в себя:

1. Создание и поддержание таких механизмов защиты, в которых появление дестабилизирующих факторов (ДФ), способных оказать отрицательное воздействие на защищаемую информацию, маловероятно;

2. Предупреждение проявлений дестабилизирующих факторов в случае возникновения благоприятных для них условий;

3. Своевременное обнаружение воздействия дестабилизирующих факторов на информацию, локализация этих факторов и быстрая их ликвидация.

Вторая функция, т.е. функция непрерывного и оптимального управления механизмами комплексной защиты.

Здесь управление определяется как элемент, функция организованных систем различной природы (люди, техника, ЭВМ и прочее), обеспечивающая сохранение определенной структуры, поддержание режимов деятельности, реализации их программ и целей.

Но главным направлением поиска путей создания комплексных систем защиты информации на предприятии является повышение системности подхода к самой проблеме организации и эксплуатации КСЗИ.

1.3. Назначение комплексной системы защиты информации

Главным условием создания комплексной системы является ее надежность. Но надежность может быть обеспечена лишь в том случае, если защита является комплексной и системной. Исходя из сказанного, можно дать такое определение:

Система защиты информации (СЗИ) это организованная совокупность органов и объектов (компонентов) защиты информации, использование методов и средств защиты, а также осуществление защитных мероприятий.

Но органы защиты информации с одной стороны являются составной частью системы, с другой стороны - они сами организуют систему, осуществляя защитные мероприятия.

Поскольку система определяется как совокупность взаимосвязанных элементов, то назначение системы защиты информации состоит в том, чтобы объединить все составляющие элементы защиты в единое целое, в котором каждый компонент, выполняя свою прямую функцию, одновременно обеспечивает выполнение функций другими компонентами и связан с ними логически и технологически.

При отсутствии отдельных компонентов системы или их несогласованности между собой неизбежны ошибки в технологии защиты информации.

Следовательно, защита должна быть системной, и это является основным условием защиты информации.

Для того чтобы обеспечить надежность защиты информации нужна не только системность защиты, но и ее комплексность.

Комплексность – это один из основополагающих принципов защиты информации.

Комплекс вообще – это совокупность предметов и явлений, составляющих одно целое.

Комплексность имеет три назначения:

Первое назначение состоит в объединении в одно целое локальных СЗИ, при этом они должны функционировать в единой «связке». В качестве локальных СЗИ могут быть рассмотрены, например, виды защиты информации: правовая, организационная, инженерно-техническая.

Второе назначение комплексности обусловлено назначением самой системы. Система должна объединить логически и технологически все составляющие защиты. Но она не рассматривает полноту этих составляющих, не учитывает всех факторов, которые оказывают или могут оказывать влияние на качество защиты.

Например, система включает в себя объекты защиты, а все ли они включены или нет – это уже вне пределов системы. Другой пример. Система предусматривает проведение защитных мероприятий. Но и здесь не рассмотрены вопросы полноты этих мероприятий, учета всех факторов, определяющих состав таких мероприятий. Между тем факторы, влияющие на защиту информации, корректируют не только состав защитных мероприятий, но и объекты, и методы и средства защиты информации.

Поэтому качество защиты информации, ее надежность зависят не только от видов, составляющих системы, но и от их полноты, которая обеспечивается при учете всех факторов и обстоятельств, влияющих на защиту. Именно полнота всех составляющих системы защиты, базирующаяся на анализе этих факторов и обстоятельств, является вторым назначением комплексности.

При этом должны учитываться все параметры уязвимости информации, потенциально возможные угрозы ее безопасности, охватываться все необходимые объекты защиты, использоваться все возможные виды, методы и средства защиты и необходимые для защиты кадровые ресурсы, осуществляться все вытекающие из целей и задач защитные мероприятия.

Третье назначение комплексности состоит в том, что система должна обеспечивать безопасность всей совокупной информации, подлежащей защите, и при любых обстоятельствах. Это означает, что должны защищаться все носители информации во всех компонентах ее сбора, хранения, передачи и использования, в любое время и при всех режимах функционирования системы обработки информации.

В то же время комплексность не исключает, а наоборот, предполагает дифференцированный подход к защите информации. Здесь дифференцированность зависит от состава ее носителей, видов тайны, к которым отнесена информация, степени ее конфиденциальности, средств хранения и обработки, форм и условий проявления ее уязвимости, каналов и методов несанкционированного доступа к информации.

Таким образом, коротко назначение комплексности защиты информации состоит:

1. в объединении локальных систем защиты;

2. в обеспечении полноты всех составляющих системы защиты;

3. в обеспечении всеохватности защиты информации.

Исходя из этого, можно сформулировать следующее определение КСЗИ:

«Комплексная система защиты информации – это система, полно и всесторонне охватывающая все предметы, процессы и факторы, которые обеспечивают безопасность всей защищаемой информации».

Следовательно, из вышесказанного следует, что только комплексная система может гарантировать достижение максимальной эффективности защиты информации, поскольку системность обеспечивает необходимые составляющие защиты и устанавливает между ними логическую и технологическую связь, а комплексность, требует полноты этих составляющих, всеохватности защиты, обеспечивает ее надежность.

1.4. Принципы построения комплексной системы защиты информации

В процессе развития научных и практических работ по защите информации наряду с конкретными разработками конкретных вопросов защиты формировались и развивались и общеметодологические принципы (общие положения) построения и функционирования КСЗИ. Соблюдение требований выполнения таких принципов в общем случае способствует повышению эффективности защиты информации на предприятии.

Ниже перечисленные принципы относятся к любому предприятию: государственному, коммерческому, смешанному и другим формам собственности, а также большим, средним, малым. Среди принципов выделяют:

1. принцип законности. Здесь меры обеспечения функционирования предприятия разрабатываются на основе и в рамках действующих правовых актов. Правовые

акты предприятия не должны противоречить государственным законам и подзаконным актам;

2. принцип превентивности, т.е. упреждения. Содержание этого принципа предполагает своевременное выявление тенденций и предпосылок, способствующих развитию угроз. На основе анализа этих угроз вырабатываются соответствующие профилактические меры по недопущению возникновения реальных угроз, т.е. разрабатываются упреждающие мероприятия;

3. принцип полноты состава защищаемой информации. Он заключается в том, что защите подлежит не только информация, содержащая государственную, коммерческую или служебную тайну, но даже часть служебной информации, утрата которой может нанести ущерб ее собственнику;

4. принцип обоснованности защиты информации. Выполнение этого принципа заключается в установлении целесообразности засекречивания и защиты той или другой информации с точки зрения экономических и иных последствий такой защиты. Это позволяет расходовать средства на защиту только той информации, утрата или утечка которой может нанести действительный ущерб ее владельцу;

5. принцип персональной ответственности за защиту информации заключается в том, что каждый сотрудник предприятия персонально отвечает за сохранность и неразглашение вверенной ему защищаемой информации, а за утрату или распространение такой информации несет уголовную, административную или иную ответственность;

6. принцип непрерывности, т.е. защита информации происходит на регулярной основе (постоянно);

7. принцип гибкости, т.е. это возможность варьирования и замены элементов системы без нарушения структуры и функционирования;

8. принцип концептуального единства. В комплексных системах защиты архитектура, технология, организация и обеспечение функционирования, как в целом, так и в отдельных ее компонентах должны рассматриваться в соответствии с общей концепцией защиты информации и теми требованиями, которые предъявляются для данной системы;

9. принцип регламентации предоставляемых прав, т.е. каждый сотрудник предприятия имеет доступ только к определенной информации, которая ему действительно необходима для выполнения своих функций в процессе работы, причем предоставленные права должны быть заранее определены и утверждены в установленном порядке, например, в договоре при приеме на работу;

10. принцип активности. Здесь меры противодействия угрозам осуществляются на основе взаимодействия и скоординированности усилий всех подразделений и служб предприятия, отдельных лиц, а также установления необходимых контактов с внешними организациями, способными оказать комплексной защите информации необходимое содействие в обеспечении безопасности предприятия.

11. принцип плановой основы деятельности предприятия. Здесь деятельность по обеспечению защиты информации должна строиться на основе комплексной программы обеспечения защиты информации на предприятии, разрабатываются подпрограммы обеспечения этой защиты по основным его видам (экономической, техногенной, научно-технической, экологической, технологической, информационной, психологической, физической, пожарной и другим видам), а также разрабатываются для их исполнения планы работы подразделений предприятия и отдельных сотрудников;

12. принцип системности. Этот принцип предполагает учет всех факторов, влияющих на организацию КСЗИ предприятия. При этом должны быть охвачены все этапы и режимы функционирования, задействованы все силы и средства.

Среди рассмотренных принципов едва ли можно выделить более или менее важные. А при построении КСЗИ важно использовать их в совокупности.

1.5. Цели системного подхода к защите информации

Для каждой системы должна быть сформулирована цель, к которой эта система стремится. Чем точнее и конкретнее указано назначение или перечислены функции системы, тем быстрее и правильнее можно выбрать лучший вариант ее построения. Например, цель, сформулированная в самом общем виде как обеспечение безопасности предприятия, заставит его рассматривать варианты создания глобальной системы защиты.

Если же цель уточнить, определив ее, например, как обеспечение безопасности информации, передаваемой по каналам связи внутри здания, то круг возможных технических решений существенного сузится. Следует иметь в виду, что, как правило, глобальная цель достигается через достижение множества менее общих локальных целей (подцелей). Построение такого «дерева целей» значительно облегчает, ускоряет и удешевляет процесс создания системы защиты информации.

Как правило, всегда рассматривается несколько вариантов построения системы, обеспечивающей заданные цели по защите информации. Чтобы оценить, какой из вариантов построения системы лучше, необходимо:

1. определить качество реализации заданных функций, ведущих к цели;

2. учитывать затраты ресурсов, необходимых для выполнения функционального назначения системы (ресурсы это не только деньги, техника, но и люди, и чем они подготовленнее, тем меньше затрачивается ресурсов. Например, инженер после института и сотрудник после школы);

3. иметь ясный и однозначный физический смысл;

4. быть связанным с основными характеристиками системы и допускать количественную оценку на всех этапах создания системы.

Таким образом, учитывая многообразие потенциальных угроз информации на предприятии, сложность его структуры, а также участие человека в технологическом процессе обработки информации цели защиты информации могут быть достигнуты только путем создания СЗИ на основе комплексного подхода.

А это одновременно подразумевает, что защита информации – есть непрерывный процесс, который заключается в контроле защищенности, выявлении узких мест в системе защиты, обосновании и реализации наиболее рациональных путей совершенствования и развития системы защиты.

Учитывая все вышесказанное можно сформулировать четыре пункта постулата системы защиты:

1. система защиты информации может быть обеспечена лишь при комплексном использовании всего арсенала имеющихся средств защиты, сочетающая в себе такие направления защиты, как правовая, организационная и инженерно-техническая;

2. никакая система защиты не обеспечит безопасности информации без надлежащей подготовки пользователей и соблюдения ими всех правил защиты;

3. никакую систему защиты нельзя считать абсолютно надежной, т.к. всегда может найтись злоумышленник, который найдет лазейку для доступа к информации (действия злоумышленника всегда носят комплексный характер, т.к. он любыми средствами стремится добыть важную информацию);

4. система защиты должна быть адаптируемой (приспособляющейся) к изменяющимся условиям.

1.6. Стратегии защиты информации

Осознание необходимости разработки стратегических подходов к защите формировалось по мере осознания важности, многоаспектности и трудности защиты и невозможности эффективного ее осуществления простым использованием некоторого набора средств защиты.

Под стратегией вообще понимается общая направленность в организации соответствующей деятельности, разрабатываемая с учётом объективных потребностей в данном виде деятельности, потенциально возможных условий ее осуществления и возможностей организации.

Стратегия включает:

1.план-заранее намеченные в деталях и контролируемые действия на определенный срок, преследующий определенные цели;

2. прием или тактический ход, представляющий собой кратковременную стратегию, имеющую ограниченные цели, могущую меняться, маневр с целью обыграть противника;

3. модель поведения – часто спонтанного, неосознанного, не имеющего конкретных целей;

4. позицию по отношению к другим;

5. перспективу.

Задача стратегии состоит в создании конкурентного преимущества, устранении негативного эффекта нестабильности окружающей среды, обеспечении доходности, уравновешении внешних требований и внутренних возможностей. Через ее призму рассматриваются все деловые ситуации, с которыми предприятие сталкивается в повседневной жизни.

Способность предприятия проводить самостоятельную стратегию во всех областях делает ее более гибкой, устойчивой, позволяет адаптироваться к требованиям времени и обстоятельствам.

Стратегия формируется под воздействием внутренней и внешней среды, постоянно развивается, ибо всегда возникает что-то новое, на что нужно реагировать.

Факторы, которые могут иметь для предприятия решающее значение в будущем, называются стратегическими. По мнению западных специалистов, они, влияя на стратегию любой организации, придают ей специфические свойства. К таким факторам относятся:

1) миссия, отражающая философию предприятия, его предназначения. При пересмотре миссии, происходящем в результате изменения общественных приоритетов;

2) конкурентные преимущества, которыми предприятие обладает в своей сфере деятельности по сравнению с соперниками или к которым стремится (считается, что эти преимущества оказывают на стратегию наибольшее влияние). Конкурентные преимущества любого типа обеспечивают более высокую эффективность использования ресурсов предприятия;

3) характер выпускаемой продукции, особенности ее сбыта, послепродажного обслуживания, рынки и их границы;

4) организационные факторы, среди которых выделяется внутренняя структура предприятия и его ожидаемые изменения, система управления, степень интеграции и дифференциации внутренних процессов;

5) располагаемые ресурсы (материальные, финансовые, информационные, кадровые пр.). Чем они больше, тем масштабнее могут быть инвестиции в будущие проекты. Сегодня для разработки и реализации стратегии огромное значение имеют, прежде всего, структурные, информационные и интеллектуальные ресурсы. Сравнивая значения параметров наличных и требующихся ресурсов, можно определить степень их соответствия стратегии;

6) потенциал развития предприятия, совершенствования деятельности, расширения масштабов, роста деловой активности, инноваций;

7) культура, философия, этические воззрения и компетентность управленцев, уровень их притязаний и предприимчивости, способность к лидерству, внутренний климат в коллективе.

На стратегический выбор влияют: риск, на который готово идти предприятие; опыт реализации действующих стратегий, позиции владельцев, наличие времени.

Рассмотрим особенности стратегических решений. По степени регламентированности они относятся к контурным (предоставляют широкую свободу исполнителям в тактическом отношении), а по степени обязательности следования главным установкам – директивным.

По функциональному назначению такие решения чаще всего бывают организованными или предписывающими способ осуществления в определенных ситуациях тех или иных действий. С точки зрения предопределенности, это решения незапрограммированные. Они принимаются в новых, неординарных обстоятельствах, когда требуемые шаги трудно заранее точно расписать. С точки зрения важности, стратегические решения кардинальны: касаются основных проблем и направлений деятельности предприятия, определяют основные пути развития ее в целом, отдельных подразделений или видов деятельности на длительную перспективу (не менее 5-10 лет). Они вытекают, прежде всего, из внешних, а не из внутренних условий, должны учитывать тенденции развития ситуации и интересы множества субъектов. Практическая необратимость стратегических решений обусловливает необходимость их тщательной и всесторонней подготовки. Стратегическим решениям присуща комплектность. Стратегия обычно представляет собой не одно, а совокупность взаимосвязанных решений, объединенных общей целью, согласованных между собой по срокам выполнения и ресурсам. Такие решения определяют приоритеты и направления развития предприятия, его потенциала, рынков, способы реакции на непредвиденные события. Практика сформировала следующие требования к стратегическим решениям:

1. Реальность, предполагающая ее соответствие ситуации, целям, техническому и экономическому потенциалу предприятия, опыту и навыкам работников и менеджеров, культуре, существующей системе управления;
2. Логичность, понятность, приемлемость для большинства членов предприятия, внутренняя целостность, непротиворечивость отдельных элементов, поддержка ими друг друга, порождающая синергетический эффект;
3. Своевременность (реализация решения должна успеть приостановить отрицательное развитие ситуации или позволить упустить выгоду);
4. Совместимость со средой, обеспечивающая возможность взаимодействия с ней (стратегия находится под влиянием изменений в окружении предприятия и сама может формировать эти изменения);
5. Направленность на формирование конкурентных преимуществ;
6. Сохранение свободы тактического маневра;
7. Устранение причин, а не следствий существующей проблемы;
8. Четкое распределение по уровням организации работы по подготовке и принятию решений, а также ответственности за них конкретных лиц;
9. Учет скрытых и явных, желательных и нежелательных последствий, которые могут возникнуть при реализации стратегии или отказе от нее для предприятия, его партнеров; от существующего законодательства, этической стороны дела, допустимого уровня риска и пр.

Разработка научно обоснованной системы стратегий предприятия как ключевого условия ее конкурентоспособности и долгосрочного успеха является одной из основных функций ее менеджеров, прежде всего высшего уровня. От них требуется:

- выделять, отслеживать и оценивать ключевые проблемы;

- адекватно и оперативно реагировать на изменения внутри и в окружении предприятия;

- выбирать оптимальные варианты действий с учетом интересов основных субъектов, причастных к ее деятельности;

- создавать благоприятный морально- психологический климат, поощрять предпринимательскую и творческую активность низовых руководителей и персонала.

Исходный момент формирования стратегии – постановка глобальных качественных целей и параметров деятельности, которые предприятие, должно достичь в будущем. В результате увязки целей и ресурсов формируются альтернативные варианты развития, оценка которых позволяет выбрать лучшую стратегию. Единых рецептов выработки стратегий не существует. В одном случае целесообразно стратегическое планирование (программирование); в другом - ситуационный подход.

Исходя их большого разнообразия условий, при которых может возникнуть необходимость защиты информации, общая целевая установка на решение стратегических вопросов заключалась в разработке множества стратегий защиты, и выбор такого минимального их набора, который позволял бы рационально обеспечивать требуемую защиту в любых условиях.

В соответствии с наиболее реальными вариантами сочетаний значений рассмотренных факторов выделено три стратегии защиты:

1. оборонительная - защита от уже известных угроз, осуществляемая автономно, т.е. без оказания существенного влияния на информационно - управляющую систему;

2. наступательная - защита от всего множества потенциально возможных угроз, при осуществлении которой в архитектуре информационно – управляющей системы и технологии ее функционирования должны учитываться условия, продиктованные потребностями защиты;

3. упреждающая – создание информационной среды, в которой угрозы информации не имели бы условия для проявления.

1.7. Разработка политики безопасности предприятия

Прежде чем предлагать какие-либо решения по организации системы защиты информации, предстоит разработать политику безопасности. Политика безопасности - набор законов, правил и практических рекомендаций, на основе которых строится управление, защита и распределение критичной информации в системе. Она должна охватывать все особенности процесса обработки информации, определяя поведение системы в различных ситуациях. Политика безопасности реализуется при помощи организационных мер и программно- технических средств, определяющих архитектуру системы защиты, а также при помощи средств управления механизмами защиты. Для конкретной организации политика безопасности должна быть индивидуальной, зависимой от конкретной технологии обработки информации, используемых программных и технических средств, расположения предприятия и т.д.

Организационно политика безопасности описывает порядок представления и использования прав доступа пользователей, а также требования отчетности пользователей за свои действия в вопросах безопасности. Система защиты информации окажется эффективной, если она будет надежно поддерживать выполнение правил политики безопасности, и наоборот. Этапы построения организационной политики безопасности- это внесение в описание объекта структуры ценностей и проведение анализа риска, и определение правил для любого процесса пользования данным видом доступа к ресурсам объекта автоматизации, имеющим данную степень ценности. Прежде всего необходимо составить детализированное описание общей цели построения системы безопасности объекта, выражаемое через совокупность факторов или критериев, уточняющих цель. Совокупность факторов служит базисом для определения требований к системе ( выбор альтернатив). Факторы безопасности, в свою очередь, могут разделяться на правовые, технологические, технические и организационные.

Разработка политики безопасности предприятия, как формальной, так и неформальной, - безусловно, нетривиальная задача. Эксперт должен не только владеть соответствующими стандартами и хорошо разбираться в комплексных подходах к обеспечению защиты информации предприятия, но и, например, проявлять детективные способности при выявлении особенностей построения информационной системы и существующих мер по организации защиты информации. Аналогичная проблема возникает в дальнейшем при необходимости анализа соответствия рекомендаций политики безопасности реальному положению вещей: необходимо по некоторому критерию отобрать своего рода « контрольные точки» и сравнить их практическую реализацию с эталоном, задаваемым политикой безопасности.

В общем случае можно выделить следующие процессы, связанные с разработкой и реализацией политики безопасности.

1. Комплекс мероприятий, связанных с проведением анализа рисков. К этой группе можно отнести:

- учет материальных или информационных ценностей;

- моделирование угроз информации системы;

- собственно анализ рисков с использованием того или иного подхода - например, стоимостной анализ рисков.

2. Мероприятия по оценке соответствия мер по обеспечению защиты информации системы некоторому эталонному образцу: стандарту, профилю защиты и т.п.

3. Действия, связанные с разработкой разного рода документов, в частности отчетов, диаграмм, профилей защиты, заданной по безопасности.

4. Действия, вязанные со сбором, хранением и обработкой статистики по событиям безопасности для предприятия.

Основу политики безопасности составляет способ управления доступом, определяющий порядок доступа субъектов системы к объектам системы. Название этого способа, как правило, определяет название политики безопасности.

Для изучения свойств способа управления доступом создается его формальное описание - математическая модель. При этом модель должна отражать состояние всей системы, ее переходы из одного состояния в другое, а также учитывать, какие состояния и переходы можно считать безопасными в смысле данного управления. Без этого говорить о каких–либо свойствах системы, и тем более гарантировать их, по меньшей мере, некорректно. Отметим лишь, что для разработки моделей применяется широкий спектр математических методов (моделирования, теории информации, графов и др.).

В настоящее время лучше всего изучены два вида политики безопасности: избирательная и полномочная, основанные, соответственно, на избирательном и полномочном способах управления доступом.

Кроме того, существует набор требований, усиливающих действие этих политик и предназначений для управления информационными потоками в системе. Следует отметить, что средства защиты, предназначенные для реализации какого – либо из названных способов управления доступом, только предоставляют возможности надежного управления доступом или информационными потоками.

Основой избирательной политики безопасности является избирательное управление доступом, которое подразумевает, что

- все субъекты и объекты системы должны быть идентифицированы;

- права доступа субъекта к объекту системы определяются на основании некоторого правила (свойство избирательности).

Для описания свойств избирательного управления доступом применяется модель системы на основе матрицы доступа, иногда ее называют матрицей контроля доступа. Такая модель получила название матричной. Матрица доступа представляет собой прямоугольную матрицу, в которой объекту системы соответствует строка, а субъекту столбец. На пересечении столбца и строки матрицы указывается тип разрешенного доступа субъекта к объекту. Обычно выделяют такие типы доступа субъекта к объекту, как «доступ на чтение», «доступ на запись», «доступ на исполнение» и др.

Множество объектов и типов доступа к ним субъекта может изменяться в соответствии с некоторыми правилами, существующими в данной системе. Определение и изменения этих правил также является задачей матрицы доступа.

Решение на доступ субъекта к объекту принимается в соответствии с типом доступа, указанным в соответствующей ячейке матрицы доступа. Обычно избирательное управление доступом реализует принцип « что не разрешено, то запрещено», предполагающий явное разрешение доступа субъекта к объекту. Матрица доступа – наиболее простой подход к моделированию систем доступа.

Избирательная политика безопасности наиболее широко применяется в коммерческом секторе, так как ее реализация на практике отвечает требованиям коммерческих организаций по разграничению доступа и подотчетности, а также имеет приемлемую стоимость и небольшие накладные расходы.

Основу полномочной политики безопасности составляет полномочное управление доступом, которое подразумевает, что

- все субъекты и объекты системы должны быть однозначно идентифицированы;

- каждому объекту системы присвоена метка критичности, определяющая ценность содержащей в нем информации;

- каждому субъекту системы присвоен уровень прозрачности, определяющий максимальное значение метки критичности объектов, к которым субъект имеет доступ.

Когда совокупность меток имеет одинаковые значения, говорят, что они принадлежат к одному уровню безопасности. Организация меток имеет иерархическую структуру, и, таким образом, в системе можно реализовать иерархически восходящий поток информации (например, от рядовых исполнителей к руководству). Чем важнее объект или субъект, тем выше его метка критичности. Поэтому наиболее защищенными оказываются объекты с наиболее высокими значениями метки критичности.

Каждый субъект кроме уровня прозрачности имеет текущее значение уровня безопасности, которое может изменяться от некоторого минимального значения до значения его уровня прозрачности.

Основное назначение полномочной политики безопасности - регулирование доступа субъектов системы к объектам с различным уровнем критичности и предотвращение утечки информации с верхних уровней должностной иерархии в нижние, а также блокирование возможного проникновения с нижних уровней в верхние. При этом она функционирует на фоне избирательной политики, придавая ее требованиям иерархически упорядоченный характер (в соответствии с уровнями безопасности).

Выбор политики безопасности – это прерогатива руководителя системы защиты информации. Но какой бы она ни была, важно, чтобы внедренная системы защиты информации отвечала ряду требований, которые будут рассмотрены в следующим разделе.

1.8. Основные требования, предъявляемые к комплексной системе защиты информации

Поскольку комплексная система защиты информации предназначена обеспечивать безопасность всей защищаемой информации, к ней должны предъявляться следующие требования:

- она должна быть привязана к целям и задачам защиты информации на конкретном предприятии;

- она должна быть целостной : содержать все ее составляющие, иметь структурные связи между компонентами, обеспечивающие ее согласованное функционирование;

- она должна быть всеохватывающей, учитывающей все объекты и составляющие их компоненты защиты, все обстоятельства и факторы, влияющие на безопасность информации, и все виды, методы и средства защиты;

- она должна быть достаточной для решения поставленных задач и надежной во всех элементах защиты, т.е. базироваться на принципе гарантированного результата;

- она должна быть « вмонтированной» в технологические схемы сбора, хранения, обработки, передачи и использования информации;

- она должна быть компонентно, логически, технологически и экономически обоснованной;

- она должна быть реализуемой, обеспеченной всеми необходимыми ресурсами;

- она должна быть простой и удобной в эксплуатации и управлении, а также в использовании законными потребителями;

- она должна быть непрерывной;

- она должна быть достаточно гибкой, способной к целенаправленному приспособлению при изменении компонентов ее составных частей, технологии обработки информации, условий защиты.

Таким образом, обеспечение безопасности информации есть непрерывный процесс, который заключается в контроле защищенности, выявлении узких мест в системе защиты, обосновании и реализации наиболее рациональных путей совершенствования и развития системы защиты:

- безопасность информации в системе обработки данных может быть обеспечена лишь при комплексном использовании всего арсенала имеющихся средств защиты;

- никакая система защиты не обеспечит безопасности информации без надлежащей подготовки пользователей и соблюдения ими всех правил защиты;

- никакую систему защиты нельзя считать абсолютно надежной, т.к. всегда может найтись злоумышленник, который найдет лазейку для доступа к информации.