Файл: Виды и состав угроз информационной безопасности (Концепции информационной безопасности).pdf

Поскольку безопасность является феноменом слабой связи, программа обеспечения безопасности должна быть многомерной. Независимо от целей политики безопасности, нельзя полностью игнорировать любое из трех основных требований: конфиденциальность, целостность и доступность, которые поддерживают друг друга. Например, для защиты паролей необходима конфиденциальность. Пароли, в свою очередь, способствуют целостности системы, контролируя доступ и обеспечивая основу для индивидуальной отчетности. Соблюдение конфиденциальности должно быть невосприимчивым к несанкционированному вмешательству. И в случае, если что-то пойдет не так, должно быть возможно, чтобы административный и обслуживающий персонал мог вмешаться, чтобы исправить ситуацию - проблема доступности. 

Система представляет собой взаимозависимый набор компонентов, который можно рассматривать как единое целое. Компьютерная операционная система, приложение, такое как компьютеризированная система оплаты труда, локальная сеть инженерных рабочих станций или общенациональная сеть для электронного перевода средств, каждая может рассматриваться как система, и любая из них может зависеть от других. Все это связано с физическими элементами и людьми, а также компьютерами и программным обеспечением. Физическая защита включает в себя экологический контроль, такой как охранники, замки, двери и ограждения, а также защита от пожаров, наводнений и других природных опасностей. 

Хотя программа обеспечения безопасности должна разрабатываться с целостной точки зрения, сама программа не обязательно должна быть монолитной. Лучше всего действовать по принципу «разделяй и властвуй», отражая классический принцип управления разделением обязанностей. Система, состоящая из взаимно недоверчивых частей, должна быть сильнее простой доверенной системы. В крупном масштабе линии связи определяют естественные границы недоверия. В рамках одной системы дополнительную силу можно получить за счет изоляции функций аутентификации и аудита записи в физически раздельном, более строго контролируемом оборудовании. Такая изоляция функции универсальна в серьезной криптографии. 

Только технология не может обеспечить безопасность. В частности, программа обеспечения информационной безопасности мало помогает, если ее пользователи не покупают ее. Программа должна быть реалистичной и поддерживать осознание и приверженность всех участников. Кроме того, действия руководства должны сигнализировать о том, что вопросы безопасности. Когда вознаграждение распространяется только на видимые результаты (например, соблюдение сроков или экономия затрат), внимание, безусловно, будет отходить от безопасности - до тех пор, пока не произойдет стихийное бедствие.