ВУЗ: Не указан
Категория: Не указан
Дисциплина: Не указана
Добавлен: 05.12.2023
Просмотров: 189
Скачиваний: 4
ВНИМАНИЕ! Если данный файл нарушает Ваши авторские права, то обязательно сообщите нам.
Модель угроз (безопасности информации) –
физическое, математиче- ское, описательное представление свойств или характеристик угроз безопасно- сти информации
.
Аудиторская проверка (аудит) ИБ в организации – периодический не- зависимый и документированный процесс получения свидетельств аудита и объективной оценки с целью определить степень выполнения в организации установленных требований по обеспечению ИБ.
Аудит ИБ в организации может осуществляться независимой организаци- ей (третьей стороной) по договору с проверяемой организацией, а также под- разделением или должностным лицом организации (внутренний аудит).
Мониторинг безопасности информации – постоянное наблюдение за процессом обеспечения безопасности информации в ИС с целью установить его соответствие требованиям безопасности информации.
10
2.
Виды и свойства защищаемой информации
К защищаемой информации относят:
– секретные сведения, содержащие государственную тайну;
– конфиденциальную информацию, содержащую коммерческую тайну;
– персональные данные о личной жизни или деятельности граждан.
Таким образом, под защищаемой информацией понимают сведения, ис- пользование и распространение которых ограничены их собственниками, т.е. субъектами информационных отношений.
Под субъектами информационных отношений понимают:
– государство в целом или его отдельные органы и организации;
– общественные или коммерческие организации и предприятия (юриди- ческие лица);
– отдельные лица (физические лица).
В процессе работы субъекты производственно-хозяйственных отношений вступают друг с другом в информационные отношения, связанные с получени- ем, хранением, обработкой, распределением и использованием информации и рассчитывают при этом на соблюдение своих законных прав и интересов.
Различные субъекты по отношению к определенной информации могут выступать в качестве: источников, пользователей, собственников (владельцев) информации; физических и юридических лиц; владельцев систем сбора и обра- ботки информации, а также участников процессов обработки и передачи ин- формации и т.д.
Для удовлетворения законных прав и интересов субъектов информацион- ных отношений необходимо постоянно поддерживать следующие основные свойства информации: доступность, целостность и конфиденциальность.
Доступность информации – возможность за разумное время получить тре- буемую информационную услугу при наличии соответствующих полномочий;
Целостность информации – неизменность вида и качества информации в условиях случайных или преднамеренных искажений или разрушающих воз- действий;
Конфиденциальность информации – известность информации только прошедшим проверку (авторизованным) субъектам.
В случае нарушения этих свойств, субъектам информационных отноше- ний может быть нанесен значительный материальный или моральный ущерб.
11
Защищаемую информацию можно классифицировать по трем основным признакам: 1) принадлежности; 2) степени секретности; 3) содержанию.
Признак принадлежности определяет собственников (владельцев) защи- щаемой информации, которыми могу быть:
– государство и его структуры. В этом случае к защищаемой информации относятся сведения, представляющие собой государственную или служебную тайну (в их числе могут быть и сведения, являющиеся коммерческой тайной);
– предприятия, акционерные общества, товарищества и другие образова- ния, обладающие сведениями, составляющими коммерческую тайну;
– общественные организации (партии, фонды, партнерства)
, в которых также может существовать государственная или коммерческая тайна;
– граждане государства, заинтересованные в сохранении тайны перепис- ки; телефонных и телеграфных сообщений; врачебной и семейной тайн и др.
Признак степени секретности подразделяет защищаемую информацию по уровням ее важности и секретности для собственника.
По уровню важности информация может быть:
– жизненно важная незаменимая информация, наличие которой необхо- димо для функционирования организации;
– важная – информация, которая может быть заменена или восстановлена, но процесс восстановления очень труден и связан с большими затратами;
– полезная – информация, которую трудно восстановить, однако органи- зация может эффективно существовать и без нее;
– несущественная – информация, которая больше не нужна организации.
На практике отнесение информации к одной из категорий важности осложняется субъективизмом в ее оценке. Важность информации, как и ее цен- ность, обычно изменяется со временем и зависит от степени отношения к ней различных групп потребителей и потенциальных нарушителей.
Ценность информации может рассматриваться с 2-х позиций: ценность для получателя по отношению к будущей прибыльности (потребительская цен- ность) и ценность с точки зрения понесенных затрат. Информация, в отличие от товара, при передаче остается у источника (продавца).
По уровню секретности информация может быть: особой важности, со- вершенно секретной, секретной, для служебного пользования, несекретной.
Признак содержания позволяет подразделять защищаемую информацию на политическую, экономическую, военную, разведывательную (контрразведы- вательную), научно-техническую, технологическую, деловую и коммерческую.
12
3.
Факторы, воздействующие на защищаемую информацию
Под факторами, воздействующими на защищаемую информацию,подра- зумеваютявления, действия или процессы, результатом которых могут быть утечка, искажение, уничтожение защищаемой информации или блокирование доступа к ней.
Различают объективные и субъективные факторы и в каждом классе вы- деляют внешние и внутренние факторы. Подробный перечень факторов можно найти в ГОСТ Р 51275-2006 (взамен ГОСТ Р 51275-99) [6], который распро- страняется на требования по организации ЗИ при создании и эксплуатации объ- ектов информатизации, используемых в различных областях деятельности
(обороны, экономики, науки и других областях).
Значение некоторых используемых терминов:
побочное электромагнитное излучение – излучение, возникающее при работе технических средств обработки информации;
паразитное электромагнитное излучение – излучение, вызванное пара- зитной генерацией в электрических цепях технических средств обработки ин- формации;
«
маскарад» – маскировка под зарегистрированного пользователя.
В приведенной ниже таблице перечислены наиболее существенные фак- торы, воздействующие на защищаемую информацию.
Выявление и учет факторов, воздействующих или могущих воздейство- вать на защищаемую информацию в конкретных условиях, составляют основу для планирования и проведения эффективных мероприятий, направленных на
ЗИ на ОИ.
Полнота и достоверность выявленных факторов достигаются путем рас- смотрения полного множества факторов, воздействующих на все элементы ОИ
(технические и программные средства обработки информации, средства обес- печения ОИ и т.д.) и на всех этапах обработки информации
Выявление факторов, воздействующих на защищаемую информацию, должно осуществляться с учетом следующих требований:
- достаточности уровней классификации факторов, воздействующих на защищаемую информацию, позволяющих формировать их полное множество;
- гибкости классификации, позволяющей расширять множества класси- фицируемых факторов, группировок и признаков, а также вносить необходи- мые изменения без нарушения структуры классификации
13
Факторы, воздействующие на защищаемую информацию
О
бъ
ект
ив
ные
Внутренние Передача сигналов по проводным и оптико-волоконным линиям связи
Излучения акустических, речевых и неречевых сигналов
Излучения в радио- и оптическом диапазонах
Побочное и паразитное электромагнитные излучения
Различные наводки
Дефекты, сбои, отказы, аварии ТС, систем и ПО
Внешние
Явления техногенного характера.
Электромагнитные и радиационные облучения
Сбои, отказы и аварии систем обеспечения ОИ
Природные явления, стихийные бедствия
Термические (пожары и т.д.)
Климатические (наводнения и т.д.)
Механические (землетрясения и т.д.)
Электромагнитные (грозовые разряды и т.д.)
Биологические (микробы, грызуны и т.д.)
Химические факторы (химически агрессивные среды и т.д.)
С
уб
ъе
кт
ив
ные
Внутренние Разглашение информации, опубликование в СМИ
Передача, утрата, хищение, копирование носителей ин- формации
Несанкционированные доступ, изменение, копирование
Несанкционированное использование ПО («маскарад», использование дефектов, применение вирусов)
Неправильная организация ЗИ (ошибки в задании требо- ваний, в организации контроля, несоблюдение требова- ний)
Ошибки обслуживающего персонала (при эксплуатации
ТС/ПС/средств и систем ЗИ)
Внешние
Доступ к защищаемой информации с применением техни- ческих средств разведки (радио- и оптико-электронной, фото, визуальной, гидроакустической, компьютерной) и
съема информации
Несанкционированное подключение к ТС и системам
Использование ПО ТС ОИ
(«маскарад», использование дефектов, применение вирусов)
Несанкционированный физический доступ на ОИ, хище- ние носителя
Блокирование доступа к защищаемой информации
Преступные действия и диверсии в отношении ОИ
14
4.
Сущность и задачи комплексной системы защиты информации
Современные предприятия представляют собой сложные системы. Их от- личительными особенностями являются: сложная организационная структура; многофункциональность; высокая техническая оснащённость; большие объемы поступающей информации, требующие современных методов передачи, хране- ния и обработки; обширные внешние связи; работа в условиях самых разнооб- разных угроз информационной безопасности.
Обеспечение безопасности функционирования таких предприятий требу- ет привлечения всего арсенала имеющихся средств защиты во всех структур- ных подразделениях производственной системы и на всех этапах технологиче- ского цикла обработки информации. Наибольший эффект может быть достиг- нут только в том случае, когда все используемые средства, методы и меры объ- единяются в единый целостный механизм – комплексную систему защиты ин- формации. При этом функционирование системы должно контролироваться, обновляться и дополняться в зависимости от изменения внешних и внутренних условий.
Комплексная система защиты информации (КСЗИ) – это совокупность организационно-правовых и инженерно-технических мероприятий, направлен- ных на обеспечение защиты информации от разглашения, утечки и несанкцио- нированного доступа.
Организационно-правовые мероприятия включают в себя создание кон- цепции информационной безопасности, а также:
– составление должностных инструкций для пользователей и обслужива- ющего персонала;
– создание правил администрирования компонент информационной си- стемы, учета, хранения, размножения, уничтожения носителей информации, идентификации пользователей;
– разработку планов действий в случае выявления попыток несанкцио- нированного доступа к информационным ресурсам системы, выхода из строя средств защиты, возникновения чрезвычайной ситуации;
–
обучение правилам информационной безопасности пользователей.
В случае необходимости, в рамках проведения организационно-правовых мероприятий может быть создана служба информационной безопасности, ре- жимно-пропускной отдел, проведена реорганизация системы делопроизводства и хранения документов.
15
Инженерно-технические мероприятия – это совокупность специальных технических средств и их использование для защиты информации. Выбор ин- женерно-технических мероприятий зависит от уровня защищенности информа- ции, который необходимо обеспечить.
Инженерно-технические мероприятия, проводимые для защиты инфор- мационной инфраструктуры организации, могут включать использование за- щищенных подключений, межсетевых экранов, разграничение потоков инфор- мации между сегментами сети, использование средств шифрования и защиты от несанкционированного доступа.
В случае необходимости, в рамках проведения инженерно-технических мероприятий, может осуществляться установка в помещениях систем охранно- пожарной сигнализации, систем контроля и управления доступом.
Отдельные помещения могут быть оборудованы средствами защиты от утечки акустической (речевой) информации.
Комплексный (системный) подход – это принцип рассмотрения проекта, при котором анализируется система в целом, а не ее отдельные части. Его зада- ча – оптимизация всей системы.
Комплексный подход к построению любой системы включает в себя:
– постановку задачи (проблемы): определение объекта исследования, по- становку целей, задание критериев для изучения объекта и управления им;
– очерчивание границ изучаемой системы и ее первичную структуриза- цию. На этом этапе вся совокупность объектов и процессов, имеющих отноше- ние к поставленной цели, разбивается на два класса – собственно изучаемая си- стема и внешняя среда как источник угроз безопасности;
– составление математической модели изучаемой системы: параметриза- ция системы, задание области определения параметров, установление зависи- мостей между введенными параметрами;
– исследование построенной модели: прогноз развития изучаемой систе- мы на основе ее модели, анализ результатов моделирования, оценку экономи- ческой целесообразности;
– выбор оптимального управления для приведения системы в желаемое
(целевое) состояние.
Задачи КСЗИ
Основными задачами, которые должны решаться комплексной системой защиты информации, являются:
16
– управление доступом пользователей к ресурсам АС с целью ее защиты от неправомерного случайного или умышленного вмешательства в работу си- стемы и несанкционированного (с превышением предоставленных полномо- чий) доступа к ее информационным, программным и аппаратным ресурсам со стороны посторонних лиц, а также лиц из числа персонала организации и поль- зователей;
– защита данных, передаваемых по каналам связи;
– регистрация, сбор, хранение, обработка и выдача сведений обо всех со- бытиях, происходящих в системе и имеющих отношение к ее безопасности;
– контроль работы пользователей системы со стороны администрации и оперативное оповещение администратора безопасности о попытках несанкцио- нированного доступа к ресурсам системы;
– контроль и поддержание целостности критичных ресурсов системы за- щиты и среды исполнения прикладных программ;
– обеспечение замкнутой среды проверенного ПО с целью защиты от бес- контрольного внедрения в систему потенциально опасных программ и средств преодоления системы защиты, а также от внедрения и распространения компь- ютерных вирусов;
– управление средствами системы защиты.
5.
Принципы организации КСЗИ
Построение современных систем защиты информации и их функциони- рование должны осуществляться в соответствии со следующими принципами
[15, 21, 26]:
–
законность: предполагает осуществление защитных мероприятий и разработку системы безопасности информации АС организации в соответствии с действующим законодательством;
–
системность: системный подход к построению системы защиты ин- формации предполагает учет всех взаимосвязанных, взаимодействующих и из- меняющихся во времени элементов, условий и факторов, существенных для понимания и решения проблемы обеспечения безопасности информации;
–
комплексность: комплексное использование методов и средств защиты компьютерных систем предполагает согласованное применение разнородных средств при построении целостной системы защиты, перекрывающей все суще- ственные (значимые) каналы реализации угроз и не содержащей слабых мест на
17
физическое, математиче- ское, описательное представление свойств или характеристик угроз безопасно- сти информации
.
Аудиторская проверка (аудит) ИБ в организации – периодический не- зависимый и документированный процесс получения свидетельств аудита и объективной оценки с целью определить степень выполнения в организации установленных требований по обеспечению ИБ.
Аудит ИБ в организации может осуществляться независимой организаци- ей (третьей стороной) по договору с проверяемой организацией, а также под- разделением или должностным лицом организации (внутренний аудит).
Мониторинг безопасности информации – постоянное наблюдение за процессом обеспечения безопасности информации в ИС с целью установить его соответствие требованиям безопасности информации.
10
2.
Виды и свойства защищаемой информации
К защищаемой информации относят:
– секретные сведения, содержащие государственную тайну;
– конфиденциальную информацию, содержащую коммерческую тайну;
– персональные данные о личной жизни или деятельности граждан.
Таким образом, под защищаемой информацией понимают сведения, ис- пользование и распространение которых ограничены их собственниками, т.е. субъектами информационных отношений.
Под субъектами информационных отношений понимают:
– государство в целом или его отдельные органы и организации;
– общественные или коммерческие организации и предприятия (юриди- ческие лица);
– отдельные лица (физические лица).
В процессе работы субъекты производственно-хозяйственных отношений вступают друг с другом в информационные отношения, связанные с получени- ем, хранением, обработкой, распределением и использованием информации и рассчитывают при этом на соблюдение своих законных прав и интересов.
Различные субъекты по отношению к определенной информации могут выступать в качестве: источников, пользователей, собственников (владельцев) информации; физических и юридических лиц; владельцев систем сбора и обра- ботки информации, а также участников процессов обработки и передачи ин- формации и т.д.
Для удовлетворения законных прав и интересов субъектов информацион- ных отношений необходимо постоянно поддерживать следующие основные свойства информации: доступность, целостность и конфиденциальность.
Доступность информации – возможность за разумное время получить тре- буемую информационную услугу при наличии соответствующих полномочий;
Целостность информации – неизменность вида и качества информации в условиях случайных или преднамеренных искажений или разрушающих воз- действий;
Конфиденциальность информации – известность информации только прошедшим проверку (авторизованным) субъектам.
В случае нарушения этих свойств, субъектам информационных отноше- ний может быть нанесен значительный материальный или моральный ущерб.
11
Защищаемую информацию можно классифицировать по трем основным признакам: 1) принадлежности; 2) степени секретности; 3) содержанию.
Признак принадлежности определяет собственников (владельцев) защи- щаемой информации, которыми могу быть:
– государство и его структуры. В этом случае к защищаемой информации относятся сведения, представляющие собой государственную или служебную тайну (в их числе могут быть и сведения, являющиеся коммерческой тайной);
– предприятия, акционерные общества, товарищества и другие образова- ния, обладающие сведениями, составляющими коммерческую тайну;
– общественные организации (партии, фонды, партнерства)
, в которых также может существовать государственная или коммерческая тайна;
– граждане государства, заинтересованные в сохранении тайны перепис- ки; телефонных и телеграфных сообщений; врачебной и семейной тайн и др.
Признак степени секретности подразделяет защищаемую информацию по уровням ее важности и секретности для собственника.
По уровню важности информация может быть:
– жизненно важная незаменимая информация, наличие которой необхо- димо для функционирования организации;
– важная – информация, которая может быть заменена или восстановлена, но процесс восстановления очень труден и связан с большими затратами;
– полезная – информация, которую трудно восстановить, однако органи- зация может эффективно существовать и без нее;
– несущественная – информация, которая больше не нужна организации.
На практике отнесение информации к одной из категорий важности осложняется субъективизмом в ее оценке. Важность информации, как и ее цен- ность, обычно изменяется со временем и зависит от степени отношения к ней различных групп потребителей и потенциальных нарушителей.
Ценность информации может рассматриваться с 2-х позиций: ценность для получателя по отношению к будущей прибыльности (потребительская цен- ность) и ценность с точки зрения понесенных затрат. Информация, в отличие от товара, при передаче остается у источника (продавца).
По уровню секретности информация может быть: особой важности, со- вершенно секретной, секретной, для служебного пользования, несекретной.
Признак содержания позволяет подразделять защищаемую информацию на политическую, экономическую, военную, разведывательную (контрразведы- вательную), научно-техническую, технологическую, деловую и коммерческую.
12
3.
Факторы, воздействующие на защищаемую информацию
Под факторами, воздействующими на защищаемую информацию,подра- зумеваютявления, действия или процессы, результатом которых могут быть утечка, искажение, уничтожение защищаемой информации или блокирование доступа к ней.
Различают объективные и субъективные факторы и в каждом классе вы- деляют внешние и внутренние факторы. Подробный перечень факторов можно найти в ГОСТ Р 51275-2006 (взамен ГОСТ Р 51275-99) [6], который распро- страняется на требования по организации ЗИ при создании и эксплуатации объ- ектов информатизации, используемых в различных областях деятельности
(обороны, экономики, науки и других областях).
Значение некоторых используемых терминов:
побочное электромагнитное излучение – излучение, возникающее при работе технических средств обработки информации;
паразитное электромагнитное излучение – излучение, вызванное пара- зитной генерацией в электрических цепях технических средств обработки ин- формации;
«
маскарад» – маскировка под зарегистрированного пользователя.
В приведенной ниже таблице перечислены наиболее существенные фак- торы, воздействующие на защищаемую информацию.
Выявление и учет факторов, воздействующих или могущих воздейство- вать на защищаемую информацию в конкретных условиях, составляют основу для планирования и проведения эффективных мероприятий, направленных на
ЗИ на ОИ.
Полнота и достоверность выявленных факторов достигаются путем рас- смотрения полного множества факторов, воздействующих на все элементы ОИ
(технические и программные средства обработки информации, средства обес- печения ОИ и т.д.) и на всех этапах обработки информации
Выявление факторов, воздействующих на защищаемую информацию, должно осуществляться с учетом следующих требований:
- достаточности уровней классификации факторов, воздействующих на защищаемую информацию, позволяющих формировать их полное множество;
- гибкости классификации, позволяющей расширять множества класси- фицируемых факторов, группировок и признаков, а также вносить необходи- мые изменения без нарушения структуры классификации
13
Факторы, воздействующие на защищаемую информацию
О
бъ
ект
ив
ные
Внутренние Передача сигналов по проводным и оптико-волоконным линиям связи
Излучения акустических, речевых и неречевых сигналов
Излучения в радио- и оптическом диапазонах
Побочное и паразитное электромагнитные излучения
Различные наводки
Дефекты, сбои, отказы, аварии ТС, систем и ПО
Внешние
Явления техногенного характера.
Электромагнитные и радиационные облучения
Сбои, отказы и аварии систем обеспечения ОИ
Природные явления, стихийные бедствия
Термические (пожары и т.д.)
Климатические (наводнения и т.д.)
Механические (землетрясения и т.д.)
Электромагнитные (грозовые разряды и т.д.)
Биологические (микробы, грызуны и т.д.)
Химические факторы (химически агрессивные среды и т.д.)
С
уб
ъе
кт
ив
ные
Внутренние Разглашение информации, опубликование в СМИ
Передача, утрата, хищение, копирование носителей ин- формации
Несанкционированные доступ, изменение, копирование
Несанкционированное использование ПО («маскарад», использование дефектов, применение вирусов)
Неправильная организация ЗИ (ошибки в задании требо- ваний, в организации контроля, несоблюдение требова- ний)
Ошибки обслуживающего персонала (при эксплуатации
ТС/ПС/средств и систем ЗИ)
Внешние
Доступ к защищаемой информации с применением техни- ческих средств разведки (радио- и оптико-электронной, фото, визуальной, гидроакустической, компьютерной) и
съема информации
Несанкционированное подключение к ТС и системам
Использование ПО ТС ОИ
(«маскарад», использование дефектов, применение вирусов)
Несанкционированный физический доступ на ОИ, хище- ние носителя
Блокирование доступа к защищаемой информации
Преступные действия и диверсии в отношении ОИ
14
4.
Сущность и задачи комплексной системы защиты информации
Современные предприятия представляют собой сложные системы. Их от- личительными особенностями являются: сложная организационная структура; многофункциональность; высокая техническая оснащённость; большие объемы поступающей информации, требующие современных методов передачи, хране- ния и обработки; обширные внешние связи; работа в условиях самых разнооб- разных угроз информационной безопасности.
Обеспечение безопасности функционирования таких предприятий требу- ет привлечения всего арсенала имеющихся средств защиты во всех структур- ных подразделениях производственной системы и на всех этапах технологиче- ского цикла обработки информации. Наибольший эффект может быть достиг- нут только в том случае, когда все используемые средства, методы и меры объ- единяются в единый целостный механизм – комплексную систему защиты ин- формации. При этом функционирование системы должно контролироваться, обновляться и дополняться в зависимости от изменения внешних и внутренних условий.
Комплексная система защиты информации (КСЗИ) – это совокупность организационно-правовых и инженерно-технических мероприятий, направлен- ных на обеспечение защиты информации от разглашения, утечки и несанкцио- нированного доступа.
Организационно-правовые мероприятия включают в себя создание кон- цепции информационной безопасности, а также:
– составление должностных инструкций для пользователей и обслужива- ющего персонала;
– создание правил администрирования компонент информационной си- стемы, учета, хранения, размножения, уничтожения носителей информации, идентификации пользователей;
– разработку планов действий в случае выявления попыток несанкцио- нированного доступа к информационным ресурсам системы, выхода из строя средств защиты, возникновения чрезвычайной ситуации;
–
обучение правилам информационной безопасности пользователей.
В случае необходимости, в рамках проведения организационно-правовых мероприятий может быть создана служба информационной безопасности, ре- жимно-пропускной отдел, проведена реорганизация системы делопроизводства и хранения документов.
15
Инженерно-технические мероприятия – это совокупность специальных технических средств и их использование для защиты информации. Выбор ин- женерно-технических мероприятий зависит от уровня защищенности информа- ции, который необходимо обеспечить.
Инженерно-технические мероприятия, проводимые для защиты инфор- мационной инфраструктуры организации, могут включать использование за- щищенных подключений, межсетевых экранов, разграничение потоков инфор- мации между сегментами сети, использование средств шифрования и защиты от несанкционированного доступа.
В случае необходимости, в рамках проведения инженерно-технических мероприятий, может осуществляться установка в помещениях систем охранно- пожарной сигнализации, систем контроля и управления доступом.
Отдельные помещения могут быть оборудованы средствами защиты от утечки акустической (речевой) информации.
Комплексный (системный) подход – это принцип рассмотрения проекта, при котором анализируется система в целом, а не ее отдельные части. Его зада- ча – оптимизация всей системы.
Комплексный подход к построению любой системы включает в себя:
– постановку задачи (проблемы): определение объекта исследования, по- становку целей, задание критериев для изучения объекта и управления им;
– очерчивание границ изучаемой системы и ее первичную структуриза- цию. На этом этапе вся совокупность объектов и процессов, имеющих отноше- ние к поставленной цели, разбивается на два класса – собственно изучаемая си- стема и внешняя среда как источник угроз безопасности;
– составление математической модели изучаемой системы: параметриза- ция системы, задание области определения параметров, установление зависи- мостей между введенными параметрами;
– исследование построенной модели: прогноз развития изучаемой систе- мы на основе ее модели, анализ результатов моделирования, оценку экономи- ческой целесообразности;
– выбор оптимального управления для приведения системы в желаемое
(целевое) состояние.
Задачи КСЗИ
Основными задачами, которые должны решаться комплексной системой защиты информации, являются:
16
– управление доступом пользователей к ресурсам АС с целью ее защиты от неправомерного случайного или умышленного вмешательства в работу си- стемы и несанкционированного (с превышением предоставленных полномо- чий) доступа к ее информационным, программным и аппаратным ресурсам со стороны посторонних лиц, а также лиц из числа персонала организации и поль- зователей;
– защита данных, передаваемых по каналам связи;
– регистрация, сбор, хранение, обработка и выдача сведений обо всех со- бытиях, происходящих в системе и имеющих отношение к ее безопасности;
– контроль работы пользователей системы со стороны администрации и оперативное оповещение администратора безопасности о попытках несанкцио- нированного доступа к ресурсам системы;
– контроль и поддержание целостности критичных ресурсов системы за- щиты и среды исполнения прикладных программ;
– обеспечение замкнутой среды проверенного ПО с целью защиты от бес- контрольного внедрения в систему потенциально опасных программ и средств преодоления системы защиты, а также от внедрения и распространения компь- ютерных вирусов;
– управление средствами системы защиты.
5.
Принципы организации КСЗИ
Построение современных систем защиты информации и их функциони- рование должны осуществляться в соответствии со следующими принципами
[15, 21, 26]:
–
законность: предполагает осуществление защитных мероприятий и разработку системы безопасности информации АС организации в соответствии с действующим законодательством;
–
системность: системный подход к построению системы защиты ин- формации предполагает учет всех взаимосвязанных, взаимодействующих и из- меняющихся во времени элементов, условий и факторов, существенных для понимания и решения проблемы обеспечения безопасности информации;
–
комплексность: комплексное использование методов и средств защиты компьютерных систем предполагает согласованное применение разнородных средств при построении целостной системы защиты, перекрывающей все суще- ственные (значимые) каналы реализации угроз и не содержащей слабых мест на
17
стыках отдельных ее компонентов, защита должна строиться эшелонировано.
Принцип эшелонированной (многоуровневой) защиты предполагает создание ряда последовательных уровней защиты, что обеспечивает ограничение в рам- ках каждого уровня (эшелона) последствий вероятных отказов ТС и ошибок персонала;
–
централизованность управления: связана с необходимостью проведения единой политики в области безопасности информационных ресурсов;
–
унифицированность: использование стандартных компонент при созда- нии блочной архитектуры КСЗИ;
–
непрерывность защиты: непрерывный, целенаправленный процесс, предполагающий принятие соответствующих мер на всех этапах жизненного цикла АС;
–
своевременность: предполагает упреждающий характер мер для обес- печения безопасности информации;
–
преемственность и совершенствование: предполагают постоянное со- вершенствование мер и средств защиты информации по мере совершенствова- ния информационных технологий и увеличения числа пользователей;
–
разумная достаточность (экономическая целесообразность): предпо- лагает соответствие уровня затрат на обеспечение безопасности информации ценности информационных ресурсов и величине возможного ущерба;
–
персональная ответственность: предполагает возложение ответствен- ности за обеспечение безопасности информации и системы ее обработки на каждого сотрудника в пределах его полномочий;
–
минимизации полномочий: означает предоставление пользователям ми- нимальных прав доступа в соответствии с производственной необходимостью;
–
гибкость системы защиты: для обеспечения возможности варьирова- ния уровня защищенности при изменении внешних условий и требований с те- чением времени средства защиты должны обладать определенной гибкостью;
–
открытость алгоритмов и механизмов защиты: суть данного принци- па состоит в том, что защита не должна обеспечиваться только за счет секрет- ности структурной организации и алгоритмов функционирования ее подсистем.
Знание алгоритмов работы системы защиты не должно давать возможности ее преодоления (даже авторам). Однако это не означает, что информация о кон- кретной системе защиты должна быть общедоступна;
18
Принцип эшелонированной (многоуровневой) защиты предполагает создание ряда последовательных уровней защиты, что обеспечивает ограничение в рам- ках каждого уровня (эшелона) последствий вероятных отказов ТС и ошибок персонала;
–
централизованность управления: связана с необходимостью проведения единой политики в области безопасности информационных ресурсов;
–
унифицированность: использование стандартных компонент при созда- нии блочной архитектуры КСЗИ;
–
непрерывность защиты: непрерывный, целенаправленный процесс, предполагающий принятие соответствующих мер на всех этапах жизненного цикла АС;
–
своевременность: предполагает упреждающий характер мер для обес- печения безопасности информации;
–
преемственность и совершенствование: предполагают постоянное со- вершенствование мер и средств защиты информации по мере совершенствова- ния информационных технологий и увеличения числа пользователей;
–
разумная достаточность (экономическая целесообразность): предпо- лагает соответствие уровня затрат на обеспечение безопасности информации ценности информационных ресурсов и величине возможного ущерба;
–
персональная ответственность: предполагает возложение ответствен- ности за обеспечение безопасности информации и системы ее обработки на каждого сотрудника в пределах его полномочий;
–
минимизации полномочий: означает предоставление пользователям ми- нимальных прав доступа в соответствии с производственной необходимостью;
–
гибкость системы защиты: для обеспечения возможности варьирова- ния уровня защищенности при изменении внешних условий и требований с те- чением времени средства защиты должны обладать определенной гибкостью;
–
открытость алгоритмов и механизмов защиты: суть данного принци- па состоит в том, что защита не должна обеспечиваться только за счет секрет- ности структурной организации и алгоритмов функционирования ее подсистем.
Знание алгоритмов работы системы защиты не должно давать возможности ее преодоления (даже авторам). Однако это не означает, что информация о кон- кретной системе защиты должна быть общедоступна;
18