Что такое комплексность информации

Принципы организации КСЗИ.

Принципы организации КСЗИ на предприятии:

Принцип комплексности предполагает, что система защиты предприятия должна включать совокупность сил и средств, принимаемых ими мер, проводимых мероприятий и действий по обеспечению безопасности персонала, материальных и финансовых средств от возможных угроз всеми доступными законными средствами, методами и мероприятиями. Принцип комплексности указывает на то, что только совокупность объектов защиты, выделенных сил и средств, и принимаемых ими мер, проводимых мероприятий и действий позволяет получить оценки главных вопросов защиты: что защищается, кто защищает и как защищается?

Принцип своевременности означает, что меры защиты не должны «запаздывать».

Принцип разумной достаточности. Создать абсолютно непреодолимую систему защиты принципиально невозможно. При достаточном количестве времени и средств можно преодолеть любую защиту. Поэтому имеет смысл вести речь только о некотором приемлемом уровне безопасности. Высокоэффективная система защиты стоит дорого, использует при работе существенную часть мощности и ресурсов компьютерной системы и может создавать ощутимые дополнительные неудобства пользователям. Важно правильно выбрать тот достаточный уровень защиты, при котором затраты, риск и размер возможного ущерба были бы приемлемыми (задача анализа риска).

Принцип простоты применения. Механизмы защиты должны быть интуитивно понятны и просты в использовании.

D uis non lectus sit amet est imperdiet cursus elementum vitae eros. Cras quis odio in risus euismod suscipit. Fusce viverra ligula vel justo bibendum semper. Nulla facilisi. Donec interdum, enim in dignissim lacinia, lectus nisl viverra lorem, ac pulvinar nunc ante.

Elsewhere

Pellentesque consectetur lectus quis enim mollis ut convallis urna malesuada. Sed tincidunt interdum sapien vel gravida. Nulla a tellus lectus.

Источник

Комплексность — залог безопасности информации

Комплексность — залог безопасности информации

Комплексность — залог безопасности информации

С.В. Бубликов, заместитель директора ЗАО «ИНФОПРО» по защите информации

Несмотря на растущую открытость современного общества, защите информации по-прежнему уделяется самое серьезное внимание. Всегда существовали и будут существовать секреты, которые и государства, и крупные компании, а также мелкие фирмы и отдельные граждане хранят как зеницу ока. Сохранность этой информации во многом определяет благополучие и успех ее обладателя, а ее утечка может привести к полному краху фирмы.

В настоящее время сложилось несколько направлений в обеспечении безопасности информации. Вот основные:

Степень надежности защиты информации зависит от эффективности каждого из перечисленных компонентов. Достаточно ослабления одного из них — и утечка, или утеря, информации не исключена.

Допустим, прекрасно налажена физическая защита объекта («муха не пролетит») и работа режимного органа (кадры проверены, каждая бумажка учтена), но если слабо поставлена техническая защита информации, то нет никаких гарантий ее сохранности.

Поднять уровень безопасности объекта позволит внедрение комплексной системы, обеспечивающей реализацию функций всех трех направлений. Целесообразно формировать такую систему одновременно с построением вычислительной сети объекта, при этом система безопасности становится одним из ее сегментов. Это позволяет применять единую платформу и минимизировать расходы на создание структурированной кабельной сети.

Указанный сегмент, как правило, должен состоять из: системы охраны периметра; автоматизированной проходной; системы внутренних пропусков персонала в служебные помещения; системы учета допусков персонала, учета конфиденциального документооборота; системы разграничения доступа пользователей к автоматизированным рабочим местам вычислительной сети и информационным ресурсам; системы сигнализации о попытках нарушения правил доступа к информации, в помещения и т.д.

Подобная система имеет единый центр, куда стекается вся информация.

Конечно, автоматизированные комплексные системы безопасности недешевы, однако имеют высокую надежность и (что немаловажно) «неподкупность», к тому же ведут к сокращению персонала, занятого в этом секторе. Ведь утечка информации нередко обходится значительно дороже.

Источник

Системность и комплексность защиты информации на предприятии.

Бытует мнение, что проблемы защиты информации относятся исключительно к информации, обрабатываемой компьютером. Это, по-видимому, связано с тем, что компьютер, и в частности персональный компьютер, является «ядром», центром хранения информации. Объект информатизации, по отношению к которому направлены действия по защите информации, представляется более широким понятием по сравнению с персональным компьютером. Что же представляет собой объект информатизации и каково его место на предприятии?

Работы по защите информации у нас в стране ведутся достаточно интенсивно и уже продолжительное время. Накоплен существенный опыт. Сейчас уже никто не думает, что достаточно провести на предприятии ряд организационных мероприятий, включить в состав автоматизированных систем некоторые технические и программные средства — и этого будет достаточно для обеспечения безопасности.

Главное направление поиска новых путей защиты информации заключается не просто в создании соответствующих механизмов, а представляет собой реализацию регулярного процесса, осуществляемого на всех этапах жизненного цикла систем обработки информации при комплексном использовании всех имеющихся средств защиты. При этом все средства, методы и мероприятия, используемые для ЗИ, наиболее рациональным образом объединяются в единый целостный механизм — причем не только от злоумышленников, но и от некомпетентных или недостаточно подготовленных пользователей и персонала, а также нештатных ситуаций технического характера.

Основной проблемой реализации систем защиты является:

— с одной стороны, обеспечение надежной защиты, находящейся в системе информации: исключение случайного и преднамеренного получения информации посторонними лицами, разграничение доступа к устройствам и ресурсам системы всех пользователей, администрации и о обслуживающего персонала;

— с другой стороны, системы защиты не должны создавать заметных неудобств пользователям в ходе их работы с ресурсами системы.

Проблема обеспечения желаемого уровня защиты информации весьма сложная, требующая для своего решения не просто осуществления некоторой совокупности научных, научно-технических и организационных мероприятий и применения специальных средств и методов, а создания целостной системы организационно-технологических мероприятий и применения комплекса специальных средств и методов по ЗИ.

Источник

Комплексная защита информации

Защита данных
на базе системы

Контроль исполнения документов

Мониторинг ИТ инфраструктуры

Защита бизнеса от мошенничества

Разработка требований к защите информации

Управление системами фильтрации электронной почты и веб-трафика

АУТСОРСИНГ DLP ДЛЯ ЗАЩИТЫ БИЗНЕСА

И нформация – важнейший ресурс любой организации, который находится под угрозой утечки. Благодаря комплексной системе защиты информации (КСЗИ) удается защитить ее от разглашения и несанкционированного доступа. Система представляет собой комплекс организационных и инженерно-правовых мероприятий.

Цели и задачи комплексной системы защиты информации

Основные цели средств защиты информации – обеспечение стабильного функционирования компаний и предупреждение угроз безопасности информации.

К задачам КСЗИ относятся:

Установите «систему видеонаблюдения» за событиями в IT-инфраструктуре! «СёрчИнформ SIEM» проводит мониторинг внутренней сети компании в реальном времени и сообщает об инцидентах. Узнать подробнее.

Внешние и внутренние угрозы информационной безопасности (ИБ)

Внешние угрозы (кибератаки) – реальная опасность, которая затрагивает интеллектуальную и физическую собственность организаций. Распространенная форма киберпреступности – применение специальных программ. Они способны нарушить целостность секретных документов.

Перечень угроз, которые провоцирует вредоносное программное обеспечение (ПО), широк. К ним относятся:

Как показывает практика, большую часть инцидентов провоцируют внутренние угрозы. Хищение интеллектуальной собственности, утечки коммерческой тайны и ущерб информационной системе могут нанести действия сотрудников. Такие действия могут быть совершены из корыстных соображений (злонамеренные), по неосторожности (случайные) или из-за некомпетентности человека.

По данным исследования «СёрчИнформ» за 2018 год, рядовые сотрудники виноваты в 74% инцидентов. Посмотреть все цифры.

Злонамеренные действия чаще всего совершают:

Но большинство инцидентов происходит по неосторожности и в результате технической безграмотности персонала.

Утечка информации может произойти по причине:

Особенности организационных и программно-аппаратных методик

Для обеспечения информационной безопасности существуют организационные и нормативно-правовые методики. Организационные методики включают в себя регламентацию деятельности предприятия в целом и деятельности сотрудников, связанной с обработкой данных, в частности. Это позволяет предотвратить незаконный доступ к засекреченным сведениям.

К организационным методикам относятся:

Во время принятия организационных мер и разработки соответствующей документации компании руководствуются гражданским кодексом РФ, федеральными законами и отраслевыми документами. Нормативно-правовые документы регламентируют обязанности сотрудников по обеспечению безопасности, список возможных угроз ИБ, состав информационной системы.

Если у организации нет ресурсов для создания полноценной службы ИБ, можно передать задачи по защите компании от внутренних угроз на аутсорсинг. Как это работает?

Наряду с организационными методиками прибегают к технической защите информации. Она представляет собой комплекс технических средств, выбор которых напрямую зависит от типа и количества объектов защиты. Инженерно-техническая защита включает применение защищенных подключений, средств шифрования. Дополнительно часто устанавливают системы охранно-пожарной сигнализации.

Основными методами защиты информации являются:

1. Антивирусная защита. Это специализированное программное обеспечение для обнаружения и уничтожения вирусов. Среди самых распространенных антивирусных программ выделяются Kaspersky и Dr.Web. Зачастую одна организация параллельно использует несколько антивирусов.

2. Шифрование (криптографические средства). Это процесс преобразования открытых данных в закрытые посредством секретного элемента – ключа шифрования. Шифрование гарантирует стабильную защиту информации.

3. Защита информации внутри сети (использование Virtual Private Network). Использование приватной сети для передачи данных включает несколько условий: туннелирование, шифрование и аутентификация. Туннелирование гарантирует передачу данных между узлами пользователей таким образом, что со стороны работающего программного обеспечения они будут выглядеть подключенными к одной сети. Пакет данных проходит сквозь различные узлы публичной сети. Для их защиты применяют электронную цифровую подпись. Это блок информационных ресурсов, который передается наряду с пакетом данных и формируется согласно криптографическому алгоритму. Он является исключительным для содержимого пакета и ключа электронной цифровой подписи отправителя. Блок информационных ресурсов дает возможность выполнить распознавание данных получателем, который знает ключ электронной цифровой подписи отправителя (аутентификация). Это гарантирует защищенность пакета данных.

4. Proxy servers. Обращения из локальной сети в глобальную сеть осуществляются посредством специальных серверов. Однако этот способ не дает 100% защиты против серьезных угроз (в частности, вирусов).

5. Межсетевые экраны (брандмауэры). Брандмауэры обеспечивают разделение сетей и предотвращают нарушения установленных правил безопасности пользователями. Контроль за передачей сведений происходит за счет фильтрации трафика;
формирование контролируемых зон и установка активных систем зашумления.

АУТСОРСИНГ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

Полнофункциональное ПО без ограничений по пользователям и функциональности.

Источник

Понятие комплексной системы защиты информации

Работы по защите информации у нас в стране ведутся достаточно интенсивно и уже продолжительное время. Накоплен существенный опыт. Сейчас уже никто не думает, что достаточно провести на предприятии ряд организационных мероприятий, включить в состав автоматизированных систем некоторые технические и программные средства – и этого будет достаточно для обеспечения безопасности.

Главное направление поиска новых путей защиты информации заключается не просто в создании соответствующих механизмов, а представляет собой реализацию регулярного процесса, осуществляемого на всех этапах жизненного цикла систем обработки информации при комплексном использовании всех имеющихся средств защиты. При этом все средства, методы и мероприятия, используемые для ЗИ, наиболее рациональным образом объединяются в единый целостный механизм – причём не только от злоумышленников, но и от некомпетентных или недостаточно подготовленных пользователей и персонала, а также нештатных ситуаций технического характера.

Основной проблемой реализации систем защиты является:

─ с одной стороны, обеспечение надёжной защиты, находящейся в системе информации, т.е. исключение случайного и преднамеренного получения информации посторонними лицами, разграничение доступа к устройствам и ресурсам системы всех пользователей, администрации и обслуживающего персонала;

─ с другой стороны, системы защиты не должны создавать заметных неудобств пользователям в ходе их работы с ресурсами системы.

Проблема обеспечения желаемого уровня защиты информации весьма сложная, требующая для своего решения не просто осуществления некоторой совокупности научных, научно-технических и организационных мероприятий и применения специальных средств и методов, а создания целостной системы организационно-технологических мероприятий и применения комплекса специальных средств и методов по ЗИ.

На основе теоретических исследований и практических работ в области ЗИ сформулирован системно-концептуальный подход к защите информации.

Под системностью как основной частью системно-концептуального подхода понимается:

а) системность целевая, т.е. защищённость информации рассматривается как основная часть общего понятия качества информации;

б) системность пространственная, предлагающая взаимоувязанное решение всех вопросов защиты на всех компонентах предприятия;

в) системность временная, означающая непрерывность работ по ЗИ, осуществляемых в соответствии планам;

г) системность организационная, означающая единство организации всех работ по ЗИ и управления ими.

Концептуальность подхода предполагает разработку единой концепции как полной совокупности научно обоснованных взглядов, положений и решений, необходимых и достаточных для оптимальной организации и обеспечения надёжности защиты информации, а также целенаправленной организации всех работ по ЗИ.

Системный подход к построению любой системы включает в себя: прежде всего, изучение объекта внедряемой системы; оценку угроз безопасности объекта; анализ средств, которыми будем оперировать при построении системы; оценку экономической целесообразности; изучение самой системы, её свойств, принципов работы и возможность увеличения её эффективности; соотношение всех внутренних и внешних факторов; возможность дополнительных изменений в процессе построения системы и полную организацию всего процесса от начала до конца.

Системный подход – это принцип рассмотрения проекта, при котором анализируется система в целом, а не её отдельные части. Его задачей является оптимизация всей системы в совокупности, а не улучшение эффективности отдельных частей. Это объясняется тем, что, как показывает практика, улучшение одних параметров часто приводит к ухудшению других, поэтому необходимо стараться обеспечить баланс противоречий требований и характеристик.

1.2. Сущность комплексной системы защиты информации

Объектами профессиональной деятельности специалиста по защите информации являются методы, средства и мероприятия по обеспечению комплексной системы защиты информации (КСЗИ) на предприятии. А функциями КСЗИ будут функции защиты, то есть совокупность однородных функциональных отношений и мероприятий, регулярно осуществляемых на предприятии с целью создания, поддержания и обеспечения условий, необходимых для защиты информации.

Современное предприятие представляет собой сложную систему, в рамках которой осуществляется защита информации.

Основные особенности такого сложного современного предприятия таковы:

Кроме того, нахождение информации по местам хранения и обработки, сюда же входят помещения, где разрабатываются программы, обострило ситуацию с ее защитой. Только один пример. Появились в огромных количествах персональные компьютеры и на их основе построены сети ЭВМ (локальные, глобальные, национальные, транснациональные), которые используют различные каналы связи, в том числе спутниковые.

Все это требует постоянного совершенствования, создания и разработки

совокупности методологических, организационных и технических элементов комплексной защиты, взаимообусловленных и взаимоувязанных. Также надо учитывать, что на современном предприятии одновременно присутствуют люди, техника, ЭВМ, т.е. интегрально, комплексная система защиты информации может быть представлена совокупностью трех групп систем:

1) люди – это биосоциальные системы;

2) техника – включает в себя технические системы и помещения, в которых они расположены;

3) ЭВМ, т.е. программное обеспечение, которое является интеллектуальным посредником между человеком и техникой (интеллектуальные системы).

Совокупность этих трех групп образует социотехническую систему.

Но максимально эффективной защита информации будет лишь в том случае, когда будут созданы механизмы защиты, и в процессе функционирования комплексной системы будет осуществляться непрерывное управление этими механизмами. Чтобы это было, в КСЗИ должно быть предусмотрено два вида функций защиты, которые являются основополагающими:

I) функция, основной целью которой является создание механизмов защиты, сводящая до минимума возможность воздействия дестабилизирующих факторов на защищаемую информацию;

II) функция, осуществляемая с целью непрерывного и оптимального управления механизмами комплексной защиты.

Первая функция включает в себя:

1. Создание и поддержание таких механизмов защиты, в которых появление дестабилизирующих факторов (ДФ), способных оказать отрицательное воздействие на защищаемую информацию, маловероятно;

2. Предупреждение проявлений дестабилизирующих факторов в случае возникновения благоприятных для них условий;

3. Своевременное обнаружение воздействия дестабилизирующих факторов на информацию, локализация этих факторов и быстрая их ликвидация.

Вторая функция, т.е. функция непрерывного и оптимального управления механизмами комплексной защиты.

Здесь управление определяется как элемент, функция организованных систем различной природы (люди, техника, ЭВМ и прочее), обеспечивающая сохранение определенной структуры, поддержание режимов деятельности, реализации их программ и целей.

Но главным направлением поиска путей создания комплексных систем защиты информации на предприятии является повышение системности подхода к самой проблеме организации и эксплуатации КСЗИ.

1.3. Назначение комплексной системы защиты информации

Главным условием создания комплексной системы является ее надежность. Но надежность может быть обеспечена лишь в том случае, если защита является комплексной и системной. Исходя из сказанного, можно дать такое определение:

Система защиты информации (СЗИ) это организованная совокупность органов и объектов (компонентов) защиты информации, использование методов и средств защиты, а также осуществление защитных мероприятий.

Поскольку система определяется как совокупность взаимосвязанных элементов, то назначение системы защиты информации состоит в том, чтобы объединить все составляющие элементы защиты в единое целое, в котором каждый компонент, выполняя свою прямую функцию, одновременно обеспечивает выполнение функций другими компонентами и связан с ними логически и технологически.

При отсутствии отдельных компонентов системы или их несогласованности между собой неизбежны ошибки в технологии защиты информации.

Следовательно, защита должна быть системной, и это является основным условием защиты информации.

Для того чтобы обеспечить надежность защиты информации нужна не только системность защиты, но и ее комплексность.

Комплексность – это один из основополагающих принципов защиты информации.

Комплекс вообще – это совокупность предметов и явлений, составляющих одно целое.

Комплексность имеет три назначения:

Первое назначение состоит в объединении в одно целое локальных СЗИ, при этом они должны функционировать в единой «связке». В качестве локальных СЗИ могут быть рассмотрены, например, виды защиты информации: правовая, организационная, инженерно-техническая.

Второе назначение комплексности обусловлено назначением самой системы. Система должна объединить логически и технологически все составляющие защиты. Но она не рассматривает полноту этих составляющих, не учитывает всех факторов, которые оказывают или могут оказывать влияние на качество защиты.

Например, система включает в себя объекты защиты, а все ли они включены или нет – это уже вне пределов системы. Другой пример. Система предусматривает проведение защитных мероприятий. Но и здесь не рассмотрены вопросы полноты этих мероприятий, учета всех факторов, определяющих состав таких мероприятий. Между тем факторы, влияющие на защиту информации, корректируют не только состав защитных мероприятий, но и объекты, и методы и средства защиты информации.

Поэтому качество защиты информации, ее надежность зависят не только от видов, составляющих системы, но и от их полноты, которая обеспечивается при учете всех факторов и обстоятельств, влияющих на защиту. Именно полнота всех составляющих системы защиты, базирующаяся на анализе этих факторов и обстоятельств, является вторым назначением комплексности.

При этом должны учитываться все параметры уязвимости информации, потенциально возможные угрозы ее безопасности, охватываться все необходимые объекты защиты, использоваться все возможные виды, методы и средства защиты и необходимые для защиты кадровые ресурсы, осуществляться все вытекающие из целей и задач защитные мероприятия.

Третье назначение комплексности состоит в том, что система должна обеспечивать безопасность всей совокупной информации, подлежащей защите, и при любых обстоятельствах. Это означает, что должны защищаться все носители информации во всех компонентах ее сбора, хранения, передачи и использования, в любое время и при всех режимах функционирования системы обработки информации.

В то же время комплексность не исключает, а наоборот, предполагает дифференцированный подход к защите информации. Здесь дифференцированность зависит от состава ее носителей, видов тайны, к которым отнесена информация, степени ее конфиденциальности, средств хранения и обработки, форм и условий проявления ее уязвимости, каналов и методов несанкционированного доступа к информации.

Таким образом, коротко назначение комплексности защиты информации состоит:

1. в объединении локальных систем защиты;

2. в обеспечении полноты всех составляющих системы защиты;

3. в обеспечении всеохватности защиты информации.

Исходя из этого, можно сформулировать следующее определение КСЗИ:

«Комплексная система защиты информации – это система, полно и всесторонне охватывающая все предметы, процессы и факторы, которые обеспечивают безопасность всей защищаемой информации».

Следовательно, из вышесказанного следует, что только комплексная система может гарантировать достижение максимальной эффективности защиты информации, поскольку системность обеспечивает необходимые составляющие защиты и устанавливает между ними логическую и технологическую связь, а комплексность, требует полноты этих составляющих, всеохватности защиты, обеспечивает ее надежность.

1.4. Принципы построения комплексной системы защиты информации

В процессе развития научных и практических работ по защите информации наряду с конкретными разработками конкретных вопросов защиты формировались и развивались и общеметодологические принципы (общие положения) построения и функционирования КСЗИ. Соблюдение требований выполнения таких принципов в общем случае способствует повышению эффективности защиты информации на предприятии.

Ниже перечисленные принципы относятся к любому предприятию: государственному, коммерческому, смешанному и другим формам собственности, а также большим, средним, малым. Среди принципов выделяют:

1. принцип законности. Здесь меры обеспечения функционирования предприятия разрабатываются на основе и в рамках действующих правовых актов. Правовые

акты предприятия не должны противоречить государственным законам и подзаконным актам;

2. принцип превентивности, т.е. упреждения. Содержание этого принципа предполагает своевременное выявление тенденций и предпосылок, способствующих развитию угроз. На основе анализа этих угроз вырабатываются соответствующие профилактические меры по недопущению возникновения реальных угроз, т.е. разрабатываются упреждающие мероприятия;

3. принцип полноты состава защищаемой информации. Он заключается в том, что защите подлежит не только информация, содержащая государственную, коммерческую или служебную тайну, но даже часть служебной информации, утрата которой может нанести ущерб ее собственнику;

4. принцип обоснованности защиты информации. Выполнение этого принципа заключается в установлении целесообразности засекречивания и защиты той или другой информации с точки зрения экономических и иных последствий такой защиты. Это позволяет расходовать средства на защиту только той информации, утрата или утечка которой может нанести действительный ущерб ее владельцу;

5. принцип персональной ответственности за защиту информации заключается в том, что каждый сотрудник предприятия персонально отвечает за сохранность и неразглашение вверенной ему защищаемой информации, а за утрату или распространение такой информации несет уголовную, административную или иную ответственность;

6. принцип непрерывности, т.е. защита информации происходит на регулярной основе (постоянно);

7. принцип гибкости, т.е. это возможность варьирования и замены элементов системы без нарушения структуры и функционирования;

8. принцип концептуального единства. В комплексных системах защиты архитектура, технология, организация и обеспечение функционирования, как в целом, так и в отдельных ее компонентах должны рассматриваться в соответствии с общей концепцией защиты информации и теми требованиями, которые предъявляются для данной системы;

9. принцип регламентации предоставляемых прав, т.е. каждый сотрудник предприятия имеет доступ только к определенной информации, которая ему действительно необходима для выполнения своих функций в процессе работы, причем предоставленные права должны быть заранее определены и утверждены в установленном порядке, например, в договоре при приеме на работу;

10. принцип активности. Здесь меры противодействия угрозам осуществляются на основе взаимодействия и скоординированности усилий всех подразделений и служб предприятия, отдельных лиц, а также установления необходимых контактов с внешними организациями, способными оказать комплексной защите информации необходимое содействие в обеспечении безопасности предприятия.

11. принцип плановой основы деятельности предприятия. Здесь деятельность по обеспечению защиты информации должна строиться на основе комплексной программы обеспечения защиты информации на предприятии, разрабатываются подпрограммы обеспечения этой защиты по основным его видам (экономической, техногенной, научно-технической, экологической, технологической, информационной, психологической, физической, пожарной и другим видам), а также разрабатываются для их исполнения планы работы подразделений предприятия и отдельных сотрудников;

12. принцип системности. Этот принцип предполагает учет всех факторов, влияющих на организацию КСЗИ предприятия. При этом должны быть охвачены все этапы и режимы функционирования, задействованы все силы и средства.

Среди рассмотренных принципов едва ли можно выделить более или менее важные. А при построении КСЗИ важно использовать их в совокупности.

1.5. Цели системного подхода к защите информации

Для каждой системы должна быть сформулирована цель, к которой эта система стремится. Чем точнее и конкретнее указано назначение или перечислены функции системы, тем быстрее и правильнее можно выбрать лучший вариант ее построения. Например, цель, сформулированная в самом общем виде как обеспечение безопасности предприятия, заставит его рассматривать варианты создания глобальной системы защиты.

Если же цель уточнить, определив ее, например, как обеспечение безопасности информации, передаваемой по каналам связи внутри здания, то круг возможных технических решений существенного сузится. Следует иметь в виду, что, как правило, глобальная цель достигается через достижение множества менее общих локальных целей (подцелей). Построение такого «дерева целей» значительно облегчает, ускоряет и удешевляет процесс создания системы защиты информации.

Как правило, всегда рассматривается несколько вариантов построения системы, обеспечивающей заданные цели по защите информации. Чтобы оценить, какой из вариантов построения системы лучше, необходимо:

1. определить качество реализации заданных функций, ведущих к цели;

2. учитывать затраты ресурсов, необходимых для выполнения функционального назначения системы (ресурсы это не только деньги, техника, но и люди, и чем они подготовленнее, тем меньше затрачивается ресурсов. Например, инженер после института и сотрудник после школы);

3. иметь ясный и однозначный физический смысл;

4. быть связанным с основными характеристиками системы и допускать количественную оценку на всех этапах создания системы.

Таким образом, учитывая многообразие потенциальных угроз информации на предприятии, сложность его структуры, а также участие человека в технологическом процессе обработки информации цели защиты информации могут быть достигнуты только путем создания СЗИ на основе комплексного подхода.

А это одновременно подразумевает, что защита информации – есть непрерывный процесс, который заключается в контроле защищенности, выявлении узких мест в системе защиты, обосновании и реализации наиболее рациональных путей совершенствования и развития системы защиты.

Учитывая все вышесказанное можно сформулировать четыре пункта постулата системы защиты:

1. система защиты информации может быть обеспечена лишь при комплексном использовании всего арсенала имеющихся средств защиты, сочетающая в себе такие направления защиты, как правовая, организационная и инженерно-техническая;

2. никакая система защиты не обеспечит безопасности информации без надлежащей подготовки пользователей и соблюдения ими всех правил защиты;

3. никакую систему защиты нельзя считать абсолютно надежной, т.к. всегда может найтись злоумышленник, который найдет лазейку для доступа к информации (действия злоумышленника всегда носят комплексный характер, т.к. он любыми средствами стремится добыть важную информацию);

4. система защиты должна быть адаптируемой (приспособляющейся) к изменяющимся условиям.

1.6. Стратегии защиты информации

Осознание необходимости разработки стратегических подходов к защите формировалось по мере осознания важности, многоаспектности и трудности защиты и невозможности эффективного ее осуществления простым использованием некоторого набора средств защиты.

Под стратегией вообще понимается общая направленность в организации соответствующей деятельности, разрабатываемая с учётом объективных потребностей в данном виде деятельности, потенциально возможных условий ее осуществления и возможностей организации.

1.план-заранее намеченные в деталях и контролируемые действия на определенный срок, преследующий определенные цели;

2. прием или тактический ход, представляющий собой кратковременную стратегию, имеющую ограниченные цели, могущую меняться, маневр с целью обыграть противника;

3. модель поведения – часто спонтанного, неосознанного, не имеющего конкретных целей;

4. позицию по отношению к другим;

Задача стратегии состоит в создании конкурентного преимущества, устранении негативного эффекта нестабильности окружающей среды, обеспечении доходности, уравновешении внешних требований и внутренних возможностей. Через ее призму рассматриваются все деловые ситуации, с которыми предприятие сталкивается в повседневной жизни.

Способность предприятия проводить самостоятельную стратегию во всех областях делает ее более гибкой, устойчивой, позволяет адаптироваться к требованиям времени и обстоятельствам.

Стратегия формируется под воздействием внутренней и внешней среды, постоянно развивается, ибо всегда возникает что-то новое, на что нужно реагировать.

Факторы, которые могут иметь для предприятия решающее значение в будущем, называются стратегическими. По мнению западных специалистов, они, влияя на стратегию любой организации, придают ей специфические свойства. К таким факторам относятся:

1) миссия, отражающая философию предприятия, его предназначения. При пересмотре миссии, происходящем в результате изменения общественных приоритетов;

2) конкурентные преимущества, которыми предприятие обладает в своей сфере деятельности по сравнению с соперниками или к которым стремится (считается, что эти преимущества оказывают на стратегию наибольшее влияние). Конкурентные преимущества любого типа обеспечивают более высокую эффективность использования ресурсов предприятия;

3) характер выпускаемой продукции, особенности ее сбыта, послепродажного обслуживания, рынки и их границы;

4) организационные факторы, среди которых выделяется внутренняя структура предприятия и его ожидаемые изменения, система управления, степень интеграции и дифференциации внутренних процессов;

5) располагаемые ресурсы (материальные, финансовые, информационные, кадровые пр.). Чем они больше, тем масштабнее могут быть инвестиции в будущие проекты. Сегодня для разработки и реализации стратегии огромное значение имеют, прежде всего, структурные, информационные и интеллектуальные ресурсы. Сравнивая значения параметров наличных и требующихся ресурсов, можно определить степень их соответствия стратегии;

6) потенциал развития предприятия, совершенствования деятельности, расширения масштабов, роста деловой активности, инноваций;

7) культура, философия, этические воззрения и компетентность управленцев, уровень их притязаний и предприимчивости, способность к лидерству, внутренний климат в коллективе.

На стратегический выбор влияют: риск, на который готово идти предприятие; опыт реализации действующих стратегий, позиции владельцев, наличие времени.

Рассмотрим особенности стратегических решений. По степени регламентированности они относятся к контурным (предоставляют широкую свободу исполнителям в тактическом отношении), а по степени обязательности следования главным установкам – директивным.

По функциональному назначению такие решения чаще всего бывают организованными или предписывающими способ осуществления в определенных ситуациях тех или иных действий. С точки зрения предопределенности, это решения незапрограммированные. Они принимаются в новых, неординарных обстоятельствах, когда требуемые шаги трудно заранее точно расписать. С точки зрения важности, стратегические решения кардинальны: касаются основных проблем и направлений деятельности предприятия, определяют основные пути развития ее в целом, отдельных подразделений или видов деятельности на длительную перспективу (не менее 5-10 лет). Они вытекают, прежде всего, из внешних, а не из внутренних условий, должны учитывать тенденции развития ситуации и интересы множества субъектов. Практическая необратимость стратегических решений обусловливает необходимость их тщательной и всесторонней подготовки. Стратегическим решениям присуща комплектность. Стратегия обычно представляет собой не одно, а совокупность взаимосвязанных решений, объединенных общей целью, согласованных между собой по срокам выполнения и ресурсам. Такие решения определяют приоритеты и направления развития предприятия, его потенциала, рынков, способы реакции на непредвиденные события. Практика сформировала следующие требования к стратегическим решениям:

Разработка научно обоснованной системы стратегий предприятия как ключевого условия ее конкурентоспособности и долгосрочного успеха является одной из основных функций ее менеджеров, прежде всего высшего уровня. От них требуется:

— выделять, отслеживать и оценивать ключевые проблемы;

— адекватно и оперативно реагировать на изменения внутри и в окружении предприятия;

— выбирать оптимальные варианты действий с учетом интересов основных субъектов, причастных к ее деятельности;

— создавать благоприятный морально- психологический климат, поощрять предпринимательскую и творческую активность низовых руководителей и персонала.

Исходя их большого разнообразия условий, при которых может возникнуть необходимость защиты информации, общая целевая установка на решение стратегических вопросов заключалась в разработке множества стратегий защиты, и выбор такого минимального их набора, который позволял бы рационально обеспечивать требуемую защиту в любых условиях.

В соответствии с наиболее реальными вариантами сочетаний значений рассмотренных факторов выделено три стратегии защиты:

3. упреждающая – создание информационной среды, в которой угрозы информации не имели бы условия для проявления.

1.7. Разработка политики безопасности предприятия

Организационно политика безопасности описывает порядок представления и использования прав доступа пользователей, а также требования отчетности пользователей за свои действия в вопросах безопасности. Система защиты информации окажется эффективной, если она будет надежно поддерживать выполнение правил политики безопасности, и наоборот. Этапы построения организационной политики безопасности- это внесение в описание объекта структуры ценностей и проведение анализа риска, и определение правил для любого процесса пользования данным видом доступа к ресурсам объекта автоматизации, имеющим данную степень ценности. Прежде всего необходимо составить детализированное описание общей цели построения системы безопасности объекта, выражаемое через совокупность факторов или критериев, уточняющих цель. Совокупность факторов служит базисом для определения требований к системе ( выбор альтернатив). Факторы безопасности, в свою очередь, могут разделяться на правовые, технологические, технические и организационные.

В общем случае можно выделить следующие процессы, связанные с разработкой и реализацией политики безопасности.

1. Комплекс мероприятий, связанных с проведением анализа рисков. К этой группе можно отнести:

— учет материальных или информационных ценностей;

— моделирование угроз информации системы;

2. Мероприятия по оценке соответствия мер по обеспечению защиты информации системы некоторому эталонному образцу: стандарту, профилю защиты и т.п.

3. Действия, связанные с разработкой разного рода документов, в частности отчетов, диаграмм, профилей защиты, заданной по безопасности.

4. Действия, вязанные со сбором, хранением и обработкой статистики по событиям безопасности для предприятия.

Основу политики безопасности составляет способ управления доступом, определяющий порядок доступа субъектов системы к объектам системы. Название этого способа, как правило, определяет название политики безопасности.

В настоящее время лучше всего изучены два вида политики безопасности: избирательная и полномочная, основанные, соответственно, на избирательном и полномочном способах управления доступом.

Кроме того, существует набор требований, усиливающих действие этих политик и предназначений для управления информационными потоками в системе. Следует отметить, что средства защиты, предназначенные для реализации какого – либо из названных способов управления доступом, только предоставляют возможности надежного управления доступом или информационными потоками.

Основой избирательной политики безопасности является избирательное управление доступом, которое подразумевает, что

— все субъекты и объекты системы должны быть идентифицированы;

— права доступа субъекта к объекту системы определяются на основании некоторого правила (свойство избирательности).

Для описания свойств избирательного управления доступом применяется модель системы на основе матрицы доступа, иногда ее называют матрицей контроля доступа. Такая модель получила название матричной. Матрица доступа представляет собой прямоугольную матрицу, в которой объекту системы соответствует строка, а субъекту столбец. На пересечении столбца и строки матрицы указывается тип разрешенного доступа субъекта к объекту. Обычно выделяют такие типы доступа субъекта к объекту, как «доступ на чтение», «доступ на запись», «доступ на исполнение» и др.

Множество объектов и типов доступа к ним субъекта может изменяться в соответствии с некоторыми правилами, существующими в данной системе. Определение и изменения этих правил также является задачей матрицы доступа.

Решение на доступ субъекта к объекту принимается в соответствии с типом доступа, указанным в соответствующей ячейке матрицы доступа. Обычно избирательное управление доступом реализует принцип « что не разрешено, то запрещено», предполагающий явное разрешение доступа субъекта к объекту. Матрица доступа – наиболее простой подход к моделированию систем доступа.

Избирательная политика безопасности наиболее широко применяется в коммерческом секторе, так как ее реализация на практике отвечает требованиям коммерческих организаций по разграничению доступа и подотчетности, а также имеет приемлемую стоимость и небольшие накладные расходы.

Основу полномочной политики безопасности составляет полномочное управление доступом, которое подразумевает, что

— все субъекты и объекты системы должны быть однозначно идентифицированы;

— каждому объекту системы присвоена метка критичности, определяющая ценность содержащей в нем информации;

— каждому субъекту системы присвоен уровень прозрачности, определяющий максимальное значение метки критичности объектов, к которым субъект имеет доступ.

Когда совокупность меток имеет одинаковые значения, говорят, что они принадлежат к одному уровню безопасности. Организация меток имеет иерархическую структуру, и, таким образом, в системе можно реализовать иерархически восходящий поток информации (например, от рядовых исполнителей к руководству). Чем важнее объект или субъект, тем выше его метка критичности. Поэтому наиболее защищенными оказываются объекты с наиболее высокими значениями метки критичности.

Каждый субъект кроме уровня прозрачности имеет текущее значение уровня безопасности, которое может изменяться от некоторого минимального значения до значения его уровня прозрачности.

Выбор политики безопасности – это прерогатива руководителя системы защиты информации. Но какой бы она ни была, важно, чтобы внедренная системы защиты информации отвечала ряду требований, которые будут рассмотрены в следующим разделе.

1.8. Основные требования, предъявляемые к комплексной системе защиты информации

Поскольку комплексная система защиты информации предназначена обеспечивать безопасность всей защищаемой информации, к ней должны предъявляться следующие требования:

— она должна быть привязана к целям и задачам защиты информации на конкретном предприятии;

— она должна быть целостной : содержать все ее составляющие, иметь структурные связи между компонентами, обеспечивающие ее согласованное функционирование;

— она должна быть всеохватывающей, учитывающей все объекты и составляющие их компоненты защиты, все обстоятельства и факторы, влияющие на безопасность информации, и все виды, методы и средства защиты;

— она должна быть достаточной для решения поставленных задач и надежной во всех элементах защиты, т.е. базироваться на принципе гарантированного результата;

— она должна быть « вмонтированной» в технологические схемы сбора, хранения, обработки, передачи и использования информации;

— она должна быть компонентно, логически, технологически и экономически обоснованной;

— она должна быть реализуемой, обеспеченной всеми необходимыми ресурсами;

— она должна быть простой и удобной в эксплуатации и управлении, а также в использовании законными потребителями;

— она должна быть непрерывной;

— она должна быть достаточно гибкой, способной к целенаправленному приспособлению при изменении компонентов ее составных частей, технологии обработки информации, условий защиты.

Таким образом, обеспечение безопасности информации есть непрерывный процесс, который заключается в контроле защищенности, выявлении узких мест в системе защиты, обосновании и реализации наиболее рациональных путей совершенствования и развития системы защиты:

— безопасность информации в системе обработки данных может быть обеспечена лишь при комплексном использовании всего арсенала имеющихся средств защиты;

— никакая система защиты не обеспечит безопасности информации без надлежащей подготовки пользователей и соблюдения ими всех правил защиты;

— никакую систему защиты нельзя считать абсолютно надежной, т.к. всегда может найтись злоумышленник, который найдет лазейку для доступа к информации.

Дата добавления: 2015-12-16 ; просмотров: 11088 ; ЗАКАЗАТЬ НАПИСАНИЕ РАБОТЫ

Источник