292 Глава 5

На пользовательском уровне требуется обеспечить допуск только

авторизованных пользователей к работе в информационной системе,

создать защитную оболочку вокруг ее элементов, а также организовать

индивидуальную среду деятельности каждого пользователя.

5.1.3. Особенности модели

Модель архитектуры компании можно представить как совокупность

взаимозависимых уровней (рис. 5.4).

Стратегический уровень, объединяющий миссию, стратегию и

бизнес-цели, определяет направления развития компании.

Миссия, стратегия,

цели, задачи

Планы миграции Бизнес-архитектура

Системная

архитектура

Рис. 5.4. Модель архитектуры компании

Бизнес-архитектура включает необходимые для реализации

стратегии компоненты:

• организационную структуру организации;

• бизнес-процессы, направленные на реализацию текущих и перспективных

задач;

• комплекс документов, обеспечивающих передачу необходимой

информации;

• документопотоки, сопутствующие процессам создания и реализации

услуг.

Системная архитектура (достаточно часто используется термин

"ИТ-архитектура") представляет собой совокупность технологических

и технических решений, предназначенных для обеспечения ин

Информационная безопасность

293

формационной поддержки деятельности компании в соответствии с

правилами и концепциями, определенными бизнес-архитектурой.

Планы миграции - это документы, определяющие совокупность ме

роприятий и порядок перехода из текущего состояния в планируемое.

Система защиты информации, являясь неотъемлемой составной

частью системной архитектуры, строится в соответствии с моделью,

которая формируется на основе требований нормативных документов

государства в области защиты информации, а также адаптации международных

стандартов информационной безопасности в условиях действующего

нормативно-правового поля РФ. К нормативным документам

прежде всего необходимо отнести руководящие документы Гостехкомиссии

РФ, имеющие первостепенное значение в нашей стране.

1. Защита от несанкционированного доступа к информации. Термины

и определения.

2. Концепция защиты средств вычислительной техники и автоматизированных

систем от несанкционированного доступа к информации.

3. Классификация автоматизированных систем и требования по

защите информации.

4. Временное положение по организации разработки, изготовления

и эксплуатации программных и технических средств защиты информации

от несанкционированного доступа в автоматизированных

системах и средствах вычислительной техники.

5. Средства вычислительной техники. Показатели защищенности

от несанкционированного доступа к информации.

Наиболее полно критерии для оценки механизмов безопасности

организационного уровня представлены в международном стандарте

ISO 17799: Code of Practice for Information Security Management

(Практические правила управления информационной безопасностью),

принятом в 2000 г. Он содержит практические правила по

управлению информационной безопасностью и может использоваться

в качестве критериев для оценки механизмов безопасности организационного

уровня, включая административные, процедурные и

физические меры защиты.

Критерии для оценки механизмов безопасности программнотехнического

уровня представлены в международном стандарте ISO

15408: Common Criteria for Information Technology Security Evaluation

(Общие критерии оценки безопасности информационных технологий),

принятом в 1999 г. Этот стандарт определяет функциональные