21. Дайте определение и приведите общую структуру научно-методологического базиса теории защиты информации.

Научно-методологический базис защиты информации можно представить как совокупность трех иерархи­чески взаимосвязанных компонентов следующего со­держания:

первый (верхний) уровень — общеметодологичес­кие принципы формирования любой науки, обобщен­ные до уровня мировоззренческих основ;

второй (средний) уровень — общая методологичес­кая база того фундаментального направления, состав­ной ветвью которого является рассматриваемая;

третий (низший) уровень — методы решения задач, учитывающие специфику конкретного направления.

22. Приведите перечень и кратко раскройте содержание общетеоре­тических принципов формирования теории защиты информации.

1. Четкая целевая направленность исследований и разработок, причем цели должны быть сформулированы настолько конкретно, чтобы на любом этапе работ можно было предметно оценить степень их достижения.

2. Ориентация на поиск научно обоснованных решений изучаемой проблемы, которые в общем случае существенно эффективнее эмпирических.

3. Упреждающая разработка общих концепций, на базе которых могли бы решаться все частные вопросы.

4. Формирование концепций на основе реальных фактов, а не абстрактных умозаключений.

5. Учет всех существенно значимых связей, относящихся к изучаемой проблеме.

6. Строгий учет диалектики взаимосвязей количественных и качественных изменений.

7. Своевременное видоизменение постановки изучаемой или разрабатываемой задачи.

23. Приведите перечень и кратко раскройте содержание теоретико-прикладных принципов.

Содержат концентрированно выраженные рекомендации, относящиеся к самому процессу изучения сложных проблем, содержанию и практической реализации результатов изучения.

1. Построение адекватных моделей

2. Унификация разрабатываемых решений

3. Максимальная структуризация изучаемых систем и разрабатываемых решений. Структуризация определена как процесс формирования архитектуры разрабатываемых систем и схем их функционирования, которая наилучшим образом удовлетворяет всей совокупности условий их эксплуатации.

4. Радикальная эволюция в реализации разработанных концепций. Ре­зультатом изучения сложных проблем, как правило, являются предложе­ния и решения (концепции) по более или менее кардинальному совершен­ствованию архитектуры соответствующих систем.

24. Обоснуйте перечень и структуру основных стратегических подхо­дов к защите информации.

Стратегии защиты информации. Обобщая определения, при­водимые в различных источниках, можно сказать, что стратегия -это общая, рассчитанная на перспективу руководящая установка при организации и обеспечении соответствующего вида деятель­ности, направленная на то, чтобы наиболее важные цели этой дея­тельности достигались при наиболее рациональном расходовании имеющихся ресурсов.

Таким образом, стратегическая установка на защиту информа­ции, очевидно, может быть сформулирована следующим образом: вся совокупность мероприятий по защите информации должна быть такой, чтобы во все время функционирования системы уровень за­щиты соответствовал требуемому, а выделяемые для этих целей ресурсы расходовались бы наиболее рациональным способом.

Однако, современная практика показывает, что в различных си­туациях требования к защите и условия защиты могут существенно отличаться, поэтому, очевидно, одной стратегической установкой не удастся охватить и содержательно выразить общую направлен­ность защиты для всех систем и всех возможных условий их функ­ционирования. Отсюда следует, что для системного решения всей совокупности вопросов защиты во всем множестве потенциально возможных условий необходимы несколько различных стратегий защиты, каждая из которых соответствовала бы некоторой подоб­ласти общей области условий. А отсюда, в свою очередь, следует, что основой для формирования множества возможных стратегий должны служить результаты системного анализа потенциально

возможных условий, в которых будет или может осуществляться защита информации.

Организация защиты информации в самом общем виде может быть определена как поиск оптимального компромисса между по­требностями в защите и необходимыми для этих целей ресурсами.

Потребности в защите обусловливаются, прежде всего, важно­стью и объемами защищаемой информации, а также условиями ее хранения, обработки и использования. Эти условия определяются уровнем' (качеством) структурно-организационного построения за­щищаемой системы или объекта, уровнем организации технологи­ческих схем обработки информации, местом и условиями располо­жения компонентов системы, а также некоторыми другими пара­метрами.

Размер ресурсов на защиту информации может быть ограничен определенным пределом, либо определяться условием обязатель­ного достижения требуемого уровня защиты. В первом случае за­щита должна быть организована так, чтобы при выделенных ре­сурсах обеспечивался максимально возможный уровень защиты, а во втором так, чтобы требуемый уровень защиты обеспечивался при минимальном расходовании ресурсов. О подобной постановке задач речь уже шла выше в § 2.5.

Нетрудно видеть, что сформулированные задачи есть не что иное как прямая и обратная постановки оптимизационных задач, которые достаточно детально изучены в современной теории сис­тем, информатике и прикладной математике. Поэтому, если бы были четко определены функциональные зависимости между объ­емом затрачиваемых ресурсов и достигаемым уровнем защиты, то каждая из сформулированных выше задач могла бы быть строго решена известными методами в каждом конкретном случае. Одна­ко, указанные выше функциональные зависимости и в настоящее время, и в обозримом будущем могут быть получены с какой-то степенью достоверности только с использованием технологии ав­тоформализации знаний (см. § 2.4). Основная причина этого об­стоятельства заключается в том, что процессы защиты информа­ции сильно зависят от большого числа случайных и даже трудно предсказуемых факторов, а среди средств защиты весьма замет­ное (если не определяющее) место занимают организационные меры и нормативно-правовые акты. Более того, сам процесс защи­ты с точки зрения классической теории систем выглядит не совсем определенным: например, уровень защищенности информации может быть повышен не только использованием специальных средств защиты, но более четким построением защищаемой сис­темы, упорядочением технологических схем обработки информа­ции и т. п. В целях создания условий для ориентации в таких неоп­ределенных ситуациях и введено понятие стратегии защиты, при­чем под стратегией понимается общий взгляд на сложившуюся си­туацию и общий подход к принятию наиболее рационального ре­шения в этой ситуации. При этом количество различных стратегий должно быть небольшим (в противном случае будет трудно ориен­тироваться в самих стратегиях), но в то же время оно должно дос­таточно полно и адекватно отображать всю гамму потенциально возможных ситуаций.

В целях обоснования числа и содержания необходимых страте­гий используем два критерия - требуемый уровень защиты и сте­пень свободы действий при организации защиты.

Значения первого критерия лучше всего было бы выразить ко­личественно, например, в виде вероятности надежной защиты ин­формации. Но поскольку, как уже отмечалось выше, это не пред­ставляется возможным, то выразим его множеством тех угроз, от­носительно которых должна быть обеспечена защита, причем вы­берем следующие значения:

1) защита от уже известных (ранее проявлявшихся) угроз;

2) защита от наиболее опасных потенциально возможных угроз;

3) защита от всех потенциально возможных угроз.

Для защиты от известных угроз, очевидно, необходимо органи­зовать регулярный сбор и обработку данных о проявлениях угроз и их последствиях и иметь арсенал проверенных средств эффективной нейтрализации каждой из угроз.

Защита от всех потенциально возможных угроз возможна толь­ко в случае знания всего их множества. Формирование этого мно­жества представляет собою достаточно сложную научно-техническую и организационную проблему. Один из наиболее раз­работанных к настоящему времени подходов к ее решению доста­точно детально рассмотрен в [3].

Общая интерпретация второго критерия (степени свободы дей­ствий при организации защиты ) сводится к тому, что организаторы и исполнители процессов защиты имеют относительно полную свободу распоряжаться методами и средствами защиты и некото­рую степень свободы вмешательства в архитектурное построение защищаемой системы или объекта, а также в организацию и обес­печение технологии их функционирования. По этому последнему аспекту удобно выделить три различных степени свободы сле­дующего содержания:

1) никакое вмешательство в систему не допускается;

2) к архитектурному построению системы и технологии ее функ­ционирования допускается предъявлять требования неконцепту­ального характера;

3) требования любого уровня, обусловливаемые потребностями защиты информации, принимаются в качестве обязательных усло­вий при построении системы, организации и обеспечении ее функ­ционирования.

Если суммировать сказанное выше, то декартово произведение трех значений каждого из двух критериев дает в общем случае де­вять различных стратегических подходов к защите информации. Однако совершенно очевидно, что при защите от известных угроз вряд ли будет целесообразным вмешательство в систему на кон­цептуальном уровне, а защита от всех потенциально возможных угроз может быть достигнута лишь при создании изначально за­щищенной информационной среды, что не может быть достигнуто без вмешательства в архитектуру системы и технологию ее функ­ционирования.

На основе анализа всех девяти стратегических подходов могут быть выделены три основных стратегии защиты: оборонительная, наступательная и упреждающая. Их содержание может быть пред­ставлено так, как показано на рис. 2.5.

Анализ сущности условий, способствующих эффективной реа­лизации различных стратегий защиты (см., например, [3], кн. 2, с. 39-77), приводит к следующему выводу: кардинальное повыше­ние эффективности защиты информации (равно как и эффективно­сти обеспечения качества информации и информационной безо­пасности) не может быть достигнуто в рамках существующих кон­цепций автоматизированной обработки информации. Необходимы принципиально иные концепции, построение которых требует су­щественного видоизменения постановки задачи развития и ис­пользования вычислительной техники, а также в целом взглядов на процесс совершенствования информационного обеспечения раз­личных сфер деятельности.

В рамках современной информатики, рассматриваемой как фундаментальное научное направление, основные цели которого заключаются в изучении информационных проблем современного общества и разработке способов, методов и средств наиболее ра­ционального их удовлетворения, получены такие результаты, кото­рые создают объективные предпосылки построения названных концепций.

25. Дайте краткую характеристику оборонительной стратегии защи­ты информации.

оборонительная — защита от уже известных угроз, осуществляемая автономно, т.е. без оказания существенного влияния на информационно-управляющую систему;

26. То же наступательной стратегии.

наступательная — защита от всего множества потенциально возможных угроз, при осуществлении которой в архитектуре информационно-управляющей сис­темы и технологии ее функционирования должны учиты­ваться условия, продиктованные потребностями защиты;

27. То же упреждающей стратегии.

упреждающая — создание информационной среды, в которой угрозы информации не имели бы условий для проявления.

28. Охарактеризуйте основные особенности задач защиты и обоснуйте необходимость и основные направления развития методов их решения

Защита информации включает решение следующих двух основных групп задач:

1. Своевременное и полное удовлетворение информационных потребностей, возникающих в процессе управленческой, инженерно-технической, научно-производственной, маркетинговой и иной деятельности, т.е. обеспечение специалистов организаций, предприятий и фирм секретной или конфиденциальной информацией.

2. Ограждение конфиденциальной информации от несанкционированного доступа к ней соперника, других субъектов в злоумышленных целях.

При решении первой группы задач учитывается наличие у специалистов соответствующего допуска к защищаемой информации.

При решении второй группы задач учитываются следующие требования:

1. Защита информационного суверенитета страны и расширение возможности государства по укреплению своего могущества путем формирования и управления развитием своего информационного потенциала.

2. Создание условий эффективного использования информационных ресурсов общества, отрасли, предприятия, фирмы, структурного подразделения, индивида.

3. Обеспечение безопасности защищаемой информации.

4. Сохранение секретности и конфиденциальности информации.

5. Сохранение полноты, достоверности, целостности информации.

6. Обеспечение конституционных прав граждан на сохранение личной тайны и конфиденциальной персональной информации.

7. Недопущение безнаказанного растаскивания и незаконного использования интеллектуальной собственности, принадлежащей государству, предприятиям и фирмам, частным лицам.