3. Система показателей уязвимости (защищенности) информации.

Под показателем уязвимости информации понимается мера потенциаль­но возможного негативного воздействия на защищаемую информацию. Величина, дополняющая меру уязвимости до максимально возможного значения представляет собою меру защищенности информации. По­скольку современные АСОД и технологические схемы их функциониро­вания могут быть чрезвычайно сложными, то не удается одним каким-либо показателем удовлетворить потребности решения всех задач защи­ты, необходимо некоторое (как оказалось, достаточно большое) их число. Однако при независимом их формировании и использовании неизбежна путаница и другие неудобства. Чтобы избежать этого, все показатели должны быть объединены в некоторую упорядоченную систему. Струк­тура и содержание указанной системы приводятся в гл. 3.

4. Система дестабилизирующих факторов, влияющих на уязвимость (защищенность) информации. Под дестабилизирующим фактором пони­мается то событие или явление, которое может произойти в АСОД, и со­держащее в себе потенциальную возможность такого негативного воздей­ствия на информацию, результатом которого может быть повышение значений каких-либо показателей уязвимости защищаемой информации и соответственно - снижение показателей ее защищенности. Как и в случае показателей уязвимости (защищенности) информации, речь идет о формировании упорядоченной и полной системы дестабилизирующих факторов, т.е. угроз информации, что предопределяется потребностями решения задач защиты. В самом деле, если для реализации оборонитель­ной стратегии защиты достаточно иметь сведения об уже известных и наиболее опасных угрозах, то для наступательной стратегии необходимы сведения о всех когда-либо проявлявшихся угрозах. Для реализации же упреждающей стратегии необходимы сведения о всех потенциально возможных угрозах как в существующих, так и в перспективных СОД. Совершенно очевидно, что формирование полной в указанном выше системы угроз представляет собою весьма сложную и неорди­нарную задачу. Подходы и возможные результаты решения приво­дятся гл. 3.

5. Методология оценки уязвимости (защищенности) информации. В

соответствии с изложенным выше, данная методология должна содер­жать методы, модели и инструментальные средства определения текущих и прогнозирования будущих значений каждого из системы показателей уязвимости (защищенности) информации под воздействием каждой из потенциально возможных угроз и любой их совокупности. С точки зре­ния классической теории систем подобные задачи выделены в класс задач анализа, и для их решения разработан весьма представительный арсенал методов, рассчитанных как на системы детерминированного, так и стоха­стического характера. Однако в силу очень высокого влияния на процес­сы защиты информации случайных факторов, для многих из которых к тому же неизвестны (по крайней мере в настоящее время) законы распре­деления и числовые их характеристики, указанные методы лишь частич­но могут быть использованы для решения рассматриваемых задач. Для системного их решения понадобились методы, существенно выходящие за рамки классической теории систем. Сущность и содержание этих методов, как и методологии оценки уязвимости (защищенности) информации, бу­дут достаточно детально рассмотрены в гл. 3.

6. Методология определения требований к защите информации. Дан­ный компонент унифицированной концепции защиты информации играет повышенную роль, поскольку в решающей степени предопределя­ет подходы, средства и методы практической организации защиты. В классической теории систем предполагается, что требования к любым параметрам создаваемых систем определяются в количественном выраже­нии. Однако, в силу повышенной неопределенности процессов защиты информации, предложить строго формальную и адекватную методику определения требуемого уровня защиты не удается ( по крайней мере в настоящее время). Таким образом, приходится довольствоваться эвристическими и теоретико-эмпирическими методами. А поскольку требова­ниями к защите в решающей степени предопределяется построение соот­ветствующей системы защиты и технологии ее функционирования, то в целях повышения адекватности решения рассматриваемой задачи решать ее оказалось целесообразным во взаимосвязи с задачей оптимизации и стандартизации систем защиты информации. Для рассмотрения этого важного вопроса выделена самостоятельная гл. 4.

7. Система концептуальных решений по защите информации. Под концептуальным понимается такое решение, которое создает объективные предпосылки для формирования инструментальных средств, необходимых и достаточных для эффективного решения всей совокупности соответствующих задач на регулярной основе и в соответствии с требованиями к их решению, которые, в свою очередь, определяются целями функционирования соответствующей системы. Отсюда следует, что концептуальные решения должны быть научно обоснованными и оптимальными с точки зрения сочетания объективных требований к решению соответствующих задач и объективных предпосылок их решения. А отсюда, в свою очередь, следует, что должны быть механизмы оценки оптималь­ности решения задач на основе концептуальных решений. Приведенные положения целиком и полностью относятся также к принятию концепту­альных решений по защите информации.

Из теории управления известно, что принятие решений относится к числу слабостурктуризованных задач, поэтому методики их решения в значительной мере основываются на эвристических методах. Особенно важна доля эвристической составляющей в методиках принятия решений в условиях неопределенности.

Всем изложенным и определяется важность и трудности обоснова­ния и принятия концептуальных решений по защите информации. Исходя из этого, в процессе разработки основ теории защиты данному вопросу было уделено повышенное внимание. Как следует из рис. 2.11, указанные концептуальные меры свелись к введению взаимосвязанной цепочки по­нятий: функции защиты - задачи защиты - средства защиты - система за­щиты, причем доказано, что эти решения удовлетворяют всем приведен­ным выше требованиям. Состав и содержание перечисленных решений детально излагаются в гл. 5,6, 7.

8. Система требований к концептуальным решениям. Содержание данного компонента концепции защиты заключается в обосновании таких требований к каждому из концептуальных решений, которые обеспечивали бы достижение целей их принятия наиболее рациональным образом. Эти требования приводятся и обосновываются в перечисленных выше главах при рассмотрении соответствующего решения.

9. Условия, способствующие повышению эффективности зашиты информации. Основное назначение и содержание данного компонента концепции защиты информации заключается в том, чтобы сформировать и обосновать перечень и содержание тех условий, соблюдение которых будет существенно способствовать повышению уровня защиты при расходовании выделенных для этих целей средств или расходования возможно меньшего объема средств для обеспечения требуемого уровня защиты. В теории защиты информации доказано, во-первых, что эти условия образуют достаточно представительную систему, а во-вторых, что подавляющая часть этих условий относится к построению, организации и обеспечению функционирования АСОД. Иными словами, указанная система условий выступает в качестве обратной связи от концептуальных решений по защите информации к ситуации, порождающей саму проблему защиты, т.е. к компоненту № 1 рассматриваемой здесь концепции защиты.

Отсюда следует, что унифицированная концепция защиты пред­ставляет собою кибернетическую систему, что и создает объективные предпосылки для оптимального решения задач защиты