2.3.7 Методологические основы построения систем защиты информации

Современный опыт решения проблем информационной безопасности показывает, что для достижения наибольшего эффекта при организации защиты информации необходимо руководствоваться рядом принципов.

Первым и наиболее важным является принцип непрерывности совершенствования и развития системы информационной безопасности. Суть этого принципа заключается в постоянном контроле функционирования системы, выявлении ее слабых мест, возможных каналов утечки информации и НСД, обновлении и дополнении механизмов защиты в зависимости от изменения характера внутренних и внешних угроз, обосновании и реализации на этой основе наиболее рациональных методов, способов и путей защиты информации. Таким образом, обеспечение информационной безопасности не может быть разовым мероприятием.

Вторым является принцип комплексного использования всего арсенала имеющихся средств защиты во всех структурных элементах производства и на всех этапах технологического цикла обработки информации.

Комплексный характер защиты информации обусловлен действиями злоумышленников. Здесь правомерно утверждение, что оружие защиты должно быть адекватно оружию нападения.

Кроме того, наибольший эффект достигается в том случае, когда все используемые средства, методы и мероприятия объединяются в единый, целостный механизм - систему информационной безопасности. Только в этом случае появляются системные свойства, не присущие ни одному из отдельных элементов системы защиты, а также возможность управлять системой, перераспределять ее ресурсы и применять современные методы повышения эффективности ее функционирования.

Можно определить систему информационной безопасности как организованную совокупность органов, средств, методов и мероприятий, обеспечивающих защиту информации от разглашения, утечки и несанкционированного доступа.

Важнейшими условиями обеспечения безопасности являются законность, достаточность, соблюдение баланса интересов личности и предприятия, высокий профессионализм представителей службы информационной безопасности, подготовка пользователей и соблюдение ими всех установленных правил сохранения конфиденциальности, взаимная ответственность персонала и руководства, взаимодействие с государственными правоохранительными органами.

Без соблюдения этих условий никакая система информационной безопасности не может обеспечить требуемого уровня защиты.

С позиций системного подхода для реализации приведенных принципов процесс, да и сама система защиты информации должны отвечать некоторой совокупности требований.

Защита информации должна быть:

• централизованной: необходимо иметь в виду, что процесс управления всегда централизован, в то время как структура системы, реализующей этот процесс, должна соответствовать структуре защищаемого объекта;

• плановой: планирование осуществляется для организации взаимодействия всех подразделений объекта в интересах реализации принятой политики безопасности; каждая служба, отдел, направление разрабатывают детальные планы защиты информации в сфере своей компетенции с учетом общей цели организации;

• конкретной и целенаправленной: защите подлежат абсолютно конкретные информационной ресурсы, представляющие интерес для конкурентов;

• активной: защищать информацию необходимо с достаточной степенью настойчивости и целеустремленности. Это требование предполагает наличие в составе системы информационной безопасности средств прогнозирования, экспертных систем и других инструментов, позволяющих реализовать наряду с принципом «обнаружить и устранить» принцип «предвидеть и предотвратить»;

• надежной и универсальной, охватывать весь технологический комплекс информационной деятельности объекта: методы и средства защиты должны надежно перекрывать все возможные каналы утечки информации и противодействовать способам несанкционированного доступа независимо от формы представления информации, языка ее выражения и вида носителя, на котором она закреплена;

• нестандартной (по сравнению с другими организациями), разнообразной по используемым средствам;

• открытой для изменения и дополнения мер обеспечения безопасности информации;

• экономически эффективной: затраты на систему защиты не должны превышать размеры возможного ущерба.

Наряду с основными требованиями существует ряд устоявшихся рекомендаций, которые будут полезны создателям систем информационной безопасности:

• средства защиты должны быть просты для технического обслуживания и «прозрачны» для пользователей;

• каждый пользователь должен иметь минимальный набор привилегий, необходимых для работы;

• возможность отключения защиты в особых случаях, например, когда механизмы защиты реально мешают выполнению работ;

• независимость системы защиты от субъектов защиты;

• разработчики должны предполагать, что пользователи имеют наихудшие намерения (враждебность окружения), что они будут совершать серьезные ошибки и искать пути обхода механизмов защиты;

• отсутствие на предприятии излишней информации о существовании механизмов защиты.

Все перечисленные позиции должны лечь в основу формирования системы защиты информации.

Теперь, владея основными концептуальными положениями, необходимо освоить механизм выработки детальных предложений по формированию политики и построению системы информационной безопасности.

Последовательность действий при разработке системы обеспечения информационной безопасности объекта

Затем, вне зависимости от размеров организации и специфики ее информационной системы, необходимо:

• определить границы управления информационной безопасностью объекта;

• провести анализ уязвимости;

• выбрать контрмеры, обеспечивающие информационную безопасность; определить политику информационной безопасности;

• проверить систему защиты;

• составить план защиты;

• реализовать план защиты (управление системой защиты).

Определение границ управления информационной безопасностью объекта

Целью этого этапа является определение всех возможных «болевых точек» объекта, которые могут доставить неприятности с точки зрения безопасности информационных ресурсов, представляющих для организации определенную ценность.

Для работ на данном этапе должны быть собраны следующие сведения:

• Перечень сведений, составляющих коммерческую или служебную тайну.

• Организационно-штатная структура предприятия или организации.

• Характеристика и план объекта, размещение средств вычислительной техники и поддерживающей инфраструктуры.

На плане объекта указывается порядок расположения административных зданий, производственных и вспомогательных помещений, различных строений, площадок, складов, стендов и подъездных путей с учетом масштаба изображения.

Дополнительно на плане указываются структура и состав автоматизированной системы, помещения, в которых имеются технические средства обработки критичной информации с учетом их расположения. Указываются также контуры вероятного установления информационного контакта с источником излучений по видам технических средств наблюдения с учетом условий среды, по времени и месту.

• Перечень и характеристика используемых автоматизированных рабочих мест, серверов, носителей информации.

• Описание информационных потоков, технология обработки информации и решаемые задачи, порядок хранения информации. Для решаемых задач должны быть построены модели обработки информации в терминах ресурсов.

• Используемые средства связи (цифровая, голосовая и т. д.).

Знание элементов системы дает возможность выделить критичные ресурсы и определить степень детализации будущего обследования. Инвентаризация информационных ресурсов должна производиться исходя из последующего анализа их уязвимости. Чем качественнее будут проведены работы на этом этапе, тем выше будет достоверность оценок на следующем.

В результате должен быть составлен документ, в котором зафиксированы границы системы, перечислены ресурсы, подлежащие защите, дана система критериев для оценки их ценности. В идеале такой документ должен включать информационно-логическую модель объекта, иллюстрирующую технологию обработки критичной информации с выделением вероятных точек уязвимости, по каждой из которых необходимо иметь полную характеристику. Такая модель является базой, а ее полнота - залогом успеха на следующем этапе построения системы информационной безопасности.

Анализ уязвимости

По сути, это самый главный этап во всей работе. От того, насколько полно и правильно будет проанализировано состояние защищенности информационных ресурсов, зависит эффективность всех последующих мероприятий.

Необходимо рассмотреть все возможные угрозы и оценить размеры возможного ущерба.

Под угрозой (риском) следует понимать реальные или возможные действия или условия, приводящие к хищению, искажению, изменению или уничтожению информации в информационной системе, а также к прямым материальным убыткам за счет воздействия на материальные ресурсы.

Анализируемые виды угроз следует выбрать из соображений здравого смысла, но в пределах выбранных видов провести максимально полное рассмотрение.

Оценивая вероятность осуществления угроз, целесообразно учитывать не только среднестатистические данные, но и специфику конкретных информационных систем.

Для проведения анализа уязвимости целесообразно иметь в распоряжении исследователя модели каналов утечки информации и НСД, методики определения вероятности информационного контакта, модель нарушителя, перечень возможностей информационных инфекций, способы применения и тактико-технические возможности технических средств ведения разведки, методику оценки информационной безопасности.

Анализ уязвимости начинается с выбора анализируемых объектов и определения степени детальности их рассмотрения.

На этом этапе большую помощь может оказать разработанная инфологическая структура объекта.

Для определения объектов защиты удобно рассматривать АСУ как четырехуровневую систему.

Внешний уровень характеризуется информационными, главным образом сетевыми, сервисами, предоставляемыми данной системой, и аналогичными сервисами, запрашиваемыми другими подсистемами. На этом уровне должны отсекаться как попытки внешнего несанкционированного доступа к ресурсам подсистемы, так и попытки обслуживающего персонала АСУ несанкционированно переслать информацию в каналы связи.

Сетевой уровень связан с доступом к информационным ресурсам внутри локальных сетей. Безопасность информации на этом уровне обеспечивается средствами проверки подлинности пользователей и разграничением доступа к ресурсам локальной сети (идентификация, аутентификация и авторизация).

Системный уровень связан с управлением доступом к ресурсам ОС. Защите системных ресурсов должно уделяться особое внимание, поскольку НСД к ним может сделать бессмысленными прочие меры безопасности. Важность именно этого уровня подтверждается тем фактом, что долгое время вопросы информационной безопасности сводились исключительно к рассмотрению защиты на данном уровне средствами ОС.

Уровень приложений связан с использованием прикладных ресурсов АСУ. Поскольку именно приложения на содержательном уровне работают с данными, для них нужны собственные механизмы обеспечения информационной безопасности.

На каждом уровне определяются уязвимые элементы.

Уязвимым является каждый компонент информационной системы. Но в сферу анализа невозможно включить каждый байт. Приходится останавливаться на некотором уровне детализации, отдавая себе отчет в приближенности оценки. Для новых систем предпочтителен детальный анализ. Старая система, подвергшаяся небольшим модификациям, может быть проанализирована только с точки зрения оценки влияния новых элементов на безопасность всей системы.

Следующим шагом на пути анализа уязвимости является моделирование каналов утечки информации и НСД.

Любые технические средства по своей природе потенциально обладают каналами утечки информации.

Под каналом утечки информации будем понимать физический путь от источника конфиденциальной информации, по которому возможна утечка охраняемых сведений, к злоумышленнику. Для возникновения (образования, установления) канала утечки информации необходимы определенные пространственные, энергетические и временные условия, а также соответствующие средства приема и фиксации информации на стороне злоумышленника.

Применительно к практике с учетом физической природы образования каналы утечки информации можно разделить на следующие группы:

• визуально-оптические;

• акустические (включая и акустико-преобразовательные);

• электромагнитные (включая магнитные и электрические);

• материально-вещественные (бумага, фото, магнитные носители, производственные отходы различного вида).

Основная задача моделирования каналов утечки информации и соответствующих способов несанкционированного доступа к источникам конфиденциальной информации на конкретном объекте защиты - выявление особенностей, характеристик, условий возникновения каналов и в результате получение новых знаний, необходимых для построения системы защиты информации.

Основное требование к модели - адекватность, то есть степень соответствия разработанной модели реально протекающим процессам.

Любая модель канала утечки информации должна показывать не только сам путь, но и возможность (вероятность) установления информационного контакта.

Вероятность установления информационного контакта - численная величина, определяемая пространственными, временными и энергетическими условиями и характеристиками средства наблюдения.

Условия установления информационного контакта можно представить в виде следующей обобщенной модели.

Разнообразие источников конфиденциальной информации, способов несанкционированного доступа к ним и средств реализации несанкционированного доступа в конкретных условиях требует разработки частных моделей каждого варианта информационного контакта и оценки вероятности его возникновения. Имея определенные методики, можно рассчитать возможность такого контакта в конкретных условиях.

Главная ценность подобных методик заключается в возможности варьирования аргументами функции (мощность излучения, высота и коэффициент концентрации антенны и т. п.) в интересах достижения минимальных значений вероятности установления информационного контакта, а значит, и в поиске совокупности способов снижения ее значений.

Для анализа уязвимости информационных ресурсов необходимо не только выявить каналы утечки информации, хорошо представлять облик нарушителя, вероятные способы его действий, намерения, а также возможности технических средств получения информации по различным каналам. Только совокупность этих знаний позволит адекватно среагировать на возможные угрозы и, в конце концов, выбрать соответствующие средства защиты.

Сами же действия нарушителя во многом определяются надежностью системы защиты информации, так как для достижения своих целей он должен приложить некоторые усилия, затратить определенные ресурсы. Если система защиты достаточно надежна, его затраты будут чрезмерно высоки, и он откажется от своего замысла.

Поэтому представляется целесообразным разработать наиболее вероятный сценарий осуществления противоправных действий по доступу к информации (нарушения) в конкретной системе, одной из важнейших составляющих которого и является модель нарушителя. Наличие такого сценария, который должен постоянно корректироваться на основе новых знаний о возможностях нарушителя, после изменений в системе защиты и на основе анализа причин произошедших нарушений, позволит повлиять на сами причины либо точнее определить требования к системе защиты от данного вида нарушений.

Основные контуры модели нарушителя определены в руководящем документе Гостехкомиссии России «Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации». В соответствии с этим документом в качестве нарушителя рассматривается субъект, имеющий доступ к работе со штатными средствами АС и СВТ как части АС, являющийся специалистом высшей квалификации, знающий все об АС и, в частности, о системе и средствах ее защиты.

Кроме уровня знаний нарушителя, его квалификации, подготовленности к реализации своих замыслов, для формирования наиболее полной модели нарушителя необходимо определить:

• категорию лиц, к которым может принадлежать нарушитель;

• мотивы действий нарушителя (преследуемые нарушителем цели);

• техническую оснащенность и используемые для совершения нарушения методы и средства;

• предполагаемые место и время осуществления незаконных действий нарушителя;

• ограничения и предположения о характере возможных действий.

Внутренними нарушителями могут быть:

• пользователи (операторы) системы;

• персонал, обслуживающий технические средства (инженеры, техники и т. п.);

• сотрудники отделов разработки и сопровождения программного обеспечения (прикладные и системные программисты);

• технический персонал, обслуживающий здания и имеющий доступ в помещения, выделенные для размещения компонентов АС;

• руководители различных уровней.

Внешними нарушителями могут быть:

• клиенты (представители сторонних организаций, граждане);

• представители организаций, с которыми осуществляется взаимодействие;

• лица, случайно или умышленно нарушившие пропускной режим;

• любые лица за пределами контролируемой зоны.

При формировании модели нарушителя и оценке риска от действий персонала необходимо дифференцировать всех сотрудников по возможности доступа к системе и, следовательно, по потенциальному ущербу от каждой категории пользователей. Например, оператор или программист автоматизированной банковской системы может нанести несравненно больший ущерб, чем обычный пользователь, тем более непрофессионал.

Таким образом, каждый пользователь в соответствии со своей категорией риска может нанести больший или меньший ущерб системе. Кроме того, необходимо учитывать, что пользователи различных категорий различаются не только по степени риска, но и по тому, какому элементу системы они угрожают больше всего. В результате можно оценить степень риска данной категории пользователей относительно данного элемента системы и представить результаты анализа в виде таблицы соответствий.

Приведенный подход к категорированию персонала системы по степени риска должен использоваться для определения возможностей каждого типа нарушителя по незаконному доступу к информации, циркулирующей в АСУ. Наличие такой информации, безусловно, облегчит дальнейшую работу по проектированию системы и ее эксплуатации.

При формировании модели нарушителя следует уделять особое внимание личности нарушителя. Это поможет разобраться в побудительных мотивах и принять соответствующие меры для уменьшения вероятности совершения нарушений.

В целях овладения конфиденциальной информацией нарушители широко используют современные технические средства, обеспечивающие реализацию рассмотренных способов несанкционированного доступа к объектам и источникам охраняемых сведений.

По технической оснащенности и используемым методам и средствам нарушители подразделяются на:

• применяющих пассивные средства (средства перехвата без модификации компонентов системы);

• использующих только штатные средства и недостатки системы защиты для ее преодоления (несанкционированные действия с использованием разрешенных средств);

• применяющих методы и средства активного воздействия (модификация и подключение дополнительных технических средств, подключение к каналам передачи данных, внедрение программных закладок и использование специальных инструментальных и технологических программ).

Приведенная классификация предусматривает, прежде всего, постоянное обновление информации о характеристиках технических и программных средств ведения разведки и обеспечения доступа к информации.

Незаконные действия нарушитель может осуществлять:

• в разное время (в процессе функционирования АС, во время работы компонентов системы, во время плановых перерывов в работе АС, в нерабочее время, в перерывы для обслуживания и ремонта и т. п.);

• с разных мест (из-за пределов контролируемой зоны АС; внутри контролируемой зоны АС, но без доступа в выделенные для размещения компонентов АС помещения; внутри выделенных помещений, но без доступа к техническим средствам АС; с доступом к техническим средствам АС и с рабочих мест конечных пользователей; с доступом в зону данных, архивов и т. п.; с доступом в зону управления средствами обеспечения безопасности АС).

Учет места и времени действий злоумышленника также позволит конкретизировать его возможности и учесть их для повышения качества системы защиты информации.

Определение значений возможных характеристик нарушителей в значительной степени субъективно. Модель нарушителя, построенная с учетом особенностей конкретной предметной области и технологии обработки информации, может быть представлена перечислением нескольких вариантов его облика.

Наличие совокупности моделей действий нарушителя может быть полезной с точки зрения прогнозирования возможных событий во всем разнообразии складывающихся ситуаций, предотвращения действий нарушителя, построения надежной системы защиты информации, использования современных средств интеллектуальной поддержки для управления системой защиты.

Теперь в руках исследователя есть все исходные данные для оценки потерь (возможного ущерба).

Желательно, чтобы эта оценка была количественной. Для оценки потерь могут быть использованы как точные методы современной математики, так и методы экспертных оценок, которые весьма широко используются при решении подобных задач.

Оценивая тяжесть ущерба, необходимо иметь в виду: - непосредственные расходы на замену оборудования, анализ и исследование причин и величины ущерба, восстановление информации и функций АС по ее обработке; - косвенные потери, связанные со снижением банковского доверия, потерей клиентуры, подрывом репутации, ослаблением позиций на рынке.

Естественно, информационные потери требуют расходов на их восстановление, что приводит к временным задержкам, вызывающим соответствующие претензии пользователей, потерю интересов, а иногда и финансовые санкции.

Для оценки потерь необходимо описать сценарий действий трех сторон - нарушителя по использованию добытой информации, службы информационной безопасности по предотвращению последствий и восстановлению нормального функционирования системы и третьей стороны.

Оценив потери по каждой из вероятных угроз, необходимо определить стратегию управления рисками. При этом возможно несколько подходов:

• уменьшение риска (многие риски могут быть существенно уменьшены путем использования весьма простых и дешевых контрмер);

• уклонение от риска (от некоторых классов рисков можно уклониться. Например, вынесение Web-сервера организации за пределы локальной сети позволяет избежать риска несанкционированного доступа в локальную сеть со стороны Web-клиентов);

• изменение характера риска (можно принять некоторые меры, например страхование отдельных рисков);

• принятие риска (не все риски могут быть уменьшены до пренебрежимо малой величины). Возможна ситуация, когда для уменьшения риска не существует эффективных и приемлемых по цене мер. В этом случае приходится поднимать планку приемлемого риска и переносить центр тяжести на смягчение последствий и выработку планов восстановления после аварий, стихийных бедствий и иных происшествий.

На практике, после принятия стандартного набора контрмер, ряд рисков уменьшается, но остается все еще значимым. Необходимо знать остаточную величину риска. Если какие-либо риски оказались недопустимо высокими, необходимо реализовать дополнительные защитные меры.

Проведение анализа рисков и оценки потерь требуют глубоких системных знаний и аналитического мышления во многих смежных областях проблемы защиты информации. Без таких знаний невозможно построить впоследствии надежную систему информационной безопасности на выделенные средства в заданные сроки.

По результатам работ на этапе анализа уязвимости должно быть подготовлено экспертное заключение о защищенности информационных ресурсов на объекте, включающее в себя:

• модели каналов утечки информации и НСД;

• методики определения вероятностей установления информационного контакта для внешних нарушителей;

• сценарии возможных действий нарушителя по каждому из видов угроз, учитывающие модель нарушителя, возможности системы защиты информации и технических средств разведки, а также действия нарушителя после ознакомления с информацией, ее искажения или уничтожения.

Руководство предприятия или организации, как правило, ожидает точной количественной оценки защищенности информационных ресурсов на объекте. Не всегда удается получить такие оценки, однако можно вычленить наиболее уязвимые участки и сделать прогноз о возможных проявлениях описанных в отчете угроз.

Выбор контрмер, обеспечивающих информационную безопасность, определение политики информационной безопасности

Предпринимаемые меры защиты должны быть адекватны вероятности осуществления данного типа угрозы и потенциальному ущербу, который может быть нанесен в том случае, если угроза осуществится (включая затраты на защиту от нее).

Необходимо иметь в виду, что многие меры защиты требуют достаточно больших вычислительных ресурсов, что в свою очередь существенно влияет на процесс обработки информации. В связи с этим современный подход к решению этой проблемы заключается в применении в АСУ принципов ситуационного управления защищенностью информационных массивов.

Суть такого подхода заключается в том, что требуемый уровень безопасности информации устанавливается в соответствии с ситуацией, определяющей соотношение между ценностью перерабатываемой информации, затратами (снижением производительности АСУ, дополнительным расходом оперативной памяти и др.), которые необходимы для его достижения, и возможными суммарными потерями (материальными, моральными и др.) от искажения и несанкционированного использования информации.

Необходимые характеристики защиты информационных ресурсов определяются в ходе ситуационного планирования при непосредственной подготовке к реализации технологического процесса защищенной обработки информации с учетом сложившейся ситуации, а также (в сокращенном объеме) во время процесса обработки.

Выбирая защитные меры, приходится учитывать не только прямые расходы на закупку оборудования и программ, но и расходы на внедрение новинки и, в частности, на обучение и переподготовку персонала.

Важным обстоятельством является совместимость нового средства со сложившейся аппаратно-программной структурой объекта.

Зарубежный опыт в области защиты интеллектуальной собственности и отечественный опыт в защите государственных секретов показывает, что эффективной может быть только комплексная защита, сочетающая в себе такие направления защиты, как правовое, организационное и инженерно-техническое.

Правовое направление предусматривает формирование совокупности законодательных актов, нормативно-правовых документов, положений, инструкций, руководств, требования которых являются обязательными в рамках сферы их деятельности в системе защиты информации.

Организационное направление - это регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе таким образом, что разглашение, утечка и несанкционированный доступ к конфиденциальной информации становится невозможным или существенно затрудняется за счет проведения организационных мероприятий.

По мнению специалистов, организационные мероприятия играют большую роль в создании надежного механизма защиты информации, так как возможности несанкционированного использования конфиденциальных сведений в значительной мере обусловлены не техническими аспектами, а злоумышленными действиями, нерадивостью, небрежностью и халатностью пользователей или персонала защиты.

К организационным мероприятиям можно отнести:

• мероприятия, осуществляемые при проектировании, строительстве и оборудовании служебных и производственных зданий и помещений;

• мероприятия, осуществляемые при подборе персонала;

• организация и поддержание надежного пропускного режима, охраны помещений и территории, контроля посетителей;

• организация хранения и использования документов и носителей конфиденциальной информации;

• организация защиты информации;

• организация регулярного обучения сотрудников.

Одним из основных компонентов организационного обеспечения информационной безопасности объекта является Служба информационной безопасности (СИБ). СИБ является органом управления системой защиты информации. Именно от профессиональной подготовленности сотрудников службы информационной безопасности, наличия в их арсенале современных средств управления безопасностью во многом зависит эффективность мер по защите информации.

Ее штатная структура, численность и состав определяются реальными потребностями фирмы, степенью конфиденциальности ее информации и общим состоянием безопасности.

Основная цель функционирования СИБ - используя организационные меры и программно-аппаратные средства, избежать или хотя бы свести до минимума возможность нарушения политики безопасности, либо, в крайнем случае, вовремя заметить и устранить последствия нарушения.

Для обеспечения успешной работы СИБ необходимо определить ее права и обязанности, а также правила взаимодействия с другими подразделениями по вопросам защиты информации на объекте. Численность службы должна быть достаточной для выполнения всех возлагаемых на нее функций. Желательно, чтобы штатный состав службы не имел обязанностей, связанных с функционированием объекта защиты. Службе информационной безопасности должны быть обеспечены все условия, необходимые для выполнения своих функций.

Ядром инженерно-технического направления являются программно-аппаратные средства защиты информации.

К аппаратным средствам относятся механические, электромеханические, электронные, оптические, лазерные, радио- и радиотехнические, радиолокационные и другие устройства, системы и сооружения, предназначенные для обеспечения безопасности и защиты информации.

Под программным обеспечением безопасности информации понимается совокупность специальных программ, реализующих функции защиты информации и режима функционирования.

Сформированная совокупность правовых, организационных и инженерно-технических мероприятий выливается в соответствующую политику безопасности.

Политика безопасности определяет облик системы защиты информации в виде совокупности правовых норм, организационных (правовых) мер, комплекса программно-технических средств и процедурных решений, направленных на противодействие угрозам с целью исключения или минимизации возможных последствий проявления информационных воздействий.

После принятия того или иного варианта политики безопасности необходимо оценить уровень безопасности информационной системы. Естественно, что оценка защищенности производится по совокупности показателей, основными из которых являются стоимость, эффективность, реализуемость.

Задача оценки вариантов построения системы защиты информации достаточно сложная, требующая привлечения современных математических методов многопараметрической оценки эффективности. К таким методам относятся метод анализа иерархий, экспертные методы, метод последовательных уступок и ряд подобных.

Проверка системы защиты

Когда намеченные меры приняты, необходимо проверить их действенность, то есть убедиться, что остаточные риски стали приемлемыми. Если это на самом деле так, то можно намечать дату ближайшей переоценки. В противном случае придется проанализировать допущенные ошибки и провести повторный сеанс анализа уязвимости с учетом изменений в системе защиты.

После того как сформирован возможный сценарий действий нарушителя, возникает необходимость проверки системы защиты информации.

Такая проверка называется «тестирование на проникновение». Цель - предоставление гарантий того, что не существует простых путей для неавторизованного пользователя обойти механизмы защиты.

Один из возможных способов аттестации безопасности системы - приглашение хакеров для взлома без предварительного уведомления персонала сети. Для этого выделяется группа из двух-трех человек, имеющих высокую профессиональную подготовку. Этой группе предоставляется в распоряжение автоматизированная система в защищенном исполнении, и она в течение 1-3 месяцев пытается найти уязвимые места и разработать на их основе тестовые средства для обхода механизмов защиты. Наемные хакеры по результатам работы представляют конфиденциальный доклад с оценкой уровня доступности информации и рекомендациями по улучшению защиты.

Наряду с таким способом используются программные средства тестирования.

Составление плана защиты

На этом этапе в соответствии с выбранной политикой безопасности разрабатывается план ее реализации. План защиты является документом, вводящим в действие систему защиты информации, который утверждается руководителем предприятия (организации).

Планирование связано не только с наилучшим использованием всех возможностей, которыми мы располагаем, в том числе выделенных ресурсов, но и с предотвращением ошибочных действий, могущих привести к снижению эффективности предпринятых мер по защите информации.

План защиты информации на объекте должен включать:

• описание защищаемой системы (основные характеристики защищаемого объекта: назначение объекта, перечень решаемых задач, конфигурация, характеристики и размещение технических средств и программного обеспечения, перечень категорий информации (пакетов, файлов, наборов и баз данных, в которых они содержатся), подлежащих защите, и требований по обеспечению доступа, конфиденциальности, целостности этих категорий информации, список пользователей и их полномочий по доступу к ресурсам системы и т. п.);

• цель защиты системы и пути обеспечения безопасности АС и циркулирующей в ней информации;

• перечень значимых угроз безопасности АС, от которых требуется защита, и наиболее вероятных путей нанесения ущерба;

• политику информационной безопасности;

• план размещения средств и функциональную схему системы защиты информации на объекте;

• спецификацию средств защиты информации и смету затрат на их внедрение;

• календарный план проведения организационных и технических мероприятий по защите информации, порядок ввода в действие средств защиты;

• основные правила, регламентирующие деятельность персонала по вопросам обеспечения информационной безопасности объекта (особые обязанности должностных лиц АС);

• порядок пересмотра плана и модернизации средств защиты.

Пересмотр плана защиты осуществляется при изменении следующих компонентов объекта:

• кадровые изменения;

• изменения архитектуры информационной системы (подключение других локальных сетей, рассредоточение узлов АС, изменение или модификация используемых средств вычислительной техники или ПО);

• изменения территориального расположения компонентов АС.

В рамках плана защиты необходимо иметь план действий персонала в критических ситуациях. Такой план называется планом обеспечения непрерывной работы и восстановления информации и содержит следующие пункты:

• цель обеспечения непрерывности процесса функционирования АС, восстановления ее работоспособности и пути ее достижения;

• перечень и классификация возможных кризисных ситуаций;

• требования, меры и средства обеспечения непрерывной работы и восстановления процесса обработки информации (порядок создания, хранения и использования резервных копий информации, ведения текущих, долговременных и аварийных архивов; состав резервного оборудования и порядок его использования и т. п.);

• обязанности и порядок действий различных категорий персонала системы в кризисных ситуациях по ликвидации их последствий, минимизации наносимого ущерба и восстановлению нормального функционирования системы.

Если организация осуществляет обмен электронными документами с партнерами по выполнению единых заказов, то необходимо в план защиты включить договор о порядке организации обмена электронными документами, в котором отражаются следующие вопросы:

• разграничение ответственности субъектов, участвующих в процессах обмена электронными документами;

• определение порядка подготовки, оформления, передачи, приема, проверки подлинности и целостности электронных документов;

• определение порядка генерации, сертификации и распространения ключевой информации (ключей, паролей и т. п.);

• определение порядка разрешения споров в случае возникновения конфликтов.

Исходя из того, что план защиты информации представляет собой пакет текстуально-графических документов, необходимо отметить, что наряду с приведенными компонентами этого пакета в него могут входить:

• положение о коммерческой тайне, определяющее перечень сведений, составляющих коммерческую тайну, и порядок его определения, а также обязанности должностных лиц по защите коммерческой тайны;

• положение о защите информации, регламентирующее все направления деятельности по реализации политики безопасности, а также ряд дополнительных инструкций, правил, положений, соответствующих специфике объекта защиты.

Реализация плана защиты (управление системой защиты)

На данном этапе, прежде всего, проводятся разработка необходимых документов, заключение договоров с поставщиками, монтаж и настройка оборудования и т. д.

После того как сформирована система защиты информации, решается задача ее эффективного использования, а значит, управления безопасностью.

Управление (management, control) - процесс целенаправленного воздействия на объект, осуществляемый для организации его функционирования по заданной программе.

Управление информационной безопасностью должно быть:

• устойчивым к активным вмешательствам нарушителя;

• непрерывным, обеспечивающим постоянное воздействие на процесс защиты;

• скрытным, не позволяющим выявлять организацию управления защитой информации;

• оперативным, обеспечивающим возможность своевременно и адекватно реагировать на действия злоумышленников и реализовывать управленческие решения к заданному сроку.

Кроме того, решения по защите информации должны быть обоснованными с точки зрения всестороннего учета условий решения поставленной задачи, применения различных моделей, расчетных и информационных задач, экспертных систем, опыта и любых других данных, повышающих достоверность исходной информации и принимаемых решений.

Показателем эффективности управления защитой информации является время цикла управления при заданном качестве принимаемых решений. В цикл управления входит сбор необходимой информации для оценки ситуации, принятие решения, формирование соответствующих команд и их исполнение.

В качестве критерия эффективности может использоваться время реакции системы защиты информации на нарушение, которое не должно превышать времени устаревания информации исходя из ее ценности.

Как показывает разработка реальных АСУ, ни один из способов (мер, средств и мероприятий) обеспечения безопасности информации не является надежным, а максимальный эффект достигается при объединении всех их в целостную систему защиты информации. Только оптимальное сочетание организационных, технических и программных мероприятий, а также постоянное внимание и контроль над поддержанием системы защиты в актуальном состоянии позволит с наибольшей эффективностью обеспечить решение постоянной задачи.

Методологические основы обеспечения информационной безопасности являются достаточно общими рекомендациями, базирующимися на мировом опыте создания подобных систем. Задача каждого специалиста по защите информации адаптировать абстрактные положения к своей конкретной предметной области (предприятию, организации, банку), в которых всегда найдутся свои особенности и тонкости этого непростого ремесла.

Можно быть уверенным, что система защиты информации, построенная в соответствии с приведенными выше рекомендациями и оцененная по предложенным показателям и критериям, станет вашим верным помощником в решении проблем информационной безопасности.

Общеметодологические принципы формирования теории безопасности представлены совокупностью общетеоретических и теоретико-прикладных принципов.

Основные принципы общетеоретического характера могут быть представлены как:

• четкая целенаправленность исследований и разработок с постоянной оценкой их эффективности;

• поиск научно-обоснованных решений задач обеспечения безопасности опережающее создание общих концепций, на базе которых могли бы решаться частные проблемы;

• формирование концепций на основе реальных фактов;

• учет всех существенно значимых связей;

• своевременное изменение постановки анализируемых явлений и задач.

В общем случае теоретико-прикладные принципы содержат концентрированно выраженные рекомендации, относящиеся к самому процессу изучения проблем безопасности, содержанию и практической реализации результатов анализа.

Содержание основных принципов может быть изложено следующим образом:

1. Адекватность моделей.

Пока создаются формальные модели, у исследователей не возникает сколько-нибудь серьезных трудностей. При наложении контуров формальных моделей на реальную обстановку, подверженную влиянию случайных, трудно предсказуемых фактов, построение адекватных моделей затрудняется из-за несовершенства аппарата и методов классической теории систем.

2. Унификация решений.

Принцип исходит из утверждения, что любое унифицированное решение есть своего рода концепция. Примером такого решения могут быть унифицированная технология автоматизированной обработки информации и унифицированные технологии охраны офисных помещений.

3. Структуризация систем и решений.

Процесс формирования архитектуры систем обеспечения безопасности и технологических схем их функционирования, наилучших образом удовлетворяющий условиям, их разработки, эксплуатации и совершенствования.

На формирование методологического базиса большое влияние оказывает тот факт, что защита безопасности подвержена сильному влиянию множества случайных достаточно сложных, трудно предсказуемых факторов, особенно тех, которые связаны со злоумышленными действиями людей.