2.9 Комплексная система защита информации на предприятии

2.9.1 Комплексная система обеспечения иб.

Предметом комплекса систем защиты информации являются процессы построения адекватных систем защиты информации на основе методических рекомендаций использование технических средств в рамках действующего законодательства.

Комплексные системы защиты информации:

1. Правовое обеспечение:

• взаимоотношение с государственными органами;

• взаимоотношение с внешними организациями;

• внутренние взаимоотношения;

2. Организационно-методическое обеспечение

2. Инженерно-техническое обеспечение:

• технические каналы утечки информации;

• акустические каналы утечки информации (виброакустические);

• побочные электромагнитные индуктивные наводки (ПЭМИН);

• наблюдение (шпионаж);

• материально-вещественные;

2. Программно-аппаратное обеспечение:

• защита сетей:

• применение штатных средств;

• PROXY;

• Межсеетвой экран;

• системы обработки вторжения;

• программно-аппаратная защита информации;

• пароль;

• крипто-защита;

• защита от вирусов;

• защита от сбоев.

КСЗИ состоит из:

• Анализ информации, циркулирующей на объекте защиты

• Выявление угроз безопасности информации

• Разработка организационно-методических мероприятий и подбор ТС

• Введение в эксплуатацию КСЗИ, сертификация и дальнейшее развитие.

КСЗИ – это комплекс правовых, организационных, инженерно-технических средств, методов и способов, предназначенных для обеспечения сохранности информации, заданной степени секретности (конфиденциальности).

Если на предприятии создана КЗИ, то система защиты материальных средств создается автоматически.

Основной состав КСЗИ:

• системы сохранности материальных ценностей;

• четкая система документооборота;

• организация службы охраны или безопасности;

• организация управленческой и аналитической работы КСЗИ;

• подразделение, непосредственно занимающееся обеспечением безопасности информации.

Задачи, ставящиеся перед КСЗИ вытекают из следующего принципа:

• выявления по возможности каналов утечки информации и угрозы информации и борьба с ними;

• создание и документальное закрепление организации методов защиты информации;

• правовое регулирование защиты информации;

• защита информации от случайных угроз (стихийное бедствие);

• защита информации от шпионажа и диверсии;

• защита информации от НСД;

• защита информации от разрушающих программ, воздействующих в автоматизированных системах;

• защита информации в распределительных автоматизированных системах обработки данных.

Основные принципы построения систем защиты информации:

• Системности.

• Комплектности.

• Непрерывности.

• Разумной достаточности.

• Гибкости управления и применения.

• Открытый алгоритм и механизм защиты.

• Простоты применения защитных мер и средств.

Системность: учет всех взаимосвязей, а также факторов и условий, взаимодействующих и изменяющихся во времени. Система должна строиться с учетом ее развития.

Комплексность: согласованное применение разнородных средств, перекрывающие все существующие каналы реализации угроз информации и не содержащие слабых мест. Защита должна строиться этоганированно.

Непрерывность: проведение не разовых мероприятий, и даже не совокупности мероприятий и установки средств защиты, а непрерывный целенаправленный процесс. Перерывы в работе систем защиты могут привести к ее нецелесообразности.

Гибкость: создать абсолютно защищенную систему нельзя, т.к. появляются все новые методы ее разрушения, поэтому система должна иметь средства для эффективной обороны от новых.

Открытый алгоритм и механизм защиты. Знание алгоритма работы системы защиты не должно давать возможности ее преодоления, даже ее автору.

Простота применения: механизмы защиты должны быть интуитивно понятны и проекты в исполнении.

Этапы создания КЗСИ:

1. Разработка технического задания.

2. Эскизное проектирование.

3. Техническое проектирование.

4. Рабочее проектирование.

5. Производство опытного образца.

Одним из основных этапов разработки КСЗИ является этап разработки технического задания. Научно-исследовательская разработка – выработка технического задания. Опытно-конструкторская разработка – всё остальные этапы.

Схема: Техническое задание на построение КСЗИ

Научно-исследовательская разработка. Техническое задание содержит основные технические требования к разработанной КСЗИ, а также согласованные взаимные обязательства заказчика и исполнителя. Научно-исследовательская разработка начинается с анализа угроз безопасности информации, анализа защитной КС и анализа конфиденциальности и важности информации в КС.

При построении КС учитывается:

• географическое расположение КС;

• тип КС (распределение, сосредоточение);

• структуры КС;

• производительность и надежность элементов КС;

• типы использованных аппаратных и программных средств и их решаемые работы;

• внутренние угрозы безопасности информации КС;

• внешние угрозы безопасности информации КС.

По результатам анализа угрозы безопасности строится модель угроз и модель злоумышленника.

Подходы построению злоумышленника:

1. Профессия, оснащение всем необходимым и имеющий легальный доступ на все рубежи защиты.

2. Модель с учетом различных квалификаций злоумышленника, его оснащения и официального статуса КС.

Классы злоумышленника:

• Профессионал.

• Не профессионал, но с высокой квалификацией.

• Не профессионал и не квалифицированный.

Модель злоумышленника и случайных угроз позволяет получить полный спектр угроз и их характеристики.