5.2. Отличия сети от вычислительного центра

Вид, разнообразие и серьезность проблем, с которыми встречаются при защите информации на сетевых микрокомпьютерах, заметно отличаются от того, с чем имеют дело на вычислительных центрах или при работе приложений в режиме разделения времени, где ряд терминальных устройств присоединен к центральной машине. Важные отличия с точки зрения безопасности показаны в табл. 2.

Таблица 2

Отличия сети от вычислительного центра с точки зрения безопасности

Объект	Вычислительный центр	Распределенная сеть
Среда	В пределах идентифицированной группы пользователей, работающих с приложением	Потенциально открыта через межсетевые соединения
Информационная база	Определена и контролируема	Не определена: средства контроля – у пользователя
Информационный поток	Двусторонний	Неограниченный
Физический контроль доступа	Зависит от физической структуры банка данных	Относительно менее важен, поскольку данные распределены
Логический контроль доступа	Защищает файлы	Защищает файлы и целостность сети

В отличие от средств физического и логического контроля, сосредоточенных в одном месте, что типично для схемы безопасности вычислительного центра, сеть требует следующих мер информационной безопасности:

– контроль доступа ко всем информационным файлам, доступным по внутренней сети и по внешним сетям;

– контроль работы авторизованного сотрудника с файлом, с которым ему разрешено работать;

– контроль доступа к сетевому трафику;

– установление эффективных средств идентификации и аутентификации для каждого участника, будь то физическое лицо или логический объект, а также для каждого компонента сети;

– контроль доступа к сетевым ресурсам (включая центры регистрации и учета, коммуникационные контроллеры, входные устройства и различные серверы), физический и логический, как из центральных доменов, жестко связанных или напрямую подключенных устройств, так из удаленных пунктов, по телефону или через межсетевые соединения;

– контроль распространения информации с целью предотвращения ее несанкционированного распределения или утечки к неавторизованным сетевым станциям или пользователям.

К защищенным системам относятся такие аппаратные и программные средства, которые разработаны с учетом требований безопасности обработки информации, содержащихся в соответствующих государственных документах и обладают проверенными в ходе сертификационных испытаний ФСТЭК России защитными свойствами. Установлено девять классов защищенности автоматизированных систем от НСД, распределенных по трем группам.

В табл. 3 показаны возможные случаи риска, а также элементы безопасности, применяющиеся по отношению к каждому случаю. Другие вопросы безопасности отражены в таблицах 6-8 в приложении Б.

В модели сетевой безопасности связь между различными элементами безопасности выражается математически:

, (1)

где S – полная безопасность системы, P₁ – физическая безопасность, P₂ – персональная безопасность (доверие и сознательность), A – административный контроль, C₁ – безопасность при передаче данных, C₂ – безопасность компьютерной обработки данных. Каждый элемент может изменяться в интервале от 0 (потеря безопасности) до 1 (полная безопасность). Использование формул «нечеткой логики» для вычисления эффективности каждого элемента в производственной ситуации может обеспечить форму оценки риска для сети. Очень хорошая защита находится в интервале от 0,8 до 0,9, в то время как значение меньшее, чем 0,3, должно внушать тревогу. Такая оценка может оказаться полезной в этом случае.

Таблица 3

Угрозы безопасности и меры, применяемые в каждом случае

Риск	Применяемые элементы безопасности
	Физические	Технические	Организационные
Неавторизованный доступ к информации на сетевых файлах	Защищенные файл-серверы	Система контроля доступа; шифрование входа в сеть	Процесс авторизации
Прослушивание с помощью: 1) физического подключения; 2) регистрации уровня излучения	1)защищенные файл-серверы 2)экранирование терминальных устройств	Шифрование
Работа с файлом: 1) неавторизованная; 2) авторизованная, но недостаточно		1) контроль доступа к файлу; 2) гранулированность контроля входа в сеть
Несанкционированное распределение информации		Программные ограничения, связанные с метками конфиденциальности	Административный контроль за использованием списков рассылки
Несанкционированное использование привилегированного доступа	Защищенные сетевые устройства	Гранулированность контроля входа в сеть.	Ограничение привилегий
Физическое нападение на сетевые компоненты	Защищенные сетевые устройства