Стратегия адекватного ответа на угрозы безопасности информации
В основе данной стратегии лежит ориентация руководства организации на компромисс между первым и вторым вариантом, смягчающий их радикальные недостатки, но не позволяющий в полной мере использовать соответствующие преимущества. Ориентация на такую стратегию предполагает возможность использования службой ЗИ всего комплекса легитимных методов профилактики и отражения потенциальных угроз. В порядке исключения допускается использование и не полностью легитимных методов, но лишь в отношении тех конкурентов или иных источников угроз безопасности информации, которые первыми применили подобные методы.
Стратегия адекватного ответа на угрозы рекомендуется для большинства современных работодателей.
Вопрос 2. Подразделение защиты информации организации: понятие, подходы к созданию
В организационной структуре организации (предприятия) подразделение защиты информации выступает в качестве одного из штабных, т. е. наделенных распорядительными полномочиями, подразделений. Она несет основную ответственность за защиту информации в организации (предприятии) от различных угроз, получая для этого необходимые ресурсы и полномочия.
Подразделение защиты информации – самостоятельное структурное подразделение, которое создается в организации для выполнения задач по защите (рис. 4)
защищаемой информации;
носителей защищаемой информации;
информационных процессов.
Рис. 4. Объекты защиты в организации
Главной целью подразделения защиты информации является обеспечение непрерывности функционирования организации и предотвращения угроз безопасности информации, циркулирующей в организации.
Подразделение ЗИ направлена на выполнение следующих функций:
предупреждение условий, порождающих факторы, воздействующие на информацию;
предупреждение проявления факторов, воздействующих на информацию;
обнаружение проявившихся факторов, воздействующих на информацию;
нейтрализация воздействия на информацию проявившихся факторов, воздействующих на информацию;
обнаружение снижения защищенности информации;
локализация снижения защищенности информации;
ликвидация последствий воздействия факторов, воздействующих на информацию.
Исходя из целей и функций подразделения ЗИ задачи, стоящие перед ней делятся на две группы:
Задачи, связанные непосредственно с защитой информации.
Задачи, связанные с управлением защитой информации.
На основе системного н предметного анализа содержания и рациональных путей решения задач первой группы можно выделить следующие 10 классов задач.
Класс 1.1 - введение избыточности элементов СЗИ. Под избыточностью понимается включение в состав элементов системы дополнительных компонентов сверх минимума, который необходим для выполнения ими всего множества своих функций. Избыточные элементы функционируют одновременно с основными, что позволяет создавать системы, устойчивые относительно внешних и внутренних дестабилизирующих воздействий. Различают избыточность организационную (т.е. введение дополнительной численности людей), аппаратную (введение дополнительных технических устройств), программно-алгоритмическую (введение дополнительных алгоритмов и программ), информационную (создание дополнительных информационных массивов), временную (выделение дополнительного времени для проведения обработки информации) и т.п.
Класс 1.2 - резервирование элементов СЗИ. Резервирование, как разновидность задач защиты информации, в некотором смысле противоположно введению избыточности: вместо введения в активную работу дополнительных элементов, наоборот - часть элементов выводится из работы и держится в резерве на случай непредвиденных ситуаций. Резервироваться могут практически все элементы системы защиты информации, причем различают два основных вида резервирования, которые получили названия горячего и холодного. Горячим называется такое резервирование, когда выводимые в резерв элементы находятся в рабочем состоянии и способны включаться в работу сразу, т.е. без проведения дополнительных операций включения и подготовки; холодным - когда элементы находятся в таком состоянии, что для перевода их в рабочее состояние требуются дополнительные операции (процедуры).
Класс 1.3 - регулирование доступа к объектам защиты. Регулирование доступа, по определению, заключается в том, что доступ на территорию (в помещение, к техническим средствам, к программам, к. массивам (базам) данных и т.п.) будет предоставлен лишь при условии предъявления некоторой заранее обусловленной идентифицирующей информации.
Класс 1.4 - регулирование использования объектов доступа. Регулирование использования, тоже по определению, заключается в том, что осуществление запрашиваемых процедур (операций) производится лишь при условии предъявления некоторых заранее обусловленных полномочий.
Класс 1.5 - маскировка информации. Заключается в том, что защищаемые данные преобразуются или маскируются таким образом, что преобразованные данные в явном виде могут быть доступными лишь при предъявлении некоторой специальной информации, называемой ключом преобразования.
Класс 1.6 - контроль объектов защиты. Данный класс задач предполагает целый ряд проверок: соответствие объектов защиты заданному их составу, текущего состояния объектов защиты, работоспособности объектов защиты, правильности их функционирования элементов системы, состояния существенно значимых параметров внешней среды и т.п.
Класс 1.7 - регистрация сведений. Под регистрацией как классом задач защиты информации понимается фиксация всех тех сведении о фактах, событиях и ситуациях, относящихся к защите объектов защиты, которые возникают в процессе функционирования организации и знание которых необходимо для эффективной защиты.
Класс 1.8 - уничтожение информации. Под уничтожением как классом задач защиты информации понимается осуществление процедур своевременного уничтожения (или полного вывода из системы обработки) тех элементов информации (или других компонентов системы), которые больше не нужны для функционирования организации и дальнейшее нахождение которых в организации может отрицательно сказаться на защищенности информации.
Класс 1.9 - сигнализация. Одним из важнейших положений системно-концептуального подхода к защите информации является активность защиты, что обеспечивается созданием функционально самостоятельной системы защиты и осуществлением регулярного управления ее функционированием. Во всякой же системе управления непременно должна быть обратная связь, по которой будет поступать информация (сигналы) о состоянии управляемых объектов и процессов. Процедуры генерирования, передачи и отображения (выдачи) этих сигналов и составляют содержание рассматриваемого класса задач.
Класс 1.10 - реагирование. Вторым важнейшим признаком активности системы защиты является наличие возможностей реагирования на проявление дестабилизирующих факторов с целью предотвращения или, по крайней мере, снижения степени воздействия их на информацию. Характерным примером такого реагирования может служить противодействие попыткам несанкционированного получения информации злоумышленником, задержание нарушителя н т.п.
Задачи второго вида, т.е. управления механизмами защиты, чётко классифицируются в соответствии с функциями управления, которые будут рассмотрены более подробно на следующих лекциях.
Обеспечение безопасности информации в организации (на предприятии) должно основываться на следующих основных принципах:
Комплексность:
обеспечение безопасности персонала, материальных и финансовых ресурсов от возможных угроз всеми доступными законными средствами, методами и мероприятиями;
обеспечение безопасности информационных ресурсов в течение всего их жизненного цикла, на всех технологических этапах их обработки (преобразования) и использования, во всех режимах функционирования;
способность системы к развитию и совершенствованию в соответствии с изменениями условий функционирования фирмы.
Своевременность - упреждающий характер мер обеспечения безопасности информации. Своевременность предполагает постановку задач по комплексной безопасности на ранних стадиях разработки системы защиты информации на основе анализа и прогнозирования обстановки, угроз безопасности, а также разработку эффективных мер предупреждения посягательств на законные интересы.
Непрерывность. Считается, что злоумышленники только и ищут возможность, как бы обойти защитные меры, прибегая для этого к легальным и нелегальным методам.
Активность. Защищать интересы организации (предприятия) необходимо с достаточной степенью настойчивости, широко используя маневр силами и средствами обеспечения безопасности и нестандартные меры защиты.
Законность. Предполагает разработку системы защиты информации на основе федерального законодательств в области предпринимательской деятельности, информатизации и защиты информации частной охранной деятельности, а также других нормативных актов по защите информации, утвержденных органами государственного управления в пределах их компетенции, с применением всех дозволенных методов обнаружения и пресечения правонарушении.
Обоснованность. Предлагаемые меры и средства защиты должны реализоваться на современном уровне развития науки и техники, быть обоснованными с точки зрения заданного уровня безопасности и соответствовать установленным требованиям и нормам.
Экономическая целесообразность и сопоставимость возможного ущерба и затрат на обеспечение безопасности (критерий «эффективность-стоимость»).
Специализация. Предполагается привлечение к разработке и внедрению мер и средств защиты специализированных организаций наиболее подготовленных к конкретному виду Деятельности по обеспечению безопасности, имеющих опыт практической работе и государственную лицензию на право оказания услуг в этой области. Эксплуатация технических средств и реализация мер безопасности должны осуществляться профессионально подготовленными специалистами подразделения безопасности, ее функциональных и обслуживающих подразделений.
Взаимодействие и координация. Предполагает осуществление защиты информации на основе четкого взаимодействия всех заинтересованных подразделении и служб, сторонних специализированных организаций в этой области, координацию их усилий для достижения поставленных целей, а также интеграцию деятельности с органами государственного управления и правоохранительными органами.
Совершенствование. Предусматривает совершенствование мер и средств защиты на основе собственного опыта, появления новых технических средств с учетом изменений в методах разведки и промышленного шпионажа, нормативно технических требований, накопленного отечественного и зарубежного опыта.
Централизация управления. Предполагает самостоятельное функционирование системы защиты информации по единым организационным, функциональным и методологическим принципам с централизованным управлением её деятельностью.
Особое внимание необходимо уделять принципу комплексности обеспечения безопасности информации во всем многообразии структурных элементов организации (предприятия), при множестве угроз безопасности информации и способов их реализации должны применяться все виды и формы защиты и противодействия в полном объеме. Недопустимо применять отдельные формы или технические средства.
Важнейшими условиями обеспечения безопасности являются законность, достаточность, соблюдение баланса интересов личности и организации (предприятия), высокий профессионализм сотрудников подразделения ЗИ, подготовка всех сотрудников организации (предприятия) и соблюдение ими всех установленных правил сохранения информации ограниченного распространения, взаимная ответственность сотрудников и руководства организации (предприятия).
На основании вышеизложенного рассмотрим основные подходы к созданию подразделения ЗИ.