(3.1) Принципы архитектурной безопасности:

• непрерывность защиты в пространстве и времени,невозможность миновать защитные средства;

• следование признанным стандартам, использованиеапробированных решений;

• иерархическая организация ИС с небольшим числом сущностей на каждом уровне;

• усиление самого слабого звена;

• невозможность перехода в небезопасное состояние;

• минимизация привилегий;

• разделение обязанностей;

• эшелонированность обороны;

• разнообразие защитных средств;

• простота и управляемость информационной системы.

Пояснимсмысл перечисленных принципов.

Если узлоумышленникаили недовольного пользователяпоявится возможность миновать защитные средства,он, разумеется,так и сделает. Определенные выше экранирующие сервисы должны исключить подобную возможность.

Следованиепризнанным стандартам и использование апробированных решений повышает надежность ИС и уменьшает вероятность попадания в тупиковую ситуацию, когда обеспечение безопасности потребует непомерно больших затрат и принципиальных модификаций.

Иерархическая организация ИСс небольшим числом сущностей на каждом уровне необходимапо технологическим соображениям.При нарушении данного принципасистема станет неуправляемойи, следовательно, обеспечить ее безопасность будет невозможно.

Надежность любой обороны определяется самым слабым звеном.Злоумышленникне будет бороться против силы, онпредпочтет легкую победу над слабостью. (Частосамым слабым звеном оказывается не компьютер или программа, а человек, и тогда проблема обеспечения информационной безопасности приобретает нетехнический характер.)

Принцип невозможности перехода в небезопасное состояниеозначает, чтопри любых обстоятельствах, в том числе нештатных, защитное средство либо полностью выполняет свои функции, либо полностью блокирует доступ.Образно говоря, если в крепости механизм подъемного моста ломается, мост оставляют поднятым, препятствуя проходу неприятеля.

Применительно к программно-техническому уровнюпринцип минимизации привилегийпредписываетвыделять пользователям и администраторам только те права доступа, которые необходимы им для выполнения служебных обязанностей.Этот принциппозволяет уменьшить ущерб от случайных или умышленных некорректных действийпользователей и администраторов.

Принцип разделения обязанностейпредполагает такое распределение ролей и ответственности, чтобыодин человек не мог нарушить критически важный для организации процессили создать брешь в защите по заказу злоумышленников. В частности, соблюдение данного принципа особенно важно, чтобы предотвратить злонамеренные или неквалифицированные действия системного администратора.

Принцип эшелонированности обороны предписываетне полагаться на один защитный рубеж,каким бы надежным он ни казался.За средствами физической защиты должны следовать программно-технические средства, за идентификацией и аутентификацией - управление доступом и, как последний рубеж, - протоколирование и аудит.Эшелонированная оборона способна, по крайней мере, задержать злоумышленника, а благодаря наличию такого рубежа, как протоколирование и аудит, его действия не останутся незамеченными.Принцип разнообразия защитных средствпредполагает создание различных по своему характеру оборонительных рубежей, чтобы от потенциального злоумышленника требовалось овладение разнообразными и, по возможности, несовместимыми между собой навыками.

Очень важенпринцип простоты и управляемости информационной системыв целом и защитных средств в особенности. Толькодля простого защитного средства можно формально или неформально доказать его корректность. Тольков простой и управляемой системе можно проверить согласованность конфигурации различных компонентов и осуществлять централизованное администрирование.В этой связи важно отметитьинтегрирующую роль Web-сервиса,скрывающего разнообразие обслуживаемых объектов и предоставляющегоединый, наглядный интерфейс. Соответственно, если объекты некоторого вида (например, таблицы базы данных) доступны через Web, необходимо заблокировать прямой доступ к ним, поскольку в противном случае система будет сложной и плохо управляемой.