4.3. Оценка факторов, влияющих на требуемый уровень защиты

Требуемый уровень защиты должен определяться с учетом значений всех рассмотренных выше параметров защищаемой информации. Естественно, что в конкретных условиях он существенно зависит также от других факторов, которые влияют на защиту. Таким образом, формирование возможно более полного множества этих факторов и возможно более адекватное определение степени их влияния на требуемый уровень защиты представляется на сегодня одной из наиболее актуальных задач.

Сформулированная задача, однако, так же, как и практически все описанные нами ранее задачи, не может быть решена с помощью традиционных формальных методов, так как статистических данных о функционировании различных систем и механизмов защиты информации либо вообще нет, либо они оказываются далеко не полными, а достоверность их вызывает серьезные сомнения.

В силу сказанного в настоящее время для указанных целей можно воспользоваться лишь рассмотренными в главе 2 неформально-эвристическими методами, т.е. методами, основанными на широком привлечении знаний, опыта и интуиции компетентных и заинтересованных специалистов.

Нетрудно видеть, что поставленная задача довольно четко может быть разделена на две подзадачи – формирование возможно более полного и хорошо структурированного множества факторов, существенно значимых с точки зрения защиты информации, и определение показателей значимости (весов) факторов. Анализируя содержание этих подзадач и существо рассмотренных в главе 2 неформально-эвристических методов, нетрудно заключить, что для решения первой из них наиболее эффективным представляется сочетание алгоритма автоформализации знаний и метода психоинтеллектуальной генерации, а второй – комбинация известных методов экспертных оценок.

Основой решения первой подзадачи в этом случае должна быть разработка так называемой психо-эвристической программы (ПЭП). Такая программа представляет собой перечень и последовательность (общий алгоритм) обсуждения вопросов, составляющих существо рассматриваемой проблемы, развернутую схему и методические указания, обеспечивающие целенаправленное обсуждение каждого вопроса.

При разработке ПЭП для обоснования множества факторов, влияющих на требуемый уровень защиты информации, следует учитывать их исключительно большое количество и разноплановый характер. Поэтому представляется целесообразным разделить все факторы на некоторое число групп. Тогда задачу формирования возможно более полного множества факторов можно решать по трехшаговой процедуре: первый шаг – формирование перечня групп факторов, второй – формирование перечня факторов в каждой из выделенных групп, третий – структуризация возможных значений факторов.

Первоначальное формирование перечня групп факторов может осуществляться двояко в зависимости от того, сформирован он предварительно (на основе процедуры автоформализации знаний) или нет. В первом случае обсуждение должно вестись в целях обоснования содержания и возможной корректировки перечня, во втором – формирования перечня и затем уже его обоснования и уточнения.

Таким образом, если использовать первый подход, то психо-эвристическая программа будет представлять последовательность следующих действий: формирование перечня групп факторов, формирование перечня факторов в каждой из выделенных групп, структуризация возможных значений факторов.

Сформированное по указанной методологии множество факторов включает следующие пять групп:

1. Факторы, обуславливаемые характером обрабатываемой информации (степень конфиденциальности, объемы, интенсивность обработки);

2. Факторы, обуславливаемые архитектурой системы (геометрические размеры системы, территориальная распределенность, структурированность компонентов);

3. Факторы, обуславливаемые условиями функционирования системы (расположение в населенном пункте, расположение на территории объекта, обустроенность);

4. Факторы, обуславливаемые технологией обработки информации (масштаб обработки, стабильность, доступность, структурированность информации);

5. Факторы, обуславливаемые организацией работы с информацией (общая постановка дела, укомплектованность кадрами, уровень подготовки и воспитания кадров, уровень дисциплины).

Значения всех указанных факторов, выраженные в лингвистических переменных, приведены в табл. 4.4. Они сведены нами в некоторую унифицированную схему и расположены так, что на первом месте находятся

значения, предопределяющие наиболее высокие требования к защите информации, а на четвертом – наиболее низкие требования.

Таблица 4.4. Значения факторов, влияющих на требуемый уровень защиты информации

Наименование группы факторов	Наименования факторов	Значения факторов
Обуславливаемые характером обрабатываемой информации	Степень конфиденциаль-ности Объемы Интенсивность обработки	Очень высокая Высокая Средняя Невысокая Очень большие Большие Средние Малые Очень высокая Высокая Средняя Низкая
Обуславливаемые архитектурой системы	Геометрические размеры системы Территориальная распределенность системы Структурирован-ность компонентов системы	Очень большие Большие Средние Незначительные Очень большая Большая Средняя Незначительная Полностью отсутствует Частичная Достаточно высокая Полная
Обуславливаемые условиями функционирования системы	Расположение в населенном пункте Расположение на территории объекта Обустроенность	Очень неудобное Создает значительные трудности для защиты Создает определенные трудности для защиты Очень хорошее Хаотично разбросанное Разбросанное Распределенное Компактное Очень плохая Плохая Средняя Хорошая
Обуславливаемые технологией обработки информации	Масштаб обработки Стабильность информации Доступность информации Структурированность информации	Очень большой Большой Средний Незначительный Отсутствует Частично стабильная Достаточно упорядоченная Регулярная Общедоступная С незначительными ограничениями на доступ С существенными ограничениями на доступ С полным регулируемым доступом Полностью отсутствует Частичная Достаточно высокая Полная
Обуславливаемые организацией работы с информацией	Общая постановка дела Укомплектованность кадрами Уровень подготовки и воспитания кадров Уровень дисциплины	Очень плохая Плохая Средняя Хорошая Очень слабая Слабая Средняя Полная Очень низкий Низкий Средний Высокий Очень низкий Низкий Средний Высокий

Таким образом, всего выделено 17 факторов, каждый из которых может принимать одно из четырех значений. В этом случае общее число различных вариантов потенциально возможных условий защиты, как показывают расчеты, превысит 1,7  10¹⁰, т. е. составит число астрономического порядка.

В общем случае для каждого из потенциально возможных вариантов условий должны быть определены свои требования к защите информации, что при таком количестве вариантов практически невозможно. Следовательно, необходимо разделить все множество возможных вариантов на некоторое (сравнительно небольшое) число классов, в рамках каждого из которых все входящие в него варианты с точки зрения требований к защите должны считаться идентичными. Указанная классификация сопряжена с решением комбинаторной задачи весьма большой размерности и с высоким уровнем неопределенности. Возможные подходы к ее решению рассматриваются в следующем разделе данной главы.