7.6 Этапы разработки систем защиты

При первоначальной разработке и реализации системы защиты ИС обычно выделяют три стадии.

Первая стадия - выработка требований включает:

- выявление и анализ уязвимых в ИС и ИТ элементов, которые могут подвергнуться угрозам;

- выявление или прогнозирование угроз, которым могут подвергнуться уязвимые элементы ИС;

- анализ риска.

Стоимостное выражение вероятного события, ведущего к потерям, называют риском. Оценки степени риска в случае осуществления того или иного варианта угроз, выполняемые по специальным методикам, называют анализом риска.

На второй стадии - определение способов защиты - принимаются решения о том:

- какие угрозы должны быть устранены, и в какой мере;

- какие ресурсы ИС должны быть защищаемы, и в какой степени;

- с помощью каких средств должна быть реализована защита;

- каковы должны быть стоимость реализации защиты и затраты на эксплуатацию ИС с учетом защиты от потенциальных угроз.

Вторая стадия предусматривает разработку плана защиты и формирование политики безопасности, которая должна охватывать все особенности процесса обработки информации, определяя поведение системы в различных ситуациях.

План защиты содержит следующие разделы (группы сведений):

Текущее состояние системы (как результат работы первой стадии).

Рекомендации по реализации системы защиты.

Ответственность персонала.

Порядок ввода в действие средств защиты.

Порядок пересмотра плана и состава защиты.

Политика безопасности представляет собой некоторый набор требований, прошедших соответствующую проверку, реализуемых при помощи организационных мер и программно-технических средств и определяющих архитектуру системы защиты. Для конкретных организаций политика безопасности должна быть индивидуальной, зависимой от конкретной технологии обработки информации, используемых программных и технических средств, расположения организации и т.д.

Третья стадия - построение системы информационной безопасности, т.е. реализация механизмов защиты как комплекса процедур и средств обеспечения безопасности информации. В заключение производится оценка надежности системы защиты, т.е. уровня обеспечиваемой ею безопасности.

Функционирование системы информационной безопасности направлено на реализацию принципа непрерывного развития. Необходимо с определенной периодичностью анализировать текущее состояние системы и вводить в действие новые средства защиты. В этом отношении интересна практика защиты информации в США.

Американский специалист в области безопасности информации А. Патток предлагает концепцию системного подхода к обеспечению защиты конфиденциальной информации, получившую название "метод Opsec" (Operation Security).

Суть метода в том, чтобы пресечь, предотвратить или ограничить утечку той части информации, которая позволит конкуренту определить, что осуществляет или планирует предприятие.

Процесс организации защиты информации по методу Opsec проводится регулярно и каждый раз поэтапно.

Первый этап (анализ объекта защиты) состоит в определении того, что нужно защищать.

Анализ проводится по следующим направлениям:

- определяется информация, которая нуждается в защите;

- выделяются наиболее важные элементы (критические) защищаемой информации;

- определяется срок жизни критической информации (время, необходимое конкуренту, для реализации добытой информации);

- определяются ключевые элементы информации (индикаторы), отражающие характер охраняемых сведений;

- классифицируются индикаторы по функциональным зонам предприятия (производственно-технологические процессы, система материально-технического обеспечения производства, подразделения управления и т.д.).

Второй этап предусматривает выявление угроз:

- определяется, кого может заинтересовать защищаемая информация;

- оцениваются методы, используемые конкурентами для получения этой информации;

- оцениваются вероятные каналы утечки информации;

- разрабатывается система мероприятий по пресечению действий конкурента или любого взломщика.

На третьем этапе проводится анализ эффективности принятых и постоянно действующих подсистем обеспечения безопасности (физическая безопасность документации, надежность персонала, безопасность используемых для передачи конфиденциальной информации линий связи и т.д.).

На четвертом этапе определяются необходимые меры защиты. На основании проведенных на первых трех этапах аналитических исследований вырабатываются необходимые дополнительные меры и средства по обеспечению безопасности предприятия.

На пятом этапе руководитель фирмы (организации) рассматривает представленные предложения по всем необходимым мерам безопасности и расчеты их стоимости и эффективности.

Шестой этап состоит в реализации принятых дополнительных мер безопасности с учетом установленных приоритетов.

Седьмой этап предполагает контроль и доведение до персонала фирмы реализуемых мер безопасности.

Следует отметить, что рассмотренный метод требует участия в его реализации группы аналитиков из числа опытных специалистов, как в области информатики, так и в тех областях знаний, которые необходимы для проведения анализа.

Контрольные вопросы к главе 7

1. Как производится оценка источника информации?

2. Как производится оценка информации с помощью системы оценок?

3. Перечислите этапы аналитической работы при получении информации.

4. В каком случае возникают наибольшие трудности при оценке достоверности информации?

5. Что понимается под оценкой достоверности информации?

6. Что понимается под спектром уровней достоверности информации?

7. Сто понимается под правильностью при оценке достоверности информации?

8. Что понимается под точностью при оценке достоверности информации?

9. Перечислите виды точности при оценке достоверности информации.

10. Что понимается под надежностью при оценке достоверности информации?

Контрольные тесты к главе 7

1. Наибольшие трудности возникают при оценке достоверности информации, получаемой по:

а) конфиденциальным источникам;

б) формульным зависимостям;

в) информационной базы.

2. Процесс установления степени соответствия знания об объекте (в рамках принятых при решении задач информационных моделей) реальному состоянию объекта, т.е. определение степени адекватности представлений реальному состоянию оригинал объекта (предмета, явления), называется:

а) оценка достоверности информации;

б) определение спектра уровней достоверности информации;

в) определение конструктивной ценности ошибки.

3. … показателей обусловлена способом их количественной оценки – выбором измерительных шкал, единиц измерения и размерностей:

а) достоверность;

б) правильность;

в) точность.

4. Характеристика достоверности показателей, отражающая размеры отклонения показателя от его истинного значения, «допуск», в пределах которого находится истинная величина, представляет собой:

а) правильность;

б) точность;

в) надежность.

Контрольные вопросы по курсу

21. Перечислите составляющие обеспечивающей части АСУ.

22. Что означает термин информация?

23. Перечислите задачи информационного обеспечения управления.

24. Перечислите особенности экономической информации.

25. Назовите показатели качества экономической информации.

26. Охарактеризуйте основные методы сбора информации.

27. Чем отличаются реквизиты-признаки от реквизитов-оснований?

28. Как классифицируются модели в зависимости от фактора времени?

29. Опишите механистическую модель организации.

30. Особенности модели внешней среды организации.

31. Какие факторы следует рассматривать при анализе внешней среды организации?

32. Особенности модели организации как коллектива работников.

33. С какой целью разрабатываются классификаторы?

34. Какие бывают классификаторы?

35. Чем отличается иерархическая система классификации от фасетной?

36. Что такое информационный язык? Что такое дескриптор и тезаурус? Перечислите типы отношений между терминами.

37. В каких случаях используются регистрационные системы кодирования и какие системы относятся к этому классу?

38. Для чего используются классификационные системы кодирования, какие системы входят в эту группу?

39. Что включается в систему ведения классификаторов?

40. Что такое ЕСКК и какова его структура?

41. Каков состав ОК? Каковы принципы организации ОК?

42. Каково назначение ЕСКК и какова ее структура?

43. Какое назначение штрихового кодирования?

44. Перечислите типы и виды штрих-кодов?

45. Какие функции выполняет документ в ЭИС?

46. Какие виды документов можно выделить в системе документации?

47. Что такое Унифицированная система документации и каким требованиям она должна отвечать?

48. Какие существуют виды Унифицированной системы документации?

49. Перечислите принципы и назовите требования к построению первичных документов.

50. Каковы принципы и требования к построению форм результатных документов?

51. Каковы особенности построения форм первичных документов?

52. Каков состав операций проектирования форм результатных документов?

53. Дайте определение подсистемы информационного обеспечения.

54. Назовите виды информационного обеспечения.

55. Назовите особенности экономической информации.

56. Назовите особенности учетной информации.

57. Перечислите требования к учетной информации.

58. Что такое система классификации?

59. Назовите виды общероссийских классификаторов информации.

60. В чем особенности отраслевых классификаторов?

61. Дайте определение процесса кодирования.

62. В чем особенности классификационных систем кодирования?

63. Как производится кодирование организаций в программе «1C:»?

64. Назовите наиболее актуальные проблемы информатизации общества в РФ.

65. Охарактеризуйте особенности экономической информации.

66. Какова структура экономической информации? Что такое реквизит, показатель, документ? Дайте определение системы и определите ее основные свойства.

67. Что понимается под системой управления экономическим объектом?

68. Классифицируйте автоматизированные информационные системы.

69. Дайте понятие автоматизированной информационной технологии и определите ее задачи. Назовите важнейшие классификационные признаки АИТ.

70. Дайте определение автоматизированного рабочего места специалиста (АРМ).

71. Каковы роль и место АРМ в автоматизированной информационной технологии?

72. Каков состав процедур ведения ИБ?

73. Каковы требования, предъявляемые к процедуре загрузки?

74. Каков состав основных операций, включаемых в процедуру загрузки?

75. Каково содержание операции «Прием, контроль и регистрация первичной информации» и от какого фактора оно зависит?

76. Перечислите методы ввода первичной информации в ЭВМ и методы контроля вводимой информации.

77. Перечислите особенности подготовки первичных данных, влияющих на содержание операций процедуры загрузки.

78. Какой состав методов семантического и синтаксического контроля первичной информации, используемых при загрузке данных?

79. Каков состав операций проектирования процедуры загрузки данных в ИБ?

80. Какие средства частичной автоматизации проектирования процедуры загрузки вы знаете и какие факторы влияют на их выбор?

81. В чем особенность и каков состав операций, выполняемых при вводе информации с бумажных носителей?

82. Каков состав операций по проектированию системы ввода информации с бумажных документов?

83. Что такое форматированный документ и каковы способы его описания?

84. Что такое «сканирование»?

85. Перечислите факторы, влияющие на качество сканирования.

86. Перечислите и охарактеризуйте компоненты информационной инфраструктуры.

87. Что понимается под информационной совместимостью информационной системы?

88. Дайте определение АИС.

89. Перечислите основные свойства системы.

90. Чем отличается электронная форма документа от унифицированной?

91. Перечислите достоинства использования принципов организации базы и банка данных для хранения информации.

92. Каким требованиям должна отвечать организация хранения файлов в информационной базе?

93. Назовите достоинства и недостатки электронных документов.

94. Что понимается под технологическим процессом обработки экономической информации?

95. Перечислите процедуры информационного обеспечения функции контроля.

96. Как классифицируется система экономической документации?

97. Перечислите отличия бумажных форм документов от электронных.

98. Перечислите этапы проектирования форм электронных документов.

99. Из каких частей состоит экранное поле электронного документа?

100. Перечислите требования, предъявляемые к информационной части экранного поля электронного документа.

101. Что включает в себя внутримашинное информационное обеспечение?

102. Перечислите виды массивов информации внутримашинного информационного обеспечения.

103. Как классифицируются файлы ЭИС?

104. Каким требованиям должна удовлетворять организация базы данных?

105. Как определяется показатель достоверности обработки информации?

106. Какие выполняются операции при получении первичной информации?

107. Что такое сбор информации?

108. Какие работы выполняются для обеспечения достоверности вводимых и хранимых данных)?

109. Что представляет собой проектирование системы загрузки и ведения информационной базы?

110. Какими методами осуществляется арифметический контроль загрузки информационной базы?

111. Как осуществляется логический контроль загрузки информационной базы?

112. Как производится оценка информации?

113. Как производится оценка источника информации?

114. Как производится оценка способа получения информации?

115. Что такое оценка достоверности информации?

116. Каков диапазон спектра уровней достоверности информации?

117. Как характеризуется достоверность показателей?

118. Перечислите виды точности при оценке достоверности показателей.

119. Что такое надежность оценки точности экономического показателя?

120. Какими способами осуществляется обеспечение информационной безопасности?