1.5. Цели системного подхода к защите информации

Для каждой системы должна быть сформулирована цель, к которой эта система стремится. Чем точнее и конкретнее указано назначение или перечислены функции системы, тем быстрее и правильнее можно выбрать лучший вариант ее построения. Например, цель, сформулированная в самом общем виде как обеспечение безопасности предприятия, заставит его рассматривать варианты создания глобальной системы защиты.

Если же цель уточнить, определив ее, например, как обеспечение безопасности информации, передаваемой по каналам связи внутри здания, то круг возможных технических решений существенного сузится. Следует иметь в виду, что, как правило, глобальная цель достигается через достижение множества менее общих локальных целей (подцелей). Построение такого «дерева целей» значительно облегчает, ускоряет и удешевляет процесс создания системы защиты информации.

Как правило, всегда рассматривается несколько вариантов построения системы, обеспечивающей заданные цели по защите информации. Чтобы оценить, какой из вариантов построения системы лучше, необходимо:

1. определить качество реализации заданных функций, ведущих к цели;

2. учитывать затраты ресурсов, необходимых для выполнения функционального назначения системы (ресурсы это не только деньги, техника, но и люди, и чем они подготовленнее, тем меньше затрачивается ресурсов. Например, инженер после института и сотрудник после школы);

3. иметь ясный и однозначный физический смысл;

4. быть связанным с основными характеристиками системы и допускать количественную оценку на всех этапах создания системы.

Таким образом, учитывая многообразие потенциальных угроз информации на предприятии, сложность его структуры, а также участие человека в технологическом процессе обработки информации цели защиты информации могут быть достигнуты только путем создания СЗИ на основе комплексного подхода.

А это одновременно подразумевает, что защита информации – есть непрерывный процесс, который заключается в контроле защищенности, выявлении узких мест в системе защиты, обосновании и реализации наиболее рациональных путей совершенствования и развития системы защиты.

Учитывая все вышесказанное можно сформулировать четыре пункта постулата системы защиты:

1. система защиты информации может быть обеспечена лишь при комплексном использовании всего арсенала имеющихся средств защиты, сочетающая в себе такие направления защиты, как правовая, организационная и инженерно-техническая;

2. никакая система защиты не обеспечит безопасности информации без надлежащей подготовки пользователей и соблюдения ими всех правил защиты;

3. никакую систему защиты нельзя считать абсолютно надежной, т.к. всегда может найтись злоумышленник, который найдет лазейку для доступа к информации (действия злоумышленника всегда носят комплексный характер, т.к. он любыми средствами стремится добыть важную информацию);

4. система защиты должна быть адаптируемой (приспособляющейся) к изменяющимся условиям.

1.6. Стратегии защиты информации

Осознание необходимости разработки стратегических подходов к защите формировалось по мере осознания важности, многоаспектности и трудности защиты и невозможности эффективного ее осуществления простым использованием некоторого набора средств защиты.

Под стратегией вообще понимается общая направленность в организации соответствующей деятельности, разрабатываемая с учётом объективных потребностей в данном виде деятельности, потенциально возможных условий ее осуществления и возможностей организации.

Стратегия включает:

1.план-заранее намеченные в деталях и контролируемые действия на определенный срок, преследующий определенные цели;

2. прием или тактический ход, представляющий собой кратковременную стратегию, имеющую ограниченные цели, могущую меняться, маневр с целью обыграть противника;

3. модель поведения – часто спонтанного, неосознанного, не имеющего конкретных целей;

4. позицию по отношению к другим;

5. перспективу.

Задача стратегии состоит в создании конкурентного преимущества, устранении негативного эффекта нестабильности окружающей среды, обеспечении доходности, уравновешении внешних требований и внутренних возможностей. Через ее призму рассматриваются все деловые ситуации, с которыми предприятие сталкивается в повседневной жизни.

Способность предприятия проводить самостоятельную стратегию во всех областях делает ее более гибкой, устойчивой, позволяет адаптироваться к требованиям времени и обстоятельствам.

Стратегия формируется под воздействием внутренней и внешней среды, постоянно развивается, ибо всегда возникает что-то новое, на что нужно реагировать.

Факторы, которые могут иметь для предприятия решающее значение в будущем, называются стратегическими. По мнению западных специалистов, они, влияя на стратегию любой организации, придают ей специфические свойства. К таким факторам относятся:

1. миссия, отражающая философию предприятия, его предназначения. При пересмотре миссии, происходящем в результате изменения общественных приоритетов;

2. конкурентные преимущества, которыми предприятие обладает в своей сфере деятельности по сравнению с соперниками или к которым стремится (считается, что эти преимущества оказывают на стратегию наибольшее влияние). Конкурентные преимущества любого типа обеспечивают более высокую эффективность использования ресурсов предприятия;

3. характер выпускаемой продукции, особенности ее сбыта, послепродажного обслуживания, рынки и их границы;

4. организационные факторы, среди которых выделяется внутренняя структура предприятия и его ожидаемые изменения, система управления, степень интеграции и дифференциации внутренних процессов;

5. располагаемые ресурсы (материальные, финансовые, информационные, кадровые пр.). Чем они больше, тем масштабнее могут быть инвестиции в будущие проекты. Сегодня для разработки и реализации стратегии огромное значение имеют, прежде всего, структурные, информационные и интеллектуальные ресурсы. Сравнивая значения параметров наличных и требующихся ресурсов, можно определить степень их соответствия стратегии;

6. потенциал развития предприятия, совершенствования деятельности, расширения масштабов, роста деловой активности, инноваций;

7. культура, философия, этические воззрения и компетентность управленцев, уровень их притязаний и предприимчивости, способность к лидерству, внутренний климат в коллективе.

На стратегический выбор влияют: риск, на который готово идти предприятие; опыт реализации действующих стратегий, позиции владельцев, наличие времени.

Рассмотрим особенности стратегических решений. По степени регламентированности они относятся к контурным (предоставляют широкую свободу исполнителям в тактическом отношении), а по степени обязательности следования главным установкам – директивным.

По функциональному назначению такие решения чаще всего бывают организованными или предписывающими способ осуществления в определенных ситуациях тех или иных действий. С точки зрения предопределенности, это решения незапрограммированные. Они принимаются в новых, неординарных обстоятельствах, когда требуемые шаги трудно заранее точно расписать. С точки зрения важности, стратегические решения кардинальны: касаются основных проблем и направлений деятельности предприятия, определяют основные пути развития ее в целом, отдельных подразделений или видов деятельности на длительную перспективу (не менее 5-10 лет). Они вытекают, прежде всего, из внешних, а не из внутренних условий, должны учитывать тенденции развития ситуации и интересы множества субъектов. Практическая необратимость стратегических решений обусловливает необходимость их тщательной и всесторонней подготовки. Стратегическим решениям присуща комплектность. Стратегия обычно представляет собой не одно, а совокупность взаимосвязанных решений, объединенных общей целью, согласованных между собой по срокам выполнения и ресурсам. Такие решения определяют приоритеты и направления развития предприятия, его потенциала, рынков, способы реакции на непредвиденные события. Практика сформировала следующие требования к стратегическим решениям:

1. Реальность, предполагающая ее соответствие ситуации, целям, техническому и экономическому потенциалу предприятия, опыту и навыкам работников и менеджеров, культуре, существующей системе управления;

2. Логичность, понятность, приемлемость для большинства членов предприятия, внутренняя целостность, непротиворечивость отдельных элементов, поддержка ими друг друга, порождающая синергетический эффект;

3. Своевременность (реализация решения должна успеть приостановить отрицательное развитие ситуации или позволить упустить выгоду);

4. Совместимость со средой, обеспечивающая возможность взаимодействия с ней (стратегия находится под влиянием изменений в окружении предприятия и сама может формировать эти изменения);

5. Направленность на формирование конкурентных преимуществ;

6. Сохранение свободы тактического маневра;

7. Устранение причин, а не следствий существующей проблемы;

8. Четкое распределение по уровням организации работы по подготовке и принятию решений, а также ответственности за них конкретных лиц;

9. Учет скрытых и явных, желательных и нежелательных последствий, которые могут возникнуть при реализации стратегии или отказе от нее для предприятия, его партнеров; от существующего законодательства, этической стороны дела, допустимого уровня риска и пр.

Разработка научно обоснованной системы стратегий предприятия как ключевого условия ее конкурентоспособности и долгосрочного успеха является одной из основных функций ее менеджеров, прежде всего высшего уровня. От них требуется:

- выделять, отслеживать и оценивать ключевые проблемы;

- адекватно и оперативно реагировать на изменения внутри и в окружении предприятия;

- выбирать оптимальные варианты действий с учетом интересов основных субъектов, причастных к ее деятельности;

- создавать благоприятный морально- психологический климат, поощрять предпринимательскую и творческую активность низовых руководителей и персонала.

Исходный момент формирования стратегии – постановка глобальных качественных целей и параметров деятельности, которые предприятие, должно достичь в будущем. В результате увязки целей и ресурсов формируются альтернативные варианты развития, оценка которых позволяет выбрать лучшую стратегию. Единых рецептов выработки стратегий не существует. В одном случае целесообразно стратегическое планирование (программирование); в другом - ситуационный подход.

Исходя их большого разнообразия условий, при которых может возникнуть необходимость защиты информации, общая целевая установка на решение стратегических вопросов заключалась в разработке множества стратегий защиты, и выбор такого минимального их набора, который позволял бы рационально обеспечивать требуемую защиту в любых условиях.

В соответствии с наиболее реальными вариантами сочетаний значений рассмотренных факторов выделено три стратегии защиты:

1. оборонительная - защита от уже известных угроз, осуществляемая автономно, т.е. без оказания существенного влияния на информационно - управляющую систему;

2. наступательная - защита от всего множества потенциально возможных угроз, при осуществлении которой в архитектуре информационно – управляющей системы и технологии ее функционирования должны учитываться условия, продиктованные потребностями защиты;

3. упреждающая – создание информационной среды, в которой угрозы информации не имели бы условия для проявления.