10.3. Особенности обеспечения информационной

безопасности

Для обеспечения информационной безопасности на практике абстрактным

понятиям (≪информация≫ и т.п.) ставятся в соответствие физические

представления в среде вычислительной техники. В последнее

время используется новая группа обобщающих понятий. Это понятия

продукта информационных технологий (product IT), системы информационных

технологий (system IT) и актива (asset).

Под продуктом понимается совокупность программных, программно-

аппаратных и (или) аппаратных средств информационных технологий

(ИТ), предоставляющая определенные функциональные возможности

и предназначенная для непосредственного использования или

включения в различные системы. Система ИТ определяется как специфическое

воплощение информационных технологий с конкретным

назначением и условиями эксплуатации. Под активами ИТ понимаются

информация или информационные ресурсы, входящие в состав

122

продукта (системы) и подлежащие защите мерами безопасности (контрмерами).

Процесс обеспечения информационной безопасности достаточно сложен

и представляет собой совокупность нескольких одновременно протекающих

взаимосвязанных, но разномасштабных процессов. Его полное

понимание и представление сопряжено с определенными трудностями, а

особенности отображения, как правило, зависят от целей исследования.

Для обсуждения задач безопасности обычно используют модель,

предлагаемую ГОСТ Р ИСО/МЭК 15408. Схема, представленная на

рис. 10.1, иллюстрирует связь положений вероятностной концепции

безопасности с вопросами практического обеспечения безопасности

информационных систем.

Для определения методов обеспечения безопасности (выбора контрмер)

используют опыт, обобщенный в соответствующих руководящих

документах. К наиболее известным методам обеспечения безопасности

относят:

методы идентификации — проверка подлинности и контроль за

доступом субъектов в систему (к терминалам, ЭВМ, узлам сети ЭВМ,

Владельцы

оценивают

* \ предпринимают

контрмеры которые направлены на

которые используют

уязвимости ведущие к

Источники угроз

порождают

риск

для

угрозы

ДЛЯ активы

хотят и (или) могут нанести ущерб

рис. 10.1. Контекст безопасности в соответствии с ГОСТ Р ИСО/МЭК 15408

123

каналам связи, внешним устройствам ЭВМ) и к программам (к томам,

каталогам, файлам, записям, полям записей);

методы регистрации и учета — регистрация и учет входа субъектов

в систему или выхода из системы (узла сети), выдачи печатных (графических)

документов, запуска или завершения программ и процессов

(задач или заданий) и т.п.; учет носителей информации; обнуление освобождаемых

областей оперативной памяти ЭВМ и внешних накопителей;

сигнализация о попытках нарушения защиты;

криптографические методы — шифрование конфиденциальной информации

и информации, принадлежащей различным субъектам доступа

(группам субъектов) на разных ключах; сертификация криптографических

средств;

методы обеспечения целостности — физическая охрана средств

вычислительной техники и носителей информации; администрирование

системы; тестирование систем безопасности; сертификация средств

безопасности.