3. Анализ подходов к классификации объектов защиты в организациях

Часто подходы в области информационной безопасности, применяемые негосударственными учреждениям, в отличие от подходов, описанных в стандартах, имеют четкую практическую направленность, они лучше продуманы и подробнее описаны.

Рассмотрим подходы к классификации объектов защиты следующих организаций:

• «Инфосистемы Джет»;

• «Microsoft»;

• Университет штата Массачусетс, США.

1. Анализ подхода к классификации объектов защиты компании «Инфосистемы Джет»

Описание методологии классификации объектов защиты. Методология классификации объектов защиты компании «Инфосистемы Джет» удовлетворяет требованиям стандарта ГОСТ Р ИСО/МЭК 17799-2005.

В соответствии с методологией классификации объектов защиты, разработанной компанией «Инфосистемы Джет», [6] присвоение категорий безопасности информации и информационными системам производится на основе оценки ущерба, который может быть нанесен нарушениями безопасности.

Размер потенциального ущерба оценивается отдельно по трем основным аспектам информационной безопасности (конфиденциальность, целостность, доступность) с последующим расчетом интегральной оценки.

Размер ущерба оценивается по трехуровневой шкале:

• высокий – потеря свойств ИБ информационных активов оказывает тяжелое или катастрофическое вредоносное воздействие на деятельность организации, ее активы и персонал;

• умеренный – потеря свойств ИБ информационных активов оказывает серьезное вредоносное воздействие на деятельность организации, ее активы и персонал;

• низкий – потеря свойств ИБ информационных активов оказывает ограниченное вредоносное воздействие на деятельность организации, ее активы и персонал.

Для каждого уровня определены виды информации, вероятно относящиеся к нему. Дана развернутая характеристика уровней критичности, облегчающая задачу категорирования объектов защиты.

Стоит отметить, что методика компании «Инфосистемы Джет» предписывает классифицировать не только так называемую «пользовательскую» информацию (т.е. информационные активы, используемые при выполнении сотрудниками своих производственных задач), но также и системную (файлы конфигураций, системные файлы). К информационным активам при этом относятся как электронные документы, так и документы, закрепленные на материальном носителе.

Категорирование информационных систем осуществляется в соответствии с критичностью обрабатываемых и/или хранимых информационных активов, при этом информационной системе присваивается максимальный из уровней критичности информационных активов.

В соответствии с уровень критичности информационной системы, к ней применяются так называемые «регуляторы безопасности», представляющие собой набор требований по обеспечению информационной безопасности.

Анализ подхода к классификации объектов защиты. В результате проведенного анализа, была дана следующая характеристика подхода к классификации объектов защиты:

• полнота описания процесса и составляющих его процедур: недостаточная (процедура идентификации объектов защиты не описана);

• полнота используемой терминологии: недостаточная (используется общеупотребительная терминология);

• однозначность используемого классификационного признака: высокая;

• однозначность выделенных классов объектов защиты: высокая;

• гибкость подхода: высокая;

• простота реализации процесса: недостаточная (не описан в полной мере порядок классификации объектов защиты).