Часть II. Формулирование политики безопасности подразделений и информационных служб

Работы данного этапа выполняются отдельно для каждого функционального подразделения или информационной службы совместно руководителями подразделения, администраторами системы и специалистами службы безопасности.

1 Определение особенностей функционирования подразделений

Определение особенностей функционирования подразделений заключаются в уточнении:

• конфигурации применяемых аппаратных и программных средств;

• режимов функционирования, временных интервалов работы;

• распределения обязанностей между обслуживающим персоналом;

• интенсивности информационного обмена;

• перечня и характера связей с другими компонентами;

• зависимости от функционирования других компонент информационной системы;

• построения и надежности источников электропитания и других систем обеспечения.

2 Определение перечня ресурсов подразделений, относительно которых решаются задачи обеспечения целостности и конфиденциальности, а также доступности для легитимных пользователей

Если информационной основой организации является вычислительная сеть, то в число аппаратных активов следует включить компьютеры, периферийные устройства, внешние интерфейсы, кабельное хозяйство и сетевое оборудование.

К программным активам, вероятно, будут отнесены операционные системы (сетевая, серверные и клиентские), прикладное программное обеспечение, инструментальные средства, программы управления сетью и отдельными системами. Важно зафиксировать, в каких узлах сети хранится программное обеспечение и из каких узлов используется.

Третьим, и наиболее важным, видом активов являются данные, которые хранятся, обрабатываются и передаются по сети. Следует классифицировать данные по типам и степени конфиденциальности, выявить места их хранения и обработки, а также способы доступа к ним. Все это важно для оценки последствий нарушений информационной безопасности.

3 Определение способов реализации правил разграничения доступа пользователей к информационным ресурсам

На основе разработанной политики безопасности определяется модель разграничения доступа, которая будет являться базой формирования правил разграничения доступа и выбора конкретных средств защиты информации.

Руководящие документы Гостехкомиссии РФ определяют необходимость реализации избирательного (дискреционного) управления доступом для информационных систем начального уровня безопасности и применения мандатного (полномочного) управления доступом для систем высших уровней безопасности.

Выбор модели должен основываться на сформулированной политике безопасности и возможностях, предоставляемых выбранным способом построения информационной системы и применяемыми программно-аппаратными средствами.

Простейшим представлением модели для избирательного управления доступом является матрица доступа в виде таблицы А.2:

Таблица А.4- Таблица разграничения доступа

Пользователи, группы	Информационные элементы			Программы
	b1	b2	b3	x1	x2	x3
Все сотрудники	Чтение	Чтение	Чтение
Иванов	Чтение Запись	Чтение	___	___	Запись	Исполнение
Петров	Чтение	Чтение Удаление	Чтение Запись	Исполнение	___	___

В матрице конкретно определяются допустимые действия каждого пользователя (строка) к каждому ресурсу системы (столбец).

Для описания управления доступом в терминах мандатной модели каждому пользователю присваивается атрибут, называемый, например уровнем доступа (допуска), а каждому ресурсу — уровень важности (секретности). Разрешение на выполнение операции с ресурсом описывается в виде набора правил, который регулирует отношения между процессом и ресурсом (файлом). Процесс представляет собой программу, выполняемую от имени какого-либо пользователя.