3. Застосування об’єктно-орієнтованого підходу до розгляду систем, що захищаються

Спробуємо застосувати об'єктно-орієнтований підхід до питань інформаційної безпеки.

Проблема забезпечення інформаційної безпеки – комплексна, захищати доводиться складні системи, і самі захисні засоби теж складні, тому нам знадобляться всі уведені поняття. Почнемо з поняття межі.

Фактично три межі вже були уведені: це доступність, цілісність і конфіденційність. Їх можна розглядати відносно незалежно, і вважається, що якщо всі вони забезпечені, то забезпечена й ІБ у цілому (тобто суб'єктам інформаційних відносин не буде нанесений неприйнятний збиток).

Таким чином, ми структурували нашу мету. Тепер потрібно структурувати засоби її досягнення. Введемо наступні межі:

• законодавчі заходи забезпечення інформаційної безпеки;

• адміністративні заходи (накази й інші дії керівництва організацій, пов'язаних з інформаційними системами, що захищають);

• процедурні заходи (заходи безпеки, орієнтовані на людей);

• програмно-технічні заходи.

У подальшій частині курсу ми пояснимо докладніше, що розуміється під кожною з виділених меж. Тут же відзначимо, що, у принципі, їх можна розглядати і як результат варіювання рівня деталізації (із цієї причини ми будемо вживати словосполучення "законодавчий рівень", "процедурний рівень" і т.п.). Закони й нормативні акти орієнтовані на всіх суб'єктів інформаційних відносин незалежно від їхньої організаційної приналежності (це можуть бути як юридичні, так і фізичні особи) у межах країни (міжнародні конвенції мають навіть більш широку область дії), адміністративні заходи – на всіх суб'єктів у межах організації, процедурні – на окремих людей (або невеликі категорії суб'єктів), програмно-технічні – на устаткування й програмне забезпечення. При такому трактуванні в переході з рівня на рівень можна побачити застосування успадкування (кожен наступний рівень не скасовує, а доповнює попередній), а також поліморфізму (суб'єкти виступають відразу в декількох іпостасях – наприклад, як ініціатори адміністративних заходів й як звичайні користувачі, зобов'язані цим заходам підкорятися).

Очевидно, для всіх виділених, щодо незалежних меж діє принцип інкапсуляції (це й виходить, що межі "відносно незалежні"). Більше того, ці дві сукупності меж можна назвати ортогональними, оскільки для фіксованої межі в одній сукупності (наприклад, доступності) межі в іншій сукупності повинні пробігати всю кількість можливих значень (потрібно розглянути законодавчі, адміністративні, процедурні й програмно-технічні заходи). Ортогональних сукупностей не повинно бути багато; здається, двох сукупностей із числом елементів, відповідно, 3 й 4 уже достатньо, тому що вони дають 12 комбінацій.

Продемонструємо тепер, як можна розглядати захищувану ІС, варіюючи рівень деталізації.

Нехай інтереси суб'єктів інформаційних відносин концентруються навколо ІС якоїсь організації, яка складається з двох територіально рознесених виробничих майданчиків, на кожному з яких є сервери, що обслуговують своїх і зовнішніх користувачів, а також користувачів, які користуються внутрішніми й зовнішніми сервісами. Один з майданчиків обладнаний зовнішнім підключенням (тобто має вихід в Internet).

При погляді з нульовим рівнем деталізації ми побачимо лише те, що в організації є інформаційна система (див. рис. 4.1).