Питання для самоперевірки

1. Що розуміють під загрозою інформації?

2. Які фактори складають систему дестабілізуючих факторів, як їх визначають?

3. Які існують джерела дестабілізуючих факторів?

4. У яких ситуаціях необхідно оцінювати уразливість інформації?

5. Чим обумовлюється уразливість у процесі функціонування системи?

6. Як виражають кількісну міру уразливості?

7. Що позначають показники, зображені в таблиці 2.1? З якою метою використовують експертні помилки?

8. Що розуміють під КНОІ?

9. Які два показники вибирають у якості критеріїв класифікації КНОІ?

10. У чому полягає повнота класифікаційної структури поданої на рисунку 6.2?

11. На які 6 класів класифікується КНОІ?

12. Що характеризують базові показники і чим визначаються їхні значення?

13. Чим характеризуються зони подані на рис. 6.4?

14. Які умови необхідні для несанкціонованого одержання інформації?

Розділ 7 адміністративний рівень інформаційної безпеки

1. Основні поняття

До адміністративного рівня інформаційної безпеки відносять дії загального характеру, які робляться керівництвом організації.

Головна мета заходів адміністративного рівня – сформувати програму робіт в області інформаційної безпеки й забезпечити її виконання, виділяючи необхідні ресурси й контролюючи стан справ.

Основою програми є політика безпеки, що відбиває підхід організації до захисту своїх інформаційних активів. Керівництво кожної організації повинно усвідомити необхідність підтримки режиму безпеки й виділити значні ресурси впровадження цих заходів.

Політика безпеки будується на основі аналізу ризиків, які визнаються реальними для інформаційної системи організації. Коли ризики проаналізовані й стратегія захисту визначена, складається програма забезпечення інформаційної безпеки. Під цю програму виділяються ресурси, призначаються відповідальні, визначається порядок контролю виконання програми й т.п.

Термін "політика безпеки" є не зовсім точним перекладом англійського словосполучення "security policy", однак у цьому випадку калька краще відбиває зміст цього поняття, ніж лінгвістично більш вірні "правила безпеки". Ми матимемо на увазі не окремі правила або їхні набори (такого роду рішення виносяться на процедурний рівень, мова про який попереду), а стратегію організації в області інформаційної безпеки. Для вироблення стратегії й провадження її в життя потрібні, безсумнівно, політичні рішення, прийняті на найвищому рівні.

Під політикою безпеки ми будемо розуміти сукупність документованих рішень, прийнятих керівництвом організації й спрямованих на захист інформації й асоційованих з нею ресурсів.

Таке трактування, звичайно, набагато ширше, ніж набір правил розмежування доступу (саме це означав термін "security policy" в "Помаранчевій книзі" в побудованих на її основі нормативних документах інших країн).

ІС організації й пов'язані з нею інтереси суб'єктів – це складна система, для розгляду якої необхідно застосовувати об'єктно-орієнтований підхід і поняття рівня деталізації. Доцільно виділити, принаймні, три таких рівні, що ми вже робили в прикладі й зробимо ще раз далі.

Щоб розглядати ІС предметно, з використанням актуальних даних, варто скласти карту інформаційної системи. Ця карта, зрозуміло, повинна бути виготовлена в об'єктно-орієнтованому стилі, з можливістю варіювати не тільки рівень деталізації, але й видимі межі об'єктів. Технічним засобом складання, супроводу й візуалізації подібних карт може слугувати вільно розповсюджуваний каркас якої-небудь системи керування.