10.2. Объекты защиты

В данном разделе Концепции приведены сведения: . о назначении, целях создания и эксплуатации АС организации как объекта информатизации;

• о структуре, составе и размещении основных элементов АС организации, информационных связях с другими объектами;

• о категориях информационных ресурсов, подлежащих защите;

• о категориях пользователей АС организации, режимах использования и уровнях доступа к информации;

• об уязвимости основных компонентов АС.

В качестве основных объектов защиты выделены:

• информационные ресурсы, причем не только с ограниченным доступом, но и иные, чувствительные по отношению к нарушению их безопасности;

• процессы обработки информации в АС;

• информационная инфраструктура, включающая системы обработки и анализа информации, технические и программные средства ее обработки, передачи и отображения, в том числе каналы информационного обмена и телекоммуникации, системы и средства защиты информации, объекты и помещения, в которых размешены чувствительные компоненты АС.

Общие сведения об АС приводятся в силу того, что КСЗИ является подсистемой АС и должна способствовать достижению стоящих перед АС целей.

Сведения о размещении компонентов АС позволяют глубже понять задачи КСЗИ. В частности, современные АС предприятия территориально распределены, что накладывает требования защиты каналов связи, проходящих вне контролируемой территории. Если в АС циркулирует информация разных категорий, следовательно, необходимо применение средств разграничения доступа. В случае объединения локальных сетей, обрабатывающих информацию с различным грифом конфиденциальности, необходимо применение межсетевого экранирования и т.д.

Приводимые сведения о комплексе технических средств АС позволяют в дальнейшем определить уязвимые места, нуждающееся в обновлении оборудование и определяют во многом выбора СЗИ.

В этом разделе достаточно подробно перечисляются объекты! информатизации:

• технологическое оборудование (средства вычислительной техники, сетевое и кабельное оборудование);

• информационные ресурсы, содержащие сведения ограниченно го доступа и представленные в виде документов или записей: носителях на магнитной, оптической и другой основе, информационных физических полях, массивах и базах данных;

• программные средства (операционные системы, системы управления базами данных, другое общесистемное и прикладное программное обеспечение);

• автоматизированные системы связи и передачи данных (средства телекоммуникации);

• каналы, связи, по которым передается информация (в том числе ограниченного распространения);

• служебные помещения, в которых циркулирует информация ограниченного распространения;

• технические средства (звукозаписи, звукоусиления, звуковоспроизведения, изготовления, тиражирования документов, переговорные и телевизионные устройства и другие технические средства обработки графической, смысловой и буквенно-цифровой информации), используемые для обработки информации;

• технические средства и системы, не обрабатывающие информацию (вспомогательные технические средства и системы — ВТСС), размещенные в помещениях, где обрабатывается (циркулирует) информация, содержащая сведения ограниченного распространения.

Категории информационных ресурсов, подлежащих защите, определяют требования по их обязательной защите в соответствии с законодательством, выбор средств защиты того или иного класса.

Например, в рассматриваемой АС имеются сведения:

• составляющие коммерческую тайну, доступ к которым ограничен собственником информации в соответствии с Федеральным законом «О коммерческой тайне»;

• составляющие банковскую тайну, доступ к которым ограничен в соответствии с Федеральным законом «О банках и банковской деятельности»;

• персональные данные, доступ к которым ограничен в соответствии с Федеральным законом «О персональных данных».

Описание категорий пользователей помогает, с одной стороны, определить необходимые права доступа, выделить нештатных ответственных за ОБИ, а с другой стороны, выявить потенциальных нарушителей. Например:

• пользователи баз данных;

• ответственные за ведение баз данных (ввод, корректировка, удаление данных в БД);

• администраторы серверов (файловых серверов, серверов приложений, серверов баз данных) и ЛВС;

• системные программисты (ответственные за сопровождение общего программного обеспечения) на серверах и рабочих станциях пользователей;

• разработчики прикладного программного обеспечения;

• специалисты по обслуживанию технических средств вычислительной техники;

• администраторы информационной безопасности (специальных средств защиты) и др.

Описание уязвимостей АС позволяет определить направления, на которых нужно сосредоточить первоочередные усилия. Надо отметить, что ряд уязвимостей можно закрыть организационно-техническими мерами, тогда как для других это невозможно в рамках принятой на предприятии технологии обработки информации.

В рассматриваемой Концепции оцениваются уязвимости первого и второго типов.