46. Принципи створення систем інформаційної безпеки

Створення базової системи захисту інформації в ІС грунтується на наступних принципах:

1. Комплексний підхід до побудови системи захисту при провідній ролі організаційних заходів. Він означає оптимальне поєднання програмних апаратних засобів та організаційних заходів захисту, підтверджене практикою створення вітчизняних і зарубіжних систем захисту.

2. Поділ і мінімізація повноважень з доступу до оброблюваної інформації і процедур обробки. Користувачам надається мінімум строго визначених повноважень, достатніх для успішного виконання ними своїх службових обов’язків, з точки зору автоматизованої обробки доступної їм конфіденційної інформації.

3. Повнота контролю та реєстрації спроб несанкціонованого доступу, тобто необхідність точного встановлення ідентичності кожного користувача і протоколювання його дій для проведення можливого розслідування, а також неможливість здійснення будь-якої операції обробки інформації в ІС без її попередньої реєстрації.

4. Забезпечення надійності системи захисту, тобто неможливість зниження її рівня при виникненні в системі збоїв, відмов, навмисних дій порушника або ненавмисних помилок користувачів і обслуговуючого персоналу.

5. Забезпечення контролю за функціонуванням системи захисту, тобто створення засобів і методів контролю працездатності механізмів захисту.

6. Прозорість системи захисту інформації для загального, прикладного програмного забезпечення і користувачів ІС.

7. Економічна доцільність використання системи захисту. Вона виражається в тому, що вартість розробки та експлуатації систем захисту інформації має бути менше вартості можливого збитку, що наноситься об'єкту у разі розробки та експлуатації ІС без системи захисту інформації.

46. Засоби захисту інформації.

Функціонування системи захисту інформації від несанкціонованого доступу як комплексу програмно-технічних засобів і організаційних (процедурних) рішень передбачає:

• облік, зберігання і видачу користувачам інформаційних носіїв, паролів, ключів;

• ведення службової інформації (генерація паролів, ключів, супровід правил розмежування доступу);

• оперативний контроль за функціонуванням систем захисту секретної інформації;

• контроль відповідності загальносистемного програмного середовища еталону;

• приймання нових програмних засобів, що включаються до ІС;

• контроль за ходом технологічного процесу обробки інформації шляхом реєстрації аналізу дій користувачів;

• сигналізацію щодо небезпечних подій і т. ін.

До основних засобів захисту, що використовуються для створення механізму захисту, відносяться наступні.

1. Технічні засоби представляють електричні, електромеханічні та електронні пристрої. Вся сукупність зазначених засобів ділиться на апаратні і фізичні. Під апаратними технічними засобами прийнято розуміти пристрої, що вбудовуються безпосередньо в обчислювальну техніку, або пристрої, які сполучаються з подібною апаратурою за стандартним інтерфейсом. Фізичними засобами є автономні пристрої та системи (замки на дверях, де розміщена апаратура, грати на вікнах, електронно-механічне обладнання охоронної сигналізації та ін.).

2. Програмні засоби - це програмне забезпечення, спеціально призначене для виконання функцій захисту інформації.

3. Організаційні засоби захисту являють собою організаційно-технічні та організаційно-правові заходи, здійснювані в процесі створення і експлуатації обчислювальної техніки, апаратури телекомунікацій. Організаційні заходи охоплюють всі структурні елементи ІС на всіх етапах її життєвого циклу (проектування комп’ютерної інформаційної системи, монтаж і налагодження обладнання, випробування, експлуатація).

4. Морально-етичні засоби захисту реалізуються у вигляді всіляких норм, які склалися традиційно або складаються в міру поширення обчислювальної техніки і засобів зв’язку в суспільстві. Подібні норми здебільшого не є обов’язковими як законодавчі заходи, однак недотримання їх веде зазвичай до втрати авторитету і престижу людини. Найбільш показовим прикладом таких норм є Кодекс професійної поведінки членів Асоціацій користувачів ЕОМ США.

5. Законодавчі засоби захисту визначаються законодавчими актами країни, що регламентують правила користування, обробки і передачі інформації обмеженого доступу і встановлюють міри відповідальності за порушення цих правил. Всі розглянуті засоби захисту розділені на формальні (виконують захисні функції строго за заздалегідь передбаченою процедурою без безпосередньої участі людини) та неформальні (визначені цілеспрямованою діяльністю людини або регламентують цю діяльність).