3.2. Вопросы для самоконтроля

1. Что такое функциональная безопасность?

2. Перечислите основные уровни функциональной безопасности

3. Что содержит нормативно-законодательный уровень?

4. Что содержит организационный уровень?

5. Что содержит процедурный уровень?

6. Что содержит программно-технический уровень?

7. Перечислите составляющие функциональной безопасности

8. Какие существуют программно-технические средства защиты информации?

9. Назовите основные этапы построения системы безопасности

10. Что входит в этап обследования?

11. Что входит в этап проектирования?

12. Что входит в этап внедрения и аттестации?

13. Что должна включать в себя аттестация системы безопасности Гостехкомиссией?

14. Что входит в этап сопровождения?

5. 4. Комплексные системы защиты информации

Системы защиты информации (СЗИ) относятся к классу сложных систем. Для их построения могут использоваться основные принципы построения сложных систем с учетом особенностей решаемых задач:

• параллельная разработка КС и С3И;

• системный подход к построению защищенных КС;

• многоуровневая структура С3И;

• иерархическая система управления С3И;

• блочная архитектура защищенных КС;

• возможность развития С3И;

• дружественный интерфейс защищенных КС с пользователями и обслуживающим персоналом.

Построение С3И необходимо проводить одновременно и параллельно с разработкой КС, механизмов защиты, что положительно скажется на обеспечении реализации всех остальных принципов. В процессе разработки защищенных КС должен соблюдаться разумный компромисс между созданием встроенных неразделимых механизмов защиты и блочных унифицированных средств и процедур защиты [6].

На этапе разработки КС можно полностью учесть взаимное влияние блоков и устройств собственно КС и механизмов защиты, добиться системности защиты оптимальным образом.

Одним из основных принципов построения защищенных КС является принцип системности, предполагающий:

• анализ всех возможных угроз безопасности информации;

• обеспечение защиты на всех жизненных циклах КС;

• защиту информации во всех звеньях КС;

• комплексное использование механизмов защиты.

Защита ресурсов КС должна осуществляться на этапах разработки, производства, эксплуатации и модернизации, а также по всей технологической цепочке ввода, обработки, передачи, хранения и выдачи информации. Реализация этих принципов позволяет обеспечить создание СЗИ, в которой отсутствуют слабые звенья как на различных жизненных циклах КС, так и в любых элементах и режимах работы КС.

Механизмы защиты, которые используются при построении защищенных систем, должны быть взаимоувязаны по месту, времени и характеру действия.

Комплексность подразумевает использование в оптимальном сочетании различных методов и средств защиты информации: технических, программных, криптографических, организационных и правовых. Любая, даже простая СЗИ является комплексной.

Система защиты информации должна иметь несколько уровней, перекрывающих друг друга, т. е. такие системы целесообразно строить по принципу построения матрешек.

Комплексные системы защиты информации (КСЗИ) всегда должны иметь централизованное управление. В распределенных КС управление защитой может осуществляться по иерархическому принципу. Централизация управления защитой информации объясняется необходимостью проведения единой политики в области безопасности информационных ресурсов в рамках предприятия, организации, корпорации, министерства. Для осуществления централизованного управления в СЗИ должны быть предусмотрены специальные средства дистанционного контроля, распределения ключей, разграничения доступа, изготовления атрибутов идентификации и другие.

Одним из важных принципов построения защищенных КС является использование блочной архитектуры, позволяющей получить преимущества:

• упрощение разработки, отладки, контроля и верификации устройств (программ, алгоритмов);

• возможность параллельной разработки блоков;

• использование унифицированных стандартных блоков;

• упрощение модернизации систем;

• удобство и простота эксплуатации.

При разработке сложной КС, например, вычислительной сети, необходимо предусматривать возможность ее развития в двух направлениях: увеличения числа пользователей и наращивания возможностей сети по мере совершенствования информационных технологий.