Вопрос 1. Виды моделей системы защиты информации
В настоящее время можно выделить четыре группы моделей системы защиты информации (СЗИ) (рис. 1).
Рис. 1. Группы моделей системы защиты информации
Концептуальные модели
В эту группу объединяются модели по общесистемному классификационному признаку, позволяющие выделить системный объект и определить его свойства. Проблема защиты информации решается в среде системного объекта и относительно системного объекта. Системный подход требует, прежде всего, концептуального решения поставленной задачи, и, таким образом, в первый класс входят, модели, которые рассматривают проблему защиты информации на концептуальном уровне.
В концептуальных моделях анализируется совокупность возможных угроз для рассматриваемой организации, каналов доступа к информации, уязвимых мест. Цели моделирования в этом случае –
определение общей стратегии защиты информации и возможных каналов доступа к информации;
принятие решения о размещении средств защиты информации, составе и структуре системы зашиты;
оценка уязвимости обрабатываемой информации, стоимостных расходов на проектирование и эксплуатацию системы защиты.
В качестве объектов анализа могут быть структурные компоненты организации, а также структурные, информационные и управляющие связи между ними. При проектировании сложных систем защиты информации может использоваться определенный набор моделей концептуального характера, совокупность которых позволяет в достаточной степени определить ее свойства и принять соответствующие проектные решения.
Модели управления защитой
Данную группу моделей целесообразно выделить в соответствии с классификационным признаком, отражающим основное функциональное назначение средств и системы защиты информации – управление защитой информации. Так как система защиты информации относится к системам управления, поэтому для исследования свойств и закономерностей ее построения используются различные кибернетические модели, позволяющие проектировать механизмы управления, определять оптимальные алгоритмы преобразования информации для принятия решений и выработки управляющих воздействий на объекты управления.
Модели отношений доступа и действий
В этой группе моделей предметом анализа являются отношения доступа между элементами организации и действий определенного элемента по отношению к другим элементам. В качестве отношений выступают права доступа и действий субъекта к объекту.
При этом субъектом может быть любой активный элемент организации, способный манипулировать другими элементами (пассивными объектами). Права доступа и действий пользователей по отношению к ресурсам и информации организации и порожденные ими права доступа между элементами организации определяют множество отношений доступа и действий. Целью моделирования является выявление множества этих отношений, их допустимость и определенные возможности несанкционированного доступа к информации с помощью допустимых (разрешенных) преобразований первоначальных прав. В рамках моделей этой группы также могут решаться задачи оптимального структурного построения и размещения информационного обеспечения по правам доступа и действий.
Потоковые модели
Это модели, связанные с технологией прохождения информации через структурные компоненты организации, определяемые ее как объекты.
В таких моделях с каждым объектом (субъекты являются частным случаем объектов) связывается свой класс защиты, который может изменяться в процессе работы организации по строго определенным правилам, а информационный поток от объекта к объекту разрешается, если классы защиты находятся в установленном отношении. На моделях проверяется, может ли в какой-либо объект попасть недопустимая информация.
При этом объекты организации рассматриваются совместно со средствами защиты как звенья технологического процесса обработки данных. Средства защиты контролируют информационные потоки между объектами. В некоторых моделях средства защиты вводятся как самостоятельные объекты организации с контролирующими функциями. Из содержания потоковых моделей можно сделать вывод о том, что они выделяются в самостоятельную группу по классификационному признаку определения динамики информационных процессов.
Анализ возможных направлений использования рассмотренных моделей при создании системы и средств защиты позволяет сделать следующие выводы.
Различные виды моделей ориентируются на определенные фазы проектирования системы защиты информации. На ранних стадиях проектирования (предпроектное обследование, технический проект) анализируются каналы доступа к информации, формируется концепция защиты. В этом случае целесообразно использовать концептуальные модели для определения целей защиты: какие объекты защиты и ресурсы и от кого необходимо защищать. На основе данных моделей формируются замысел построения системы защиты информации и стратегия защиты информации.
Модели отношений доступа и действий целесообразно применять для моделирования прав доступа к объектам защиты, выявления порождаемых этими правами отношений доступа между элементами организации, решения вопроса о структуре и виде представления объектов защиты по правам доступа, в том числе для их использования при принятии решений по управлению защитой информации.
Использование моделей информационных потоков целесообразно использовать для решения размещения средств защиты информации в организации.
Для решения задачи управления силами и средствами защиты информации необходимо использовать модели управления защитой информации.
Следует отметить, что существует классическая классификация моделей. Возможность их применения для исследования вопросов защиты информации представлена в табл.1.
Таблица 1.
Характеристики моделей
