Классификация мер обеспечения безопасности компьютерных систем

По способам осуществления меры информационной безопасности компьютерных систем подразделяются на:

1. Правовые (законодательные).

2. Морально-этические.

3. Организационные (административные).

4. Физические.

5. Технические (аппаратурные и программные).

К правовым мерам защиты относятся действующие в стране законы, указы и нормативные акты, регламентирующие правила обращения с информацией, закрепляющие права и обязанности участников информационных отношений в процессе ее обработки и использования, а также устанавливающие ответственность за нарушения этих правил, препятствуя тем самым неправомерному использованию информации и являющиеся сдерживающим фактором для злоумышленников.

К морально-этическим мерам противодействия относятся нормы поведения, которые традиционно сложились или складываются в стране или обществе. Эти нормы большей частью не являются обязательными, как законодательно утвержденные нормативные акты, однако, их несоблюдение ведет обычно к падению авторитета, престижа человека, группы лиц или организации. Морально-этические нормы бывают как неписаные (например, общепризнанные нормы честности, патриотизма и т.п.), так и писаные, то есть оформленные в некоторый свод (устав) правил или предписаний.

Организационные (административные) меры защиты – это меры регламентирующие процессы функционирования системы обработки данных, использование ее ресурсов, деятельность персонала, а также порядок взаимодействия пользователей с системой таким образом, чтобы затруднить или исключить возможность реализации угроз безопасности. Организационные (административные) меры включают:

• разработка правил доступа пользователей к ресурсам системы (разработка политики безопасности);

• подбор и подготовка пользователей компьютерной системы;

• организацию охраны и пропускного режима;

• организацию учета, хранения, использования и уничтожения документов и носителей с информацией;

• распределение реквизитов разграничения доступа (паролей, ключей шифрования и т.п.);

• организацию явного и скрытого контроля за работой пользователей компьютерной системы;

• разработка правил защиты информации при проектировании, разработке, ремонте и модификациях оборудования и программного обеспечения.

Физические меры защиты основаны на применении разного рода препятствий, предназначенных для исключения возможностей получения доступа злоумышленников к компонентам компьютерной системы и защищаемой информации, а также технических средств наблюдения и охранной сигнализации.

Технические (аппаратно-программные) меры защиты основаны на использовании различных электронных устройств и специальных программ, входящих в состав АСОИ и выполняющих функции защиты информации.

Основные принципы построения систем защиты асои

Защита информации в АСОИ должна основываться на следующих основных принципах:

1. Системности. Системный подход к защите компьютерных систем предполагает необходимость учета всех уязвимых мест АСОИ, характер возможных атак, пути проникновения в компьютерную систему и получения несанкционированного доступа к информации. Система защиты должна строиться с учетом возможности появления принципиально новых путей реализации угроз безопасности.

2. Комплексности. В распоряжении специалистов по компьютерной безопасности имеется широкий спектр мер, методов и средств защиты компьютерных систем. Комплексное их использование предполагает согласованное применение разнородных средств при построении целостной системы защиты, перекрывающей все существенные каналы реализации угроз и не содержащей слабых мест на стыках отдельных ее компонентов.

3. Непрерывности. Защита информации – это непрерывный целенаправленный процесс, предполагающий принятие соответствующих мер на всех этапах жизненного цикла АСОИ. Разработка системы защиты должна вестись параллельно с разработкой АСОИ. Это позволит учесть требования безопасности при проектировании архитектуры и, в конечном счете, позволит создать более эффективную систему защиты. Большинству физических и технических средств защиты для эффективного выполнения своих функций необходима постоянная организационная (административная) поддержка (своевременная смена и обеспечение правильного хранения и применения паролей, ключей шифрования, перераспределение полномочий и т.п.). Перерывы в работе средств защиты могут быть использованы злоумышленниками для анализа применяемых методов и средств защиты, для внедрения специальных программных и аппаратных "закладок" и других средств преодоления системы защиты.

4. Разумной достаточности. Создать абсолютно непреодолимую систему защиты принципиально невозможно. Поэтому имеет смысл вести речь только о некотором приемлемом уровне безопасности. Высокоэффективная система защиты дорогая, занимает много ресурсов компьютерной системы и поэтому может создавать ощутимые неудобства пользователям. Важно правильно выбрать тот достаточный уровень защиты, при котором затраты на ее создание и размер возможного ущерба при реализации злоумышленниками угроз были бы сбалансированы.

5. Гибкости. Система защиты информации создается в условиях неопределенности. Поэтому для обеспечения, в случае необходимости, более высокого уровня защищенности, при появлении новых угроз защищаемой информации с одной стороны и новых средств безопасности системы с другой стороны средства защиты должны быть заменяемыми. В таких ситуациях свойство гибкости спасает владельцев АСОИ от необходимости принятия кардинальных мер по полной замене средств защиты.

6. Открытости алгоритмов и механизмов защиты. Суть принципа состоит в том, что защита не должна обеспечиваться только за счет секретности структурной организации и алгоритмов функционирования ее подсистем. Знание алгоритмов работы системы защиты не должно давать возможности ее преодоления. Однако, это вовсе не означает, что информация о конкретной системе защиты должна быть общедоступна.

7. Простоты применения. Механизмы защиты должны быть понятны и просты в использовании. Применение средств защиты не должно быть связано с выполнением действий, требующих значительных дополнительных трудозатрат при работе законных пользователей, а также не должно требовать от пользователя выполнения рутинных малопонятных ему операций.