Раздел IV. Построение системы обеспечения безопасности информации в комплексах средств автоматизации ее обработки Глава 1. Исходные предпосылки

Для построения системы обеспечения безопасности информации в комплексе средств автоматизации информационной системы необходимы следующие исходные данные:

• назначение и выполняемые функции;

• состав и назначение аппаратных и программных средств;

• структурная или функциональная схема;

• структура и состав информационной базы;

• перечень и время сохранения секретности сведений, подлежащих защите;

• модель ожидаемого поведения потенциального нарушителя;

• состав, количество и виды внутренних и выходных документов;

• описание функциональных задач прикладного программного обеспечения;

• состав и выполняемые функции должностных лиц — пользователей и обслуживающего персонала;

• режим работы (закрытый или открытый, круглосуточный или с перерывами, оперативный или пакетный);

• способы и средства загрузки программного обеспечения;

• базовые вычислительные средства и их характеристики;

• интенсивность отказов входящих технических средств;

• показатели качества функционального контроля;

• план и условия размещения технических средств на объекте эксплуатации.

Перечисленные данные являются параметрами конкретного объекта обеспечения безопасности. Его назначение и выполняемые функции дают первое представление о необходимом уровне обеспечения безопасности информации (например, для военных целей — один уровень, для гражданских — другой и т. д.). Уточняет эту задачу режим работы комплекса средств автоматизации обработки информации, а также перечень сведений, подлежащих защите. Состав и назначение аппаратных средств, структурная и функциональная схема, способ загрузки программного обеспечения, план размещения технических средств и другие параметры дают представление о возможных каналах несанкционированного доступа к информации, подлежащей защите. Перечень возможных каналов несанкционированного доступа представлен выше. Однако он не является исчерпывающим, или, наоборот, некоторые возможные каналы несанкционированного доступа на конкретном комплексе средств автоматизации обработки информации могут отсутствовать. Это зависит также от заданной модели поведения нарушителя. Перечень сведений, подлежащих защите, состав, количество и виды документов, содержащих эти сведения, дают представление о предмете защиты. Состав и выполняемые функции должностных лиц — пользователей и обслуживающего персонала, структура и состав информационной базы, операционная система программного обеспечения базовых информационных средств позволяют построить систему опознания и разграничения доступа к информации, подлежащей защите от преднамеренного несанкционированного доступа. Интенсивность отказов входящих в комплекс технических средств и показатели качества функционального контроля необходимы для оценки эффективности защиты от случайных несанкционированных доступов. План размещения и состав технических средств, а также данные о наличии соответствующих датчиков дают представление о возможности и выборе принципов построения системы контроля вскрытия аппаратуры и системы контроля доступа в помещения объекта эксплуатации комплекса средств автоматизации.

При создании системы обеспечения безопасности в комплексе средств автоматизации обработки информации используем также принятые концептуальные основы для построения системы обеспечения безопасности информации.

В целях наиболее полного представления способов реализации системы и средств обеспечения безопасности информации от преднамеренного несанкционированного доступа в комплексе средств автоматизации рассмотрим наиболее сложную ситуацию, когда состав комплекса средств автоматизации содержит по возможности наиболее полную номенклатуру типовых технических средств и количество возможных каналов несанкционированного доступа соответствует модели поведения квалифицированного нарушителя — профессионала.

При описании системы обеспечения безопасности в целях раскрытия смысла подчинения отдельных средств общей задаче используем метод исследования от общего к частному, для чего приведем сначала описание структуры системы обеспечения безопасности, а затем ее составные части.