Глава 8. Организационные мероприятия по обеспечению безопасности информации в сетях передачи информации и автоматизированных системах управления

Организационные мероприятия составляют наиболее важную часть системы обеспечения безопасности информации в информационных системах в целом, а также в автоматизированных системах. На организационном уровне осуществляются взаимодействие элементов автоматизированной системы управления и сети передачи информации, синхронизация действий подсистем, объектов и персонала. В результате исследования видов информации, подлежащей защите, ее циркуляции, мест сосредоточения, а также функций и полномочий элементов автоматизированной системы управления и сети передачи информации определяются:

        перечень видов управляющей деятельности службы безопасности информации;

        цели, стоящие перед органами управления при обеспечении защиты информации;

        перечень подзадач, посредством решения которых реализуются цели защиты;

        распределение задач защиты между органами исполнения различных уровней;

        объемы, виды, формы и сроки представления информации вышестоящим органам управления.

Разработка функциональной структуры службы безопасности информации затрагивает главные проблемы руководства и основные идеологические концепции построения автоматизированной системы управления и сети передачи данных, исходя как из общих закономерностей управления организационными системами, так и из анализа особенностей технологии планирования и принятия решений, специфичных для данной автоматизированной системы управления и сети передачи информации.

В процессе подготовки к эксплуатации системы пользователи обучаются правилам выполнения защитных мероприятий при работе с системой, убеждаясь в их необходимости и важности. При этом по-прежнему важны подбор и расстановка кадров в соответствии с их квалификацией и функциональными обязанностями при выполнении будущих работ. При переходе на автоматизированную систему в целях защиты информации возможно потребуется перестройка структуры организации. В период реорганизации система особенно уязвима, что объясняется воздействием многих факторов. Назовем некоторые из них:

        отсутствие на первых порах привычки пользователей к новой системе и, как следствие, отсутствие осторожности и появление ошибок;

        появление ошибок разработчиков системы, включая систему защиты;

        отвлечение внимания пользователей текущими проблемами от вопросов защиты и т. д.

В связи с этим вопросы защиты должны быть строго учтены при составлении планов работ и их реализации особенно в начальный период эксплуатации. В период подготовки и эксплуатации автоматизированной системы управления (сети передачи информации) проводятся организационные мероприятия в интересах выполнения функций управления.

В процессе эксплуатации автоматизированной системы управления (сети передачи информации) в ее состав могут быть введены новые элементы или выведены по какой-либо причине старые. Перед вводом нового элемента должны быть проверены и испытаны на функционирование его системы защиты информации. После принятия решения о выводе старого элемента автоматизированной системы управления (сети передачи информации) необходимо скорректировать соответствующие таблицы полномочий других элементов автоматизированной системы управления (сети передачи информации) на предмет его исключения и удалить значения кодов его паролей, а на самом элементе удалить секретную информацию из его оперативной и при необходимости долговременной памяти, включая адресные таблицы сети передачи, структуру автоматизированной системы управления и сети передачи информации, таблицы полномочий и кодов паролей, о чем целесообразно составить соответствующий акт, подписанный ответственными исполнителями работ. Наконец, наступает такое время, когда необходима замена самой системы в целом, как морально устаревшей, на новую. Однако информация, циркулирующая в старой системе, может быть ценной и подлежать защите по сей день. Тогда необходимо работать с каждым элементом автоматизированной системы управления (сети передачи информации), аналогично описанной выше процедуре работы с элементом, выводимым из системы.

Специалисты рекомендуют соблюдать следующие требования по безопасности информации в информационных сетях:

        все возможные пути прохождения данных в сети от отправителя сообщения до получателя должны быть защищены. Это обычно называют безопасностью из конца в конец;

        данные никогда не должны появляться внутри сети в форме, пригодной для чтения;

        терминалы пользователей и терминалы, обслуживающие сервера, должны быть способны осуществлять операцию старта и остановки в любое время, не оказывая длительного влияния на функционирование сети;

        всем пользователям, терминалам и компьютерам должны быть присвоены уникальные идентификаторы и осуществлена проверка их подлинности при доступе в сеть;

        если исходный текст состоит только из нулей и единиц, то передаваемое сообщение шифроваться не должно;

        при отсутствии передачи сообщения в целях скрытия своей активности должен использоваться генератор шума.

При разработке системы защитных преобразований очень важна оценка объема усилий и затрат, необходимых для раскрытия ключа. Если эти затраты нарушителя превышают получаемый при этом выигрыш, система защиты считается эффективной. Следуя концепции защиты, принятой за основу, вводим временной фактор, так как он позволяет провести относительно стоимостного более точную оценку, т. е. система шифрования данных считается эффективной, если объем усилий, выраженный в затратах времени для раскрытия ключа нарушителем, превышает время старения защищаемых данных.

При раскрытии нарушителем ключа следует учитывать возможность применения для этой цели современной информационной техники, а также ее развитие за период использования информации средств защиты в данной информационной сети и автоматизированной системе управления.