Глава 10

Третий фундаментальный вывод заключается в том, что на базе си­стемно-концептуального подхода может быть разработана унифициро­ванная концепция защиты информации, причем унифицированная как относительно различных видов и стратегий защиты, так и относительно типов АСОД, их архитектурного построения, технологий и условий функционирования. Рассмотрению структуры, содержания и методов практической реализации унифицированной концепции защиты отведена основная доля объема данного учебника.

Четвертый фундаментальный вывод сводится к тому, что работы по защите информации должны проводиться непрерывно. В самом деле, из анализа развития концепций защиты однозначно следует, что рассмат­риваемые здесь проблемы защиты информации оказались не просто на­много сложнее, а принципиально отличными от первоначального пред­ставления о них как о чисто технических задачах, которые могут быть решены попутно с разработкой основных компонентов АСОД. Более чем 30-летний опыт и теоретических исследований, и практического решения проблем как у нас в стране, так и за рубежом показывает, что возмож­ности случайных воздействий на информацию и особенно злоумышлен­ных действий над ней развивались и совершенствовались по крайней мере не менее интенсивно, чем средства их предупреждения и пресечения. Про­блема приобрела ярко выраженный характер игровой ситуации и притом в антагонистической и стохастической ее постановке. Из теории игр из­вестно, что решение таких задач заключается не просто в определении не­которого решения, а в формировании стратегии поведения игроков. Применительно к проблеме защиты информации это означает, что ее ре­шение не может быть сведено к созданию механизмов защиты - требуется организация регулярной защиты в широкой интерпретации этого поня­тия.

Уже в первых работах по данной проблеме отмечалось, что она представляет собой процесс создания механизмов защиты информации, как реализацию целевой программы различных мероприятий. Перечень и содержание этих мероприятий следующий:

1. установление необходимой степени защиты информации;

2. назначение лица, ответственного за выполнение мероприятий по защите информации;

3. определение возможных причин (каналов) нарушения защищен­ ности информации;

4. выделение необходимых средств на защиту информации;

Организация и обеспечение работ по защите информации

5. выделение лиц (подразделений), которым поручается разработка механизмов защиты;

6. установление мер контроля и ответственности за соблюдением всех правил защиты информации.

Нетрудно видеть, что приведенная программа есть не что иное как простая интерпретация методологии пректирования компонентов слож­ных систем. Такой подход полностью вытекает из господствовавших в то время взглядов на решение проблем защиты информации как на разовое мероприятие, осуществляемое на этапе создания или модернизации АСОД. Однако по мере того, как становилось все более ясным, что про­блема защиты не может быть эффективно решена чисто формальными средствами и в порядке реализации разового мероприятия, стали суще­ственно меняться и подходы к организации механизмов защиты. Для по­вышения эффективности функционирования механизмов защиты был предложен целый ряд дополнительных мер организационного характера, направленный прежде всего на обеспечение физической целостности ин­формации и на предотвращение несанкционированного ее получения.

Для обеспечения физической целостности информации в АСОД ре­комендовались меры, преследующие следующие цели:

1. предупреждение ошибок при подготовке информации к вводу в АСОД;

2. обнаружение и исправление ошибок, проявляющихся при вводе информации;

3. предупреждение (или восстановление) искажения информации при передаче по линиям связи;

4. обеспечение целостности и правильности функционирования ап­ паратуры и программного обеспечения АСОД;

5. обеспечение сохранности архивных массивов информации;

6. предупреждение ошибок при выдаче носителей информации из библиотек и установке их на устройства ввода;

7. предупреждение проявления, обнаружение и исправление ошибок операторов и обслуживающего персонала АСОД;

8) предупреждение и ликвидация последствий стихийных бедствий и злоумышленных действий.

Перечень и содержание дополнительных мероприятий, предприни­маемых с целью предотвращения несанкционированного получения ин­формации, представляются в следующем виде: исключение доступа по­сторонних лиц к терминалам; предупреждение несанкционированного

503