Загинайлов Теория ИБ-1 главы с 4 по 10

Правила и нормы, установленные соответствующими документами в области защиты информации, включают правила и нормы, установленные правовыми, организационно – распорядительными, норма- тивно-методическими документами, разработанными и введёнными в

действие, как органами государственной власти, так и руководством организации в которых создаётся и используется система защиты информации.

15.2 Общеметодологические требования и принципы построения систем защиты информации

Введением понятия системы защиты информации (СЗИ) определяется тот факт, что все ресурсы, выделяемые для защиты информации, должны объединяться в единую, целостную систему, которая является функционально самостоятельной подсистемой объекта информатизации.

Важнейшим концептуальным требованием к СЗИ, выделяемым особо, является требование адаптируемости, т. е. способности к целенаправленному приспособлению при изменении структуры, технологических схем или условий функционирования объекта информатизации. Важность требования адаптируемости обусловливается, с одной стороны, тем, что перечисленные факторы, вообще говоря, могут существенно изменяться, а с другой - тем, что процессы защиты информации относятся к слабоструктурированным, т. е. имеющим высокий уровень неопределенности. Управление же слабоструктурированными процессами может быть эффективным лишь при условии адаптируемости системы управления.

Помимо общего концептуального требования к СЗИ предъявляется еще целый ряд более конкретных, целевых требований, которые могут быть разделены на: функциональные, эргономические, экономические, технические и организационные. В совокупности эти требования образуют систему, структура и содержание которой приведены в таблице 15.1.

В процессе развития работ по защите информации как у нас в стране, так и за рубежом наряду с конкретными разработками конкретных вопросов защиты формировались общеметодологические принципы (общие положения) построения и функционирования СЗИ. Соблюдение требований таких принципов в общем случае способствует повышению эффективности защиты.

221

Таблица 15.1 – Общеметодологические требования к системе защиты информации

Сформированная к настоящему времени система включает следующий перечень общеметодологических принципов:

–концептуальное единство (комплексность);

–адекватность требованиям;

–гибкость (адаптируемость);

–функциональная самостоятельность;

–удобство использования;

–минимизация предоставляемых прав;

–полнота контроля;

–активность реагирования;

–экономичность.

Концептуальное единство(комплексность) означает, что архи-

тектура, технология, организация и обеспечение функционирования как СЗИ в целом, так и составных ее компонентов должны рассматриваться и реализовываться в строгом соответствии с основными положениями единой концепции отражающей цели и задачи защиты информации.

Адекватность требованиям означает, что СЗИ должна строиться в строгом соответствии с требованиями к защите, которые в свою оче-

222

редь определяются категорией хранимой и обрабатываемой информации (вид тайны, степени секретности) и соответствующего объекта, а также факторами, влияющими на защиту информации (уязвимости, угрозы, условия обработки и др.)

Гибкость (адаптируемость) системы защиты означает такое построение и такую организацию ее функционирования, при которых функции защиты осуществлялись бы достаточно эффективно при изменении в некотором диапазоне структуры АС, технологических схем или условий функционирования каких-либо ее компонентов.

Функциональная самостоятельность предполагает, что СЗИ должна быть самостоятельной обеспечивающей подсистемой ОИ и при осуществлении функций защиты не зависеть от других подсистем.

Удобство использования означает, что СЗИ не должна создавать дополнительных неудобств для пользователей и персонала АС.

Минимизация предоставляемых прав означает, что каждому пользователю и каждому лицу из состава персонала ОИ должны предоставляться лишь те полномочия на доступ к ресурсам ОИ и информационным технологиям, которые ему действительно необходимы для выполнения своих функций в процессе автоматизированной обработки информации. При этом предоставляемые права должны быть определены и установленным порядком и утверждены заблаговременно.

Полнота контроля (аудит безопасности) предполагает, что все процедуры автоматизированной и неавтоматизированной обработки защищаемой информации должны контролироваться системой защиты в полном объеме, причем основные результаты контроля должны фиксироваться (документироваться) в специальных регистрационных журналах.

Активность реагирования означает, что СЗИ должна реагировать на любые попытки несанкционированных действий. Характер реагирования может быть различным и включать:

–просьбу повторить действие;

–задержку в выполнении запросов;

–отключение структурного элемента, с которого осуществлено несанкционированное действие;

–исключение нарушителя из числа зарегистрированных пользователей;

–подача специального сигнала и др.

Экономичность СЗИ означает, что при условии соблюдения основных требований всех предыдущих принципов расходы на СЗИ должны быть минимальными.

223

15.3 Типизация, стандартизация, классификация систем защиты информации

Типизация и стандартизация систем защиты. Типизация и стандартизация систем защиты информации, как и любых других систем, имеет важное значение, как с точки зрения обеспечения надежности, так и экономичности защиты. Типизация в самом общем виде определяется как разработка типовых конструкций или технологических процессов на основе общих для ряда изделий (процессов) технических характеристик. Типизация рассматривается как один из методов стандартизации.

Стандартизация – это процесс установления и применения стандартов, которые в свою очередь определяются как образцы, эталоны, модели, принимаемые за исходные, для сопоставления с ними других подобных объектов. Стандарт же, как нормативно-технический документ, устанавливает комплекс норм, правил, требований к объекту стандартизации и утверждается компетентным органом.

Таким образом, конечной целью типизации и стандартизации является разработка, утверждение и повсеместное применение стандартов. Первым шагом на пути к конечной цели должна быть максимальная типизация основных решений в соответствующей области. С этих позиций необходимо рассматривать вопросы типизации и стандартизации СЗИ.

Анализ концепции защиты информации вообще и подходов к архитектурному построению СЗИ, в частности, показывает, что с целью создания наилучших предпосылок для оптимизации СЗИ целесообразно выделить три уровня типизации и стандартизации:

1. Высший – уровень СЗИ в целом (СЗИ объекта информатиза-

ции).

2.Средний – уровень составных компонентов СЗИ (СЗИ АС от НСД, ИТ-системы).

3.Низший – уровень проектных решений по средствам и механизмам защиты (подсистемы защиты ОС, БД, средства защиты, реализованные в ОТСС или ВТСС и т.д., различные спецификации, ИТпродукты).

С целью создания объективных предпосылок для типизации и стандартизации на высшем и среднем уровнях, прежде всего, необходимо осуществить системную классификацию СЗИ. При этом чисто интуитивно ясно, что основными критериями классификации должны быть такие показатели, с помощью которых все потенциально необхо-

224

димые СЗИ делились бы на такие элементы классификационной структуры (классы, группы), каждый из которых был бы адекватен некоторым вполне определенным потребностям в защите информации, а вся совокупность таких элементов охватывала бы все потенциально возможные варианты потребностей в защите.

Высший уровень. В качестве примера типизации СЗИ на высшем уровне можно выделить классификацию объектов информатизации (4 типа).

Задачи стандартизации на этом уровне достаточно сложны в связи с тем, что условия функционирования объектов информатизации предприятий, учреждений, организаций различны и, следовательно, существенно различаются цели и задачи защиты информации. Поэтому на этом уровне становится возможна лишь стандартизация типовых факторов воздействующих на объект информатизации. Примером этому служит стандарт ГОСТ Р 51275-2006. Защита информации. Объект информатизации. Факторы, воздействующие на информацию.

Требования безопасности к этим типам объектов складываются из требований безопасности к объектам, из которых они состоят, т.е требований безопасности к средствам и системам обработки (ОТСС), к средствам обеспечения объекта (ВТСС) и помещениям (зданиям, сооружениям). Уровень защищённости компонент зависит от степени конфиденциальности (секретности) информации.

Средний уровень. Средний уровень – уровень компонент объекта информатизации.

В качестве базового компонента ОТСС в настоящее время определены автоматизированные системы в защищённом исполнении (АСЗИ). АСЗИ это АС имеющие систему защиты, которая отвечает набору стандартов защиты и нормативных документов (Руководящих документов ФСТЭК).

На этом уровне учитываются условия обработки, состав и функции органов защиты, наличие нормативных документов определяющих режим защиты и правила обращения с информацией. В зависимости от ценности информации (грифа секретности и конфиденциальности) и условий обработки (уровней допуска пользователей) все системы (АС) разделяются на 9 классов, а помещения, в которых они установлены или помещения для конфиденциальных переговоров 3 класса, в зависимости от грифа секретности информации. ОТСС (АС, помещения в которых они установлены, помещения для конфиденциальных переговоров) аттестуются на соответствующий класс по требованиям безопасности информации сертификационными центрами, имею-

225

щими аккредитацию ФСТЭК на проведение аттестации объектов информатизации).

Таким образом, типизация и стандартизация на среднем уровне, предполагает разработку типовых проектов структурно или функционально ориентированных компонентов СЗИ, которые учитывают условия обработки. Требования к проектированию и построению систем защиты определены в стандартах и нормативных (руководящих) документах органов исполнительной власти уполномоченных в области безопасности и технической защиты информации. Стандартизованными являются АС различного уровня и назначения и помещения для конфиденциальных переговоров. По международным стандартам безопасности информационных технологий этот уровень типизации и стандартизации определяется как уровень ИТ-систем.

Низший уровень. Уровень проектных решений по средствам и механизмам защиты. Типизация и стандартизация на низшем уровне предполагает разработку и стандартизацию типовых проектных решений по практической реализации средств защиты информации или спецификаций:

–программно-аппаратных;

–криптографических;

–физической защиты.

В настоящее время существует несколько систем стандартизации как на основе национальных стандартов (руководящих документов ФСТЭК), так и международных.

По международным стандартам безопасности информационных технологий этот уровень типизации и стандартизации определяется как уровень ИТ-продуктов.

Таким образом, типизация и стандартизация на низшем уровне, предполагает разработку типовых решений на уровне подсистем защиты или средств защиты, которые могут быть сертифицированы в качестве стандартных и из которых можно просто собирать необходимую СЗИ (подсистемы защиты ОС, БД, средства защиты реализованные в ОТСС или ВТСС и т.д., различные спецификации, ИТ-продукты). Они не учитывают (или учитывают частично) условий обработки информации и функционирования объекта информатизации.

Классификация систем защиты. В качестве варианта класси-

фикации СЗИ может быть рассмотрен один из эмпирических подходов к типизации СЗИ АС, в рамках которого СЗИ классифицируются по уровню защиты, обеспечиваемому соответствующей системой и активности реагирования СЗИ на несанкционированные действия.

226

Классификация по уровню обеспечиваемой защиты. Все СЗИ целесообразно разделить, например, на пять категорий. Каждый уровень будет соответствовать условной ценности (важности информации). Вариант такой классификации приведен в таблице 15.2.

Таблица15.2 – Классификация АС по уровню обеспечиваемой защиты на основе важности (ценности) информации

Системы слабой (тривиальной) защиты – рассчитаны на такие АС, в которых обрабатывается информация, имеющая самый низший уровень конфиденциальности и ущерб от получения её третьими лицами не несёт значительного материального ущерба способного повлиять на деятельность организации и её бизнес процессы;

Системы «нормальной» (базовой) защиты – рассчитаны на такие АС, в которых обрабатывается информация ограниченного доступа и (или) другая ценная информация и ущерб от получения её третьими лицами или её утрата может привести к материальному (финансовому) или моральному ущербу способному повлиять на деятельность организации и её бизнес процессы.

227

Системы сильной защиты – рассчитаны на АС, в которых обрабатывается информация, подлежащая защите от несанкционированного ее получения, и имеющая высокую (государственную) важность (ценность);

Системы очень сильной защиты – рассчитаны на АС, в которых регулярно обрабатываются информация, имеющая очень высокую (государственную) важность (ценность);

Системы особой защиты – рассчитаны на АС, в которых регулярно обрабатывается информация особой (государственной) важности (ценности).

Классификация по активности реагирования. По активности реагирования СЗИ на несанкционированные действия, все системы защиты можно разделить на следующие три типа:

1)пассивные СЗИ, в которых не предусматривается ни сигнализация о несанкционированных действиях, ни воздействие системы защиты на нарушителя (например системы аудита);

2)полуактивные СЗИ, в которых предусматривается сигнализация о несанкционированных действиях, но не предусмотрено воздействие системы на нарушителя;

3)активные СЗИ, в которых предусматривается как сигнализация о несанкционированных действиях, так и воздействие системы на нарушителя, его действия или используемые средства. В этом случае, в качестве примера можно привести СЗИ от НСД в АС в которых функционально может быть предусмотрено блокирование доступа к защищаемым ресурсам в случае трёх попыток ввода неправильного пароля, или отключение компьютера вообще.

В общем случае можно предположить, что СЗИ каждой категории по уровню защиты могут относиться к разным типам активности реагирования. Однако вряд ли целесообразно строить активные СЗИ слабой защиты (хотя в некоторых случаях такие системы и могут быть допустимы). С другой стороны, системы особой защиты непременно должны быть активными. Следовательно, в классификационной структуре могут быть выделены обязательные, целесообразные, нецелесообразные, допустимые и недопустимые СЗИ.

Системы защиты информации государственного уровня рассмотрены в главе 3.

Контрольные вопросы и задания

1. Приведите понятие системы защиты информации и её компоненты в соответствии с Российскими национальными стандартами.

228

2.Что включают в себя общеметодологические требования к системе защиты информации?

3.Приведите перечень общеметодологических принципов построения систем защиты информации.

4.В чём суть принципа комплексности в построении систем защиты информации?

5.В чём суть принципа адекватности в построении систем защиты информации?

6.В чём заключается суть и проблема типизации СЗИ на высшем уровне? Приведите пример типизации.

7.В чём заключается суть типизации СЗИ на среднем уровне? Приведите пример.

8.В чём заключается суть типизации СЗИ на низшем уровне? Приведите пример.

9.Как классифицируются СЗИ по уровню обеспечиваемой защиты? Приведите пример.

10.Как классифицируются СЗИ по активности реагирования на несанкционированные действии?

229

Глава 16 КОМПЛЕКСНАЯ СИСТЕМА ЗАЩИТЫ ИНФОРМАЦИИ

НА ПРЕДПРИЯТИИ

16.1 Понятие и общая структура комплексной системы защиты информации на предприятии

Одним из базовых принципов и требований к обеспечению информационной безопасности предприятия и построению систем защиты является принцип комплексности защиты. Основная идея этого принципа заключается в том, что, во-первых должны быть защищены все объекты предприятия (объекты информатизации) на которых ведётся обработка информации, во-вторых должен использоваться арсенал методов и средств всех видов защиты: правового, технического, организационного, криптографического, физического в их оптимальном сочетании обеспечивающем соотношение цена системы защиты/эффективность системы защиты.

Принцип комплексности позволяет оценить в целом главные вопросы защиты: что защищается, кто защищает и как защищается?

Комплексность системы защиты информации достигается охватом всех возможных угроз и согласованием между собой разнородных методов и средств, обеспечивающих защиту всех элементов предприятия.

Основными показателями, задающими необходимый комплекс мероприятий и средств по защите информации, следует считать:

–количество (объёмы) и ценность используемой и обрабатываемой на предприятии информации и информационных ресурсов;

–количество и технологические особенности технических средств обработки, хранения, передачи информации (средств автоматизации, связи и т.п);

–состав, объекты и степень конфиденциальности защищаемой информации;

–количество и уровень подготовки персонала связанного с использованием, обработкой, хранением, передачей информации вообще

иценной (конфиденциальной) в частности;

–структура и территориальное расположение предприятия;

–режим функционирования предприятия;

–конструктивные особенности (компактные, территориальнораспределённые, размещённые совместно с другими предприятиями);

230