Yazov_ITKS

Затем оцениваются уровни угроз и уязвимостей на основе экспертного опроса по специально составленным анкетам и учета таким образом разнообразных косвенных факторов, таких как:

статистика по зарегистрированным инцидентам безопасности информации (нарушениям);

тенденции в статистике по нарушениям;

наличие в системе информации, представляющей интересах для возможных внутренних и внешних нарушителей;

моральные качества персонала;

возможность извлечь выгоду из изменения обрабатываемой в системе информации;

наличие альтернативных способов доступа к информации;

количество рабочих мест операторов в системе;

осведомленность руководства о действиях сотрудников;

полномочия пользователей и др.

Примеры заполнения ответов и выставления баллов по ответам приведены в табл. 3.15 и 3.16.

Затем баллы по результатам оценки угрозы суммируются и оценивается степень угрозы по количеству баллов следующим образом:

331

Таблица 3.15 Пример оценки угроз выполнения несанкционированных действий по балльной шкале

по ответам экспертов

332

Таблица 3.16 Пример оценки уязвимостей по балльной шкале по ответам экспертов

333

Аналогичным образом оценивается по баллам сте-

Далее определяется показатель цены потери по вербальной шкале:

N (Negligible) – воздействие можно пренебречь;

Mi (Minor) – незначительные последствия (легко устранимы, с малыми затратами на ликвидацию);

Mo (Moderate) – последствия умеренны, не связаны с крупными затратами, не затрагивает критически важные задачи;

S (Serious) – серьезные последствия со значительными затратами, влияющими на выполнение критически важных задач;

C (Critical) – невозможно решение критически важных задач.

На основе проведенных оценок определяется показатель риска, например, по десятибалльной шкале в соответствии с табл. 3.17, а затем с его учетом – опасность угрозы (табл. 3.18).

334

Таблица 3.17

Показатель информационного риска

*Н – низкий, С – средний, В – высокий

335

4. ОБОСНОВАНИЕ ТРЕБОВАНИЙ ПО ЗАЩИТЕ ИНФОРМАЦИИ В ПРОЕКТИРУЕМЫХ ИНФОРМАЦИОННОТЕЛЕКОММУНИКАЦИОННЫХ СИСТЕМАХ 4.1. Система требований по защите информации

Требования по защите информации в ИТКС предъявляются в интересах формирования условий, при которых в случае их выполнения достигается определенный уровень защищенности информации, достаточный для недопущения нанесения существенного ущерба государству или обществу. Системой таких требований регулируются различные аспекты деятельности органов, организаций и предприятий в области защиты информации (рис. 4.1). Ниже рассматриваются не все требования, а лишь те, которые касаются технических аспектов организации защиты информации в информационных системах.

В последнее десятилетие в России сложилось два направления нормативного регулирования деятельности по защите информации в информационных системах:

первое направление связано с нормативными правовыми актами, издаваемыми уполномоченными федеральными органами исполнительной власти, такими как ФСБ России, ФСТЭК России, Роскомнадзор;

второе направление связано с активным внедрением в России международных стандартов в виде аутентичных переводов и принятия их в качестве национальных.

Первое направление характеризуется тем, что требования по защите информации формируются применительно к заранее определенному классу (уровню) защищенности информационной системы.

336

Класс (уровень) защищенности определяется путем классификации информационных систем по правилам (методикам), введенным в соответствующем документе. При этом каждому классу (уровню) защищенности ставится в соответствие определенный набор подлежащих применению в этой информационной системе мер и средств защиты. Прежде всего, такое регулирование проводится в системах, где обрабатывается информация ограниченного доступа, содержащая сведения, составляющие государственную, служебную, коммерческую тайны (если это затрагивает государственные интересы) или персональные данные граждан России.

Второе направление характеризуется тем, что в стандартах излагается заранее сформированный каталог требований, на основе которого разрабатываются разнообразные «профили защиты» – специальные документы, содержащие требования к различным классам, типам, экземплярам информационных систем. При проектировании конкретной информационной системы в защищенном исполнении разработчик выбирает необходимый профиль защиты, в соответствии с которым задаются требования по защите и разрабатывается система защиты (создается ИТКС в защищенном исполнении).

Следует отметить, что, если первое направление может применяться для любых ИТКС в России (указанных в соответствующем нормативно-правовом акте), то второе направление применяется в основном для трансграничных информационных систем, систем, развертываемым за рубежом отечественными разработчиками, систем совместных предприятий на территории России и иных систем, где не требуется нормативное регулирование деятельности в области защиты информации со стороны государства.

338

Сегодня наблюдается тенденция к некоторому сближению этих двух направлений.

Ниже рассматриваются требования, формируемые

всоответствии с первым направлением нормативного регулирования. Второе направление раскрывается в разде-

ле 3.5.

Все множество требований, предъявляемых к ИТКС

вобласти защиты информации (их называют «требованиями к защите», «требованиями по защиты» или в некоторых документах – «требованиями о защите»), можно разделить на требования к системе защиты (включающие в себя требования к организации защиты), требования к технической составляющей системы защиты и требования к мерам и средствам защиты (рис. 4.2).

При этом под системой защиты здесь понимается совокупность «экономических, организационно-правовых и административных мер, нормативных процедур (методов и способов), органов и/или исполнителей, используемой ими техники защиты информации, а также объектов защиты, организованная и функционирующая по правилам и нормам, установленным соответствующими документами

вобласти защиты информации» [10].

Вобщем случае под средством защиты информации понимается техническое, программное, программнотехническое средство, вещество и (или) материал, предназначенные или используемые для защиты информации

[10].

Таким образом, средством защиты информации от НСД может быть оборудование с возможно установленными на нем программами или программа (совокупность программ, программный комплекс), предназначенные для парирования угроз НСД.

339

Требования к защите информации

Рис. 4.2. Структура системы требований по защите информации в информационных системах

340