Основы ИБ

контроль его последующей деятельности на предмет выявления нарушений принятых ра-

нее на себя обязательств и осуществления мер правовой защиты.

8. КОМПЛЕКСНЫЕ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ

8.1 Системный подход при комплексной защите информации Из всего предшествующего изложения следует, что защита информации в совре-

менных АС является крупномасштабной и сложной проблемой. Действительно эффектив-

ное обеспечение защиты информации на объектах информатизации, в том числе непо-

средственно в АС объекта, возможно только на основе системного подхода и комплексно-

го использования всех известных методов и средств для решения данной проблемы.

Комплексная система защиты информации (КСЗИ) являются неотъемлемой под-

системой АС и разрабатываются с целью нейтрализации угроз безопасности информации,

которые могут иметь различные источники и быть различной природы. При этом понима-

ется, что данная система имеет специализированный характер и разрабатывается как под-

система АС для защиты информации ограниченного доступа.

Комплексная защита информации должна удовлетворять следующим требованиям

[8.5]. Во-первых, должны быть разработаны и доведены до уровня регулярного использо-

вания все необходимые механизмы гарантированного обеспечения требуемого уровня за-

щищенности информации. Во-вторых, должны существовать механизмы практической реализации требуемого уровня защищенности информации. В-третьих, необходимо рас-

полагать сертифицированными средствами рациональной и эффективной реализации всех необходимых технических решений по защите информации. И, наконец, в-четвертых,

должны быть разработаны способы оптимальной организации и обеспечения проведения всех мероприятий по защите в процессе обработки информации.

Системный подход к защите информации на объектах информатизации требует обеспечения защиты [8.2]:

при всех видах информационной деятельности на объекте информатизации;

во всех структурных компонентах АС;

при всех режимах функционирования;

на всех этапах жизненного цикла АС;

с учѐтом взаимодействия объекта информатизации с внешней средой.

85

Средства защиты, входящие в систему защиту информации, обеспечивая решение задач защиты должны регулярно выполнять свои функции в АС, не конфликтуя между собой и с другими компонентами системы. В то же время они реализуются различными способами и методами, как в части моделей, алгоритмов, инструментария или в качестве отдельных функциональных изделий, могут быть программными или аппаратными сред-

ствами, организационными мерами и мероприятиями, а также представлять собой ком-

плексные технические и организационные решения.

Таким образом, КСЗИ создаются в соответствии с принципами системности и комплексности. Исходя из рассмотренных выше предпосылок, эти принципы могут быть в обобщѐнном виде представлены в следующих понятиях.

Принцип системности требует:

рассмотрения всех факторов, влияющих на состояние информационной безопасности в АС и на объекте информатизации;

выделения существенных из них путѐм анализа угроз информации, порож-

даемых ими рисков и последующего возможного ущерба, если риск стано-

вится реальным событием;

учѐта всех выделенных существенных факторов при создании КСЗИ.

Принцип комплексности предполагает использование различных методов, мер и средств защиты информации (административно-правовых, организационных, организаци-

онно-технических, технических, программных) для нейтрализации угроз информации и интеграцию этих средств в единую технологически связанную и управляемую систему.

АС является частью, инструментом управленческой или информационной деятель-

ности на объекте информатизации. Следовательно, при создании КСЗИ должны рассмат-

риваться все аспекты жизнедеятельности объекта, связанные с функционированием АС,

то есть, практически, вся информационная сфера организации (предприятия).

В общесистемном представлении объект информатизации (ОИ) – это организация определѐнного вида деятельности (производственное или иного предназначения пред-

приятие, структура государственного управления, банк и т.д.). Как правило, это понятие используется при рассмотрении проблемы информатизации и автоматизации организации в целом.

Как исполнительная структура информационной сферы организации ОИ - совокуп-

ность информационных ресурсов, средств и систем обработки информации, используемых в соответствии с заданной информационной технологией. В состав объекта информатиза-

ции входят все средства жизнеобеспечения объекта информатизации (здания, сооружения,

помещения, обеспечивающие технические средства и системы), которые необходимы для

86

установки и эксплуатации средств и систем обработки информации, а также помещения и объекты, предназначенные для ведения конфиденциальных переговоров [8.6].

При создании КСЗИ объект информатизации идентифицируется как объект защи-

ты. Информационное представление ОИ можно рассматривать в виде упрощѐнной струк-

турной схемы информационной сферы организации – рисунок 8.1.

ОБЪЕКТ ИНФОРМАТИЗАЦИИ

Объектовая информационная деятельность

ВНЕШНЯЯ ИНФОРМАЦИОННАЯ СРЕДА

Рис.8.1. Информационное представление ОИ

Информационная сфера организации включает в себя все виды ее информацион-

ной деятельности и, прежде всего, определяется совокупностью функционирующих на объекте АС.

Кроме того, ОИ информационно взаимодействует с внешней средой. Это взаимо-

действие может быть штатным (другие ОИ, внешние пользователи АС), когда каналы взаимодействия и регламент определѐны и подконтрольны. Но оно может быть связано и с наличием побочных воздействий на защищаемую информацию и побочных информаци-

онных потоков, которые могут возникать за счѐт человеческого фактора, свойств и осо-

бенностей работы технических средств. В том числе и технологий съѐма информации за счѐт побочных электромагнитных излучений от технических средств обработки информа-

ции и наводок сигналов, имеющих информационную составляющую, на проводные среды

(утечка информации по техническим каналам).

Важным фактором для оценки эффективности системы защиты при создании КСЗИ является понимание соотношения «информационный риск – нанесѐнный ущерб». Обще-

87

принятое понятие риска – возможное опасное событие. Ущерб – последствия от проис-

шедшего опасного события. Из этого следует, что информационный риск – опасное для субъекта или объекта информатизации событие, при реализации которого наносится ущерб как для самой информационной сферы, так и, возможно, для информационно об-

служиваемого объекта в целом [8.4].

Понятие риска непосредственно связано с понятием угроз. Угрозы порождают рис-

ки. При рассмотрении проблемы обеспечения информационной безопасности необходимо выделить две группы угроз информационного характера: угрозы информации и информа-

ционные угрозы.

Как было определено в главе 1, все угрозы, деструктивно влияющие на накапли-

ваемую и обрабатываемую информацию, а так же на средства и службы реализации ин-

формационных технологий, то есть на автоматизированную систему, требуют решения задачи защиты информации (как основного объекта защиты в АС). Они составляют мно-

жество угроз информации.

Однако функционирование АС является обеспечивающей составляющей при вы-

полнении основных работ, связанных с назначением объекта информатизации. Сама ин-

формация (еѐ содержание, регламент подачи и качество), могут быть неэффективными,

даже небезопасными. Еѐ использование для принятия решений, управления, выполнения работ может привести к неэффективным, иногда и разрушительным действиям.

88

Рис.8.2. Структурная схема ущерба организации за счѐт угроз информационной безопасности

Следовательно, информационная сфера может быть источником угроз, и эти угро-

зы относятся к информационным угрозам. Наличие информационных угроз для потреби-

теля информации из АС требуют решения задачи безопасности информации, представ-

ляемой ему АС.

Информационные риски могут быть соизмеримы с рисками, связанными с основ-

ной деятельностью объекта информатизации (рисками банковскими, предприниматель-

скими, управленческими и др.) [8.4]. Структурная схема конечного ущерба организации,

получаемого за счѐт угроз информационной безопасности и порождаемых ими рисков представлена на рисунке 8.2.

Нейтрализация угроз информации в АС обеспечивается КСЗИ. Исключение ин-

формационных угроз, как правило, входит в цели и задачи самой АС.

8.2 Макроструктурные компоненты КСЗИ

89

Основным инструментарием построения КСЗИ на объекте информатизации являет-

ся системный анализ. В соответствии с введѐнным понятием ОИ, который ассоциируется как объект защиты информации, он может быть представлен в информационном отноше-

нии в двух аспектах:

как материальный объект, информационно проявляющий себя в окружаю-

щей среде (внешнее информационное проявление объекта);

как система информационного обеспечения основной деятельности ОИ или

автоматизированного управления определѐнными видами деятельности.

Под внешним информационным проявлением объекта защиты понимается сово-

купность информационных технологий, процессов или ситуаций, позволяющих внешним субъектам получать информацию из объекта или об объекте - в штатном режиме или не-

санкционированным путѐм.

Информационные ситуации получения информации несанкционированным путѐм связываются с состоянием информационных ресурсов, АС или объекта в целом, когда ин-

формационные процессы приобретают качества и особенности нештатного характера (на-

пример, состояние сбоев и отказов программно-технических средств, компьютерная атака со взломом средств защиты, возможность утечки информации по проводным каналам за счѐт побочных электромагнитных излучений или наводок и т.д.). По существу, с позиций КСЗИ данные информационные ситуации являются критическими.

Системный анализ предполагает, во-первых, анализ самого объекта для формиро-

вания задач защиты, во-вторых, поиск средств реализации этих задач, наконец, синтез структуры системы, технологической цельности и управления (так как КСЗИ по природе своей является системой управления). То есть решаются дескриптивная и конструктив-

ная задачи системного анализа.

В данном случае дескриптивная задача системного анализа включает в себя сле-

дующие основные работы:

анализ информационных ресурсов и всей информационной инфраструктуры объекта (прежде всего, в отношении используемых АС) на предмет выявле-

ния защищаемых ресурсов и объективно имеющихся уязвимых мест;

выявление и анализ угроз информации, их источников, порождаемых ими информационных рисков, оценка возможного ущерба и, на основании этой оценки, ранжирование угроз информации;

разработка модели нарушителя и модели угроз информационной безопасно-

сти для объекта защиты, при необходимости, для отдельных компонентов

информационной сферы (деятельности) организации;

90

формирование политики информационной безопасности, в рамках которой определяются направления постановки функциональных задач защиты (ФЗ),

защищаемые информационные технологии и критические ситуации, на-

правления деятельности подразделений и в подразделениях организации и т.д;

определение необходимого набора функций назначения по защите инфор-

мации, интеграция их в функциональные подсистемы и постановка задач защиты, обеспечивающих нейтрализацию угроз информационной безопас-

ности.

Результаты решения позволяют сформировать функциональную часть КСЗИ.

Задачи защиты должны быть решены с помощью методов и средств, которые в ин-

формационных технологиях, требующих защиты, в критических ситуациях, при опреде-

лѐнных условиях должны обеспечить выполнение требований политики безопасности.

Упорядоченная по выбранным критериям совокупность этих методов и средств составля-

ют набор обеспечивающих подсистем.

Кроме того средства защиты (организационные меры, организационно-технические мероприятия, технические и аппаратно-программные средства - СЗ) должны быть техно-

логически увязаны между собой и в технологических процессах обработки, хранения и передачи информации.

И, наконец, КСЗИ как система, поддерживающая определѐнный уровень информа-

ционной безопасности в АС и на ОИ в целом, является системой управления информаци-

онной безопасностью. Следовательно, управление, в конечном счѐте, является компонен-

том КСЗИ, отрабатывающем основную целевую функцию по защите информации.

Выполнение перечисленных работ составляют содержание конструктивной задачи системного анализа при создании КСЗИ, обеспечивает синтез и интеграцию системы.

Структурная схема построения комплексной системы защиты информации на объ-

екте информатизации представлена на рисунке 8.3.

91

Функциональная

часть

1

Направления постановки ФЗ на

Защищаемые ресурсы и ситуации 3

7.1.1.1.1.1.1ФП

Задачи (ФЗ)

У У1

5

2

Средства (СЗ)

Виды средств защиты и сфер

92

7.1.1.1.1.2О

Рис.8.3. Структурная схема построения КСЗИ

Макроструктурными компонентами КСЗИ являются [3]:

функциональные подсистемы (ФП);

обеспечивающие подсистемы (ОП);

подсистема технологического обеспечения (ТЕХНОЛОГИЯ);

подсистема управления информационной безопасностью (УПРАВЛЕНИЕ).

Подсистемы технологического обеспечения и управления информационной безо-

пасностью являются отдельными самостоятельными общесистемными компонентами КСЗИ.

8.3 Функциональные подсистемы

Функциональные подсистемы выделяются в самостоятельные структурные объек-

ты КСЗИ как системные компоненты обеспечения защиты информации в информацион-

ных технологиях определѐнного вида или реализации функций назначения по защите ин-

формации в конкретных информационных технологиях и ситуациях. Одним из опреде-

ляющих факторов при выделении самостоятельных компонентов (функциональных под-

систем) является характер и сущность угроз при реализации информационных техноло-

гий.

Функциональная подсистема КСЗИ – совокупность функций и задач, ориентиро-

ванных на решение проблемы защиты информации в рамках установленного правового поля в отношении определѐнного вида информационных технологий или конкретных,

требующих защиты, информационных технологий и ситуаций.

Для ОИ (объекта защиты) выделение функциональных подсистем целесообразно выполнить по двум направлениям:

защита информации при внешнем информационном проявлении объекта;

93

защита информации на объекте.

Обобщѐнными видами информационных технологий и критических ситуаций при

построении КСЗИ ОИ являются:

секретное и конфиденциальное делопроизводство (работа с традиционными документами на бумажных носителях и отчуждаемыми машинными носите-

лями информации в ручном контуре автоматизации);

автоматизированная обработка информации (автоматизированные системы обработки данных различного назначения, используемые на ОИ в качестве инструмента информационной сферы);

передача и транспортировка информации (во всех внутренних и внешних каналах связи и передачи данных);

гарантированное хранение информации (хранение документальных и ин-

формационных фондов, архивов, баз данных и отдельных массивов данных,

зафиксированных на различных носителях информации, с учѐтом обеспече-

ния целостности и сохранности информации);

непосредственное информационное взаимодействие «субъект – субъект»

(источниками и приѐмниками информации являются субъекты без исполь-

зования технических средств);

побочные информационные технологии;

критические ситуации (нештатные режимы функционирования АС, компью-

терные атаки, скрытное внедрение в программно-техническую среду).

Выделение функциональных подсистем для конкретного ОИ является сугубо кон-

кретной системной процедурой проектирования КСЗИ объекта, однако можно определить типовой набор подсистем, учитывая при этом информационное представление объекта,

основные виды защищаемых информационных технологий и ситуаций, характер и сущ-

ность угроз информационной безопасности. В него целесообразно включить следующие подсистемы.

При внешнем информационном проявлении объекта защиты:

подсистема защиты информации во внешних каналах информационного взаимо-

действия (защита во внешней телекоммуникационной сети передаваемых и постав-

ляемых в АС объекта информационных ресурсов);

подсистема нейтрализации побочного информационного проявления ОИ (в основ-

ном, в данном случае решаются задачи, связанные с защитой информации от утеч-

ки по техническим каналам).

94