3. Принципы организации и этапы разработки ксзи

3.1 Методологические основы организации ксзи

При создании КСЗИ необходимо учитывать, что информацию следует защищать во всех видах ее существования — документальном, электронном, содержащемся и обрабатываемом в автоматизированных системах и отдельных средствах вычислительной техники; это относится к персоналу, который обрабатывает информацию. Необходимо также принимать меры по защите информации от утечки по техническим каналам. Должны быть обеспечены конфиденциальность, целостность и доступность информации. Таким образом, защищать необходимо все компоненты информационной структуры предприятия — помещения, аппаратуру, информационные системы, документы на бумажных и электронных носителях, сети связи, персонал.

Целью проводимых работ должно являться построение комплексной системы защиты информации. Это предполагает необходимость использования, создания и разработки совокупности методологических, организационных и технических элементов КСЗИ, взаимообусловленных и взаимоувязанных, и базируется на использовании методологии построения комплексной системы защиты информации.

Для эффективного обеспечения безопасности информации требуется создание развитого методологического аппарата, позволяющего решить следующие комплексные задачи:

Особого внимания требует проработка правовых вопросов обеспечения безопасности информации. Необходимо проанализировать всю совокупность законодательных актов, нормативно-правовых документов, требования которых обязательны в рамках сферы деятельности по защите информации. Организационное обеспечение заключается в регламентации взаимоотношений исполнителей на нормативно-правовой основе таким образом, что разглашение, утечка и несанкционированный доступ к информации становится невозможным или будет существенно затруднен за счет проведения организационных мероприятий.

Техническое направление работ по созданию КСЗИ состоит в выборе, закупке и инсталляции средств защиты информации: физических; аппаратных; программных; аппаратно-программных.

Планирование инженерно-технического обеспечения КСЗИ рекомендуется проводить в соответствии со следующей методикой:

• Анализ объекта и ресурсов, подлежащих защите.

• Выявление способов несанкционированного доступа и каналов утечки информации.

• Составление моделей угроз и способов их реализации.

• Выбор защитных мероприятий.

• Анализ риска.

• Формулирование политики безопасности.

• Составление плана инженерно-технических мероприятий комплексной защиты информации.

• Оценка эффективности принятых решений.

Мероприятия по созданию КСЗИ, реализуемые вне единого комплекса мер, прописанных в рамках концепции политики безопасности, бесперспективны с точки зрения ожидаемой отдачи по решению проблем безопасности. Поэтому рассмотрим основные принципы, лежащие в основе политики безопасности.

3.2. Технология защиты от запуска вредоносных программ

Задача защиты - не позволять несанкционированно запускать на компьютере файлы, созданные пользователями в процессе эксплуатации системы.

Решение. Любой создаваемый интерактивным пользователем файл автоматически размечается системой защиты - ему сопоставляется учетная информация создавшего файл субъекта доступа. При обращении к любому файлу на исполнение, системой защиты анализирует, был ли создан этот файл в процессе эксплуатации системы (размечен ли он). Если это так, то автоматическое исполнение подобного файла блокируется пользователю выдается соответствующее уведомление.