51

1 Раздел

1. Задание

Необходимо:

Провести оценку качества системы защиты информации (СЗИ) на основе анализа профиля безопасности.

Требуется:

1. Определить оценку защищённости объектов информационной системы (ИС) (оценка достигнутого профиля защиты, сравнение профилей, оценка этапов).

2. Определить оценку защищённости процессов и программ ИС (оценка достигнутого профиля защиты, сравнение профилей, оценка этапов).

3. Определить оценку защищённости канала связи ИС (оценка достигнутого профиля защиты, сравнение профилей, оценка этапов).

4. Определить оценку защищённости от утечки по техническим каналам (ПЭМИН) (оценка достигнутого профиля защиты, сравнение профилей, оценка этапов).

5. Определить оценку защищённости элементов системы защиты (управления и контроль) (оценка достигнутого профиля защиты, сравнение профилей, оценка этапов).

6. Определить достигнутый суммарный профиль безопасности (количественная оценка).

7. Определить количественные показатели степени выполнения требований по ЗИ.

8. Определить обобщённые показатели уровня защиты ИС (количественная и качественная оценка).

9. Построить матрицу количественных и качественных оценок.

10. Оценить степень выполнения требований по ЗИ, определить сильные и слабые места в СЗИ. Какие мероприятия, методы и средства необходимо применить для повышения качества защиты.

1.2 Основы, направления и этапы построения сзи

Известно, что основой системы защиты информации являются (рис.1.1):

1. Законодательная, нормативно-правовая и научная база;

2. Структура и задачи органов (подразделений), обеспечивающих безопасность информационных технологий;

3. Организационно-технические и режимные меры (политика информационной безопасности);

4. Программно-технические методы и средства защиты информации.

Рисунок 1.1 – Основы построения СЗИ

Выделим основные направления в общей проблеме обеспечения безопасности информационных технологий (они представлены на рис. 1.2).

Рисунок 1.2 – Направления построения СЗИ

Направления формируются исходя из конкретных особенностей ИС, как объекта защиты. В общем случае, исходя из типовой структуры ИС и исторически сложившихся видов работ по защите информации рассмотрим следующие направления:

1. Защита объектов информационных систем;

2. Защита процессов, процедур и программ обработки информации;

3. Защита каналов связи;

4. Подавление побочных электромагнитных излучений (наводок);

5. Управление системой защиты.

Каждый из показателей блока направления должен быть структурирован в зависимости от заданной глубины детализации СЗИ. Представим направления (рис.2) в виде куба, внутри которого и находятся все вопросы (предметная область) защиты информации. Но поскольку каждое из этих направлений базируется на перечисленных выше основах, то грани куба объединяют основы и направления, которые неразрывно связанные друг с другом. Далее рассмотрим этапы (последовательность шагов) построения СЗИ, которые необходимо пройти в равной степени для всех и каждого в отдельности направлений (с учетом всех основ).

Проведенный анализ существующих методик (последовательностей) работ по созданию и проектированию СЗИ позволяет выделить следующие этапы:

1. Определение информационных и технических ресурсов, а также объектов ИС подлежащих защите;

2. Выявление полного множество потенциально возможных угроз и каналов утечки информации;

3. Проведение оценки уязвимости и рисков информации (ресурсов ИС) при имеющемся множестве угроз и каналов утечки;

4. Определение требований к системе защиты информации;

5. Осуществление выбора средств защиты информации и их характеристик;

6. Внедрение и организация использования выбранных мер, способов и средств защиты;

7. Осуществление контроля целостности и управление системой защиты.

Указанная последовательность действий осуществляется непрерывно по замкнутому циклу, с проведением соответствующего анализа состояния СЗИ и уточнением требований к ней после каждого шага. По этой причине системы защиты информации создают по методике, циклически повторяющуюся в течение всего периода ее функционирования, выше перечисленных последовательность этапов (рис. 1.3).

Рисунок 1.3 – Основные этапы построения СЗИ

Последовательность прохождения этапов создания СЗИ для каждого из направлений с учетом основ (общего представления структуры СЗИ) условно можно представить следующим видом (см. рис. 1.4).

Рисунок 1.4 – Основные этапы построения СЗИ