4. По и информационная безопасность

4.1. Обзор современного ПО Современное программное обеспечение, даже выпускаемое гигантами индустрии ПО, грешит появляющимися и исчезающими от версии к версии ошибками и непредусмотренными возможностями, которые злоумышленники используют в своих целях.

4.2. Ошибки, приводящие к возможности атак на информацию Двумя основными категориями ошибок в разработке программного обеспечения являются 1) непрогнозированное взаимодействие смежных программ, процессов, процедур и т.п. и 2) невыполнение набора соглашений, которые разработчик ПО считал "само собой разумеющимися".

4.3. Основные положения по разработке ПО Приведены обобщенные за два десятка лет тысячами программистов рекомендации по написанию приложений, в которых вероятность появления ошибок, как общих так и относящихся к информационной безопасности, стремится к нулю.

4.1. Обзор современного по

4.1.1. Операционные системы Операционные системы являются основной частью программного комплекса ЭВМ и при этом выполняют огромный набор промежуточных операций между прикладными программами и аппаратным обеспечением. Естественно, что ошибки в них интересуют злоумышленников более всего.

4.1.2. Прикладные программы Основной проблемой прикладного ПО является разработка его фирмами, которые просто не в состоянии выделить ассигнования на тщательную проверку своего продукта. Средний класс прикладного программного обеспечения является наиболее вероятным месторасположением ошибок в системе безопасности, так как он с одной стороны уже достаточно сложен, чтобы в нем появились эти ошибки, и с другой стороны производится недостаточно развившимися фирмами, чтобы проходить полноценное тестирование по вопросам безопасности.

5. Комплексная система безопасности

5.1. Классификация информационных объектов Обрабатываемые данные могут классифицироваться согласно различным категориям информационной безопасности : требованиям к их доступности (безотказности служб), целостности, конфиденциальности.

5.2. Политика ролей

Ролями называются характерные наборы функций и степени отвественности, свойственные теми или иными группами лиц. Четкое определение ролей, классификация их уровней доступа и ответственности, составление списка соответствия персонала тем или иным ролям делает политику безопасности в отношении рабочих и служащих предприятия четкой, ясной и легкой для исполнения и проверки.

5.3. Создание политики информационной безопасности Методика создания политики безопасности предприятия состоит из учета основных (наиболее опасных) рисков информационных атак, современной ситуации, факторов непреодолимой силы и генеральной стоимости проекта.

5.4. Методы обеспечения безотказности Безотказность сервисов и служб хранения данных достигается с помощью систем самотестирования и внесения избыточности на различных уровнях : аппаратном, программном, информационном.

5.2. Политика ролей

Функции каждого человека, так или иначе связанного с конфиденциальной информацией на предприятии, можно классифицировать и в некотором приближении формализовать. Подобное общее описание функций оператора носит название роли. В зависимости от размеров предприятия некоторые из перечисленных ниже ролей могут отсутствовать вообще, а некоторые могут совмещаться одним и тем же физическим лицом.

Специалист по информационной безопасности играет основную роль в разработке и поддержании политики безопасности предприятия. Он проводит расчет и перерасчет рисков, отвественен за поиск самой свежей информации об обнаруженных уязвимостях в используемом в фирме программном обеспечении и в целом в стандартных алгоритмах.

Владелец информации – лицо, непосредственно работающее с данной информацией, (не нужно путать с оператором). Зачастую только он в состоянии реально оценить класс обрабатываемой информации, а иногда и рассказать о нестандартных методах атак на нее (узкоспецифичных для этого вида данных). Владелец информации не должен участвовать в аудите системы безопасности.

Поставщик аппаратного и программного обеспечения. Обычно стороннее лицо, которое несет ответственность перед фирмой за поддержание должного уровня информационной безопасности в поставляемых им продуктов.

Разработчик системы и/или программного обеспечения играет основную роль в уровне безопасности разрабатываемой системы. На этапах планирования и разработки должен активно взаимодействовать со специалистами по информационной безопасности.

Линейный менеджер или менеджер отдела является промежуточным звеном между операторами и специалистами по информационной безопасности. Его задача – своевременно и качественно инструктировать подчиненный ему персонал обо всех требованиях службы безопасности и следить за ее их выполнением на рабочих местах. Линейные менеджеры должны быть осведомлены о всей политике безопасности предприятия, но доводить до сведения подчиненных только те ее аспекты, которые непосредственно их касаются.

Операторы – лица, ответственные только за свои поступки. Они не принимают никаких решений и ни за кем не наблюдают. Они должны быть осведомлены о классе конфиденциальности информации, с которой они работают, и о том, какой ущерб будет нанесен фирмы при ее раскрытии.

Аудиторы – внешние специалисты или фирмы, нанимаемые предприятием для периодической (довольно редкой) проверки организации и функционирования всей системы безопасности.