2.2. Систематизация компонентов ксзи. Разработка набора типовых вариантов ксзи применительно к объекту защиты

Главной характеристикой системы безопасности является ее комплексность, т.е. наличие в ней обязательных элементов, охватывающих все направления защиты информации. Соотношение элементов и их содержания обеспечивает индивидуальность построения системы защиты информации конкретного объекта и гарантируют неповторимость системы, трудность ее преодоления.

КСЗИ — это организованная совокупность объектов и субъектов ЗИ, используемых ме­тодов и средств защиты, а также осуществляемых защит­ных мероприятий.

Компоненты КСЗИ, с одной стороны, являются состав­ной частью системы, с другой — сами организуют систему, осуществляя защитные мероприятия [3].

По способам осуществления все компоненты КСЗИ подразделяются на правовые (законодательные), организационные (административные), инженерно-технические, программно-аппаратные и криптографические (рис.12) [9]. Рассмотрим наборы типовых вариантов компонентов КСЗИ.

К правовым (законодательным) мерам защиты относятся действующие в стране законы, указы и нормативные акты, регламентирующие правила обращения с информацией, закрепляющие права и обязанности участников информационных отношений в процессе ее обработки и использования, а также устанавливающие ответственность за нарушения этих правил, препятствуя тем самым неправомерному использованию информации, и являющиеся сдерживающим фактором для потенциальных нарушителей [19].

Законодательные меры защиты определяют правила обращения с информацией и ответственность субъектов информационных отношений за их соблюдение.

Рис.12.Основные компоненты КСЗИ

Организационные (административные) меры защиты - это комплекс направлений и методов управленческого, ограничительного и технологического характера, определяющих основы и содержание системы защиты, побуждающих персонал соблюдать правила защиты конфиденциальной информации [2]. Они включают (рис.13.):

• мероприятия, осуществляемые:

• при проектировании, строительстве и оборудовании объектов защиты;

• по разработке правил доступа персонала к защищаемым объектам (разработка политики безопасности);

• при подборе и подготовке персонала.

• организацию:

• охраны и надежного пропускного режима;

• учета, хранения, использования и уничтожения документов и носителей с информацией;

• явного и скрытого контроля за работой персонала [9].

Рис.13. Состав организационных мер защиты информации

Организационным мерам защиты присущи серьезные недостатки, такие как:

1) низкая надежность без соответствующей поддержки инженерно-техническими, программно-аппаратными и криптографическими средствами;

2) дополнительные неудобства, связанные с большим объемом рутинной формальной деятельности.

Организационные меры необходимы для обеспечения эффективного применения других мер и средств защиты в части, касающейся регламентации действий людей. В то же время организационные меры необходимо поддерживать более надежными физическими и техническими средствами.

Инженерно – техническая защита информации – защита информации при её обработке техническими средствами, осуществляемая с использованием технических средств и способов защиты. К техническим средствам и способам защиты в общем случае относят технические, инженерные и аппаратные средства, а также способы их использования [2].

Рис.14. Состав инженерно-технических мер защиты

Данный компонент КСЗИ включает в себя (рис.14.):

• сооружения инженерной защиты от проникновения посторонних лиц на территорию, в здание и помещения (заборы, решетки, стальные двери, кодовые замки, идентификаторы, сейфы и др.);

• средства защиты технических каналов утечки информации, возникающих при работе ЭВМ, средств связи, копировальных аппаратов, принтеров, факсов и других приборов и офисного оборудования;

• средства защиты помещений от визуальных способов технической разведки;

• средства обеспечения охраны территории, здания и помеще­ний;

• средства обнаружения приборов и устройств технической разведки.

Программно-аппаратная защита информации – защита информации, предусматривающая использование аппаратных средств и специального программного обеспечения для защиты данных в АСОД.

Данный компонент КСЗИ включает в себя (рис.15):

• автономные программы, обеспечивающие защиту информации и контроль степени ее защищенности;

• программы защиты информации, работающие в комплексе с программами обработки информации;

• программы защиты информации, работающие в комплексе с техническими (аппаратными) устройствами защиты информации (прерывающими работу ЭВМ при нарушении системы доступа, стирающие данные при несанкционированном входе в базу данных и др.).

Рис.15. Состав программно-аппаратной защиты информации

Данный компонент КСЗИ включает (рис.16):

• регламентацию использования различных криптографических методов в ЭВМ и локальных сетях;

• определение условий и методов шифрования текста документа при передаче его по незащищенным каналам почтовой, телеграфной, телетайпной, факсимильной и электронной связи;

• регламентацию:

• использования средств криптографирования переговоров по незащищенным каналам телефонной и радио связи;

• доступа к базам данных, файлам, электронным документам с использованием методов персональной идентификации;

• доступа персонала в выделенные помещения с помощью средств персональной идентификации.

Рис.16.Состав криптографических методов защиты информации

Инженерно-технические, программно-аппаратные, криптографические средства защиты призваны устранить недостатки организационных мер, поставить прочные барьеры на пути злоумышленников и в максимальной степени исключить возможность несанкционированного доступа и получения защищаемой информации.

Взаимосвязь рассмотренных компонентов КСЗИ приведена на рис.17.

Рис.17.Взаимосвязь компонентов КСЗИ:

Y_i – виды угроз безопасности;

I_i – виды информации, обрабатываемой на объекте защиты;

ПИБ – политика информационной безопасности.

Примечания:

1 – Организационная защита информации обеспечивает исполнение существующих нормативных актов и строится с учетом существующих правил поведения, принятых в стране и/или организации.

2 - Воплощение организационных мер защиты информации требует создания нормативных документов.

3 - Для эффективного применения организационные меры защиты информации должны быть поддержаны инженерно-техническими, программно-аппаратными и криптографическими средствами защиты информации.

4 - Применение и использование инженерно-технических, программно-аппаратных и криптографических средств защиты требует соответствующей организационной поддержки [9].

Все компоненты КСЗИ, в свою очередь, в общем виде состоят из средств, устройств и способов защиты информации, а также методов их использования.

В каждом элементе комплексной системы защиты могут быть реализованы на практике только отдельные составные части в зависимости от поставленных задач защиты информации на конкретном объекте [2].