Стратегии защиты информации

Стратегии – общее рассчитанное на перспективу руководящая установка при организации и обеспечении соответствующего вида деятельности. Направленная на то, чтобы наиболее важные цели этой деятельности достигались наиболее рациональным расходованием имеющихся ресурсов. Организация защиты информации в самом общем виде может быть определена, как поиск оптимального компромисса между потребностями в защите и необходимыми для этой цели ресурсами.

Размер ресурсов на защиту информации всегда ограничен. При этом требуются достижения какого либо уровня защищенности.

В первом случае – защита должна быть организованна так, чтобы при выделенных ресурсах достигался максимально возможный уровень защиты

Во втором случае так, чтобы требуемый уровень защиты обеспечивался при минимальном расходовании ресурсов.

Таким образом сформулированные задачи – это прямая и обратная постановка оптимизационных задач.

Существует две проблемы затрудняющих формальное решение:

1. Процессы защиты информации находятся в значительной зависимости от большого числа случайных и труднопредсказуемых факторов. Таких как поведение злоумышленника, воздействие природных явлений, ошибки и сбои процессов функционирования элементов системы.

2. Среди средств защиты заметное место занимают организационные меры связанные с действиями человека.

Обоснование числа и содержания необходимых стратегий осуществляется по двум критериям :

1. Требуемую уровню защиты

2. Степень свободы при организации защиты

1 – значение первого критерия выражается множеством угроз относительно которых должны быть обеспечена защита:

1. Наиболее опасные из известных угроз. Т.е. раннее проявлявшиеся.

2. От всех известных угроз.

3. Все потенциально возможные угрозы

2- сводится к тому, что организаторы и исполнители процессов защиты распоряжения методами и средствами защиты и никоторую степень свободу вмешательства в архитектуру системы. А также в организацию и обеспечения технологию и ее функционирования.

Поэтому аспекту удобно выделить 3 степени свободы:

1. Никакое вмешательство в систему не допускается – такое требование может быть предъявлено к уже функционирующим системам нарушения процесса и функционирования для установки механизмов защиты не разрешается.

26.10.11

2. К архитектурному построению системы и технологии ее функционирования допускается предъявлять требования не концептуального характера. Т.е. допускается приостановка процессов функционирования системы для установки механизмов защиты.

3. Требования любого уровня обусловленные потребностью защиты информации принимаются в качестве обязательных условий при построения системы.

Делая Выбор стратегии называемый оборонительной т.е. такой который учитывается наиболее опасный типы угроз, подразумевает что при недопущении вмешательства в процесс функционирования системы можно нейтрализовать лишь наиболее опасные угрозы. Упреждающая стратегия предполагает тщательное исследование возможных угроз системы и разработку мер по их нейтрализации еще на стадии проектирования и изготовления системы.

Способы и средства обеспечения информационной безопасности.

1. препятствие – в системе создаются на пути возникновения или распространения дестабилизирующего фактора(дф) некоторые барьеры. Не позволяющие этому фактору принять опасные размеры. Примеры : 1)технологические блокировки – какие либо программные или технические программы. 2)Физические препятствия для злоумышленника

2. управление – определение на каждом шаге функционирования системы таких управляющих воздействий на элементы системы средство который будет обладать одной 1й или нескольких задач защиты информации

Примеры: управления доступом

1. идентификация.

2. опознавание – установление подлинности объекта или субъекта.

3. проверка полномочий.

4. регистрация протоколирования – обращение к защищенным ресурсам.

5. реагирование ново пытки несанкционированных действий.

6. Маскировка – преобразования информации в следствии которые оно становиться недоступным для злоумышленника, а также комплекс мер по уменьшения образования самого объекта. Относится – криптографические методы, скрытие информации, дезинформация, легендирование, а также создание шумовых защитных полей.

7. Регламентация – способ заключается в разработке и реализации комплекса мероприятий создающих такие условия при которых существенно затрудняются проявления и воздействия угроз. Пример – разработка правил обращения с конфиденциальной информации и средствами ее обработки.

8. Принуждение – метод защиты способ защиты при котором пользователи и персонал системы ВЫНУЖДЕНЫ соблюдать правила обработки передачи и использования информации. Под угрозой материальной или административно уголовной ответственности.

9. Побуждение – метод защиты информации при котором пользователи и персонал внутренне т.е. материальными, моральными, этическими, психологическими или др. мотивами побуждаются к соблюдения всех правил обработки информации.

10. Нападение – как применение информационного оружия и приведений к информационной войны. Так и физическое уничтожение противника или средств его разведки.

СРЕДСТВА:

Формальные и неформальные

Формальные – это средства выполняющие свои функции по защите, т.е. преимущественно без участия человека.

Неформальные – это такие средства в основе которых целенаправленная деятельность людей.

Формальные:

1физические

2)аппаратные

3)программные

1)физические – механические электрические и электромеханические и тому подобное устройство системы функционирующие автономно создавая препятствия на пути Д.

2)аппаратные – электронные электронно-механические и тому подобные устройства схемно страиваемые в аппаратуры системы или сопрягаемые с ней специально для решения задач защит информации.

1 и 2 объединяют в технические

3)программные – специальные пакеты программ или отдельные программы включаемые в состав ПО ОС с целью решения задач защиты информации могут быть программы криптографического преобразования доступа защиты от вирусов и др.

Неформальные устройства:

1. Организационные

2. Законодательные

3. Морально этические.

1)-специально предусматриваемые в технологии функционирования объекта организационно технические мероприятия для решения задач защиты информации осуществляемой в виде целенаправленной деятельности людей.

2)-существующие в стране или специально создаваемые нормативно правовые акты для регламентирования прав и обязанностей связанные с обеспечение защиты информации, всех лиц и подразделений имеющих отношение к функционированию системы, а также устанавливается ответственность за нарушение правил обработки информации.

3)-сложившаяся в данном обществе или коллективе моральные нормы. Соблюдение которых способствует защите информации, а не соблюдение приравнивается к несоблюдению правил поведения в обществе или коллективе. Предполагают воспитание сотрудника допущенного к секретам т.е. проведение спец. Работы направленной на формирование у него определенных качеств взглядов и убеждений и обучение сотрудника правилам и методам защиты информации а также привитие навыков работы с носителями секретной и конвенциальной информации.

28.10.11