6. Основные принципы обеспечения информационной безопасности автоматизированных системах

Для защиты автоматизированных систем в нормативных документах сформулированы следующие положения.

1. Информационная безопасность основывается на положениях и требованиях действующих законах и стандартах.

2. Информационная безопасность обеспечивается комплексом программно-технических средств и организационных мер их поддерживающих

3. Должна обеспечиваться на всех технологических этапах обработки информации и во всех режимах функционирования

4. Программно технические средства защиты не должны ухудшать основные функциональные характеристики автоматизированной системы.

5. Неотъемлемой частью работ по информационной безопасности является оценка эффективности средств защиты.

6. Необходимо осуществлять контроль эффективности средств защиты (периодически или по мере необходимости).

Указанные подходы обычно реализуются при обеспечении следующих основных принципов:

1. Системности

2. Комплексности

3. Непрерывности защиты

4. Разумной достаточности

5. Гибкости применения

6. Простоты применения

7. Открытость алгоритмов и средств защиты

Принцип системности предполагает необходимость учета всех взаимодействующих и изменяющихся во времени условий и факторов. На всех этапах жизненного цикла с учетом взаимодействия объекта всех внешней средой при всех видах инф. деятельности. Система защиты должна строится не только с учетом всех известных каналов проникновения угроз но и с учетом возможности появления новых путей реализации угроз.

Комплексное использование средств ВС системного и программного обеспечения средств защиты предполагает согласование разнородных средств для построения такой системы, которая перекрывала бы все существенные каналы перекрывания угроз и не содержала бы слабых мест.

Непрерывность. Защита информации – это непрерывный процесс предполагающий принятие соответствующих мер на всех этапах жизненного цикла автоматизированной системы. Причем разработка системы защиты должна вестись параллельно с разработкой самой автоматизированной системы. С другой стороны, большинству существующих средств защит необходима постоянная организационная поддержка (смена паролей смена, ключей шифрования, переопределение полномочий и т.д.). Если в работе системы наблюдается перерыв, то это предоставляет возможность злоумышленнику анализировать применяемые методы защиты внедрять аппаратные и программные закладки для преодоления средств защиты.

Разумная достаточность. Не существует абсолютной непреодолимой системы защиты. Любая система защита может быть вскрыта за достаточное время и средства. Поэтому при разработке системы защита можно говорить только о некотором приемлемом уровне безопасности, поскольку, чем выше эффективности системы защиты, тем дороже эта система. Стоимость системы защиты может стать сопоставимой со стоимостью самой автоматизированной системы.

Гибкость применения. Разработка системы защиты начинается одновременно с разработкой самой защищаемой системой, поскольку требования к разрабатываемой системой уточняется в процессе ее разработки (спиральная, эволюционная), то это означает, что система защиты создается в условиях неопределенности, поэтому система защиты должна обладать гибкостью для того чтобы она нормально функционировала при изменении конфигурации защищаемой системы.

Простота применения. Механизмы защиты должны быть просты в использовании и интуитивно понятны. Применения средств защиты не должно быть связано со значительными трудозатратами в работе законных пользователь либо не должно требовать от пользователя выполнения большого числа малопонятных ему операций.

Открытость алгоритмов. Суть принципа открытости алгоритмов состоит в том, что обеспечение защиты не должно обеспечиваться только за счет секретности (разработчик системы защиты не должен иметь возможность ее вскрытия). Защита должна обеспечиваться за счёт дополнительных установок, назначаемых самим пользователем (секретный ключ). Информация о конкретной системе защиты не должна быть доступной; в противном случае возможна угроза параметров системы защиты.