2.3. Застосування об'єктно-орієнтованого підходудо розгляду систем, що захищають

Спробуємо застосувати об'єктно-орієнтований підхід до питань інформаційної безпеки.

Проблема забезпечення інформаційної безпеки - комплексна, захищати доводиться складні системи, і самі захисні засоби теж складні, тому нам знадобляться всі уведені поняття. Почнемо з поняття межі.

Фактично три межі вже були уведені: це доступність, цілісність і конфіденційність. Їх можна розглядати відносно незалежно, і вважається, що якщо всі вони забезпечені, то забезпечена й ІБ у цілому (тобто суб'єктам інформаційних відносин не буде нанесений неприйнятний збиток).

Таким чином, ми структурували нашу мету. Тепер потрібно структурувати засоби її досягнення. Введемо наступні межі:

• законодавчі заходи забезпечення інформаційної безпеки;

• адміністративні заходи (накази й інші дії керівництва організацій,пов'язаних з інформаційними системами, що захищають);

• процедурні заходи (заходи безпеки, орієнтовані на людей);

• програмно-технічні заходи.

У подальшій частині курсу ми пояснимо докладніше, що розуміється під кожною з виділених меж. Тут же відзначимо, що, у принципі, їх можна розглядати і як результат варіювання рівня деталізації (із цієї причини ми буде мовживати словосполучення "законодавчий рівень", "процедурний рівень" і т.п.).

Закони й нормативні акти орієнтовані на всіх суб'єктів інформаційних відносин незалежно від їхньої організаційної приналежності (це можуть бути як юридичні, так і фізичні особи) у межах країни (міжнародні конвенції маютьнавіть більш широку область дії), адміністративні заходи - на всіх суб'єктів умежах організації, процедурні - на окремих людей (або невеликі категоріїсуб'єктів), програмно-технічні - на устаткування й програмне забезпечення. При такому трактуванні в переході з рівня на рівень можна побачити застосування успадкування (кожен наступний рівень не скасовує, а доповнює попередній), а також поліморфізму (суб'єкти виступають відразу в декількох іпостасях -наприклад, як ініціатори адміністративних заходів й як звичайні користувачі, зобов'язані цим заходам підкорятися).

Очевидно, для всіх виділених, щодо незалежних меж діє принцип інкапсуляції (це й виходить, що межі "відносно незалежні"). Більше того, ці дві сукупності меж можна назвати ортогональними, оскільки для фіксованої межі водній сукупності (наприклад, доступності) межі в іншій сукупності повинні пробігати всю кількість можливих значень (потрібно розглянути законодавчі, адміністративні, процедурні й програмно-технічні заходи). Ортогональних сукупностей не повинно бути багато; здасться, двох сукупностей із числомелементів, відповідно, 3 й 4 уже достатньо, тому що вони дають 12 комбінацій.

Продемонструємо тепер, як можна розглядати захищувану ІС, варіюючи рівень деталізації.

Нехай інтереси суб'єктів інформаційних відносин концентруються навколо ІС якоїсь організації, яка складається з двох територіально рознесених виробничих майданчиків, на кожному з яких є сервери, що обслуговують своїх і зовнішніх користувачів, а також користувачів, які користуються внутрішніми й зовнішніми сервісами. Один з майданчиків обладнаний зовнішнім підключенням (тобто має вихід в Internet).