7. Розмежування доступу до інформації

ПЛАН

1. Загальні поняття

2. Правила розмежування доступу

3. Оцінка ризику

4. Несанкціонований доступ

5. Розкриття інформації

6. Відмова в обслуговуванні

7. Дії служби безпеки об'єкта при виявлені порушень правил розмежування доступу

МЕТА ЗАНЯТТЯ- н

7.1. Загальні поняття

Мета розробки офіційних правил розмежування доступу до АС в організації - визначити, яким, з погляду організації, повинне бути правильне використання ЗОТ і мереж, і визначити способи і засоби розмежування, що запобігають конфліктним подіям, пов'язаним із захистом. Для того, щоб зробити все це, потрібно врахувати всі осібливості конкретної організації.

По-перше, потрібно врахувати мету і задачі організації. Наприклад, у військовій організації інтереси в галузі таємності істотно відрізняються від тих, що існують в університеті.

По-друге, розроблювані ПРД організації повинні бути погоджені з існуючими правилами і законами, дія яких поширюється на організацію. Тому необхідно виявити їх і враховувати при розробці ПРД.

По-третє, у даний час широке поширення отримують автоматизовані системи (АС) на основі корпоративних мереж, як автономних так і підключених до глобальних інформаційних мереж, таким як Іпіегпех .У цьому випадку необхідно розглядати проблему захисту в більш глобальному контексті. ПРД повинні враховувати ситуації, коли проблеми з конфіденційністю виникають внаслідок порушень захисту у віддаленій організації, а також ситуації, коли проблеми з конфіденційністю у віддаленій організації є результатом порушень на місцевих СВІ або допущені місцевим користувачем.

7.2. Правила розмежування доступу

Створення ПРД повинне здійснюватися спільними зусиллями технічного персоналу, що розуміє усі тонкощі пропонованих правил і їх реалізації, службою безпеки організації, що забезпечує захист організації в цілому і керівниками (особами, які приймають рішення - ОПР), що мають владу для втілення правил у життя. ПРД, які або не можуть бути реалізовані, або не підкріплені організаційними заходами, є марними.

Якщо в організації діє служба безпеки, то розробка і втілення в життя ПРД - один з її обов'язків У випадку, якщо в організації відсутня служба безпеки, розробкою і втіленням у життя ПРД може займатися група співробітників, що забезпечує процеси обробки даних

Хоча конкретна група співробітників (така, як технічний відділ організації) може мати в цьому випадку право запроваджувати в життя ПРД, однак буде потрібна підтримка і схвалення ПРД групою співробітників більш високого рангу в організації.

Розроблювані ПРД організації потенційно стосуються кожного користувача АС організації. Користувачі АС можуть відповідати за управління своїми паролями. Системні адміністратори зобов'язані фіксувати слабкі місця в захисті і здійснювати нагляд

Дуже важливо визначити групи людей, до яких торкаються дані ПРД, на самому початку процесу розробки правил. Можуть вже існувати групи співробітників, пов'язані з безпекою, що вважають ПРД своїм полем діяльності. Групами, яких можуть стосуватися ці ПРД, є групи контролю і ревізії, підрозділи організації, що мають справу з конфіденційною інформацією, адміністрація обчислювального центру і т.д. Залучення цих груп до процесу розробки із самого початку може допомогти забезпечити прийнятність ПРД для більшості майбутніх користувачів захищеної АС.

Ключовим моментом у ПРД є гарантія того, що кожен знає свої обов'язки по підтримці захисту. ПРД не можуть передбачати всі можливі варіанти, проте, вони можуть гарантувати, що для вирішення кожного типу проблем призначений хтось відповідальний за їх вирішення.

Можуть існувати рівні відповідальності, пов'язані з ПРД. На одному рівні кожен користувач АС відповідає за захист свого реєстраційного імені і пароля.

Системні адміністратори утворюють інший рівень відповідальності: вони повинні допомагати забезпечувати гарантію захищеності АС. Мережеві адміністратори можуть розташовуватися на ще одному рівні відповідальності, пов'язаному із захистом даних у каналах зв'язку. Адміністратори баз даних у свою чергу підтримують захист на рівні систем управління базами даних. Адміністратор безпеки безпосередньо відповідає за перетворення в життя ПРД і використання СРД.

Керівник служби безпеки контролює всі питання, пов'язані із розробкою і реалізацією ПРД.