Лекция 3.

Принципы построения систем защиты

1. Принцип системности. Предполагается необходимость учета всех взаимосвязанных, взаимодействующих и изменяющихся во времени элементов, условий и факторов, существенно значимых для понимания и решения проблемы безопасности АС При создании системы защиты (СЗ) необходимо учитывать все слабые и сильные стороны СЗ. СЗ должна отразить сегодняшние и завтрашние угрозы. Жизненный цикл системы защиты – интервал времени, в течение которого система защиты сохраняет свои свойства, не меняет свои характеристики без обновления ресурсов. (по железу – 5 лет, по ПО – 1.5 года). На жизненный цикл влияют 2 фактора – рост профессионализма и возможностей нарушителя и моральное и физическое старение ресурсов. Наиболее эффективные СЗ получаются, когда все системы защиты объединены в единый механизм.

2. Принцип комплектности – использование всех видов и форм защиты в полном объеме. Ни одна часть СЗ не может быть изъята без ущерба для всей системы. Принципы комплектности СЗ 1. применять разнородные СЗ 2. достоинства одних частей СЗ должны перекрывать недостатки других 3. СЗ должны строиться эшелонированно. (многоуровнево) 4. в зоне максимальной безопасности должна располагаться особо важная информация.

3. Принцип непрерывной защиты. Защита должна быть без разрывов в пространстве и времени. Это непрерывный, целенаправленный процесс. Во время нештатных ситуаций защита должна быть усилена.

4. Принцип разумной достаточности. Тратить на СЗ надо от 10 до 35 процентов суммы возможного ущерба. Вложение средств в СЗ должно быть таким, чтобы получить максимальную отдачу.

5. Принцип гибкости. Предполагает, что не меняя функциональной базы можно увеличить или понизить СЗ.

6. Принцип открытости алгоритмов и механизмов защиты. Защита не должна обеспечиваться только за счет секретности структур и алгоритмов функционирования. Знание алгоритмов и механизма защиты не даёт возможности даже автору проникнуть в систему.

7. Принцип простоты применения. Механизмы защиты должны быть интуитивно понятны и просты в применении. Использование СЗ не должно быть связанно со знанием специальных языков и выполнения работ, требующих значительных трудозатрат.

АС должна функционировать таким образом, чтобы выходная информация могла быть предоставлена в нужное время в нужное место, в нужном виде и строго определенному человеку. И должна обеспечивать защиту самой себя.

Руководящие документы по защите информации.

1983 г. Критерий безопасности компьютерных систем (один из первых). Периодически выпускаются документы – интерпретация этих критериев для чего-то.

В 1992 году ГосТехКомиссия России при президенте РФ выпускает 5 руководящих документов. Называется: «Концепция защит компьютерных сетей».

Автоматизированные системы защиты от несанкционированного доступа к информации. Классификация АС и требования по защите информации. Все АС разделены на 9 классов, объединенных в 3 группы.

3-я группа включает АС, в которых работают одни пользователи, допущенные ко всей информации, размещенной на носителях одного уровня конфиденциальности. 2 класса (3А и 3Б). Один пользователь.

2-я группа – это АС, в которых пользователи имеют одинаковые полномочия доступа ко всей информации, обработки и хранения в АС, но на носителях разного уровня конфиденциальности. 2 класса (2А и 2Б). Много пользователей.

1-я группа – многопользовательская АС, в которой одновременно хранится и обрабатывается информация разных уровней конфиденциальности и не все пользователи имеют одинаковые права доступа. 5 классов (1А, 1Б, 1В, 1Г, 1Д)

Чем меньше номер группы и буква ближе к началу алфавита, тем более защищенная АС. 3Б – 3А – 2Б – … – 1А.

Выдержки из Конституции РФ:

23 статья – любой имеет право на неприкосновенность

24 статья – хранение, распространение информации о частной жизни лица без его согласия не допускается.

Право – это совокупность общеобязательных правил и норм поведения, установленных или санкционированных государством в отношении определенных сфер жизни и деятельности государственных органов, предприятий и населения.

Федеральный закон об информации и информатизации и защите информации. (принят 25.01.95).

1. В нем первый раз дано определение информации.

2. Закон определяет обязанности государства в сфере формирования информационных ресурсов и информатизации.

3. Закон рассматривает информационные ресурсы как элемент состава имущества государства, предприятий и отдельных граждан.

4. Государство может выкупить любое изобретение (любую информацию).