Принципы построения системы информационной безопасности объекта
Анализ состояния дел в области информационной безопасности показывает, что в ведущих странах сложилась достаточно четко очерченная система концептуальных взглядов на проблемы информационной безопасности.
И, тем не менее, как свидетельствует реальность, злоумышленные действия над информацией не только не уменьшаются, а имеют достаточно устойчивую тенденцию к росту.
Это свидетельствует о том, что для борьбы с этой тенденцией необходима стройная и целенаправленная организация обеспечения безопасности информационной системы.
Современный опыт решения проблем информационной безопасности показывает, что для достижения наибольшего эффекта при организации защиты информации необходимо руководствоваться рядом принципов.
Первым и наиболее важным является принцип непрерывности совершенствования и развития системы информационной безопасности. Суть этого принципа заключается в постоянном контроле функционирования системы, выявлении ее слабых мест, потенциально возможных каналов утечки информации и НСД, обновлении и дополнении механизмов защиты в зависимости от изменения характера внутренних и внешних угроз, обосновании и реализации на этой основе наиболее рациональных методов, способов и путей защиты информации. Таким образом,обеспечение информационной безопасности не может быть одноразовым актом.
Вторым является принцип комплексного использования всего арсеналаимеющихся средств защитыво всех структурных элементах производстваина всех этапах технологического циклаобработки информации.
Комплексный характер защиты информации проистекает, прежде всего, из характера действий злоумышленников, стремящихся любой совокупностью средств добыть важную для конкурентной борьбы информацию. Здесь правомерно утверждение, что оружие защиты должно быть адекватно оружию нападения.
Кроме того, наибольший эффект достигается в том случае, когда все используемые средства, методы и мероприятия объединяются в единый, целостный механизм — .Только в этом случае появляютсясистемные свойстване присущие ни одному из отдельных элементов системы защиты, а также возможность управлять системой, перераспределять ее ресурсы и применять современные методы повышения эффективности ее функционирования.
Можно определить систему информационной безопасности как организованную совокупность органов, средств, методов и мероприятий, обеспечивающих защиту информации от разглашения, утечки и несанкционированного доступа к ней.
Важнейшими условиями обеспечения безопасностиявляютсязаконность, достаточность, соблюдение баланса интересов личности и предприятия, высокий профессионализмпредставителей службы информационной безопасности,подготовка пользователей и соблюдение ими всех установленных правил сохранения конфиденциальности, взаимная ответственность персонала и руководства, взаимодействие с государственными правоохранительными органами.
Без соблюдения этих условий никакая система информационной безопасности не может обеспечить требуемого уровня защиты.
С позиций системного подхода для реализации приведенных принципов процесс, да и сама система защиты информации должны отвечать некоторой совокупности требований.
Защита информации должна быть:
централизованной; необходимо иметь в виду, что процесс управлениявсегда централизован, в то время какструктура системы, реализующей этот процесс, должнасоответствовать структуре защищаемого объекта;
плановой; планирование осуществляетсядля организации взаимодействиявсех подразделений объектав интересах реализации принятой политики безопасности; каждая служба, отдел, направление разрабатывают детальные планы защиты информации в сфере своей компетенции с учетом общей цели организации;
конкретной и целенаправленной; защите подлежат абсолютно конкретные информационной ресурсы, могущие представлять интерес для конкурентов;
активной; защищать информацию необходимо с достаточной степенью настойчивости и целеустремленности. Это требование предполагает наличие в составе системы информационной безопасностисредств прогнозирования, экспертных систем и других инструментариев, позволяющих реализовать наряду с принципом «обнаружить и устранить»принцип «предвидеть и предотвратить»;
надежной и универсальной, охватывать весь технологический комплекс информационной деятельности объекта; методы и средства защиты должны надежно перекрывать все возможные каналы утечки информации и противодействовать способам несанкционированного доступа независимо от формы представления информации, языка ее выражения и вида носителя, на котором она закреплена;
нестандартной (по сравнению с другими организациями), разнообразной по используемым средствам;
открытойдля изменения и дополнения мер обеспечения безопасности информации;
экономически эффективной; затраты на систему защиты не должны превышать размеры возможного ущерба.
Наряду с основными требованиями существует ряд устоявшихся рекомендаций, которые будут не бесполезны создателям систем информационной безопасности:
средства защиты должны быть просты для технического обслуживания и «прозрачны» для пользователей;
каждый пользователь должен иметь минимальный набор привилегий, необходимых для работы;
возможность отключения защиты в особых случаях, например, когда механизмы защиты реально мешают выполнению работ;
независимость системы защиты от субъектов защиты;
разработчики должны предполагать, что пользователи имеют наихудшие намерения (враждебность окружения), что они будут совершать серьезные ошибки и искать пути обхода механизмов защиты;
отсутствие на предприятии излишней информациио существовании механизмов защиты.
Все перечисленные позиции должны лечь в основу формирования системы защиты информации.
При обеспечении информационной безопасности существует два аспекта:
формальный, связанный с определением критериев, которым должны соответствовать защищаемые информационные технологии;
практический, характеризующий порядок определения конкретного комплекса мер безопасности применительно к рассматриваемой информационной технологии.
Критерии, которым должны соответствовать защищаемые информационные технологии, являются объектом стандартизации более пятнадцати лет. В настоящее время разработан проект международного стандарта «Общие критерии оценки безопасности информационных технологий».
Первой удачной попыткой стандартизации практических аспектов безопасности стал британский стандарт BS7799 “Практические правила управления информационной безопасностью”,изданный в 1995 году, в котором обобщен опыт обеспечения режима информационной безопасности в информационных системах разного профиля. Впоследствии было опубликовано несколько аналогичных документов: стандарты различных организаций и ведомств, например, германский стандартBSI. Содержание этих документов в основном относится к этапуанализа рисков, на котором определяются угрозы безопасности и уязвимости информационных ресурсов, уточняются требования к режиму ИБ.
Несмотря на существенную разницу в методологии обеспечения базового и повышенного уровней безопасности, можно говорить о единой концепции ИБ.
Изложенные основные концептуальные положения являются основой механизма выработки детальных предложений по формированию политики и построению системы информационной безопасности.
- Проблемы информационной безопасности и пути их решения
- Современное состояние информационной безопасности в России
- Основные термины и определения из области информационной безопасности.
- Принципы построения системы информационной безопасности объекта
- Последовательность действий при разработке системы обеспечения информационной безопасности объекта.
- Международный стандарт "Общие критерии оценки безопасности информационных технологий"
- Часть 1. Представление и общая модель.
- Часть 2. Требования к функциям безопасности.
- Часть 3. Требования гарантированности безопасности. Требования к гарантиям безопасности, критерии оценки для профилей защиты и заданий по безопасности.
- П Рис. 1орядок и методические указания по формированию перечня сведений, составляющих служебную или коммерческую тайну организации