Если у вас возникли сложности с курсовой, контрольной, дипломной, рефератом, отчетом по практике, научно-исследовательской и любой другой работой - мы готовы помочь.
Предоплата всего
Подписываем
МЕТОДОЛОГИЯ ПОСТРОЕНИЯ КОМПЛЕКСНОЙ ЗАЩИТЫ ИНФОРМАЦИИ НА ОБЪЕКТАХ ИНФОРМАТИЗАЦИИ
Королёв В.И.
1 Системный подход при комплексной защите информации
1.1 Объект информатизации как объект защиты
В общесистемном представлении под объектом информатизации понимается любой субъект или организация (предприятие) любого вида деятельности, в интересах которых обеспечиваются максимально необходимые потребности в информации. Такое представление является следствием нормативного определения информатизации как «процесса создания оптимальных условий для наиболее полного удовлетворения информационных потребностей … граждан, … организаций» [20]. В современной информационной сфере понятие информатизации тесно связано с понятием автоматизации, когда автоматизированные системы различного назначения (АИС, ИАС, САПР, АСУ - АСУП, АСУ ТП и др.) стали, по существу, производными информационных технологий (ИТ). Такая связь вполне объяснима, так как, во-первых, любая автоматизированная система (АС) предназначена для повышения эффективности работы организации, во-вторых, функционирование АС направлено на максимальное удовлетворение информационных потребностей пользователей АС непосредственно (АИС, ИАС) или через автоматизацию процессов деятельности (АСУП, АСУ ТП, САПР и др.).
Когда основой информатизации является разработка и внедрение АС, понятие объекта информатизации, как правило, связывается с объектом автоматизации – видом автоматизируемой деятельности, бизнес-процессом, технологическим процессом, процессом управления и т.д., но чаще с самой организацией, в интересах которой разрабатываются АС. Такой подход вполне согласуется с нормативным понятием информатизации, так как информатизация – это не только «процесс удовлетворения информационных потребностей», но и средства её реализации, место её реализации.
Таким образом, будем считать: объект информатизации (ОИ) – это организация определённого вида деятельности (производственное или иного предназначения предприятие, орган государственного управления, банк и т.д.), которая включает в себя развитую информационную сферу и широко использует в своей деятельности информационные технологии.
Как правило, понятие ОИ в таком представлении используется при решении проблемы информатизации/автоматизации организации в целом или отдельных её видов деятельности (бизнес-процессов).
Однако в ряде приложений, в том числе при решении проблемы обеспечения защиты информации, объект информатизации целесообразно определять в другом аспекте – как исполнительную структуру информационной сферы организации. В этом случае объект информатизации – это совокупность информационных ресурсов, средств и систем обработки и передачи информации, используемых в организации в соответствии с заданной информационной технологией. В состав объекта информатизации в данном случае включаются средства жизнеобеспечения объекта информатизации (здания, сооружения, помещения, обеспечивающие технические средства и инженерные системы), которые необходимы для установки и эксплуатации средств и систем обработки и передачи информации. Особо выделяются технологические и служебные помещения, в которых осуществляется работа с конфиденциальной информацией и возможно ведение конфиденциальных переговоров. Именно так трактуется объект информатизации в ГОСТ Р 51275–99 «Защита информации. Объект информатизации. Факторы, воздействующие на информацию» [10]. При решении проблемы защиты информации необходимо осмысленное и конкретное использование понятия «объект информатизации» с учётом приведённых выше двух аспектов.
Теоретические разработки и практика обеспечения защиты информации в современных информационных технологиях показывают, что эффективное обеспечение защиты информации на объекте информатизации требует системного подхода и комплексных решений, то есть создания комплексной системы защиты информации (КСЗИ) объекта информатизации – КСЗИ ОИ.
При создании КСЗИ в область рассмотрения должна включаться вся информационная сфера организации. При этом объект информатизации идентифицируется как объект защиты.
Строго говоря, информационная сфера организации включает в себя все виды информационной деятельности и используемые информационные технологии, однако, при дальнейшем рассмотрении ограничимся наиболее проблемными в части защиты информации автоматизированными информационными технологиями.
Схема информационного представления объекта информатизации в упрощённом виде показана на Рисунке 1.
Рисунок 1. - Информационное представление ОИ
Организация (объект информатизации) обладает собственными информационными ресурсами (ИР) или использует в работе в рамках предоставленной компетенции доверенные ей информационные ресурсы других обладателей информации. Информационные ресурсы ОИ являются базовым компонентом информационной сферы. Они являются исходным продуктом функционирования АС и других ИТ, эксплуатируемых на ОИ, могут динамически изменяться в ходе реализации информационных технологий (поступления, накопления, обработки, обмена и т.д.) или в результате их актуализации, предназначены для пользователей, то есть должны быть доступны для их использования по назначению. Однако информационные ресурсы могут включать в себя информацию ограниченного доступа в зависимости от её сущности. В соответствии с Законом РФ «Об информации, информационных технологиях и о защите информации» именно информация ограниченного доступа подлежит защите. Эта информация является предметом защиты для КСЗИ.
Защита информации (информационных объектов) ограниченного доступа – это безусловное и строгое обеспечение свойств конфиденциальности, целостности, доступности – в рамках установленных прав и полномочий, а также защита информации от «иных неправомерных действий в отношении такой информации» [13].
В состав информационной сферы ОИ могут входить традиционные документальные технологии, АС различного назначения с обеспечивающей информационно-технической инфраструктурой (ИТИ), отдельные автоматизированные ИТ, реализуемые на базе ИТИ или с помощью локальных комплексов средств автоматизации (КСА), технологии транспортировки информации средствами телекоммуникационной сети (ТКС).
Кроме того, ОИ информационно взаимодействует с внешней информационной средой (другие ОИ, внешние пользователи АС). Это взаимодействие может быть штатным, когда каналы информационного взаимодействия определёны, регламент информационного обмена контролируем. Но внешнее информационное взаимодействие может быть связано и с наличием побочных воздействий на защищаемую информацию и побочных исходящих информационных потоков, которые могут возникать за счёт человеческого фактора, свойств и особенностей работы технических средств, наличия специальной техники. Назовём это явление побочным информационным проявлением ОИ, а информационные отношения такого рода – побочными информационными технологиями. Одним из вариантов существования подобного рода побочных информационных технологий могут быть технологии съёма информации за счёт побочных электромагнитных излучений от технических средств обработки информации и наводок сигналов, имеющих информационную составляющую, на проводные среды (утечка информации за счёт ПЭМИН).
1.2 Системность и комплексность защиты информации
Анализ угроз информации, уязвимостей среды и средств реализации современных информационных технологий, методов, механизмов и средств защиты информации в автоматизированных системах показывает многоплановость и сложность защиты информации на объекте информатизации.
На объекте, как правило, эксплуатируется несколько АС различного назначения (информационного обеспечения и информационно-аналитической поддержки, управления, автоматизации технологических, операционных и расчётных процессов и т.д.). Они по-разному влияют на конечный результат функционирования ОИ и на возможный ущерб от угроз информационного характера, включают в себя информационные ресурсы, требующие различного уровня защиты, реализуются различными средствами, которые в большей или в меньшей мере являются уязвимыми в части защищённости информации.
Идеология современного построения средств автоматизации/информатизации ОИ предполагает наличие ИТИ (базовая платформа: программно-технический комплекс – ПТК и телекоммуникационная сеть – ТКС), на которой размещаются АС, как функциональные приложения, имеющие своё прикладное специальное программное обеспечение – СПО [11]. На основе ИТИ или локально своими КСА могут реализовываться другие ИТ – общесистемные сервисы, отдельные комплексы задач, внесистемные процедуры, ручные информационные технологии информационной сферы объекта, взаимодействующие с автоматизированным контуром.
Кроме того, следует также учесть и возможные побочные информационные технологии, для нейтрализации которых должны быть решены задачи защиты информации. Необходимо создать условия доверенного статуса вспомогательного оборудования, которое может стать техническим каналом утечки информации, территорий и помещений, предназначенных для размещения ПТК, компонентов ТКС, технологических и эксплуатационных служб. Условия доверенного статуса обеспечиваются, как правило, организационно-техническими мерами и мероприятиями (инженерно-техническая защита, специальный режим работы пользователей, технологического и эксплуатационного персонала и т.д.).
Базовым является фактор - структурные, технические, технологические и организационные решения по защите информации неразрывно связаны с проектными решениями по АС и обеспечивающей их функционирование инфраструктуре.
Все эти предпосылки, как ранее было отмечено, обосновывают методологический подход к эффективному решению проблемы защиты информации на объекте информатизации – системный подход и комплексное использование всех известных методов и средств защиты информации, то есть путём создания КСЗИ. Этот подход позволяет реализовать системную интеграцию разнородных задач и средств для достижения единой цели – обеспечения заданного уровня защищённости информационных ресурсов ОИ.
КСЗИ разрабатывается как автоматизированная организационно-техническая система управления [12] информационной безопасностью на объекте информатизации. Цель создания КСЗИ - нейтрализация актуальных для ОИ и эксплуатируемых на объекте АС угроз информационного характера, которые могут иметь различные источники и быть различной природы. При этом понимается, что система является специализированной (имеет свою специальную нормативную базу) и разрабатывается для защиты информации ограниченного доступа.
По охвату действия КСЗИ объекта информатизации должна обеспечивать защиту информации каждой функционирующей на объекте автоматизированной системы и всех информационных технологий, связанных с АС или с отдельными ИТ автоматизации/информатизации объекта.
Конструктивно КСЗИ является интегрированной обеспечивающей системой для всех эксплуатируемых на объекте информатизации АС. Её компоненты могут быть подсистемами защиты информации АС (ПСЗИ АС), тем самым, осуществляя системную увязку средств КСЗИ, согласование политик безопасности различных эксплуатируемых АС и единство управления информационной безопасностью на объекте в рамках КСЗИ.
Комплексная защита информации при выборе совокупности средств для решения задачи защиты должна удовлетворять следующим общим требованиям [6]:
Средства защиты, входящие в КСЗИ, обеспечивая решение задач защиты, должны регулярно выполнять свои функции, не конфликтуя между собой и с другими компонентами системы. В то же время они могут быть реализованы различными способами и методами в части моделей, алгоритмов и инструментария, могут быть программными или аппаратными средствами, организационными мерами и мероприятиями, а также представлять собой комплексные технические и организационные решения в виде отдельных функциональных изделий.
Системный подход к защите информации ограниченного доступа на объектах информатизации требует обеспечения защиты [3]:
Таким образом, КСЗИ создаются в соответствии с принципами системности и комплексности. Исходя из рассмотренных выше предпосылок, эти принципы могут быть в обобщённом виде представлены в следующей интерпретации.
При этом обеспечивается:
1.3 Эффективность и ущерб информационной безопасности
объекта информатизации
Системный подход при комплексной защите информации позволяет учесть все важные аспекты, влияющие на эффективность обеспечения информационной безопасности ОИ, определить возможный совокупный ущерб при реализации угроз информационного характера и выделить зону ответственности КСЗИ за обеспечение ИБ на объекте информатизации. Продуктивное выполнение этих задач позволяет использование фактора риска – выстраивание и оценка соотношения «информационный риск – нанесённый ущерб».
Общепринятое понятие риска – возможное опасное событие. Ущерб – последствия от происшедшего опасного события. Из этого следует, что информационный риск – опасное для субъекта или объекта информатизации событие, при реализации которого наносится ущерб как для самой информационной сферы, так и, возможно, для информационно обслуживаемого объекта в целом [5].
Понятие риска непосредственно связано с понятием угроз. Угрозы порождают риски. При рассмотрении проблемы обеспечения информационной безопасности ОИ необходимо выделить две группы угроз информационного характера: угрозы информации и информационные угрозы.
Все угрозы, деструктивно влияющие на информацию, накапливаемую и обрабатываемую в информационной сфере ОИ, а так же на средства и службы реализации информационных технологий, являются угрозами информации.
В зависимости от сущности источников этих угроз, характера и способа их влияния на информацию угрозы целесообразно разделить на три группы.
Первая группа - группа техногенных и природных угроз информации, когда, практически, влияние на информацию осуществляется через угрозы в целом на объект информатизации, на инфраструктуру средств реализации информационных технологий, физически на сами средства реализации и носители информации.
Вторая группа – группа системных, функциональных и технологических угроз информации. Источником этой группы угроз являются принятые способы и методы работы с информацией, функциональные задачи АС, других комплексов автоматизации/информатизации, явно или скрытно имеющие ошибки или недостатки в информационной сфере, технологические и технические сбои и отказы в работе средств реализации информационных технологий и обеспечивающей инфраструктуры.
Третья группа – субъектные угрозы информации, источником которых, в конечном счёте, является человек (субъект), взаимодействующий с информационной сферой ОИ или интересующийся ею в определённых целях, осуществляющий эксплуатацию АС и средств реализации других информационных технологий, систем и средств обеспечивающей инфраструктуры.
Угрозы информации каждой из этих групп влияют на определённые качества (свойства) информации, если становятся реальными событиями.
Наличие субъектных угроз информации (третья группа) является причиной и необходимостью регулирования информационных отношений между субъектами или между субъектами и информационными объектами независимо от того, в какой среде эти отношения строятся: в форме традиционного разговорного или документального обмена, с применением технических средств, в автоматизированных системах и т.д. Это группа, угрозы которой направлены на нарушение установленных законодательно или иным путём норм, прав и полномочий владения и распоряжения имеющихся на ОИ информационных ресурсов. Нейтрализация угроз этой группы требует решения задачи защиты информации (обеспечение защищённости ИР: конфиденциальности, целостности и доступности – в рамках установленных норм, прав и полномочий). Так как в группе субъектных угроз источником угроз является человек, взаимодействующий с АС или другими компонентами информационной сферы ОИ, для решения задачи защиты информации требуется модель нарушителя защищённости информации, которая определяет, какие информационные активы, от кого и в какой степени необходимо защищать. Третья группа угроз - это область (зона) ответственности КСЗИ за информационную безопасность ОИ.
Вторая группа угроз влияет на такие свойства информации, как актуальность, полнота, достоверность, регламент своевременного предоставления и другие. Их нейтрализация должна быть обеспечена методологически, конструктивно и технически корректным проектированием и эксплуатацией самих АС и других локальных комплексов автоматизации/информации ОИ. То есть должна быть обеспечена высокая отказоустойчивость оборудования ИТИ и АС [21], а также информационная полнота и функциональная надёжность АС.
Угрозы первой группы соотносятся, прежде всего, с нарушением целостности самого объекта информатизации и его обеспечивающих инфраструктурных компонент, далее влияют в той или иной мере на все остальные свойства информации. Угрозы могут быть нейтрализованы путём создания инженерно-технической инфраструктуры гарантированной работоспособности для функционирования оборудования ИТИ и АС [X], а также за счёт катастрофоустойчивого построения инфраструктуры и технологии обработки информации в целом [14,18].
Однако функционирование АС и использование локальных информационных технологий – это обеспечивающие составляющие при выполнении основных работ, связанных с назначением объекта информатизации (организации). При этом информация АС (её содержание, регламент подачи и качество) может быть сама неэффективной, в ряде ситуаций небезопасной, так как её использование для принятия решений, управления, выполнения бизнес-процессов может привести к неприемлемым для организации, иногда разрушительным последствиям.
Таким образом, информационная сфера может быть источником угроз для потребителя. Эти угрозы относятся к информационным угрозам. Наличие информационных угроз, порождаемых функционирующей АС, требуют решения задачи безопасности информации для пользователя (обеспечение актуальности, полноты, достоверности, приемлемого нормативного регламента предоставления ит.д.). Следует отметить, что информационные угрозы могут исходить не только из внутренней информационной сферы ОИ (АС, локальные объектовые информационные технологии), но и от сугубо внешних источников (СМИ, носители информационно-психологического оружия и пр.). Но в нашем случае эти специфические источники информационных угроз не рассматриваются.
Угрозы информации и информационные угрозы являются угрозами информационной безопасности объекта информатизации, а состояние ОИ, при котором обеспечивается на должном уровне нейтрализация угроз информационного характера, отражает информационную безопасность ОИ.
Информационные риски, порождаемые угрозами информации, могут быть соизмеримы с целевыми рисками, связанными с основной деятельностью объекта информатизации (банковскими, предпринимательскими, управленческими, финансовыми и другими) [6]. А конечный ущерб от них включает в себя непосредственный ущерб в информационной сфере (необходимость восстановления информационных ресурсов, восстановления среды обработки, хранения и транспортировки информации, замены технических средств, обновление программного обеспечения и т.д.) и ущерб основной деятельности организации. Схема формирования конечного ущерба ОИ (организации) за счёт угроз информации и порождаемых ими информационных угроз и целевых рисков представлена на Рисунке 2.
Рисунок 2. - Схема формирования ущерба организации за счёт угроз информационной безопасности
Ещё раз подчеркнём, что область ответственности КСЗИ за информационную безопасность объекта информатизации определяется актуальными субъектными угрозами информации, которые порождают соответствующие информационные риски и информационные угрозы, провоцируют или напрямую порождают целевые риски организации, принося ущерб информационной сфере ОИ и основной деятельности организации.
Цель комплексной системы защиты информации (КСЗИ) - нейтрализация актуальных субъектных угроз информации в эксплуатируемых на объекте информатизации автоматизированных системах и в локальных объектовых информационных технологиях.
2 Структурная схема построения КСЗИ
Основным инструментарием построения КСЗИ является системный анализ. В соответствии с введённым понятием ОИ, который ассоциируется как объект защиты информации, объект информатизации может быть представлен в информационном отношении в двух аспектах:
Внешнее информационное проявление объекта защиты имеет место за счёт множества существующих возможных каналов получения информации из объекта или об объекте, в штатном режиме или несанкционированным путём. По существу штатными каналами являются определённые легальные информационные технологии транспортировки данных через внешнюю среду в интересах ОИ (например, информационные технологии внешнего информационного взаимодействия с другими ОИ через ТКС). Побочные информационные технологии (процессы) получения информации, являющиеся следствием специфичных свойств технических средств, программной среды, появляющихся нештатных информационных ситуаций при функционировании АС (сбои, отказы), или, наконец, возникающие за счёт человеческого фактора, создают несанкционированные пути получения информации. С позиций КСЗИ информационные ситуации, связанные с появлением побочных информационных технологий, являются критическими.
Системный анализ предполагает, во-первых, анализ самого объекта для формирования задач защиты, во-вторых, поиск средств реализации этих задач и, наконец, синтез структуры системы, технологической целостности и управления (так как КСЗИ, как это ранее было отмечено, по природе своей является системой управления). Тем самым решаются дескриптивная и конструктивная задачи системного анализа.
В данном случае решение дескриптивной задачи системного анализа включает в себя выполнение следующих основных процедур:
Результаты решения дескриптивной задачи системного анализа позволяют сформировать функциональную часть КСЗИ.
Далее решается конструктивная задача системного анализа, которая обеспечивает синтез и интеграцию системы.
Функциональные задачи защиты должны быть реализованы с помощью методов и средств, которые в защищаемых информационных технологиях, при критических ситуациях или в определённых условиях должны обеспечить выполнение требований политики безопасности. Упорядоченные по типам и видам совокупности этих методов и средств составляют набор обеспечивающих подсистем (обеспечивающая часть КСЗИ).
Рисунок 3. - Структурная схема построения КСЗИ
Из структурной схемы построения КСЗИ на объекте информатизации (Рисунок 3) следует две важных процедуры синтеза.
Средства защиты (организационные меры, организационно-технические мероприятия, программные, технические и аппаратно-программные средства - СрЗ) должны быть технологически увязаны между собой и с технологическими процессами обработки, хранения и передачи информации. Тем самым в структуру КСЗИ должен быть введён компонент, выполняющий эти функции – технологическое обеспечение КСЗИ.
КСЗИ обязан поддерживать определённый уровень информационной безопасности (защищённости информации) в АС и на ОИ в своей области ответственности. Без управления такое регулирование уровня защищённости информации невозможно. Поэтому в структуру КСЗИ вводится компонент управления информационной безопасностью, а КСЗИ становится, практически, системой управления.
Следовательно, управление – общесистемный структурный компонент КСЗИ, предназначенный для постоянного поддержания заданного уровня информационной безопасности в АС и на ОИ и обеспечивающий эффективную реализацию процессов управления, скоординированных и взаимоувязанных с управлением ИТ.
Таким образом, макроструктурными компонентами КСЗИ являются [5]:
3 Макроструктурные компоненты КСЗИ
3.1 Функциональные подсистемы
Функциональные подсистемы выделяются в качестве системных компонентов КСЗИ, прежде всего, с целью обеспечения защиты информации в штатных информационных технологиях определённого вида, назначения или способа реализации. Кроме того, функциональные подсистемы могут формироваться для защиты информации в побочных информационных технологиях, которые являются следствием определённых свойств программно-технической среды ИТ (наличие ПЭМИН и проводных сред, уязвимость технических средств или программного обеспечения и т.д.) или могут проявляться за счёт человеческого и организационно-технического факторов. Основанием выделения функциональных подсистем КСЗИ могут быть также нештатные информационные ситуации при функционировании АС (появление субъектных угроз информации при сбоях, отказах основных средств АС, технических инфраструктурных систем и вспомогательного оборудования, компьютерные атаки и т.д.) в случае, если вероятность их появления значительна и/или они являются критичными для информационной безопасности.
Отнесение штатных информационных технологий и информационных ситуаций к защищаемым технологиям и критическим ситуациям связывается с характером обрабатываемой информации (информация ограниченного доступа [13]) и наличием актуальных угроз при её использовании в этих ИТ.
Побочные информационные технологии, соотносимые с защищаемой информацией, должны быть исключены или влияние их на защищённость информации должно быть минимизировано до приемлемого уровня.
Функциональная подсистема КСЗИ реализует определённый набор функций назначения по защите информации путём решения функциональных задач защиты (ФЗ).
Под функциями назначения понимаются функции нейтрализации актуальных угроз информации. Они могут быть определены нормативными документами [16] как обязательно реализуемые для определённого класса защищённости АС (например, в части защиты от НСД – аутентификация, контроль доступа, регистрация, учёт, контроль потоков информации и т.д.). Кроме того, функции назначения по защите информации могут включаться в набор реализуемых функций при соответствующем обосновании в ходе проектирования АС и ИТ.
Функциональные задачи защиты являются задачами выполнения функций назначения в конкретных технологических процессах подсистемы в уязвимых точках среды реализации ИТ. Функциональные задачи защиты реализуются в соответствии с нормативными требованиями к классу защищённости АС или проектными требованиями.
Естественно, определение функций и постановка задач защиты зависят от источника, характера и сущности угроз информации. Реализация угроз информации, в свою очередь, зависима от вида и физики средств реализации информационных технологий. Этот фактор также влияет на постановку задач защиты.
Таким образом, в общем виде можно дать следующее определение функциональной подсистемы КСЗИ.
Функциональная подсистема КСЗИ – совокупность функций и задач защиты информации, решаемых в отношении защищаемых информационных технологий определённого вида, назначения и способа реализации или критических информационных ситуаций, влияющих на состояние защищённости информации в АС и на ОИ.
Схема формирования функциональных подсистем КСЗИ и их состава представлена на Рисунке 4.
Рисунок 4 – Схема формирования функциональных подсистем КСЗИ
В соответствии с предложенным подходом построения КСЗИ (Рисунок 3) выделение функциональных подсистем и постановку функциональных задач на общесистемном уровне целесообразно выполнить по двум направлениям:
Информационные технологии и критические ситуации, в отношении которых, как правило, необходимо решать задачи защиты информации при построении КСЗИ ОИ, в общем виде входят в следующий перечень:
Предложенный перечень не претендует на универсальность и полноту. Тем более, следует учитывать, что выделение функциональных подсистем является системной процедурой проектирования конкретной КСЗИ конкретного объекта информатизации. Однако, ориентируясь на предложенный перечень защищаемых информационных технологий и критических ситуаций, а также, учитывая информационное представление ОИ, современные подходы к построению АС на базе компьютерной и телекоммуникационной среды, характер и сущность угроз информации, можно сформировать типовой набор функциональных подсистем (подсистем защиты информации объекта информатизации – ПСЗИ ОИ). В него целесообразно включить следующие подсистемы.
Защита информации при внешнем информационном проявлении объекта информатизации:
Защита информации в информационной сфере объекта информатизации:
Важным элементом структуризации функциональной части КСЗИ ОИ является введение понятий функциональных комплексов защиты информации и использование их при компонентном построении КСЗИ. Схема формирования функциональных комплексов показана на Рисунке 5.
Рисунок 5 – Схема формирования функциональных комплексов КСЗИ
Выполнение отдельной функции назначения может осуществляться в различных точках процесса реализации ИТ и/или в различных точках программно-технической среды путём постановки и решения соответствующих задач защиты для этих точек. Интеграция однородных функциональных задач в рамках подсистемы КСЗИ образует функциональный комплекс I вида – интеграция по горизонтали/*.
/* Например, в рамках отдельной АС (подсистема защиты информации от НСД в функциональных приложениях автоматизации/информатизации) аутентификация актуализированных для этой АС пользователей должна выполняться при их входе в систему со своих автоматизированных рабочих мест (АРМ), то есть в определённых точках программно-технической среды. Она может быть реализована путём постановки задач аутентификации (определение соответствующих параметров настроек) для каждого АРМ одинаковыми по исполнению средствами под единым управлением. Тем самым формируется функциональный комплекс I вида.
В то же время выполнение отдельной функции назначения необходимо в ряде подсистем КСЗИ. Интеграция однородных функциональных задач, реализуемых в отношении одной и той же функции назначения в различных подсистемах КСЗИ, образуют функциональный комплекс II вида – интеграция по вертикали/**.
/** Например, выполнение текущего мониторинга состояния информационной безопасности (функция назначения) для обеспечения эффективного управления в КСЗИ необходимо распространить на все/базовые функциональные подсистемы, в каждой из которых должны быть поставлены функциональные задачи и выбраны средства их реализации (единые или различные информационно взаимосвязанные). Таким образом, формируется компонент КСЗИ – функциональный комплекс II вида.
Выделение функциональных комплексов при создании КСЗИ и последующей её эксплуатации – это очевидный путь к типовым решениям по применению или созданию средств защиты информации с учётом включённых в эти средства возможностей настройки на параметры политики безопасности и информационного взаимодействия в части сбора служебной контролирующей информации для реализации управления. Следует отметить, что при проектировании отдельных АС, когда разрабатывается СЗИ НСД, в соответствии с руководящим документом Гостехкомиссии России [16] функциональные комплексы I вида приобретают статус подсистем СЗИ от НСД (управления доступом, регистрации и учёта, криптографической, обеспечения целостности), хотя и выделяются они в документе условно, и не выдерживают однородности критерия выделения.
3.2 Обеспечивающие подсистемы
Реализация задач защиты информации функциональных подсистем должна быть обеспечена соответствующими средствами и мерами, которые интегрируются в обеспечивающие подсистемы КСЗИ. Обеспечивающие подсистемы выделяются по признакам однородности средств, общности методов и специализации сфер, обеспечивающих решение функциональных задач защиты. Объединение средств реализации функциональных задач защиты по видовому признаку способствует их эффективному выбору с точки зрения нейтрализации угроз информации в различных средах (программно-технической, телекоммуникационной, в ручном контуре АС, при организации работ на ОИ). Такой подход позволяет также комбинировать средствами и мерами защиты для получения нужного результата по защите при приемлемых затратах, а также обеспечивает специализацию работ при проектировании и эксплуатации КСЗИ.
Обеспечивающая подсистема КСЗИ – совокупность мер и средств реализации функциональных задач защиты информации, однородных по своей природе или относящихся к определённой сфере обеспечения условий для реализации функциональных задач защиты информации.
В общем случае обеспечивающая подсистема КСЗИ включает в себя обеспечивающие меры и средства (СрЗ), которые выполняют соответствующие им обеспечивающие задачи: непосредственную программную, аппаратную или организационную реализацию функциональных задач защиты, реализацию определённого порядка настройки, использования, эксплуатации средств защиты и ИТ, организации и регламента их работы и т.д.
Целесообразно выделить следующие направления для формирования обеспечивающих подсистем КСЗИ (выбора средств реализации функциональных задач защиты и постановки обеспечивающих задач):
Инфраструктура реализации функциональных задач защиты информации в АС. Функциональные задачи защиты информации в АС реализуются непосредственно в технологических процессах автоматизированной обработки и передачи информации, следовательно, в компьютерной и телекоммуникационной среде. Для их решения используются различные виды (группы) методов и средств, которые являются реализационной инфраструктурой функционала КСЗИ:
В этот перечень возможно включение и других видов методов и средств реализации функциональных задач защиты. Из их числа для КСЗИ выбираются (приобретаются, создаются новые, настраиваются) конкретные средства и разрабатываются ориентированные на средства меры для решения функциональных задач защиты, которые интегрируются в обеспечивающие подсистемы.
Определение и обоснование состава обеспечивающих подсистем для конкретного ОИ является отдельно решаемой задачей проектирования КСЗИ ОИ с определённым набором эксплуатируемых АС и с их общесистемной и специальной программно-аппаратной инфраструктурой. Однако, можно выделить типовой набор обеспечивающих подсистем КСЗИ, учитывая включённые в выше предложенный перечень виды используемых методов и средств и подходы выделения обеспечивающих подсистем в любой автоматизированной системе [11].:
Следует отметить, что в практике создания и производства средств защиты информации широко используется разработка программно-аппаратных комплексов (ПАК) как отдельных устройств выполнения определённого набора функций назначения по защите информации АС, реализуемых совокупностью программных и аппаратных средств, математических или криптографических методов. Этот факт необходимо учитывать при рассмотрении структуры обеспечивающей части КСЗИ, в особенности при разработке схемы деления системы защиты.
Нормативно-правовая поддержка функционирования КСЗИ. Нормативно-правовая поддержка функционирования КСЗИ является общесистемной обеспечивающей составляющей информационной сферы ОИ, предназначенной для формирования нормативно-правовой документированной базы информационных отношений в части накопления, хранения, обработки, передачи и использования защищаемой информации на объекте и при внешнем информационном обмене. Нормативно-правовая поддержка функционирования КСЗИ реализуется комплексной подсистемой нормативно-правового обеспечения КСЗИ.
Информационные отношения и отношения доступа рассматриваются при реализации всех технологических процессов обработки и передачи защищаемой информации. Должны учитываться особенности компьютерной и телекоммуникационной среды, в которой они выстраиваются. Порядок реализации отношений материализуется в виде необходимого и достаточного набора официальных документов – стандартов, руководящих документов, приказов, положений, инструкций, протоколов и других видов документов. На основании этих документов осуществляется проектирование и эксплуатация КСЗИ, выполнение информационных работ, настройка средств защиты информации на установленный штатный режим функционирования.
Все документы, входящие в нормативно-правовое обеспечение КСЗИ, не должны противоречить законодательным актам в области информационных технологий.
К документам нормативно-правового обеспечения, прежде всего, относятся международные и государственные стандарты, ведомственные требования, официальные руководящие документы по разработке и применению средств защиты информации, созданию систем защиты информации.
Разрабатываемые в ходе создания КСЗИ документы целесообразно выделить в следующие отдельные группы документов нормативно-правового обеспечения:
Общесистемные нормативные документы определяют концептуальные подходы к созданию КСЗИ и требования к мерам и средствам защиты информации, устанавливают отношения доступа субъектов, взаимодействующих с АС, к информационным и техническим ресурсам.
Основными документами данного вида являются:
Модель нарушителя ОИ предполагает: определение угроз информации; уязвимостей информационной среды и технологий, способствующих реализации этих угроз; выделение из них существенных угроз по соотношению «ущерб – затраты на нейтрализацию», то есть актуальных угроз; определение источников актуальных угроз информации – субъекты (группы субъектов), имеющие потенциальную возможность реализации угроз; анализ и фиксирование этих возможностей в виде оценочных характеристик, связанных с родом служебной деятельности, соответствующим ей санкционированным доступом к ресурсам АС и следуемым из этого каналам реализации угроз; анализ и фиксирование квалификации субъектов (групп субъектов) и специфичных условий; представление всех этих сведений в формализованном или вербальном виде. Основным результатом модели нарушителя должен быть официально принятый категорированный перечень потенциальных нарушителей информационной безопасности с описанием их профессиональных, служебных, функциональных и технических возможностей по инициированию и реализации нарушений. Модель нарушителя должна дать однозначный ответ на вопрос, в отношении каких субъектов и явлений осуществляется защита информации.
На основании модели нарушителя ОИ могут разрабатываться частные модели нарушителя, ориентированные на их конкретное использование при проектировании функциональных подсистем КСЗИ, что означает, практически, решение сформулированных для модели вопросов в отношении информационных технологий определённого вида или критических информационных ситуаций.
Модель нарушителя ОИ и частные модели нарушителя, если такие разрабатываются, должны быть официально утверждены, как нормативные документы.
Политика информационной безопасности ОИ – это совокупность документированных управленческих, организационных, технических и технологических решений, направленных на защиту информации и ассоциированных с ней других ресурсов с учётом утверждённой модели нарушителя [9.]. Политика информационной безопасности является исполнительным концептуальным документом, позволяющим целенаправленно осуществлять проектирование и эксплуатацию КСЗИ и АС, организовать защищённую информационную деятельность на ОИ в целом, оценивать и принимать выверенные в правовом отношении решения при возможных нарушениях информационной безопасности.
Политика информационной безопасности может быть многоаспектным документом и затрагивать сферу высших (руководство ОИ) административных решений, общесистемных для информационной деятельности ОИ положений и порядка, административных, организационно-технических и технологических требований уровня процессов и работ.
Как правило, политика информационной безопасности ОИ утверждается руководством объекта информатизации (организации) по согласованию и представлению её соответствующими уполномоченными структурами.
Модель (порядок) разграничения доступа в АС устанавливает конкретные документированные права и полномочия доступа пользователей и эксплуатационного персонала (администраторов, операторов, специалистов по эксплуатации компонентов АС) к информационным и техническим ресурсам объекта информатизации. Утверждённый или введённый приказом по объекту порядок разграничения доступа является нормативной основой для выполнения информационной работы на ОИ и настройки средств защиты информации КСЗИ (формирования в машинном виде прав и полномочий доступа).
Регламентирующие и инструктивные документы определяют ответственность, регламент, требования и порядок выполнения условий обеспечения информационной безопасности конкретных информационных технологий, сервисов и связанных с их реализацией работ. К ним, прежде всего, можно отнести такие критические с точки зрения информационной безопасности технологии как использование сети Интернет, выполнение антивирусных мероприятий, введение и исключение пользователей в действующем активе, порядок работы с парольными и ключевыми системами и другие. Эти документы предназначены для руководителей ОИ, администраторов и пользователей АС, а также специалистов, обеспечивающих эксплуатацию средств защиты КСЗИ. Практически в рамках этих документов определяются организационные меры по защите информации и, наряду с эксплуатационной документацией, они позволяют осуществлять эксплуатацию и организационный порядок работы с техническими (программными, аппаратными) средствами защиты, их использование в установленном регламенте.
Организационно-распорядительные документы (приказы, распоряжения) предназначены для придания правового статуса в организации принимаемых организационных и технических решений в части КСЗИ и её элементов, легитимного ввода в эксплуатацию КСЗИ, отдельных её средств, настроек, полномочного проведения расследований и принятия решений при нарушениях информационной безопасности.
Проблема защиты информации, состояния информационной безопасности в целом на объекте информатизации – это, прежде всего, правовая проблема построения информационных отношений. Поэтому подсистема нормативно-правового обеспечения КСЗИ является фундаментальной при проектировании КСЗИ.
Структурно-технологическая и организационно-техническая поддержка функционирования КСЗИ. В части структурно-технологической и организационно-технической поддержки функционирования КСЗИ выделяются типовые комплексы работ по созданию условий безопасности работы с защищаемой информацией и функционирования средств защиты КСЗИ:
Для реализации данного комплекса работ могут быть выделены следующие основные обеспечивающие подсистемы:
3.3 Технологическое обеспечение КСЗИ
В общепринятом понятии технология – это система взаимосвязанных способов обработки материалов и приёмов изготовления продукции в производственном процессе [17].
В нашем случае речь идёт о совокупности взаимосвязанных операций, процедур и работ, реализуемых в рамках мер и силами средств обеспечивающих подсистем КСЗИ защиту информации при производстве информационной продукции.
Отдельные средства защиты совместно с организационными мерами должны быть объединены в технологические процессы. Технологическая схема процессов реализует связи между функциональными и обеспечивающими подсистемами КСЗИ, определяет, каким образом и в какой последовательности выполняются задачи защиты функциональных подсистем средствами обеспечивающих подсистем в технологической среде обработки и передачи информации.
При этом возможно создание самостоятельных технологических комплексов систем, изделий, программных продуктов, которые ориентированны только на выполнение определённых функций назначения по защите. Например, обеспечение автоматизированного контрольно-пропускного режима, ведение служебного информационного обеспечения средств защиты от НСД, ведение парольной и ключевой документации, мониторинг состояния электромагнитных полей вокруг технических средств или наличия компьютерных атак и т.д.
Но чаще операции и процедуры, реализуемые средствами защиты информации, являются технологическими элементами общего процесса информационного производства (обработка, передача информации) и требуют интерфейсных согласований со средствами информационных технологий. Это согласование должно быть обеспечено как на уровне аппаратной и программной совместимости, так и на уровне настройки параметров, связанных с политикой безопасности.
В целом, технология функционирования КСЗИ как общесистемный макроструктурный компонент образует подсистему технологического обеспечения КСЗИ.
3.4 Управление информационной безопасностью
Объединение средств защиты информации на технологическом уровне не является достаточным условием обеспечения и поддержания системой требуемого уровня информационной безопасности. В данном случае под информационной безопасностью (ИБ) понимается состояние защищённости информационных ресурсов объекта информатизации от угроз информации [8] во всех процессах автоматизации/информатизации (АС и другие используемые на ОИ информационные технологии).
Обеспечение информационной безопасности на ОИ – это непрерывный процесс функционирования средств защиты информации, выполнения персоналом требований по защите информации, контроля реализации задач защиты в штатном режиме. Этот процесс также включает в себя мониторинг функционирования программно-технической и телекоммуникационной среды с целью выявления отклонений от штатного состава и регламента работы, влияющих на состояние ИБ, фиксирование попыток нарушений ИБ и событий, связанных с этими нарушениями, реагирование на отклонения и последующий ввод системы в штатное состояние.
Непрерывность и поддержание состояния информационной безопасности на ОИ может обеспечиваться только путём управления процессами обеспечения информационной безопасностью, которое, как и технология, является общесистемным макроструктурным компонентом КСЗИ и образует подсистему управления информационной безопасностью.
Сбор показателей состояния информационной безопасности при отклонениях может выполняться общесистемными средствами ПТК, прикладным СПО, соответствующими функциональными блоками аудита самих средств защиты, службой безопасности. Анализ, принятие решений и выработка воздействий на технологические процессы – это прерогатива соответствующих средств защиты и администраторов безопасности.
Управление осуществляется как на уровне технологических процессов обработки и передачи информации программно-техническими средствами, так и на макроуровне силами и средствами службы безопасности объекта защиты (административное управление).
Управление на уровне технологических процессов – оперативное управление (У3 на Рисунке 3) включает в себя:
Макроуровень управления информационной безопасностью требует интегрированных решений при сложных ситуациях состояния информационной безопасности на ОИ. Они связаны либо с некорректной постановкой функциональных задач защиты или с недостаточной полнотой их набора в функциональных подсистемах КСЗИ (У1 на Рисунке 3), либо с неэффективным выбором или настройкой средств защиты в обеспечивающих подсистемах КСЗИ (У2 на Рисунке 3).
Для того чтобы обеспечить управление, необходимо организовать мониторинг состояния информационной безопасности, сбор и подготовку соответствующих показателей, которые накапливаются в подсистеме информационного обеспечения КСЗИ.
Таким образом, управление информационной безопасностью осуществляется на основании данных подсистемы информационного обеспечения КСЗИ и с учётом нормативных требований подсистемы нормативно-правового обеспечения.
4 Подсистема информационного обеспечения КСЗИ
Подсистема информационного обеспечения (ИО) КСЗИ включает в себя служебные базы и массивы данных АС, обеспечивает информационную поддержку реализации функциональных задач защиты информации и принятие решений при управлении информационной безопасностью. В подсистему информационного обеспечения КСЗИ входят все данные для принятия решений при реализации управления, как в технологических процессах, так и на макроуровне.
Все информационные массивы (наборы данных) КСЗИ, как правило, не представляют собой единую базу данных. Их размещение в программно-технической и телекоммуникационной среде зависит от мест размещения средств защиты, от предназначения информационных объектов (например, пароли, ключи), от интеграционной политики выполнения функций защиты. Это создаёт определённую трудность их централизованной поддержки в процессе эксплуатации КСЗИ.
Основными разделами (информационными комплексами) подсистемы информационного обеспечения КСЗИ являются:
От актуальности, достоверности и конфиденциальности служебных данных ИО КСЗИ, в первую очередь, зависит эффективность защиты информации в АС и ИТ, локально эксплуатируемых на ОИ. В этом - значимость подсистемы информационного обеспечения КСЗИ.
Литература
1. Алексеенко В.Н., Древс Ю.Г. Основы построения систем защиты производственных предприятий и банков.. М.: МИФИ, 1996. – 68с.
2. Галатенко В.А. Основы информационной безопасности: Учебное пособие / В.А. Галатенко. Под редакцией академика РАН В.Б. Бетелина – 4-е изд., – М.: . БИНОМ. Лаборатория знаний, 2008. – 205с.
3. Герасименко В.А. Защита информации в автоматизированных системах обработки данных. – М.: Энергоатомиздат, кн. 1, 1994. – 400с.
4. Герасименко В.А. Защита информации в автоматизированных системах обработки данных. – М.: Энергоатомиздат, кн. 2, 1994. – 176с.
5. Королёв В.И., Филипповский В.В. Инновационный проект комплексной защиты информационных технологий и информатизация служб безопасности // Безопасность информационных технологий. Госкомитет РФ по высшему образованию, МИФИ. Вып. 3, М., 1995 г. – С. 98 – 105.
6 Королёв В.И., Сухотин И.Н., Королёв А.В. Интегрированные системы безопасности и влияние информационных рисков на деятельность организации // Официальный отчёт Х Международного форума «Технологии безопасности». Сборник материалов/ Под редакцией к.э.н. И.К. Филоненко, к.ф.н. Н.В. Александровой. – М.: «ПРОЭКСПО», 2005 г. – С. 284 – 291.
7. Малюк А.А., Пазизин С.В., Погожин Н.С. Введение в защиту информации в автоматизированных системах: Учебное пособие для вузов. – 3-е издание. - М.: Горячая линия-Телеком, 2005. - 147 с.
8. Расторгуев С.П. Основы информационной безопасности: учеб. пособие для студ. Высших учебных заведений. – М.: Издательский центр «Академия», 2007. – 192с.
9. Шаньгин В.Ф Защита компьютерной информации. Эффективные методы и средства / Шаньгин В.Ф. – М.: ДМК Пресс, 2008. - 544с.
10. ГОСТ Р 51275–99. Защита информации. Объект информатизации. Факторы, воздействующие на информацию.
11. ГОСТ 34.003-90. Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Термины и определения.
12. РД 50-680-88. Руководящий документ по стандартизации. Методические указания. Автоматизированные системы. Основные положения.
13. Федеральный Закон РФ «Об информации, информационных технологиях и о защите информации». - № 149-Ф3, 2006.
14. Будзко В.И., Беленков В.Г., Кейер П.А. К выбору варианта построения катастрофоустойчивых информационно-телекоммуникационных систем // Системы и средства информатики, Вып. 13. – М.: Наука, 2003, с. 16 – 40.
15. Магауенов Р.Г. Системы охранной сигнализации: основы теории и принципы построения. Учебное пособие. – 2-е изд. Перераб. и доп. – М.: Горячая линия – Телеком, 2008. – 496 с.
16. Гостехкомиссия России. Руководящий документ. Автоматизированные системы. Классификация автоматизированных систем и требования по защите информации.
17. Першиков В.И., Савинков В.М. Толковый словарь по информатике. – М.: Финансы и статистика, 1991. – 543 с.
18. Кейер П.А., Будзко В.И., Беленков В.Г. Катастрофоустойчивые решения в информационно-телекоммуникационных системах высокой доступности // Системы высокой доступности. Вып. 1, т.1. – М.: ЗАО Издательство «Радиотехника», 2005, с. 57 – 69.
19. Джонсон Р., Каст Ф., Розенцвейг Д. Системы и руководство (теория систем и руководство системами). Изд. 2-е, дополненное. Перевод с анг. под редакцией Ю.В. Гаврилова и Ю.Т. Печатникова. М.: Издательство «Советское радио», 1971, 647 с.
20. Концепция формирования и развития единого информационного пространства России и соответствующих государственных информационных ресурсов, - М, : «Информрегистр», 1996. – 40 с.
21. Распределённые системы. Принципы и парадигмы / Э.Таненбаум, М. Ван Стен, - СПб.: Питер. 2003. – 877 с.
Условные обозначения
АС – автоматизированная система;
ИО – информационное обеспечение;
ИТ – информационные технологии;
КСЗИ – комплексная система защиты информации;
ЛВС – локальная вычислительная сеть;
НСД – несанкционированный доступ;
ОЗ – обеспечивающая задача КСЗИ;
ОИ – объект информатизации;
ОП – обеспечивающая подсистема КСЗИ;
ПОИБ – подсистема обеспечения информационной безопасности;
ПТК – программно-технический комплекс;
ПЭМИН – побочные электромагнитные излучения и наводки;
СЗ – средство защиты информации;
СКС – структурированная кабельная сеть объекта;
СКУД – система контроля и управления допуском в служебные и технологические помещения;
СПО – специальное программное обеспечение;
ТКС – телекоммуникационная сеть;
ФЗ – функциональная задача защиты информации;
ФП – функциональная подсистема КСЗИ.
Точки формирования функциональных задач защиты
X – процессы/
средства
Y – функции назначения
Z – подсистемы КСЗИ
Подсистема
КСЗИ
Функциональный комплекс II вида
Z
Функциональный комплекс I вида
X
Y