Разработка механизмов обеспечения безопасности

Разработка и реализация методов обеспечения безопасности в компьютерной системе существуют в четырех ипостасях: технический, физический и административный контроль, а также правовые и социальные вопросы.

Физическая безопасность: данный уровень представляет собой средства физической защиты компьютерного оборудования - замки, предохранители, устройства тревоги, противопожарные элементы, механизмы защиты хранилищ данных и т.п. Конечно, указанные меры не могут быть применены к оборудованию связи (спутники, открытые коммутируемые сети [PSN] и др.), которые выходят из под контроля данной организации. Безопасность на физическом уровне зависит от организации, которой принадлежит программное и аппаратное обеспечение.

Следующим уровнем безопасности является административный контроль, обеспечивающий корректное управление и использование системы или интранет. К его проведению должны быть подключены программисты, системные инженеры и менеджеры информационных систем. Далее это распространятся на отделы кадров, бухгалтерию и дирекцию.

Наконец, последним уровнем, также очень важным, являются правовые и социальные нормы.

Каждый сотрудник и каждая организация, ответственные за обеспечение безопасности, при разработке и реализации эффективной системы защиты должны строго следовать определенным процедурам. На первом месте стоят осознание и выявление всех угроз для глобальной информационной инфраструктуры или компьютерных устройств. Каждая операция представляет собой источник возможной опасности и возникновения проблем. Степень серьезности каждой из проблем зависит от пользователей и ресурсов системы, а также от содержимого и статуса последних. Можно предложить следующую последовательность рассуждений:

1. Для обеспечения безопасности компьютерной системы сначала вы должны составить список ожидаемых угроз.

2. Список доступных в системе операций следует соотнести со списком угроз.

3. Каждая угроза и соответствующая ей операция должны быть связаны с конкретным ресурсом, его важностью и его содержимым. Часто это называют анализом уязвимости.

Следующим шагом является определение и оценка вероятности возникновения всех возможных опасностей, а также их последствий. Данный процесс называется анализом риска или управление риском. При его проведении определяются требования к службам обеспечения безопасности интранет-сети ресурсоемкость. Каждая служба безопасности может быть реализована личными способами с использованием множества механизмов. Другими словами, чтобы разработать наиболее эффективную систему безопасности для конкретной установки, необходимо, чтобы сотрудники произвели оценку и проверку всех возможных механизмов безопасности.

Следовательно, в случае возникновения неисправности или сбоя в реализованной системе безопасности, для ее настройки на новые изменившиеся условия может потребоваться восстановление некоторых ресурсов, особенно тех из них, где нарушена защита или целостность.

Поэтому, для создания надежной системы безопасности все пользователи, администраторы и руководители компании должны соблюдать вышеуказанную последовательность шагов. Решения, возникающие при их выполнении, составляют политику безопасности. Другими словами, политика безопасности представляет собой план действий и норм для применения методов безопасности. Во время повседневной работы данной системы она декларирует, что является разрешенным, а что запрещено. В сущности, политика безопасности (совместно с применяемым законодательством и нормами) определяет следующие аспекты:

• В каких рамках будут использоваться коммуникационные линии организации?

• Какой тип данных будет использоваться при передаче?

• Какое поведение является приемлемым для пользователей системы?

• Кто является ответственным за безопасность в интранет-сети?

• Имеются ли бюджетные ограничения в вопросах безопасности?

Все указанные аспекты являются составными частями работы интранет вычислительной системы в целом. Окончательное решение о размерах каждой структуры безопасности принимается из расчета используемых сервисов и механизмов защиты, как они будут реализованы, использованы, и как над ними будут производиться управление и контроль.

Средства защиты информации на кафедрах ЭИ и АУ и Ф и ПМ