Цели, задачи и принципы построения КСЗИ

К настоящему времени в ведущих странах мира сложилась до­статочно четко очерченная система концептуальных взглядов на проблемы обеспечения информационной безопасности. Тем не менее, как свидетельствует реальность, злоумышленные действия над информацией не только не уменьшаются, но и имеют доста­точно устойчивую тенденцию к росту. Понимая это, большинство руководителей предприятий и организаций принимают меры по защите важной для них информации.

Для решения задач защиты информации на предприятии со­здается комплексная система защиты информации (КСЗИ). Имеются работы, в которых термин КСЗИ понимается в «уз­ком» смысле, т.е. как система защиты информации от несанкци­онированного доступа в автоматизированных системах (АС). В настоящей книге принято «широкое» понимание КСЗИ как системы обеспечения безопасности предприятия в целом. Вместе с гем защита информации в АС является важнейшей составной ча-uiiio КСЗИ, поскольку подавляющая часть информационных ре­сурсов присутствует в электронном виде. Поэтому в некоторых главах книги речь идет именно об обеспечении безопасности информации в автоматизированных системах КСЗИ предприятия есть совокупность методов и средств, объединенных единым целевым назначением и обеспечивающих необходимую эффективность защиты информации предприятия [42].

Главной целью КСЗИ является обеспечение непрерывности бизнеса; устойчивого функционирования коммерческого предпри­ятия и предотвращения угроз его безопасности.

КСЗИ направлена:

• на защиту законных интересов организации от противоправ­ных посягательств;

• охрану жизни и здоровья персонала;

• недопущение: 1) хищения финансовых и материально-техни­ческих средств; 2) уничтожения имущества и ценностей; разгла­шения, утечки и несанкционированного доступа к служебной информации; 4) нарушения работы технических средств обеспе­чения производственной деятельности, включая информацион­ные технологии.

Исходя из целей КСЗИ, можно определить стоящие перед ней залачи. К ним относятся:

• прогнозирование, своевременное выявление и устранение угроз безопасности персоналу и ресурсам коммерческого предприятия, причин и условий, способствующих нанесению финансового, материального и морального ущерба, нарушению его нормаль­ного функционирования и развития;

• отнесение информации к категории ограниченного доступа (служебной и коммерческой тайнам, иной конфиденциальной информации, подлежащей защите от неправомерного использования), а других ресурсов — к различным уровням уязвимости (опасности), подлежащих сохранению;

• создание механизма и условий оперативного реагирования на /грозы безопасности проявления негативных тенденций в функ­ционировании предприятия;

• эффективное пресечение угроз персоналу и посягательств на ресурсы на основе правовых, организационных и инженерно-тех­нических мер и средств обеспечения безопасности;

• создание условий для максимально возможного возмещения и локализации наносимого ущерба неправомерными действиями физических и юридических лиц, ослабление негативного влияния последствий нарушения безопасности предприятия.

Обеспечение безопасности предприятия должно основываться на следующих основных принципах: системности; комплексно­сти; своевременности; непрерывности защиты; разумной достаточно­сти; гибкости; специализации; взаимодействия и координации — должно осуществляться планирование; совершенствования; цен­трализации и управления (процесс управления всегда централи­зован); активности; экономической эффективности; простоты применяемых защитных мер и средств.

Раскроем некоторые принципы построения КСЗИ подробнее.

Принцип системности требует применения системного под­хода в качестве методологической базы при анализе и синтезе комплексной системы защиты информации. Основная цель си­стемного подхода — формализация вербальных описаний и состав­ление алгоритма деятельности. Суть его заключается в том, что при оценке эффективности мероприятий безопасности не огра­ничиваются рассмотрением только самой системы, но и учитыва­ют влияния на нее внешних факторов. Применение системного подхода при разработке технологий управления безопасностью по­зволяет реализовать синергетический эффект, являющийся резуль­татом упорядочения организационных структур управления, вза­имодействия, кооперации и интеграции с другими подсистемами анализируемой системы, устранения ненужных процедур, а в ито­ге — результатом достижения равновесного состояния функцио­нирования системы.

Системный подход к построению КСЗИ предполагает необхо­димость учета всех взаимосвязанных, взаимодействующих и из­меняющихся во времени элементов, условий и факторов, значи­мых для понимания и решения проблемы обеспечения безопас­ности предприятия.

При создании системы защиты необходимо учитывать все сла­бые, наиболее уязвимые места предприятия, а также характер, возможные объекты и направления атак на КСЗИ со стороны нарушителей (особенно высококвалифицированных злоумышлен­ников), пути проникновения и НСД к информации. Система за­щиты должна строиться с учетом не только всех известных кана­лов проникновения и НСД к информации, но и с учетом возмож­ности появления принципиально новых путей реализации угроз безопасности.

Принцип комплексности предполагает, что система защиты предприятия должна включать совокупность объектов защиты, сил и средств, принимаемых мер, проводимых мероприятий и действий по обеспечению безопасности персонала, материальных и финансовых средств от возможных угроз всеми доступными за­конными средствами, методами и мероприятиями. Принцип комплексности позволяет оценить в целом главные вопросы защиты: что защищается, кто защищает и как защищается? В распоряже­нии специалистов по безопасности имеется широкий спектр мер, методов и средств защиты. Комплексность системы защиты ин­формации достигается охватом всех возможных угроз и согласованием между собой разнородных методов и средств, обеспечива­ющих защиту всех элементов предприятия.

Защита должна строиться эшелонированно. Внешняя защита обеспечивается физическими средствами, организационными ме­рами и правовыми мерами. Прикладной уровень защиты, учитывающий особенности предметной области, образует внутренний рубеж обороны. Так, одной из наиболее укрепленных линий обо­роны должны быть средства защиты в автоматизированных си­стемах.

Принцип своевременности означает, что меры защиты не дол­жны «запаздывать». Например, бесполезно выводить охранную сиг­нализацию на пульт дежурного, который сможет прибыть в слу­чае тревоги на объект охраны лишь спустя полчаса.

Принцип непрерывности: в настоящее время общепринятым является процессный подход к обеспечению безопасности инфор­мации. Защита информации — это не совокупность проведенных мероприятий и установленных средств защиты, а непрерывный целенаправленный процесс, предполагающий принятие соответ­ствующих мер на всех этапах жизненного цикла систем предпри­ятия, начиная с самых ранних стадий проектирования, а не толь­ко на этапе их эксплуатации.

Во многих зарубежных стандартах зафиксирована циклическая схема процесса обеспечения безопасности информации PDCA (Plan-Do-Check-Act). Кроме того, принцип непрерывности под­черкивает недопустимость перерывов в работе средств защиты, устанавливая повышенные требования к их надежности.

Принцип разумной достаточности учитывает тот факт, что создать абсолютно непреодолимую систему защиты принципи­ально невозможно. При достаточном количестве времени и средств можно преодолеть любую защиту, поэтому имеет смысл вести речь только о некотором приемлемом уровне безопасности. Высоко­эффективная система защиты стоит дорого, использует при рабо­те существенную часть мощности и ресурсов компьютерной си­стемы и может создавать ощутимые дополнительные неудобства пользователям. Важно правильно выбрать тот достаточный уро­вень защиты, при котором затраты, риск и размер возможного ущерба были бы приемлемыми (задача анализа риска).

Часто приходится создавать систему защиты в условиях боль­шой неопределенности, поэтому принятые меры и установлен­ные средства защиты, особенно в начальный период их эксплуа­тации, могут обеспечивать как чрезмерный, так и недостаточный уровень защиты. Естественно, что для обеспечения возможности варьирования уровня защищенности средства защиты должны обладать определенной гибкостью. Особенно важно это свойство в тех случаях, когда средства зашиты необходимо устанавливать на работающую систему, не нарушая процесса ее нормального функционирования. Кроме того, внешние условия и требования с течением времени меняются. В таких ситуациях свойство гибко­сти спасает владельцев АС от необходимости принятия карди­нальных мер по полной замене средств защиты на новые.

Принцип простоты применения состоит в том, что механиз­мы защиты должны быть интуитивно понятны и просты в ис­пользовании. Применение средств защиты не должно быть связа­но со знанием специальных языков или с выполнением действий, требующих значительных дополнительных трудозатрат при обыч­ной работе законных пользователей, а также не следует требовать от пользователя выполнения рутинных малопонятных ему опера­ций (ввод нескольких паролей и имен и т.д.).

Важнейшими условиями обеспечения безопасности являются законность, достаточность, соблюдение баланса интересов лич­ности и предприятия, высокий профессионализм представителей службы безопасности, подготовка пользователей средств вычис­лительной техники и соблюдение ими всех установленных правил сохранения конфиденциальности, взаимная ответственность пер­сонала и руководства, взаимодействие с государственными право­охранительными органами.