Лекция 10. Управление комплексной системой защиты информации

10.1. Общие законы кибернетики

Мы уже отметили, что КСЗИ — сложная, многогранная система. Для обеспечения эффективного функционирования такой системы необходимо грамотное управление.

Кибернетика (от греч.— искусство управления) - наука об общих законах получения, сравнения, передачи и переработки информации. Основной объект исследования- кибернетические системы, рассматриваемые абстрактно, вне зависимости от их материальной природы (автоматические регуляторы в технике, автопилот, ЭВМ, человеческое общество, мозг человека т. д.). Каждая такая система представляет собой множество взаимосвязанных объектов (элементов системы), способных воспринимать, запоминать и перерабатывать информацию, а также обмениваться ею.

Необходимым и достаточным условием для определения любой отрасли знаний как науки является наличие предмета исследования: метода исследования и средств для реализации этого метода.

Для кибернетики как науки предметом исследования являются системы любой природы и возможность управлять ими. Методом исследования является мате-матическое моделирование. Стратегией исследования является системный анализ, а средством исследования является вычислительная техника. Поэтому кибернетику можно определить как науку, изучающую системы любой природы, которые способны воспринимать, хранить и перерабатывать информацию с целью оптимального управления.

Таким образом, кибернетика включает такие понятия, как системы, как информация, хранение и переработка информации, управление системами и их оптимизация. При этом кибернетика широко пользуется методом математического моделирования и стремится к получению конкретных результатов, позволяющих анализировать и синтезировать изучаемые системы, прогнозировать их оптимальное поведение и выявлять каналы и алгоритмы управления.

То есть методы кибернетики не только позволяют создавать оптимально функционирующий процесс или систему, но указывают пути выбора и использования оптимального режима, а также оптимального управления процессом или системой.

В рамках кибернетики сформулированы следующие общие законы любого управления:

1) всякое управление есть целенаправленный процесс;

2) всякое управление есть информационный процесс, заключающийся в сборе, обработке и передаче информации. Причем он происходит непрерывно, как показано на рис. 10.1.;

	Рис. 10.1. Обобщенное представление закона любого управления

3) всякое управление осуществляется в замкнутом контуре, образованном управляющим и управляемыми объектами (органами), объединенными в единую систему прямой и обратной линиями связи (рис.10.2.).

			Управляемые объекты

Рис. 10.2 Принципиальная схема общего закона любого управления

Фундаментальным достижением кибернетики является доказательство двух положений:

1) перечисленные законы образуют систему, т. е. они должны рассматриваться в совокупности и взаимосвязи;

2) действие системы кибернетических законов носит всеобщий характер, они справедливы для систем любой природы: биологических, технических, социальных.

Общая модель системы организационного и организационно-технологического управления представлена на рис.10.3.

			Исполнение воздействий- целенаправленная деятельность

Рис. 10.3 Общая модель системы управления

10.2. Сущность организации процессов управления КСЗИ

Организация управления представляет собой процесс упорядочения управляющих систем, их деятельности, и складывается из этапа формирования и переформирования самой управляющей системы и этапа организации труда работников этой системы.

Организация управления включает следующие операции:

1. выявление функций управления;

2. установление рационального количества степеней и звеньев управления;

3. распределение функций, прав и ответственности между ними по вертикали (степени управления) и горизонтали (звенья управления);

4. определение профессионального и количественного состава кадров;

5. выбор технических средств управления;

6. разработка нормативно-методической базы (положений, руководств, должностных инструкций и др. документов);

7. регламентация, т.е. установление порядка реализации управленческих процессов (направления деятельности, схемы документооборота, методы решения задач по защите информации).

В общем плане управление можно охарактеризовать как такой тип взаимодействия двух объектов, когда один находится в позиции субъекта управления, а другой - в позиции объекта управления.

Этому взаимодействию присуще следующие черты:

1. субъект управления (СУ) направляет объекту управления (ОУ) команды которые содержат информацию о функционировании объекта управления;

2. объект управления (исполнитель) получает команды управления и действует в соответствии с ними.

В роли субъекта управления могут выступать руководитель предприятия, его заместители, служба безопасности, совокупность подразделений. В качестве объекта может выступать коллектив специалистов, подразделение, отдельный работник, ресурсообеспече- ние, документопоток и т.п.

Иногда управление рассматривают как односторонний процесс воздействия субъекта на объект управления, что приводит к некоторой узости при определении сущности управления. Поэтому управление необходимо рассматривать как процесс, имеющий как прямые, так и обратные связи.

Принципиальная схема организации управления (ОУ) выглядит следующим образом (рис. 10.4.).

Рис.10.4. Принципиальная схема организации управления

Чтобы осуществлять эффективное управление, необходимы предпосылки. С одной стороны, должна существовать потребность и возможность субъекта управления осуществлять управляющие воздействия, а с другой - возможность и потребность объекта управления выполнять, т.е. реализовывать управляющие команды. Существуют различные подходы к управлению. Но практически они все рассматривают процесс управления как некоторую сумму функций, понимая под функцией относительно самостоятельные, специализированные и обособленные виды управленческой деятельности. Функции имеют четко выраженное содержание, разработанный механизм реализации и определенную опорную структуру, исходя из которой осуществляется ее организационное обособление.

10.3. Технология организационного управления КСЗИ

Технология - это совокупность методов обработки, изменения состояния, свойств, формы сырья, материала или полуфабриката, осуществляемых в процессе производства продукции.

Исходя из вышесказанного, технологию организационного управления предприятием можно определить как регламентированную совокупность методов и средств управления коллективами людей в процессе их деятельности для достижения поставленных целей.

То есть, организационное управление, прежде всего, это вид человеческой деятельности и как всякая деятельностьможет рассматриваться в 2-х основных аспектах:

1. организация содержания человеческой деятельности, т.е. что делается. Другими словами: каковы функции и цели человеческой деятельности в системе управления;

2. организация самого процесса управления, т.е. как делается (какими методами достигается поставленная цель и осуществляется сам процесс управления).

Поэтому организационное управление определяется как элемент, функция организованных систем различной природы, обеспечивающая сохранность их определенной структуры, поддержание режимов деятельности, реализацию их программ и целей.

А общая цель организационного управления это обеспечение максимально возможной эффективности использования ресурсов, имеющихся на предприятии (людских, материальных, технических, программных и др.).

А это предполагает решение следующих задач управления:

1. обеспечение заданного уровня достижения цели при минимальном уровне затрат;

2. обеспечение максимального уровня достижения цели при заданном уровне затрат.

Технология управления должна быть построена так, чтобы обеспечивать эффективную обработку информации для всех функциональных подразделений при рациональном использовании ресурсов ВТ. При соблюдении всех правил управления и обращения с информацией это требование может быть конкретизировано следующим образом.

Технология управления должна быть разработана так, чтобы обеспечить:

— комплексную автоматизацию всех процессов обработки данных и управления;

— единство органов, средств и методов управления;

— максимальную автоматизацию при решении всех задач, объективно возникающих в процессе функционирования органов управления, в том числе задач персонального информационного обеспечения, задач выработки управленческих решений и задач информационного сопряжения взаимодействующих систем.

Поскольку одним из активных звеньев технологии организационного управления является человек, то он одновременно может рассматриваться как субъект управления и как объект управления.

В соответствии с этим сформулируем требования к технологии организационного управления:

1. обеспечение разделения труда, выражающееся в конкретизации функциональных обязанностей руководителей и специалистов органов управления;

2. максимальная формализация всех трудовых процессов; осуществляемых в органах управления.

Эта формализация заключается:

а) в введении количественных оценок в управленческие процессы;

б) в использовании математических методов в управлении;

в) в применении к управленческим системам таких понятий, как устойчивость, надежность и эффективность:

3. регламентация взаимодействия работников органов управления между собой и средствами автоматизации, которая заключается в создании комплекса правил, предписаний, указаний и ограничений, закрепленных в соответствующих нормативно-методических документах и носящих обязательный характер;

4. обеспечение психологических совместимостей руководителей и специалистов органов управления со средствами автоматизации;

5. повышение исполнительской дисциплины работников органов управления.

Главным направлением построения технологии организационного управления, удовлетворяющем перечисленным выше требованиям, является разработка технологий на индустриальной основе с широким применением вычислительной техники и автоматизации технологических процессов управления.

В свою очередь технология управления должна быть разработана и построена так, чтобы обеспечивать эффективную обработку информации для всех функциональных подразделений при рациональном использовании вычислительной техники (ВТ). При соблюдении всех правил управления и обращения с информацией, это требование может быть конкретизировано, чтобы обеспечить:

1. комплексную автоматизацию всех процессов обработки данных и управления;

2. единство органов и методов управления;

3. максимальную автоматизацию при решении всех задач, объективно возникающих в процессе функционирования органов управления, в том числе задач персонального информационного обеспечения, задач разработки управленческих решений и задач информационного сопряжения взаимодействующих систем.

Чтобы разработать эффективную технологию управления необходимо решить следующие проблемы:

1. разработать, утвердить и внедрить стандартные элементы технологии управления.

2. разработать и внедрить стандартные методы решения задач всех классов;

3. максимально формализовать решение всех задач, объективно возникающих в процессе функционирования системы управления, т.е. произвести декомпозицию, структуризацию, унификацию и пр.;

4. разработать эффективные средства, методы и способы обеспечения безопасности информации, хранимой и обрабатываемой с использованием вычислительной техники (ВТ);

5. разработать нормативно-методические документы, регламентирующих взаимодейс- твие работников органов управления между собой и со средствами автоматизации;

6. разработать и внедрить типовую методологию построения и проектирования технологии организационного управления и стандартных элементов.

Таким образом, первым шагом построения технологии организационного управления, удовлетворяющей современным требованиям, является структуризация (упорядоченность) основных процессов управления, т.е. схематизация (декомпозиция) объектов, процессов или явлений до степени однозначного определения каждого элемента.

10.4. Структуризация процессов технологии управления

Объект, процесс или явление считается структурированным, если он удовлетворяет следующим условиям:

1. Однозначность определения функционального назначения объекта, процесса или явления (иногда на определенный промежуток времени).

2. Четкость и однозначность общей архитектуры объекта процесса или явления.

3. Простота внутренней организации объекта, процесса или явления в целом, его составных частей и взаимосвязи между ними.

4. Стандартность и унифицированность внутренней структуры в целом и его отдельных элементов или их составляющих частей и взаимосвязей между ними.

5. Простота изучения структур и содержания элементов любой их совокупности и взаимосвязей между элементами.

6. Модульность, т.е. автономная организация элементов, позволяющая стандартными способами объединять элементы в сложные структуры, а также заменять любые отдельные элементы или их совокупности.

7. Гибкость, т.е. возможность расширения и реорганизации элементов и их частей без изменения или несущественными изменениями других элементов.

8. Доступность для изучения элементов и их частей специалистами (инперсонификация).

Структуризация (упорядочение) основных процессов технологии организационного управления является не только этапом разработки технологии управления в целом, но и сама по себе позволяет в значительной степени повысить эффективность управления за счет рационализации и единой организации управления труда независимо от степени использования в управлении средств автоматизации.

Поэтому под структурированной технологией организационного управления будем понимать управляемую совокупность приемов, правил и методов осуществления всех процессов управления.

А к основным критериям построениям и рационализации технологииуправления относятся:

а) выполнение всех процедур управления в полном объеме, своевременно и в строгом соответствии с обоснованными решениями;

б) максимально эффективное информационное обеспечение всего процесса управле- ния;

в) максимальная автоматизация рутинных, нетворческих процедур технологии управления и информационного обеспечения.

Поэтому рационализацию технологии управления в самом общем виде можно предс- тавить последовательностью следующих действий:

1. Определение совокупности процедур собственно управления, подлежащих осуществлению в соответствующем интервале времени;

2. Определение перечня и содержания информации, необходимой для осуществления процедур управления в данном интервале времени;

З. Организация подготовки необходимой информации;

4. Организация и обеспечение осуществления процедур управления

Следовательно, как уже было отмечено, что структуризация процессов позволяет сама по себе независимо от использования средств автоматизации значительно повысить эффективность управления за счет лучшей ее организации. Поэтому функционирование системы управления в самом общем виде можно представить как разработку планов функционирования управляемых объектов и их реализацию.

Чтобы в итоге эти планы были эффективны, необходимо сформулировать требования к системе управления как объекту исследования.

10.5. Требования к системе управления как объекту исследования

Основные требования, предъявляемые к системам управления, по которым можно судить о степени организованности систем следующие:

1. детерминированность элементов (т.е. объективная закономерность взаимосвязи между элементами);

2. динамичность системы;

3. наличие в системе управляющего параметра (элемента);

4. наличие в системе контролирующего параметра (элемента);

5. наличие в системе каналов (по крайней мере, одного) прямой и обратной связи (это одно из основных требований к системе).

Соблюдение этих требований должно обеспечивать условия эффективного уровня функционирования органов управления.

Рассмотрим подробно эти пять требований.

При первом требовании в системах управления"детерминированность" проявляется в организации взаимодействия подразделений органов управления, при которой деятельность одного элемента управления, например, отдела сказывается на других элементах системы. Если на предприятии есть отдел, действия которого не влияют на другие подразделения, то такой отдел является лишним в системе управления, т.е. нет взаимосвязи с другими подразделениями.

Вторым требованием является «динамичность», т.е. способность органа управления любого уровня перестраиваться, приспосабливаться под воздействием внешних и внутренних возмущений, т.е. к изменившимся условиям.

Любые воздействия внешней среды оказывают возмущающее действие на систему в целом, стремясь нарушить ее прежнее состояние. В самой системе также могут появиться возмущения, которые стремятся разрушить ее «изнутри». Например, в организации нет достаточного количества квалифицированных кадров, отсутствует по каким-то причинам ряд ответственных работников, плохие условия работы, плохой психологический климат в коллективе и т.д.

К внешним возмущениям следует отнести документы вышестоящих организаций (указы, приказы, распоряжения и т.п.), изменения ситуаций на рынке, экономические и политические факторы.

Под воздействием таких внешних и внутренних возмущений орган управления любого уровня вынужден перестраиваться, приспосабливаться к изменившимся условиям.

С целью обеспечения быстрого перестроения системы в условиях изменения среды в системе управления должен быть элемент, фиксирующий факт появления возмущения. Система должна обладать минимально допустимой инерционностью, чтобы своевременно принимать управленческие решения. Также в системе управления должен быть элемент, фиксирующий факт упорядочения состояния системы в соответствии с изменившимися условиями. В соответствии с этими требованиями в структуре управления предприятием должен быть отдел совершенствования структуры управления.

Третье требование. Под управляющимпараметром в системе управления следует понимать такой ее параметр или элемент, посредством которого можно управлять деятельностью всей системы и ее отдельными элементами (например, руководитель предприятия или подразделения).

Он отвечает за деятельность подчиненного ему подразделения, воспринимает управляющие сигналы руководства предприятия, организует их выполнение, несет ответственность за выполнение всех управленческих решений.

При этом руководитель должен обладать необходимой компетенцией, а условия работы и позволять ему выполнить данное поручение. Следовательно, условие наличия управляющего параметра (элемента) можно считать выполненным, если внешнюю информацию воспринимает руководитель предприятия, который организует работы по выполнению поручения, распределяет задания в соответствии с должностными инструкциями при наличии условий, необходимых для выполнения поручений.

Несоблюдение данного требования, т.е. наличия управляющего параметра (элемента), приводит к принятию субъективных управленческих решений и так называемому волевому стилю руководства. Это требует четкой организационной структуры и распределения обязанностей между руководителями подразделений, наличия должностных инструкций и прочих документов, регламентирующих их деятельность.

Следующим, четвертым требованием, предъявленным к системам управления, следует назвать «наличие в ней контролирующегопараметра», т.е. такого параметра (элемента), который постоянно контролировал бы состояние субъекта управления, не оказывая при этом на него (или на любой элемент системы) управляющего воздействия. Функцию контролирующего параметра (элемента) в системе управления, как правило, реализует один из сотрудников аппарата управления, т.е. один из заместителей руководителя предприятия. Например, подготовку плана важнейших работ курирует главный специалист по экономике. На уровне министерства такие функции осуществляют кураторы по определенным проблемам в управлениях. Любые управленческие решения в системе управления должны проходить только через элемент, выполняющий функции контролирующего параметра.

Пятое требование, т.е. «наличие в системе каналов прямых и обратных связей». Это одно из основных требований.

Как мы знаем, при осуществлении любой функции управления должна обеспечиваться прямая и обратная связь. В случае координации обратная связь играет особую роль. Именно та информация, которая получена поканалам обратной связи, позволяет осуществить регулирование хода, например, технологических процессов. Или, если по какому-то направлению защиты (организационно-правовому, инженерно-техническому, программному) выявлено отставание или некачественное выполнение требуемого объема задач, необходимо срочно разработать и реализовать систему мер, направленных на устранение данной ситуации. В этом случае эффективное осуществление функции руководства в конечном итоге влияет на достижение целей комплексной системы защиты и обеспечиваетсоблюдение принципа непрерывности.

10.6. Основы методологии принятия управленческого решения

Суть управления состоит в принятии решения. При анализе любой проблемы необходимо всегда рассматривать несколько путей, ведущих к цели. А чтобы понять, какой из путей лучше, надо определить критерий эффективности.

Итак, для принятия решения по созданию системы любого назначения необходимо иметь четкое и однозначное понимание того, где проходит граница между системой и внешней средой; какие цели ставятся перед системой; как оценивать эффективность будущей системы; какие затраты ресурсов необходимы на всех этапах жизненного цикла будущей системы.

Поиск и разработка вариантов зависят от имеющихся ограничений на время, цену и ресурсы. Кроме этого, поиск вариантов ограничивается багажом знаний проектировщиков системы и тем фактом, что для выбора наилучшего варианта можно сравнить лишь небольшое число вариантов.

Предлагаемые системы всегда должны сравниваться на основе системного подхода, т. е. должны быть рассмотрены все те участники, которые влияют на проектную систему или испытывают ее влияние.

Для того чтобы оценить преимущество одного варианта перед другим, необходимо выявить результаты и следствия всех допустимых вариантов; желательно учитывать при этом вероятности появления определенных ситуаций(задач) в работе системы.

Лицо, принимающее решение (ЛПР), должно обладать определенным уровнем знаний и опытом, которые помогают ему при рассмотрении имеющихся вариантов. Варианты — это различные стратегии или технические решения, при помощи которых могут быть реализованы имеющиеся намерения. Каждый вариант ведет к одному или нескольким заранее известным результатам.

Понятие «решение» весьма многозначно. Чаще всего под решением подразумевают либо процесс выбора наилучшего (эффективного, оптимального) варианта действий из многих возможных, либо же сам результат этого выбора. Этот результат обычно фиксируется в письменной или устной форме и включает в себя план (программу) действий по достижению поставленной цели.

Таким образом, под управленческим решением (УР) понимается:

1) поиск и нахождение наиболее рационального и оптимального варианта действий руководителя;

2) конечный результат постановки и выработки УР.

Поведение человека, принимающего решение, и само решение во многом зависят от структуры и объективных характеристик ситуации, применительно к которой он принимает решение. Ситуации являются частью окружающей среды, в которой действует человек, и для их анализа требуется предварительное знание характеристик этой среды.

В окружающей среде, как правило, происходят события, которые нельзя предсказать с полной определенностью. Поэтому степень неопределенности с точки зрения принятия решения является весьма важной характеристикой среды. Кроме того, среде присуща определенная степень динамики, так как с течением времени она подвергается модификации и преобразованию. Наконец, среда характеризуется определенной степенью сложности. Причем среда человеческой деятельности и поведения тем сложнее, чем больше переменных факторов в ней содержится.

Можно назвать и другие важные характеристики среды, например степень конфликтности интересов лиц, действующих в ней. Однако в рамках данного рассмотрения можно ограничиться тремя названными выше измерениями.

Поэтому среду (как природную, так и общественную) представим в виде трехмерного пространства, измерениями которого являются неопределенность, динамика и сложность. Это представлено на рис. 10.5. где Х— степень неопределенности; Y— степень динамики; Z— степень сложности.

В зависимости от характеристик среды можно провести классификацию ситуаций и соответствующих им задач, требующих принятия решения.

Каждая ситуация представляется как точка в пространстве среды, то есть как упорядоченная тройка чисел X, Y и Z. Если рассматривать граничные значения, можно предположить, что каждое из них может принимать значения 0 или 1 (низкая или высокая степень качества). Это значит, что каждой ситуации соответствует своя вершина куба в системе координат X, Y,Z. Следовательно, возможны в принципе восемь типов пограничных ситуаций (по числу вершин куба), представляющих специфический интерес с точки зрения методики принятия решений.

Рис. 10.5. Среда как трехмерное пространство с размещенными в нем видами ситуаций

Вершины 1, 2, 3 и 4 (рис.10.5.) - это детерминированные ситуации, в которых решения принимаются в условиях определенности и которые поэтому часто называют нерискованными ситуациями (задачами). В этих ситуациях каждая альтернатива приводит к однозначно определенным последствиям. Детерминированные ситуации могут быть простыми и статическими (вершина 1), сложными и статическими (вершина 2), простыми и динамическими (вершина 3) или сложными и динамическими (вершина 4).

Вершины 5, 6, 7 и 8 (рис.10.5.) — это рискованные ситуации. В рискованных (вероятностных) ситуациях лицо, принимающее решения, не знает наверняка, какой результат достигнут после принятия того или иного решения. Рискованные ситуации могут быть простыми и статическими (вершина 5), сложными и статическими (вершина 6), простыми и динамическими (вершина 7) или сложными и динамическими (вершина 8).

Таким образом, ситуации(задачи) могут быть классифицированы, как:

1) стандартные проблемы, имеющие четкую структуру, причинно-следственные связи, аналоги;

2) хорошо структурированные проблемы, которые могут быть расчленены на подпроблемы, блоки вопросов, для каждого из которых обычно имеется набор решений;

3) слабо структурированные проблемы, в которых далеко не всегда просматриваются причинно-следственные связи; сами проблемы не очерчиваются достаточно четко:

4) неструктурированные проблемы, которые обычно не имеют аналогов, причинно-следственные связи не всегда ясны, способы решения не определены. Классический пример — катастрофы природные и техногенные с большими социальными последствиями.

К методам анализа и решения проблем могут быть отнесены:

1) инструкции и руководства, четко и определенно обосновывающие последователь- ность анализа системы и решение проблем;

2) экономико-математические модели и методы, формализующие взаимосвязи процес- сов и явлений;

3) системный анализ, позволяющий выявить направления взаимодействия подсистем, стратегию их развития;

4) экспертные оценки и суждения, позволяющие авторитетным специалистам оценить удельные веса событий, явлений, факторов, прогнозы развития систем и подсистем, соотношение детерминированных и вероятностных факторов.

Метод экспертных оценок— это метод организации работы со специалистами-экспертами и обработки мнений экспертов, выраженных в количественной и/или качественной форме с целью подготовки информации для принятия решений.

Выделяют два основных типа процедур экспертного опроса;

1) процедура с личными контактами между экспертами;

2) многоуровневые (итерационные) процедуры без личных контактов с контролиру- емой обратной связью.

К первому относится— дискуссия за круглым столом — мозговой штурм.

Второй - метод «Делфи». Эксперты изолированы друг от друга, но процедура реализуется за несколько туров. Между турами обратная связь — в виде мнений других экспертов.

Процесс принятия и реализации решений представляется как последовательная смена взаимоувязанных стадий, этапов различных действий руководителя, поиск истины и анализ заблуждений, путей движений к цели и средств ее достижения.

В таблице 10.1. (стр. 108) представлены соотношение используемых методов решения в зависимости от сложности задачи.

10.7. Общие требования к принятию управленческого решения

К управленческому решению предъявляется ряд общих требований:

1) всесторонняя обоснованность решения;

2) своевременность;

3) необходимая полнота содержания управленческих решений;

4) полномочность (властность);

5) согласованность с принятыми ранее решениями.

Всесторонняя обоснованность решения означает, что его необходимо принимать, используя максимально полную и достоверную информацию. Оно должно охватывать весь спектр вопросов, всю полноту потребностей управляемой системы. Для этого необходимо знание особенностей, путей развития управляемой, управляющей систем и окружающей среды.

Таблица 10.1.