6. Методология определения требований к защите информации. Данный компонент унифицированной концепции защиты информации играет повышенную роль, поскольку в решающей степени предопределяет подходы, средства и методы практической организации защиты. В классической теории систем предполагается, что требования к любым параметра создаваемых систем определяется в количественном выражении. Однако, в силу повышенной неопределенности процессов защиты информации, предложить строго формальную и адекватную методику определения требуемого уровня защиты не удается (по крайней мере в настоящее время). Таким образом, приходится довольствоваться эвристическими и теоретико-эмпирическими методами. À поскольку требованиями к защите в решающе степени предопределяется построение соответствующей системы защиты и технологии ее функционирования, то в целях повышения адекватности решения рассматриваемой задачи решать ее оказалось целесообразным во взаимосвязи с задачей оптимизации и стандартизации систем защиты информации.
7. Система концептуальных решений по защите информации. Под концептуальным понимается такое решение, которое создает объективные предпосылки для формирования инструментальных средств, необходимых и достаточных для эффективного решения всей совокупности соответствующих задач на регулярной основе и в соответствии с требованиями к их решению, которые, в свою очередь, определяются целями функционирования соответствующей системы. Отсюда следует, что концептуальные решения должны быть научно обоснованными и оптимальными с точки зрения сочетания объективных требований к решению соответствующих задач и объективных предпосылок их решения. А отсюда, в свою очередь, следует, что должны быть механизмы оценки оптимальности решения задач на основе концептуальных решений. Приведенные положения целиком и полностью относятся также к принятию концептуальных решений по защите информации.
Из теории управления известно, что принятие решений относится к числу слабостурктуризованных задач, поэтому методики их решения в значительной мере основываются на эвристических методах. Особенно важна доля эвристической составляющей в методиках принятия решений в условиях неопределенности.
Как следует из рис. 4, указанные концептуальные меры свелись к введению взаимосвязанной цепочки понятий: функции защиты – задачи защиты – средства защиты – система защиты, причем доказано, что эти решения удовлетворяют всем приведенным выше требованиям.
8. Система требований к концептуальным решениям. Содержание данного компонента концепции защиты заключается в обосновании таких требований к каждому из концептуальных решений, которые обеспечивали бы достижение целей их принятия наиболее рациональным образом. Эти требования приводятся и обосновываются в перечисленных выше главах при рассмотрении соответствующего решения.
9. Условия, способствующие повышению эффективности защиты информации. Основное назначение и содержание данного компонента концепции защиты информации заключается том, чтобы сформировать и обосновать перечень и содержание тех условий, соблюдение которых будет существенно способствовать повышению уровня защиты при расходовании выделенных для этих целей средств или расходования возможно меньшего объема средств для обеспечения требуемого уровня защиты. В теории защиты информации доказано, во-первых, что эти условия образуют достаточно представительную систему, а во-вторых, что подавляющая часть этих условий относится к построению, организации и обеспечению функционирования АСОД. Иными словами, указанная система условий выступает в качестве обратной связи от концептуальных решений по защите информации к ситуации, порождающей саму проблему защиты, т. е. к компоненту № 1 рассматриваемой здесь концепции защиты.
Отсюда следует, что унифицированная концепция защиты представляет собою кибернетическую систему, что и создает объективные предпосылки для оптимального решения задач защиты.
Лекция 8
Требования руководящих документов по обеспечению информационной безопасности и нсд
Учебные вопросы:
1. Основные положения по обеспечению ИБ
2. Показатели защищенности средств вычислительной техники (СВТ)
3. Классы защищенности автоматизированных систем
Введение
Эффективность процесса управления любой сферой деятельности зависит от оперативности принимаемого решения и его соответствия сложившейся обстановке. Автоматизирование процесса управления является наиболее перспективным направлением повышения качества принимаемых решений, так как:
• разрешается противоречие между необходимостью оперативной и правильной реакции на различные ситуации функционирования управляемого объекта и еще существующими неавтоматизированными способами обработки и подготовки решения;
• частично устраняется субъективизм, вносимый принимающими решение должностными лицами;
• интенсивное развитие информационных технологий предоставляет широкие возможности по совершенствованию процессов управления как на государственном, так и всех других уровнях.
Результатом развития информационных технологий стало повсеместное использование вычислительной техники и ИВС для решения широкого круга задач обработки и передачи информации.
С развитием информационных технологий увеличивается и опасность несанкционированного вмешательства в работу как государственных, так и коммерческих информационных систем, которая в условиях современной российской действительности усугубляется целым рядом дополнительных негативных факторов. Основными факторами, осложняющими предотвращение и нейтрализацию угроз информационной безопасности являются:
1) широкое применение зарубежных средств вычислительной и коммуникационной техники, вызванное объективной невозможностью отечественной промышленности удовлетворить спрос на современное компьютерное и связное оборудование;
2) бесконтрольное и нескоординированное создание и развитие государственными и коммерческими структурами выделенных и корпоративных телекоммуникационных систем, влекущее не только невозможность создания единого информационного пространства из-за разнотипности используемого оборудования, но и невозможность обеспечения надежной защиты информации из-за распыления необходимых для этого сил и средств и их неподконтрольности;
3) инвестиционная политика в области телекоммуникаций проводится без тщательного анализа ее последствий в части обеспечения информационной безопасности и надежности функционирования сетей связи;
4) незаконное распространение на российском рынке несертифицированных отечественных и импортных программно-аппаратных средств защиты информации;
5) недостаточная отработка вопросов сопряжения компьютерных сетей органов государственной власти, учреждений и организаций Российской Федерации с международными информационными сетями.
Дополнительно к вышеперечисленным факторам необходимо добавить и факторы, обусловленные общим состоянием научно-технического прогресса в области вычислительной техники, такие как:
• увеличение мощности ЭВМ и упрощение работы с ними, что приводит к понижению квалификации пользователя;
• упрощение техники программирования и широкая степень доступности средств создания программного обеспечения (ПО), что немаловажно для создания программных средств, могущих оказывать деструктивное воздействие на автоматизированные системы обработки информации и обрабатываемую ими информацию;
• широкая доступность различного (в том числе и «пиратского») как отечественного, так и импортного программного обеспечения, которое потенциально может нести в себе разнообразные деструктивные функции;
• широкое развитие локальных и глобальных ВС, способствующее быстрому распространению РПС.
В связи с перечисленными факторами, вопросы информационной безопасности и защиты информации в автоматизированных системах обработки информации (АСОИ) в настоящее время становятся все более актуальными.
Однако, безопасность (в подавляющем большинстве случаев) является качественной характеристикой системы: ее трудно измерить в каких-либо единицах; у различных групп специалистов, занимающихся проблемами безопасности может быть свой взгляд на безопасность и средства ее достижения. Для согласования всех точек зрения на проблему создания защищенных систем разрабатываются стандарты информационной безопасности. Это документы, регламентирующие основные понятия и концепции информационной безопасности на государственном или межгосударственном уровне, определяющие понятие "защищенная система" посредством стандартизации требований и критериев безопасности, образующих шкалу оценки степени защищенности ВС.