Краткое описание методики создания систем защиты информации

Насколько важна любая информация, относящаяся к бизнесу понятно многим. Пользуясь собранной и обработанной информацией, можно успешно конкурировать на своем рынке и захватывать новые. Информация помогает в поиске партнеров и способствует четкому определению позиции по отношению к ним.

Говоря проще: кто владеет достоверной и полной информацией — тот владеет ситуацией, а кто владеет ситуацией — тот способен управлять ею в своих интересах, а кто способен управлять — тот способен побеждать. Вот простая формула успеха любой деятельности.

Нет необходимости объяснять, что целостность, достоверность и доступность информации — важные составные успеха деятельности любой организации. Под информацией можно понимать: и Ваши конфиденци альные данные на бумаге, находящиеся в кабинете на столе или в сейфе; и цифровые данные, хранимые в компьютере, записанные на дискете или передаваемые по каналам связи; и Ваши разговоры по телефону или просто в помещении. Доступ в помещение тоже является доступом к Вашей информации. В качестве информации могут выступать и Ваши деньги, драгоценности, ценные бумаги. Даже Вы сами являетесь объектом информации, иногда наиболее ценной. И все это необходимо защищать. Защищать комплексно.

Системный подход обеспечивает адекватную многоуровневую защиту информации, рассматриваемую как комплекс организационно-правовых и технических мероприятий. Кроме того, при реализации механизмов защиты должны использоваться передовые, научно обоснованные технологии защиты, обеспечивающие требуемый уровень безопасности, приемлемость для пользователей и возможность наращивания и модификации СЗИ в дальнейшем.

Управление безопасностью электронных документов охватывает широкий круг вопросов, в число которых входит: обеспечение целостности, конфиденциальности и аутентичности информации; разграничение прав пользователей по доступу к ресурсам автоматизированной системы; защита автоматизированной системы и ее элементов от несанкционированного доступа; обеспечение юридической значимости электронных документов.

К информации, требующей защиты, можно отнести конфиденциальную, управленческую, научно-техни ческую, торговую и прочую информацию, представляющую ценность для предприятия в достижении преимущества над конкурентами. Утечка такой информации может нанести ущерб ее владельцам в виде прямых убытков и других упущений.

Информация, как совокупность знаний о фактических данных и зависимостях между ними, стала стратегическим ресурсом; она — основа для выработки любого решения. Поэтому защита информации, будучи сложной, наукоемкой и многогранной проблемой по сути, в условиях внедрения современных информационных технологий, создания распределенных вычислительных систем и сетей связи, приобретает особую остроту.

Существует мнение, что компьютерные базы персональных данных создают реальную угрозу для негласного вторжения в частную жизнь. Такая озабоченность имеет под собой почву, поскольку различные файлы данных заводятся на каждого гражданина и ведутся на протяжении всей его жизни. Результаты медицинских обследований; прохождение обучения в колледже и вузах; аресты и приводы в полицию; суммы, взятые под залог; купля-продажа товаров и имущества; списки книг, взятых в библиотеке; членство или поддержка общественно -политических, религиозных и других организаций — вот далеко не полный перечень сведений, которые оседают в банках данных различных организаций, служб и ведомств. Вся эта информация, попав в чужие руки, в определенных условиях может быть использована не по назначению.

Не секрет, что в настоящее время одним из основных средств обеспечения государством, фирмой либо другой организацией своих интересов на международной арене становится завоевание им информационного пространства путем развития информационных технологий и создания на их основе информационных систем (ИС), определяющих доступ к достижениям в различных областях науки, техники, экономики и т.д. Причем информационные системы более высокого уровня развития, как правило, получают возможность управлять системами с относительно низким уровнем информатизации, направляя их деятельность в своих интересах и постоянно контролируя.

В ИС, создаваемых в органах государственной власти и в коммерческих структурах циркулирует информация, содержащая секретные сведения о достигнутом потенциале в области экономики, обороны, науки и техники, конфиденциальные сведения об управленческой, хозяйственной, коммерческой, финансовой и иной деятельности. Техническими средствами освоения информационных ресурсов выступают вычислительные системы с их разнообразным периферийным оборудованием и сети связи.

Количество абонентов, пользующихся услугами таких систем неуклонно возрастает. Стало возможным взаимное сопряжение локальных сетей при обмене информацией. Такие взаимосвязанные сети с подключен ными к ним удаленными абонентскими терминальными устройствами образуют сложные информационно -вычислительные сети, распределенные на большой территории. Очевидно, что в этих системах исключить несанкционированный доступ к информации лишь организационными мерами практически невозможно.

Современные вычислительные системы могут работать в мультипрограммном режиме (одновременно решается несколько задач), в мультипроцессорном режиме (создаются условия для решения программы задачи несколькими параллельно работающими процессорами), а также в режиме разделения времени, когда к информационным ресурсам одновременно может обращаться большое количество абонентов. При таких режимах работы в памяти компьютеров одновременно могут храниться программы и массивы данных различных пользователей, с ПК или серверами одновременно будет поддерживать связь значительное число абонентов. В этом случае необходимо решение как проблем физической защиты информации, так и защита ее от пользователей несанкционированно вклинивающихся в вычислительный процесс.

В то же время, циркулирующая в территориально распределенных системах и сетях информация становится уязвимой в связи с возрастанием многообразия угроз несанкционированного ее получения и использования.

С развитием рыночных отношений, с появлением частных предприятий и перестройкой общества в целом перед предпринимателем возникли совершенно новые проблемы, связанные не только с обеспечением личной безопасности, но и с безопасностью информации. Тем более, что нет четкой границы между информацией, доступной всем и коммерческой тайной.

Для обеспечения информационной безопасности необходимо во-первых, понять, насколько важна данная проблема, а во-вторых, выделить основные направления и способы ее решения. Необходимо помнить, что под защитой информации понимают защиту не только компьютерной информации, но и множество других аспектов, например: бухгалтерскую отчетность фирмы, количество денег на счетах, деловые партнеры и поставщики, реальные обороты фирмы, проведение переговоров и заключаемые контракты и многое другое.

А если посмотреть на эту проблему не с коммерческой, а с государственной точки зрения, то становится очевидным, что ни одна сфера жизни современного общества не может функционировать без развитой информационной структуры. Национальный информационный ресурс становится сегодня одной из главных основ экономической и военной мощи любого государства.

Информация, проникающая во все сферы деятельности государства, приобретает конкретные политичес кое, материальное и стоимостное выражения. Проблема безопасности информации с точки зрения государственных интересов в последнее время приобрела особую актуальность и рассматривается как одна из приоритетных государственных задач, как важный элемент национальной безопасности.

Важнейший ресурс современного общества — информация одновременно несет в себе и огромную угрозу для него, связанную с внутренней спецификой этого ресурса. Простота и большое число различных способов доступа и модификации информации, значительное количество квалифицированных специалистов, широкое использование в общественном производстве специальных технических средств позволяют злоумышленнику практи-чески в любой момент и в любом месте осуществлять действия, представляющие угрозу информаци онной безопасности как в локальном, так и в глобальном масштабах.

Происходящее в последнее время распространение децентрализации и распределенной обработки данных выдвинуло проблемы обеспечения безопасности информации в число важнейших для национальной экономики. Решение проблемы обеспечения информационной безопасности предполагает комплекс мероприятий и в первую очередь такие действия государства, как разработка системы классификации и документирования информации и способов защиты, регулирование способов доступа к данным и установление ответственнос ти за нарушения информационной безопасности.

Острая актуальность названной проблемы обусловлена также рядом объективных факторов, играющих существенную роль в жизни современного общества. Среди этих факторов особо следует выделить: неуклонное повышение роли информации в обеспечении жизнедеятельности общества и государства, все усиливающая ся интенсификация процессов информатизации различных сфер деятельности, приобретающая устойчивость тенденция органического слияния традиционных (бумажных) и автоматизированных (безбумажных) технологий обработки информации, резкая децентрализация использования современных средств электронно-вычислительной техники и др.

При общем положитель ном влиянии, объективной целесообразности и неизбежности перечисленные обстоятельства порождают и ряд негативных явлений, одно из которых заключается в резком повышении уязвимости накапливаемой, хранимой и обрабатываемой информации. Причем указанные явления могут носить как случайный, так и преднамеренный характер, в том числе противоправные злоумышленные, диверсионные и другие действия

Информационные системы становятся все более уязвимыми...

Вся указанная совокупность характерных для информационных процессов условий и факторов, создающих опасность жизненно важным интересам личности, общества и государства (выступающим в качестве собственников, владельцев или пользователей информации) понимается как угрозы безопасности информации.

Широкомасштабное использование вычислительной техники и телекоммуникационных систем в рамках территориально распределенной сети, переход на этой основе к безбумажной технологии, увеличение объемов обрабатываемой информации, расширение круга пользователей приводят к качественно новым возможнос тям несанкционированного доступа к ресурсам и данным информационных систем, к их высокой уязвимости.

Управление безопасностью электронных документов охватывает широкий круг вопросов, в число которых входит: обеспечение целостности, конфиденциальности и аутентичности информации, разграничение прав пользователей по доступу к ресурсам автоматизированной системы, защита автоматизированной системы и ее элементов от несанкционированного доступа, обеспечение юридической значимости электронных документов.

Прогресс в области развития информационных технологий стимулировал развитие средств обеспечения безопасности, что потребовало пересмотра существующих подходов к проблемам создания систем защиты информации.

В предлагаемой книге автор пытается ответить на целый ряд вопросов, связанных с обеспечением информационной безопасности, а также стремится сформировать целостное представление о путях создания защищенных информационных систем. Существующие публикации на эту тему в основном ограничиваются перечислением угроз и возможностей конкретных средств защиты информации. В книге представлен полный спектр вопросов о практическом создании защищенных информационных систем.

Построение таких систем не ограничивается выбором тех или иных аппаратных и программных средств защиты. Необходимо владеть определенными теоретическими знаниями и практическими навыками. Для этого необходимо, во-первых, понять, что представляет собой защищенная система, какие к ней предъявляются требования, рассмотреть существующий опыт создания подобных систем и причины нарушения их безопасности и, во-вторых, определить, какие функции защиты и каким образом должны быть реализованы, и как они противодействуют угрозам и устраняют причины нарушения безопасности. Разумеется, данная публикация не претендует на окончательное разрешение всех проблем информационной безопасности, но, как надеется ее автор, прояснит ряд вопросов из этой области знаний и позволит решить многие практические задачи.

В предлагаемых материалах в обобщенном виде изложены причины нарушения безопасности компьютер ных систем, приведен перечень моделей безопасности, адекватных современному уровню развития программных и аппаратных средств, а также рассмотрены методы и средства внедрения механизмов защиты в существующие системы с возможностью гибкого управления безопасностью в зависимости от выдвигаемых требований, допустимого риска и оптимального расхода ресурсов.

Нам сверху видно все...

Как известно, для того чтобы решить проблему надо быть выше нее и немного в стороне.

Большой объем имеющихся публикаций вряд ли может сформировать четкое представление о том как же приступить к созданию комплексной системы защиты информации для конкретных информационных систем, с учетом присущих им особенностей и условий функционирования.

Итак попробуем взглянуть на проблему сверху и охватить все ее аспекты.

рис. 1. ОСНОВЫ

Известно, что ОСНОВНОЙ или составными частями практически любой СИСТЕМЫ (в том числе и системы защиты информации) являются:

1. Нормативно-правовая и научная база;
2. Структура и задачи органов;
3. Организационные меры и методы;
4. Программно-технические способы и средства.

Представим ОСНОВЫ в виде куба, внутри которого и находятся все вопросы защиты информации.

Далее, руководствуясь принципом «разделяй и властвуй», выделим основные НАПРАВЛЕНИЯ в общей проблеме обеспечения безопасности информационных технологий (они представлены ниже).

Напомним их:

1. Защита объектов информационных систем;
2. Защита процессов, процедур и программ обработки информации;
3. Защита каналов связи;
4. Подавление побочных электромагнитных излучений;
5. Управление системой защиты;

Но поскольку каждое из этих направлений базируется на перечисленных выше ОСНОВАХ, то грани куба составляют ОСНОВЫ и НАПРАВЛЕНИЯ неразрывно связанные друг с другом. Но это еще не все... Предложена МЕТОДИКА (последовательность шагов) построения СЗИ (рисунок 4), которая в равной степени применима для всех НАПРАВЛЕНИЙ и предполагает следующую последователь ность действий: Определение информации, подлежащей защите; Выявление полного множество потенциально возможных угроз и каналов утечки информации; Проведение оценки уязвимости и рисков информации при имеющемся множестве угроз и каналов утечки; Определение требований к системе защиты; Осуществление выбора средств защиты информации и их характеристик; Внедрение и организация использования выбранных мер, способов и средств защиты. Осуществление контроля целостности и управление системой защиты.

Указанная последовательность действий осуществляется непрерывно по замкнутому циклу, с проведени ем соответствующего анализа состояния СЗИ и уточнением требований к ней после каждого шага.

Будем проще...

Рассмотрим еще один способ представления процесса создания системы защиты информации

Непрерывный замкнутый цикл условно представлен в виде кольцевой железной дороги. Четыре станции — это ОСНОВЫ системы защиты. На переднем плане ключевой пункт — КОНТРОЛЬ, на котором осуществляется анализ состояния СЗИ и уточнение требований к ней.

Пять железнодорожных составов подразумевают пять НАПРАВЛЕНИЙ проблем обеспечения безопасности информаци онных технологий. Вагоны представляют собой содержание МЕТОДИКИ построения СЗИ для каждого из НАПРАВЛЕНИЙ.

Итак, в путь!

МЕТОДИКИ для каждого из НАПРАВЛЕНИЙ последова тельно (вагон за вагоном — шаг за шагом) проходят через станции — ОСНОВЫ и прибывают на КОНТРОЛЬ для оценки эффективности проделанной работы. Высшее руководство, находящееся на боевом посту в центре кольцевой дороги, руководит процессом построения системы защиты.

После того как составы пройдут соответствующего количество кругов, может быть принято решение о завершении работ по созданию СЗИ. Однако движение после этого не прекратит ся, поскольку начнется процесс функционирования СЗИ, который потребует выполнения тех же процессов, в той же последовательности, только в более медленном ритме.