Информационная безопасность и защита информации - Мельников В.П.
ISBN 978-5-7695-4884-0
Скачать (прямая ссылка):
• определяется степень участия персонала, функциональных служб, специалистов и вспомогательных работников объекта автоматизации в обработке информации, характер их взаимодействия между собой и со службой безопасности;
• определяются мероприятия по обеспечению режима секретности на стадии разработки.
Среди организационных мероприятий по обеспечению безопасности переработки информации важное место занимает охрана объекта, на котором расположена защищаемая АИТ (территория здания, помещения, хранилища информационных носителей). При этом устанавливаются соответствующие посты охраны, технические средства, предотвращающие или существенно затрудняющие хищение средств вычислительной техники, информационных носителей, а также исключающие несанкционированный доступ к АИТ и линиям связи.
Функционирование системы защиты переработки информации от несанкционированного доступа как комплекса программно-технических средств и организационных (процедурных) решений предусматривает:
• учет, хранение и выдачу пользователям информационных носителей, паролей, ключей;
• ведение служебной информации (генерация паролей, ключей, сопровождение правил разграничения доступа);
• оперативный контроль за функционированием систем защиты секретной информации;
• контроль соответствия общесистемной программной среды эталону;
• приемку включаемых в АИТ новых программных средств;
• контроль за ходом технологического процесса обработки финансово-кредитной информации путем регистрации анализа действий пользователей;
• сигнализацию опасных событий и т.д.
Следует отметить, что без надлежащей организационной поддержки программно-технических средств защиты переработки информации от несанкционированного доступа и точного выполнения предусмотренных проектной документацией процедур в должной мере не решить проблему обеспечения безопасности переработки информации, какими бы совершенными эти программно-технические средства не были.
109
Системы защиты процессов переработки информации в АИТ основываются на следующих принципах:
• комплексный подход к построению системы защиты при ведущей роли организационных мероприятий, означающий оптимальное сочетание программно-аппаратных средств и организационных мер защиты и подтвержденный практикой создания отечественных и зарубежных систем защиты;
• разделение и минимизация полномочий по доступу к обрабатываемой информации и процедурам обработки, т.е. предоставление пользователям минимума строго определенных полномочий, достаточных для успешного выполнения ими своих служебных обязанностей, с точки зрения автоматизированной обработки доступной им конфиденциальной информации;
• полнота контроля и регистрации попыток несанкционированного доступа, т. е. необходимость точного установления идентичности каждого пользователя и протоколирования его действий для проведения возможного расследования, а также невозможность совершения любой операции обработки информации в АИТ без ее предварительной регистрации;
• обеспечение надежности системы защиты, т.е. невозможность снижения уровня надежности при возникновении в системе сбоев, отказов, преднамеренных действий нарушителя или непреднамеренных ошибок пользователей и обслуживающего персонала;
• обеспечение контроля за функционированием системы защиты, т.е. создание средств и методов контроля работоспособности механизмов защиты;
• «прозрачность» системы защиты процессов переработки информации для общего, прикладного программного обеспечения и пользователей АИТ;
• экономическая целесообразность использования системы защиты, выражающаяся в том, что стоимость разработки и эксплуатации систем защиты обработки информации должна быть меньше стоимости возможного ущерба, наносимого объекту в случае разработки и эксплуатации АИТ без системы защиты.
Все методы и средства обеспечения безопасности процессов переработки информации представлены на рис. 3.3. Они могут быть формальными и неформальными.
Рассмотрим основное содержание представленных средств и методов защиты процессов переработки информации, которые составляют основу механизмов защиты.
Препятствие — метод физического преграждения пути злоумышленнику к защищаемой информации (к аппаратуре, носителям информации и т.д.).
Управление доступом — метод защиты процессов переработки информации регулированием использования всех ресурсов компьютерной информационной системы (элементов баз данных,
110
Методы обеспечения безопасности процессов переработки информации
Препятствия
I
Маскировка
Регламентация
Побуждение
Управление доступом
Принуждение
Средства обеспечения безопасности процессов переработки информации
Формальные
г- Технические
Программные
Физические
Аппаратные
Неформальные
Организационные —
Законодательные —
Морально-этические
Рис. 3.3. Методы (я) и средства (б) обеспечения безопасности процессов переработки информации
программных и технических средств). Управление доступом включает в себя следующие функции защиты:
• идентификация пользователей, персонала и ресурсов системы (присвоение каждому объекту персонального идентификатора);
