Раскройте особенности стратегии защиты информации с использованием системного подхода кратко

Обновлено: 02.07.2024

Под безопасностью информационной системы понимается защищенность системы от случайного или преднамеренного вмешательства в нормальный процесс ее функционирования, от попыток хищения (несанкционированного получения) информации, модификации или физического разрушения ее компонентов . Иначе говоря, это способность противодействовать различным возмущающим воздействиям на ИС.

Под угрозой безопасности информации понимаются события или действия, которые могут привести к искажению, несанкционированному использованию или даже к разрушению информационных ресурсов управляемой системы, а также программных и аппаратных средств .

Сегодня можно утверждать, что рождается новая современная технология - технология защиты информации в компьютерных информационных системах и в сетях передачи данных. Реализация этой технологии требует увеличивающихся расходов и усилий. Однако все это позволяет избежать значительно превосходящих потерь и ущерба, которые могут возникнуть при реальном осуществлении угроз ИС и ИТ.

вывод из строя компьютера или его операционной системы;
искажение сведений в БиД;
разрушение ПО компьютеров;
нарушение работы линий связи и т.д.

Разглашение информации ее владельцем или обладателем умышленные или неосторожные действия должностных лиц и пользователей, которым соответствующие сведения в установленном порядке были доверены по службе или по работе, приведшие к ознакомлению с ним лиц, не допущенных к этим сведениям. Возможен бесконтрольный уход конфиденциальной информации по визуально-оптическим, акустическим, электромагнитным и другим каналам.

Несанкционированный доступ - это противоправное преднамеренное овладение конфиденциальной информацией лицом, неимеющим права доступа к охраняемым сведениям.

Логические бомбы, как вытекает из названия, используются для искажения или уничтожения информации, реже с их помощью совершаются кража или мошенничество. Манипуляциями с логическими бомбами обычно занимаются чем-то недовольные служащие, собирающиеся покинуть данную организацию, но это могут быть и консультанты, служащие с определенными политическими убеждениями и т.п.

Троянский конь - программа, выполняющая в дополнение к основным, т.е. запроектированным и документированным деист действиям, дополнительные, не описанные в документации.

Вирус - программа, которая может заражать другие программы путем включения в них модифицированной копии, обладающей способностью к дальнейшему размножению.

Червь - программа, распространяющаяся через сеть и не оставляющая своей копии на магнитном носителе. Червь использует механизмы поддержки сети для определения узла, который может быть заражен. Затем с помощью тех же механизмов передает свое тело или его часть на этот узел и либо активизируется, либо ждет для этого подходящих условий.

Захватчик паролей - это программы, специально предназначенные для воровства паролей. При попытке обращения пользователя к терминалу системы на экран выводится информация, необходимая для окончания сеанса работы.

Компрометация информации (один из видов информационных инфекций). Реализуется, как правило, посредством несанкционированных изменений в базе данных, в результате чего ее потребитель вынужден либо отказаться от нее, либо предпринимать дополнительные усилия для выявления изменений и восстановления истинных сведений.

Несанкционированное использование информационных ресурсов, с одной стороны, является последствиями ее утечки и средством ее компрометации. С другой стороны, оно имеет самостоятельное значение, так как может нанести большой ущерб управляемой системе (вплоть до полного выхода ИТ из строя) или ее абонентам.

Ошибочное использование информационных ресурсов будучи санкционированным тем не менее может привести к разрушению, утечке или компрометации указанных ресурсов. Данная угроза чаще всего является следствием ошибок, имеющихся в ПО ИТ.

Несанкционированный обмен информацией между абонентами может привести к получению одним из них сведений, доступ к которым ему запрещен. Последствия - те же, что и при несанкционированном доступе.

Отказ от информации состоит в непризнании получателем или отправителем этой информации фактов ее получения или отправки. Это позволяет одной из сторон расторгать заключенные финансовые соглашения "техническим" путем, формально не отказываясь от них, нанося тем самым второй стороне значительный ущерб.

Нарушение информационного обслуживания - угроза, источником которой является сама ИТ. Задержка с предоставлением информационных ресурсов абоненту может привести к тяжелым для него последствиям. Отсутствие у пользователя своевременных данных, необходимых для принятия решения, может вызвать его нерациональные действия.

Незаконное использование привилегий. Любая защищенная система содержит средства, используемые в чрезвычайных ситуациях, или средства которые способны функционировать с нарушением существующей политики безопасности.

Под взломом системы понимают умышленное проникновение в систему, когда взломщик не имеет санкционированных параметров для входа. Способы взлома могут быть различными, и при некоторых из них происходит совпадение с ранее описанными угрозами.

Политика безопасности - представляет собой набор законов, правил и практического опыта, на основе которых строятся управление, защита и распределение конфиденциальной информации.

Системный подход к построению системы зашиты, означающий оптимальное сочетание взаимосвязанных организационных, программных, аппаратных, физических и других свойств, подтвержденных практикой создания отечественных и зарубежных систем защиты и применяемых на всех этапах технологического цикла обработки информации.
Принцип непрерывного развития системы. Этот принцип, являющийся одним из основополагающих для компьютерных информационных систем, еще более актуален для СИБ.
Разделение и минимизация полномочий по доступу к обрабатываемой информации и процедурам обработки, т.е. предоставление как пользователям, так и самим работникам ИС минимума строго определенных полномочий, достаточных для выполнения ими своих служебных обязанностей.
Полнота контроля и регистрации попыток несанкционированного доступа, т.е. необходимость точного установления идентичности каждого пользователя и протоколирования его действий для проведения возможного расследования, а также невозможность совершения любой операции обработки информации в ИТ без ее предварительной регистрации.
Обеспечение надежности системы защиты, т. е. невозможность снижения уровня надежности при возникновении в системе сбоев, отказов, преднамеренных действий взломщика или непреднамеренных ошибок пользователей и обслуживающего персонала.
Обеспечение контроля за функционированием системы защити, т.е. создание средств и методов контроля работоспособности механизмов защиты.
Обеспечение всевозможных средств борьбы с вредоносными программами.
Обеспечение экономической целесообразности использования системы защиты, что выражается в превышении возможного ущерба ИС и ИТ от реализации угроз над стоимостью разработки и эксплуатации СИБ.

На канальном уровне , ответственном за организацию взаимодействия двух смежных узлов (двухточечные звенья), могут быть использованы средства шифрования и достоверной идентификации пользователя. Однако использование и тех и других средств на этом уровне может оказаться избыточным. Необязательно производить (пере-) шифрование на каждом двухточечном звене между двумя узлами.

Под стратегией подразумевается общая, рассчитанная на перспективу руководящая установка при организации и обеспечении соответствующего вида деятельности, направленная на то, чтобы наиболее важные цели этой деятельности достигались при наиболее рациональном расходовании имеющихся ресурсов.

Для системного решения всей совокупности вопросов защиты во всем множестве потенциально возможных условий необходимы несколько различных стратегий защиты, каждая из которых соответствовала бы некоторой подобласти общей области условий.

Организация защиты информации в самом общем виде может быть определена как поиск оптимального компромисса между потребностями в защите и необходимыми для этих целей ресурсами.

Потребности в защите обусловливаются:

• важностью и объемами защищаемой информации;

• условиями ее хранения, обработки и использования.

Эти условия определяются:

• уровнем (качеством) структурно-организационного построения защищаемой системы или объекта;

• уровнем организации технологических схем обработки информации;

• местом и условиями расположения компонентов системы и некоторыми другими параметрами.

Размер ресурсов на защиту информации может быть ограничен определенным пределом, либо определяться условием обязательного достижения требуемого уровня защиты.

• В первом случае защита должна быть организована так, чтобы при выделенных ресурсах обеспечивался максимально возможный уровень защиты.

• Во втором так, чтобы требуемый уровень защиты обеспечивался при минимальном расходовании ресурсов.

Сформулированные задачи являются оптимизационными задачами в их прямой и обратной постановке. Однако процесс защиты с точки зрения классической теории систем выглядит не совсем определенным: например, уровень защищенности информации может быть повышен не только использованием специальных средств защиты, но более четким построением защищаемой системы, упорядочением технологических схем обработки информации.

В целях создания условий для ориентации в таких неопределенных ситуациях и введено понятие стратегии защиты, где под стратегией понимается общий взгляд на сложившуюся ситуацию и общий подход к принятию наиболее рационального решения в этой ситуации.При этом количество различных стратегий должно быть небольшим (в противном случае будет трудно ориентироваться в самих стратегиях), но в то же время оно должно достаточно полно и адекватно отображать всю гамму потенциально возможных ситуаций.

Критериями, которые обуславливают число и содержание стратегий являются:

требуемый уровень защиты;
степень свободы действий при организации защиты.

Значения первого критерия невозможно отобразить количественно, то он может быть выражен в виде следующих значений множества тех угроз, относительно которых должна быть обеспечена защита:

• защита от уже известных (ранее проявлявшихся) угроз;

• защита от наиболее опасных потенциально возможных угроз;

• защита от всех потенциально возможных угроз.

Защита от известных угроз предполагает организацию регулярного сбора и обработки данных о проявлениях угроз и их последствиях, и иметь арсенал проверенных средств эффективной нейтрализации каждой из угроз.

Защита от всех потенциально возможных угроз возможна только в случае знания всего их множества. Формирование этого множества представляет собою достаточно сложную научно-техническую и организационную проблему.

Второй критерий в общей интерпретации сводится к тому, что организаторы и исполнители процессов защиты имеют относительно полную свободу распоряжаться методами и средствами защиты и некоторую степень свободы вмешательства в архитектурное построение защищаемой системы или объекта, а также в организацию и обеспечение технологии их функционирования. Исходя из последнего аспекта, выделяют три различных степени свободы следующего содержания:

никакое вмешательство в систему не допускается;
к архитектурному построению системы и технологии ее функционирования допускается предъявлять требования неконцептуального характера;
требования любого уровня, обусловливаемые потребностями защиты информации, принимаются в качестве обязательных условий при построении системы, организации и обеспечении ее функционирования.

Таким образом, декартово произведение трех значений каждого из двух критериев дает в общем случае девять различных стратегических подходов к защите информации. Однако, следует учитывать то обстоятельство, что при защите от известных угроз вмешательство в систему на концептуальном уровне нецелесообразно, а защита от всех потенциально возможных угроз может быть достигнута лишь при создании изначально защищенной информационной среды, что не может быть достигнуто без вмешательства в архитектуру системы и технологию ее функционирования.

Исходя из анализа всех девяти стратегических подходов, могут быть выделены три основных стратегии защиты:

Оборонительная;
Наступательная;
Упреждающая.

Анализируя сущности условий, способствующих эффективной реализации различных стратегий защиты определяет следующие выводы:

Кардинальное повышение эффективности защиты информации (равно как и эффективности обеспечения качества информации и информационной безопасности) не может быть достигнуто в рамках существующих концепций автоматизированной обработки информации. Необходимы принципиально иные концепции, построение которых требует существенного видоизменения постановки задачи развития и использования вычислительной техники, а также в целом взглядов на процесс совершенствования информационного обеспечения различных сфер деятельности.
В рамках современной информатики, рассматриваемой как фундаментальное научное направление, основными целями которого являются изучение информационных проблем современного общества и разработке способов, методов и средств наиболее рационального их удовлетворения, получены такие результаты, которые создают объективные предпосылки построения названных концепций.

Способ реализации стратегии
Отдельные механизмы защиты	Системы защиты	Защищённые информационные технологии
Учитываемые угрозы	Все потенциально возможные	УПРЕЖДАЮЩАЯ
Наиболее опасные потенциально возможные	НАСТУПАТЕЛЬНАЯ
Все известные	ОБОРОНИТЕЛЬНАЯ
Отсутствует	Частичное	Полное
Влияние на среду защиты

Рис, 25, Стратегии защиты информации

В результате можно сформулировать следующие выводы:

1. Процессы, осуществляемые в каждой сфере деятельности, могут быть представлены в виде строго определенной совокупности функций.

2. Содержание и последовательность осуществления каждой из функций могут быть представлены в виде четко сформулированной концепции.

3. Информационные процессы, имеющие место в любой сфере деятельности, могут быть представлены некоторой совокупностью процедур (задач) трех классов:

информационно-поисковых;
логико-аналитических;
поисково-оптимизационных.

Смысл в такой классификации состоит в том, что обработка информации осуществляется преимущественно на следующих уровнях:

• при решении информационно-поисковых задач – на синтаксическом;

• логико-аналитических – на семантическом;

• поисково-оптимизационных – на прагматическом.

4. Для решения задач каждого из названных выше унифицированных классов может быть разработан полный арсенал методов и средств, причем полнота интерпретируется здесь в том смысле, что любая задача в любых потенциально возможных условиях может быть решена рациональным образом.

5. Информационный поток, циркулирующий в любой системе или на любом объекте в процессе их функционирования, может быть представлен как частный случай некоторой унифицированной схемы.

Как оформить тьютора для ребенка законодательно: Условием успешного процесса адаптации ребенка может стать.

История государства Древнего Египта: Одним из основных аспектов изучения истории государств и права этих стран является.

Работы по защите информации у нас в стране ведутся достаточно интенсивно и уже продолжительное время. Накоплен существенный опыт. Сейчас уже никто не думает, что достаточно провести на предприятии ряд организационных мероприятий, включить в состав автоматизированных систем некоторые технические и программные средства — и этого будет достаточно для обеспечения безопасности.

Главное направление поиска новых путей защиты информации заключается не просто в создании соответствующих механизмов, а представляет собой реализацию регулярного процесса, осуществляемого на всех этапах жизненного цикла систем обработки информации при комплексном использовании всех имеющихся средств защиты. При этом все средства, методы и мероприятия, используемые для ЗИ, наиболее рациональным образом объединяются в единый целостный механизм — причем не только от злоумышленников, но и от некомпетентных или недостаточно подготовленных пользователей и персонала, а также нештатных ситуаций технического характера.

Основной проблемой реализации систем защиты является:

— с одной стороны, обеспечение надежной защиты, находящейся в системе информации: исключение случайного и преднамеренного получения информации посторонними лицами, разграничение доступа к устройствам и ресурсам системы всех пользователей, администрации и о обслуживающего персонала;

— с другой стороны, системы защиты не должны создавать заметных неудобств пользователям в ходе их работы с ресурсами системы.

Проблема обеспечения желаемого уровня защиты информации весьма сложная, требующая для своего решения не просто осуществления некоторой совокупности научных, научно-технических и организационных мероприятий и применения специальных средств и методов, а создания целостной системы организационно-технологических мероприятий и применения комплекса специальных средств и методов по ЗИ.

Решение проблемы информационной безопасности объекта информатизации – системная задача. При этом объект информатизации является объектом защиты информации (объект защиты).

Рассматриваются все аспекты, связанные с информационной деятельностью на объекте информатизации и с её обеспечением.

Системность и комплексность обеспечивается путём создания комплексных систем защиты информации (КСЗИ).

Принцип системности –при декомпозиции целей и синтезе структурных элементов КСЗИ между ними, компонентами АС и процессами реализации информационных технологий, в интересах которых осуществляется защита информации, должны быть установлены такие связи, которые обеспечивают цельность КСЗИ и её взаимодействие с другими системами объекта информатизации и подсистемами АС.

всех выявленных при обследовании угроз информации, влияющих на состояние защищённости информации в АС и на объекте информатизации;
выделение актуальных из них путём анализа порождаемых ими рисков и последующего возможного ущерба, если риск становится реальным событием;
ранжирование актуальных угроз;
учёт всех выделенных актуальных угроз при создании КСЗИ.

Принцип комплексности –оптимальное использование различных методов, мер и средств защиты информации (административно-правовых, организационных, организационно-технических, технических, программных) для нейтрализации угроз информации и поддержания заданного уровня защищённости информации, интеграции этих средств в единую технологически связанную и управляемую систему.

Концептуальность подхода предполагает разработку единой концепции как полной совокупности научно обоснованных взглядов, положений и решений, необходимых и достаточных для оптимальной организации и обеспечения надежности защиты информации, а также целенаправленной организации всех работ по ЗИ.

Комплексный (системный) подход к построению любой системы включает в себя: прежде всего, изучение объекта внедряемой системы; оценку угроз безопасности объекта; анализ средств, которыми будем оперировать при построении системы; оценку экономической целесообразности; изучение самой системы, ее свойств, принципов работы и возможность увеличения ее эффективности; соотношение всех внутренних и внешних факторов; возможность дополнительных изменений в процессе построения системы и полную организацию всего процесса от начала до конца.

Комплексный (системный) подход — это принцип рассмотрения проекта, при котором анализируется система в целом, а не ее отдельные части. Его задачей является оптимизация всей системы в совокупности, а не улучшение эффективности отдельных частей. Это объясняется тем, что, как показывает практика, улучшение одних параметров часто приводит к ухудшению других, поэтому необходимо стараться обеспечить баланс противоречий требований и характеристик.

Комплексный (системный) подход не рекомендует приступать к созданию системы до тех пор, пока не определены следующие ее компоненты:

2. Ресурсы. Это средства, которые обеспечивают создание и функционирование системы (например, материальные затраты, энергопотребление, допустимые размеры и т. д.). Обычно рекомендуется четко определять виды и допустимое потребление каждого вида ресурса как в процессе создания системы, так и в ходе ее эксплуатации;

3. Окружающая среда. Следует помнить, что любая реальная система всегда взаимодействует с другими системами, каждый объект связан с другими объектами. Очень важно установить границы области других систем, не подчиняющихся руководителю данного предприятия и не входящих в сферу его ответственности.

Характерным примером важности решения этой задачи является распределение функций по защите информации, передаваемой сигналами в кабельной линии, проходящей по территориям различных объектов. Как бы ни устанавливались границы системы, нельзя игнорировать ее взаимодействие с окружающей средой, ибо в этом случае принятые решения могут оказаться бессмысленными. Это справедливо как для границ защищаемого объекта, так и для границ системы защиты;

5. Критерий эффективности. Необходимо всегда рассматривать несколько путей, ведущих к цели, в частности нескольких вариантов построения системы, обеспечивающей заданные цели функционирования. Для того чтобы оценить, какой из путей лучше, необходимо иметь инструмент сравнения — критерий эффективности. Он должен: характеризовать качество реализации заданных функций; учитывать затраты ресурсов, необходимых для выполнения функционального назначения системы; иметь ясный и однозначный физический смысл; быть связанным с основными характеристиками системы и допускать количественную оценку на всех этапах создания системы.

Процесс создания комплексной системы защиты информации может быть представлен в виде непрерывного цикла, так как это показано на рис. 1.

Таким образом, учитывая многообразие потенциальных угроз информации на предприятии, сложность его структуры, а также участие человека в технологическом процессе обработки информации, цели защиты информации могут быть достигнуты только путем создания СЗИ на основе комплексного подхода.

Стратегии защиты информации не имеют единого рецепта, чтобы мы могли им поделиться. Это строго индивидуальные решения каждой отдельной компании или разработки программного обеспечения. Вся суть построения стратегий сводится к четко поставленному плану: от чего нужно защищаться и как долго это нужно делать? Главное, чтобы в процессе внедрения стратегии защиты информации сама защита была на запланированном уровне и помогла достичь желаемого результата в работе или бизнесе.

Мы будем очень благодарны

если под понравившемся материалом Вы нажмёте одну из кнопок социальных сетей и поделитесь с друзьями.

Читайте также: