Принципы организации и этапы разработки комплексной системы защиты информации

 

Федеральное агентство по образованию

Государственное образовательное учреждение высшего профессионального образования

Московский государственный индустриальный университет (ГОУ МГИУ)

Кафедра «Информационной безопасности»

Реферат

На тему: «Принципы организации и этапы разработки комплексной системы защиты информации»

Выполнил:

студент Ольховский В.К.

Группа 9281

Преподаватель:

доцент Рагозин Ю.Н.

Москва 2010

Содержание

Введение

. Методологические основы организации КСЗИ

. Основные положения теории систем

. Принципы организации КСЗИ

. Основные требования, предъявляемые к КСЗИ

. Содержательная характеристика этапов разработки КСЗИ

Заключение

Список литературы

Введение

Стремительное развитие информационных технологий и их внедрение во всех сферах деятельности значительно совершенствует и ускоряет многие бизнес-процессы. Наличие или отсутствие необходимой информации, ее сохранность и защищенность от стороннего вмешательства существенно влияет на благополучие компании. Но с каждым годом все больше возрастает количество вирусов, сетевых атак злоумышленников, возникают угрозы нарушения конфиденциальности информации внутри компании, что приводит к финансовым потерям, и часто - весьма значительным. Решение вопросов защиты данных в современных информационных системах будет успешным только при условии использования комплексного подхода к построению системы обеспечения безопасности информации.

1. Методологические основы организации КСЗИ

Главная цель создания СЗИ - достижение максимальной эффективности защиты за счет одновременного использования всех необходимых ресурсов, методов и средств, исключающих несанкционированный доступ к защищаемой информации и обеспечивающих физическую сохранность ее носителей.

Организация - это совокупность элементов (людей, органов, подразделений) объединенных для достижения какой-либо цели, решения какой-либо задачи на основе разделения труда, распределения обязанностей и иерархической структуры.

СЗИ относится к системам организационно-технологического (социотехнического) типа, так как общую организацию защиты и решение значительной части задач осуществляют люди (организационная составляющая), а защита информации осуществляется параллельно с технологическим процессами ее обработки (технологическая составляющая).

Постановка задачи защиты информации в настоящее время приобретает ряд особенностей:

üво-первых, ставится вопрос о комплексной защите информации;

üво-вторых, защита информации становится все более актуальной для массы объектов (больших и малых, государственной и негосударственной принадлежности);

üв-третьих, резко расширяется разнообразие подлежащей защите информации (государственная, промышленная, коммерческая, персональная и т. п.).

Осуществление мероприятий по защите информации носит массовый характер, занимается этой проблемой большое количество специалистов различного профиля. Но успешное осуществление указанных мероприятий при такой их масштабности возможно только при наличии хорошего инструментария в виде методов и средств решения соответствующих задач. Разработка такого инструментария требует наличия развитых научно-методологических основ защиты информации.

Под научно-методологическими основами комплексной защиты информации (как решения любой другой проблемы) понимается совокупность принципов, подходов и методов (научно-технических направлений), необходимых и достаточных для анализа (изучения, исследования) проблемы комплексной защиты, построения оптимальных механизмов защиты и управления механизмами защиты в процессе их функционирования. Уже из приведенного определения следует, что основными компонентами научно-методологических основ являются принципы, подходы и методы. При этом под принципами понимается основное исходное положение какой-либо теории, учения, науки, мировоззрения; под подходом - совокупность приемов, способов изучения и разработки какой-либо проблемы; под методом - способ достижения какой-либо цели, решения конкретной задачи. Например, при реализации принципа разграничения доступа в качестве подхода можно выбрать моделирование, а в качестве метода реализации - построение матрицы доступа.

Общее назначение методологического базиса заключается в:

§формировании обобщенного взгляда на организацию и управление КСЗИ, отражающего наиболее существенные аспекты проблемы;

§формировании полной системы принципов, следование которым обеспечивает наиболее полное решение основных задач;

§формировании совокупности методов, необходимых и достаточных для решения всей совокупности задач управления.

Состав научно-методологических основ можно определить следующим образом:

§так как речь идет об организации и построении КСЗИ, то общеметодологической основой будут выступать основные положения теории систем;

§так как речь идет об управлении, то в качестве научно-методической основы будут выступать общие законы кибернетики (как науки об управлении в системах любой природы);

§так как процессы управления связаны с решением большого количества разноплановых задач, то в основе должны быть принципы и методы моделирования больших систем и процессов их функционирования.

Состав научно-методологических основ комплексной системы защиты информации представлен на рис. 1.

Рис. 1. - Научно-методологические основы

. Основные положения теории систем

Под системой может пониматься естественное соединение составных частей, самостоятельно существующих в природе, а также нечто абстрактное, порожденное воображением человека. Такой подход к определению понятия системы заранее предлагает существование связей между ее элементами.

Всякая система состоит из взаимосвязанных и взаимодействующих между собой и с внешней средой частей и в определенном смысле представляет собой замкнутое целое.

Система взаимодействует с внешней средой и может быть количественно оценена через свои входы и выходы.

Входами могут быть, в общем смысле, перерабатываемое сырье, его количество, состав, температура и т.д. Выходами могут быть количество готового продукта, его качество и т.п.

Рис. 2. - Обобщенное представление системы

Обычно система подвержена возмущениям, для их компенсации, т.е. для того, чтобы система работала в заданном направлении, используют управляющие воздействия.

Система - это достаточно сложный объект, который можно расчленить (провести декомпозицию) на составляющие элементы или подсистемы. Элементы связаны друг с другом и с окружающей средой объекта. Совокупность связей образует структуру системы. Система имеет алгоритм функционирования, направленный на достижение определенной цели.

Все системы можно условно разделить на малые и большие.

Малые системы однозначно определяются свойствами процесса и обычно ограничены одним типовым процессом, его внутренними связями, а также особенностями функционирования.

Большие системы представляют собой сложную совокупность малых (подсистем) систем и отличаются от них в количественном и качественном отношениях.

Рассмотрим составляющие системы и ее основные свойства.

Элементы - это объекты, части, компоненты системы. Причем их число ограничено.

Свойства - качества элементов, дающие возможность количественного описания системы, выражая ее в определенных величинах.

Связи - это то, что соединяет элементы и свойства системы в целое.

При анализе систем значительный интерес представляет изучение их структуры. Структура отражает наиболее существенные, устойчивые связи между элементами системы и их группами, которые обеспечивают основные свойства системы. То есть структура - это форма организации системы. Структура системы может претерпевать определенные изменения в зависимости от факторов (причин) внутренней и внешней природы, от времени.

Понятие «состояние» обычно выявляют на основании исследования, ситуационного анализа, исследуя, например, входные воздействия и выходные результаты системы. Поведение системы характеризует возможность устойчивого, контролируемого перехода системы из одного состояния в другое. Понятие «равновесие» определяется как способность системы в отсутствие внешних воздействий сохранять заранее заданное состояние. Устойчивость характеризуется как способность системы возвращаться в состояние равновесия после того, как она была выведена из него под влиянием внешнего воздействия. На рисунке 3 схематично показана система в устойчивом и неустойчивом состояниях. Реально устойчивость систем может достигаться только в определенных пределах.

Понятие «развитие» характеризует совершенствование структуры и функций системы под влиянием внутренних факторов, в связи с чем поведение системы приобретает более упорядоченный и предсказуемый характер.

Рис. 3. - Система в устойчивом состоянии (справа) и неустойчивом

(слева)

Главное свойство системы в том, что она приобретает особенности, не свойственные ее элементам. Здесь можно привести множество примеров: компьютер, как система, состоящая из определенного набора деталей и программного обеспечения. И если все собрано и отлажено правильно (организована система), то получаем новые качества входящих в эту систему элементов. Это свойство называется принципом эмерджентности.

Общая теория систем - междисциплинарная область научных исследований, в задачи которой входит разработка обобщенных моделей систем, построение методологического аппарата, описание функционирования и поведения системных объектов, рассмотрение динамики систем, их поведения, развития, иерархического строения и процессов управления в системах. Теория систем оперирует такими понятиями, как системный анализ и системный подход.

Системный анализ - это стратегия изучения сложных систем. В качестве метода исследования в нем используется математическое моделирование, а основным принципом является декомпозиция сложной системы на более простые подсистемы (принципы иерархии системы). В этом случае математическая модель строится по блочному принципу: общая модель подразделяется на блоки, которым можно дать сравнительно простые математические описания.

В основе стратегии системного анализа лежат следующие общие положения:

) четкая формулировка цели исследования;

) постановка задачи по реализации этой цели и определение критерия эффективности решения задачи;

) разработка развернутого плана исследования с указанием основных этапов и направлений решения задачи;

) последовательное продвижение по всему комплексу взаимосвязанных этапов и возможных направлений;

) организация последовательных приближений и повторных циклов исследований на отдельных этапах;

) принцип нисходящей иерархии анализа и восходящей иерархии синтеза в решении составных задач и т. п.

Системный анализ позволяет организовать наши знания об объекте таким образом, чтобы помочь выбрать нужную стратегию либо предсказать результаты одной или нескольких стратегий, представляющихся целесообразными для тех, кто должен принимать решение.

С позиций системного анализа решаются задачи моделирования, оптимизации, управления и оптимального проектирования систем.

Особый вклад (важность) системного анализа в решении различных проблем заключается в том, что он позволяет выявить факторы и взаимосвязи, которые впоследствии могут оказаться весьма существенными, дает возможность спланировать методику наблюдений и построить эксперимент так, чтобы эти факторы были включены в рассмотрение, освещает слабые места гипотез и допущений. Как научный подход системный анализ создает инструментарий познания физического мира и объединяет его в систему гибкого исследования сложных явлений.

Системный подход - направление методологии научного познания и социальной практики, в основе которого лежит рассмотрение объектов как систем. Системный подход ориентирует исследование на раскрытие целостности объекта, на выявление разных личных типов связей в нем и сведения в единую теоретическую картину.

Системный подход основан на представлении о системе как о чем-то целостном, обладающем новыми свойствами (качествами) по сравнению со свойствами составляющих ее элементов. Новые свойства при этом понимаются очень широко. Они могут выражаться, в частности, в способности решать новые проблемы или достигать новые цели. Для этого требуется определить границы системы, выделив ее из окружающего мира, и затем соответствующим образом изменить (преобразовать), или, говоря математическим языком, перевести систему в желаемое состояние. В системном подходе можно выделить следующие этапы:

1. Постановка задачи (проблемы): определение объекта исследования, постановка целей, задание критериев для изучения объекта и управления им;
2. Очерчивание границ изучаемой системы и ее (первичная) структуризация. На этом этапе вся совокупность объектов и процессов, имеющих отношение к поставленной цели, разбивается на два класса - собственно изучаемая система и внешняя среда;
3. Составление математической модели изучаемой системы: параметризация системы, задание области определения параметров, установление зависимостей между введенными параметрами;
4. Исследование построенной модели: прогноз развития изучаемой системы на основе ее модели, анализ результатов моделирования;

5. Выбор оптимального управления.

Выбор оптимального управления как раз и позволяет перевести систему в желаемое (целевое) состояние и тем самым решить проблему.

Несмотря на четкую математическую трактовку системного подхода, он не получил, однако, однозначной практической интерпретации. В связи с этим развиваются несколько направлений его практической реализации. Наибольшее распространение получили АСУПовское и системотехническое направления, суть которых заключается в совершенствовании существующих систем управления. Для этого проводится их обследование (диагностический анализ), выявляются недостатки и пути устранения последних, формируются мероприятия по совершенствованию систем, разрабатываются проекты систем, внедрение которых рассматривается как способ преобразования существующих систем управления.

Значительную роль в этих методах играют понятие системы, подсистемы, окружающей среды, классификация основных свойств и процессов в системах, классификация систем и т. д.

Остановимся на обобщенном определении системы.

Система, с одной стороны, может быть описана динамически как процесс, а с другой - статически, с точки зрения либо внешних, либо внутренних характеристик.

Кроме того, внутреннее строение системы может быть представлено в виде функциональных зависимостей и в виде структуры, реализующей эти зависимости.

Таким образом, можно выделить пять основных системных представлений: процессуальное, функциональное, макроскопическое, иерархическое и микроскопическое.

В процессуальном плане система рассматривается динамически как процесс, остальные системные представления отражают ее статический аспект.

В макроскопическом представлении описываются внешние характеристики системы, в функциональном, иерархическом и микроскопическом - внутренние.

Микроскопическое представление системы основано на понимании ее как совокупности взаимосвязанных элементов, неразложимых далее «кирпичиков». Центральными понятием микроскопического системного представления является понятие элемента. Конечно, в общем виде элемент лишь относительно неделим, однако для данной системы он является абсолютно неделимым. Элементы также могут быть рассмотрены как системы, но это будут системы другого типа, по отношению к исследуемой. Кроме того, система понимается как совокупность разнородных элементов, которые могут отличаться по принципу действия, техническому исполнению и ряду других характеристик. Система сводится к ансамблю простых частей.

Элементы системы обладают связями, которые объединяют их в целостную систему. Элементы могут существовать только в «связанном» виде - между элементами обязательно устанавливаются связи.

Например, в электрической цепи, если по ней не течет ток, нет электрических связей, следовательно, нет и элементов; когда цепь подключена к источнику электрической энергии, в ней образуются реальные электрические связи, и можно говорить о существовании элементов, которые они связывают.

Элементы в системе обязательно взаимодействуют, в результате одни свойства (переменные) изменяются, другие остаются неизменными (константы).

Важную роль в системных исследованиях играет поиск системообразующих связей, благодаря которым все элементы системы оказываются связанными воедино.

Функциональное представление системы связано с пониманием системы как совокупности функций (действий) Для достижения определенной цели. Каждый элемент в системе выполняет определенную функцию.

Синонимом понятия «структура» для функционально го представления служит понятие функциональной структуры, или организации.

Организация может быть реализована различными структурами (при этом функциональная сущность системы остается той же, меняется только способ реализации).

Для макроскопического представления характерно понимание системы как нерасчленимого целого. Здесь важно понятие системного окружения.

Под окружающей средой системы понимается совокупность всех объектов, изменение свойств которых влияет на систему и на которые влияет изменение свойств системы. Ни одна система объектов не может быть рассмотрена вне системного окружения. Системное окружение позволяет охарактеризовать систему множеством внешних связей (или внешней структурой), так и совокупностью внешних отношений.

Иерархическое представление системы (как иерархической упорядоченности) основано на понятии подсистемы, или единицы, которые следует отличать от понятия «элемент». Единица обладает функциональной спецификой целого (системы). Система может быть представлена в виде совокупности единиц, составляющих системную иерархию. (Единица может быть разложена на элементы.)

Можно выделить два типа функциональных связей между единицами системной иерархии - горизонтальные - между единицами одного уровня и вертикальные - между единицами различных уровней. Единицы каждого уровня описываются набором вертикальных и горизонтальных связей.

Процессуальное представление системы предполагает понимание системного объекта как совокупности процессов, характеризуемых последовательностью состояний во времени. Основным понятием здесь является понятие периода жизни - временного интервала, в течение которого функционирует данный процесс.

Комплексная система защиты информации - это система организационно-технологического типа. Она характеризуется рядом признаков.

КСЗИ - это система:

§искусственная, т. е. создана человеком;

§материальная, что подразумевает не только объективность ее существования, но и тот или иной уровень материальных и финансовых затрат на реализацию;

§открытая, т. е. возможно ее расширение;

§динамическая - подвержена старению, развитию, движению, прогрессу и регрессу, делению, слиянию и т. д.;

§вероятностная - система характеризуется вероятностью структуры, функции, целей, задач, ресурсов.

Очень важно, рассматривая теорию систем, не забывать о ее связи с проектированием. Даже хорошо работающие компоненты, соединенные вместе, не обязательно составляют хорошо функционирующую систему. В сложной системе часто оказывается, что даже если отдельные компоненты удовлетворяют всем необходимым требованиям, система как целое не будет работать. Для иллюстрации рассмотрим пример проектирования самолета специалистами разного профиля. Если рассмотреть данную систему с точки зрения специалиста по двигателям, то, например. Для электронного оборудования в ней совсем не останется места. Проектировщик фюзеляжа будет заботиться только об оптимальной конфигурации самолета, пренебрегая расположением антенны. Инженер-психолог потребует массу удобств для летчика, не считаясь с затратами. Плановик сведет до минимума затраты. И самолет никогда не полетит.

. Принципы организации КСЗИ

безопасность защита информация

При построении любой системы необходимо определить принципы, в соответствии с которыми она будет построена. КСЗИ - сложная система, функционирующая, как правило, в условиях неопределенности, требующая значительных материальных затрат. Поэтому определение основных принципов КСЗИ позволит определить основные подходы к ее построению.

Принцип законности заключается в соответствии принимаемых мер законодательству РФ о защите информации, а в случае отсутствия соответствующих законов - другим государственным нормативным документам по защите.

В соответствии с принципом полноты защищаемой информации защите подлежит не только информация, составляющая государственную, коммерческую или служебную тайну, но и та часть несекретной информации, утрата которой может нанести ущерб ее собственнику либо владельцу. Реализация этого принципа позволяет обеспечить и охрану интеллектуальной собственности.

Принцип обоснованности защиты информации заключается в установлении путем экспертной оценки целесообразности засекречивания и защиты той или другой информации, вероятных экономических и других последствий такой защиты исходя из баланса жизненно важных интересов государства, общества и граждан. Это, в свою очередь, позволяет расходовать средства на защиту только той информации, утрата или утечка которой может нанести действительный ущерб ее владельцу.

Принцип создания специализированных подразделений по защите информации заключается в том, что такие подразделения являются непременным условием организации комплексной защиты, поскольку только специализированные службы способны должным образом разрабатывать и внедрять защитные мероприятия и осуществлять контроль за их выполнением.

Принцип участия в защите информации всех соприкасающихся с нею лиц исходит из того, что защита информации является служебной обязанностью каждого лица, имеющего по роду выполняемой работы отношение к защищаемой информации, и такое участие дает возможность повысить качество защиты.

Принцип персональной ответственности за защиту информации требует, чтобы каждое лицо персонально отвечало за сохранность и неразглашение вверенной ему защищаемой информации, а за утрату или распространение такой информации оно несет уголовную, административную) или иную ответственность.

Принцип наличия и использования всех необходимых сил и средств для защиты заключается в том, что КСЗИ требует, с одной стороны, участия в ней руководства пред приятия и специальной службы защиты информации и всех исполнителей, работающих с защищаемой информацией, с другой стороны, использования различных организационных форм и методов защиты, с третьей стороны, наличие необходимых материально-технических ресурсов, включая технические средства защиты.

Принцип превентивности принимаемых мер по защите информации предполагает априорное опережающее заблаговременное принятие мер по защите до начала разработки или получения информации. Из этого принципа вытекает, в частности, необходимость разработки защищенных информационных технологий.

Среди рассмотренных принципов едва ли можно выделить более или менее важные. А при построении КСЗИ важно использовать их в совокупности.

4. Основные требования, предъявляемые к КСЗИ

Поскольку комплексная система защиты информации предназначена обеспечивать безопасность всей защищаемой информации, к ней должны предъявляться следующие требования:

§она должна быть привязана к целям и задачам защиты информации на конкретном предприятии;

§она должна быть целостной: содержать все ее составляющие, иметь структурные связи между компонентами, обеспечивающие ее согласованное функционирование;

§она должна быть всеохватывающей, учитывающей все объекты и составляющие их компоненты защиты, все обстоятельства и факторы, влияющие на безопасность информации, и все виды, методы и средства защиты;

§она должна быть достаточной для решения поставленных задач и надежной во всех элементах защиты, т. е. базироваться на принципе гарантированного результата;

§она должна быть «вмонтированной» в технологические схемы сбора, хранения, обработки, передачи и использования информации;

§она должна быть компонентно, логически, технологически и экономически обоснованной;

§она должна быть реализуемой, обеспеченной всеми необходимыми ресурсами;

§она должна быть простой и удобной в эксплуатации и управлении, а также в использовании законными потребителями;

§она должна быть непрерывной;

§она должна быть достаточно гибкой, способной к целенаправленному приспособлению при изменении компонентов ее составных частей, технологии обработки информации, условий защиты.

Таким образом, обеспечение безопасности информации - непрерывный процесс, который заключается в контроле защищенности, выявлении узких мест в системе защиты, обосновании и реализации наиболее рациональных путей совершенствования и развития системы защиты:

§безопасность информации в системе обработки данных может быть обеспечена лишь при комплексном использовании всего арсенала имеющихся средств защиты;

§никакая система защиты не обеспечит безопасности информации без надлежащей подготовки пользователей и соблюдения ими всех правил защиты;

§никакую систему защиты нельзя считать абсолютно надежной, т. к. всегда может найтись злоумышленник, который найдет лазейку для доступа к информации.

5. Содержательная характеристика этапов разработки КСЗИ

При создании КСЗИ в КС предлагается следующий порядок работ:

) Обследование информационно-коммуникационной системы, категорирование информационных ресурсов и разработка концепции информационной безопасности. Т.е. необходим глубокий и детальный анализ структура объекта защиты и условий его функционирования, а также категории обрабатываемой информации. На этом этапе изучается технология обработки данных, принятая в организации и разрабатываются документы, необходимые для регламентации процесса работы пользователя в КС, в которых представляется:

§описание технологии обработки данных,

§описание угроз с оценкой вероятности их появления и возможного ущерба,

§порядок взаимодействия подразделений организации для обеспечения безопасности,

§рекомендации по совершенствованию системы защиты,

§организационно-распорядительные документы, регламентирующие деятельность пользователей и обслуживающего персонала КС.

По результатам обследования разрабатывается концепция информационной безопасности. Донный документ определяет общую систему взглядов в организации на проблему защиты информации и пути решения этой проблемы с учетом накопленного опыта и современных тенденций развития средств и способов защиты.

) Создание службы защиты информации. Служба защиты информации в структуре организации функционирует как специальное подразделение, обеспечивающее разработку правил эксплуатации КС, определяющее полномочия пользователей по доступу к ресурсам системы, осуществляющее административную поддержку КСЗИ (настройку, контроль и оперативное реагирование на сигналы о нарушениях правил доступа, анализ журналов регистрации событий и т.д.).

) Формирование политики безопасности и разработка организационно-распорядительных документов. Политика безопасности КС является частью общей политики безопасности организации. Для каждой КС политика безопасности информации является уникальной. Она должна содержать следующие положения:

§организационные меры по обеспечению безопасности;

§классификация и принципы управления информационными ресурсами;

§безопасность персонала;

§физическая безопасность;

§перечень составляющих информационной безопасности;

§управление коммуникациями и процессами;

§контроль доступа;

§разработка и техническая поддержка вычислительных систем.

) Разработка технологии защиты и определение требований к составу средств защиты. На этом этапе производится:

§интеграция в единый комплекс разнородных средств и механизмов защиты и централизованное администрирование механизмов защиты;

§определение уровней доступа объектов, прав доступа пользователей к объектам КС и правил разграничения доступа;

§формирование правил реагирования на угрозы информационным ресурсам;

§оперативное оповещение администратора безопасности о попытках нарушения политики безопасности;

§регистрация действий пользователей в защищенных журналах для последующего анализа;

§мониторинг состояния защищенности информационных ресурсов;

§контроль целостности программно-технической среды КС.

) Выбор, приобретение, установка и настройка средств защиты.

) Обучение персонала работе со средствами защиты и правилам организационного обеспечения безопасности.

) Проведение государственной экспертизы КСЗИ и ввод ее в эксплуатацию. Перед вводом в эксплуатацию необходимо проведение опытной эксплуатации КСЗИ в следующем порядке:

§опытная эксплуатация средств защиты информации в комплексе с другими техническими и программными средствами в целях проверки их работоспособности в составе объекта информатизации;

§разработка программы и методики приемо-сдаточных испытаний;

§приемо-сдаточные испытания.

По результатам приемо-сдаточных испытаний система вводится в эксплуатацию.

) Эксплуатация системы.

) Постоянный мониторинг состояния защищенности информационных ресурсов и выработка предложений по ее совершенствованию. Подразумевается периодический пересмотр следующих положение политики безопасности:

§эффективность политики, определяемый по характеру, числу и воздействию зарегистрированных инцидентов, касающихся безопасности;

§стоимости средств обеспечения безопасности на показатели эффективности функционирования КС;

§влияние изменений на безопасность технологии

Заключение

Решение вопросов защиты данных в современных информационных системах будет успешным только при условии использования комплексного подхода к построению системы обеспечения безопасности информации.

Важную роль в создании комплексного подхода к построению системы обеспечения безопасности информации непосредственно играют принципы и этапы разработки КСЗИ.

Список литературы

1. Гришина Н.В. Организация комплексной системы защиты информации.

Федеральное агентство по образованию Государственное образовательное учреждение высшего профессионального образования Московский государственный индустриа

Больше работ по теме: