Важнейший и базовые принципы защиты информации

Создание базовой системы защиты информации в автоматизированных информационных системах основывается на следующих принципах:

• Комплексный подход к построению системы защиты при ведущей роли организационных мероприятий, означающий оптимальное сочетание программных аппаратных средств и организационных мер защиты и подтвержденный практикой создания отечественных и зарубежных систем защиты.

• Разделение и минимизация полномочий по доступу к обрабатываемой информации и процедурам обработки, т.е. предоставление пользователям минимума строго определенных полномочий, достаточных для успешного выполнения ими своих служебных обязанностей, с точки зрения автоматизированной обработки доступной им конфиденциальной информации. Уровень предоставляемых пользователю полномочий определяется его обязанностями, если он является работником организации или учреждения, или заключённым договором, если пользователь является заказчиком услуг организации или учреждения.

• Полнота контроля и регистрации попыток несанкционированного доступа, т. е. необходимость точного установления идентичности каждого пользователя и протоколирования его действий для проведения возможного расследования, а также невозможность совершения любой операции обработки информации в автоматизированных информационных системах без ее предварительной регистрации. Желательно регистрировать все без исключения попытки доступа к информации и вести подробное протоколирование всех сеансов работы в экономической информационной системе. Такую регистрацию и протоколирование современные экономические информационные системы обеспечивают в автоматическом режиме без участия человека.

• Обеспечение надежности системы защиты, т.е. невозможность снижения уровня надежности при возникновении в системе сбоев, отказов, непреднамеренных ошибок пользователей и обслуживающего персонала, преднамеренных действий нарушителя, его целенаправленных попыток преодолеть систему защиты или её разрушить.

• Обеспечение контроля функционирования системы защиты, т.е. создание средств и методов контроля работоспособности самой системы защиты. Система защиты должна позволять контролировать свою собственную надёжность и работоспособность администраторам экономической информационной системы. Система защиты не должна легко отключаться злоумышленниками или позволять им снижать свою работоспособность.

• «Прозрачность» системы защиты информации для общего, прикладного программного обеспечения и пользователей автоматизированных информационных систем. Система защиты не должна сильно мешать пользователям экономической информационной системы, когда она включена в работу. В противном случае вполне возможно периодическое отключение системы защиты персоналом с целью выполнения срочных работ, например, по причине существенного замедления работы пользователей при включённой системе защиты.

• Экономическая целесообразность использования системы защиты, выражающаяся в том, что стоимость разработки или приобретения и эксплуатации систем защиты информации должна быть меньше стоимости возможного ущерба, наносимого объекту в случае разработки и эксплуатации автоматизированных информационных систем без системы защиты информации. В частности, если восстанавливать информацию после сбоев или компьютерных атак дешевле приобретения и установки системы защиты, её обычно не приобретают.

В этом списке принципов первый является важнейшим, потому что без него все остальные не дадут эффективной защиты информации. Остальные принципы защиты информации являются базовыми, потому что должны использоваться в любой системе защиты информации, независимо от её специфики.

Требования к проектированию системы защиты информации

При разработке автоматизированных информационных систем возникает проблема по решению вопроса безопасности информации, составляющей коммерческую тайну, а также безопасности самих компьютерных информационных систем.

Современные автоматизированные информационные системы обладают следующими основными признаками:

• наличием в них информации различной степени конфиденциальности;

• необходимостью криптографической защиты информации различной степени конфиденциальности при передаче данных,

• иерархичностью полномочий субъектов доступа и программ к автоматизированным рабочим местам, файл-серверам, каналам связи и информации системы, необходимостью оперативного изменения этих полномочий;

• организацией обработки информации в диалоговом режиме, в режиме разделения времени между пользователями и в режиме реального времени;

• обязательным управлением потоками информации, как в локальных сетях, так и при передаче по каналам связи на далекие расстояния;

• необходимостью регистрации и учета попыток несанкционированного доступа, событий в системе и документов, выводимых на печать;

• обязательным обеспечением целостности программного обеспечения и информации в автоматизированных информационных системах;

• наличием в их составе средств восстановления системы защиты информации;

• обязательным учетом магнитных носителей;

• наличием физической охраны средств вычислительной техники и магнитных носителей.

Организационные мероприятия и процедуры, используемые для решения проблемы безопасности информации, решаются на всех этапах проектирования и в процессе эксплуатации автоматизированных информационных систем.

Существенное значение при проектировании придается предпроектному обследованию объекта. На этой стадии:

• устанавливается наличие секретной (конфиденциальной) информации в разрабатываемой автоматизированной информационной системы, оценивается уровень конфиденциальности и объемы;

• определяются режимы обработки информации (диалоговый, телеобработки и режим реального времени), состав комплекса технических средств, общесистемные программные средства и т.д.;

• анализируется возможность использования имеющихся на рынке сертифицированных средств защиты информации;

• определяется степень участия персонала, функциональных служб, специалистов и вспомогательных работников объекта автоматизации в обработке информации, характер взаимодействия между собой и со службой безопасности;

• определяются мероприятия по обеспечению режима секретности на стадии разработки.

Среди организационных мероприятий по обеспечению безопасности информации важное место занимает охрана объекта, на котором расположена защищаемая автоматизированная информационная система (территория здания, помещения, хранилища информационных носителей). При этом устанавливаются соответствующие посты охраны, технические средства, предотвращающие или существенно затрудняющие хищение средств вычислительной техники, информационных носителей, а также исключающие несанкционированный доступ к автоматизированной информационной системе и линиям связи.