Категорирование объектов информационных систем

Категорирование субъектов и объектов информационной системы (ИС), а также средств работы с информацией — один из важнейших этапов построения комплексной системы безопасности. От корректности и тщательности ее проведения зависит то, насколько адекватно меры безопасности будут отражать специфику бизнес-процессов, и то, насколько удачно будут распределены материальные вложения в систему защиты информации.

Процедура категорирования сводится к категорированию:

· объектов — по степени их конфиденциальности и важности для предприятия;

· средств работы с информацией — по степени их способности поддерживать определенный уровень информационной безопасности;

· субъектов — по степени их допуска к работе с тем или иным объектом (или на том или ином средстве работы с информацией).

В идеальном варианте, когда категорирование полностью проведено, остается только привести в соответствие три составляющих — объект данной категории важности обрабатывается только средством соответствующей категории надежности субъектом соответствующей категории доступа.

Теперь рассмотрим категорирование объектов, в данном случае информации. Широко используемое во времена бумажных документов категорирование — секретная, для служебного пользования (ДСП) и открытая — перекочевало и в век электронной информации. Однако данное категорирование не является исчерпывающим и может с натяжкой охватывать в разрезе информационной безопасности только аспект конфиденциальности

А для успешной работы необходимо как минимум охватить также понятия целостности и доступности информации. На категорирование информации не существует известных устоявшихся моделей. Причина этого может скрываться в том, что процесс такого категорирования довольно специфичен для каждого предприятия.

В работе [9] предлагается следующую модель для категорирования информационных объектов. Для удобства дальнейших ссылок на класс категории рекомендуем сразу ввести буквенно-цифровое обозначение (в приведенном примере литера "Д" означает "доступность", "Ц" — "целостность", "К"— "конфиденциальность", цифры возрастают с убыванием значимости критерия).

По наличию (доступность):

· Критическая — без нее работа субъекта останавливается (Д0).

· Очень важная — без нее можно работать, но очень короткое время (Д1).

· Важная — без нее можно работать некоторое время, но рано или поздно она понадобится (Д2).

· Полезная — без нее можно работать, но ее использование экономит ресурсы (ДЗ).

· Несущественная — устаревшая или неиспользуемая, не влияющая на работу субъекта (Д4).

· Вредная — ее наличие требует обработки, а обработка ведет к расходу ресурсов, не давая результатов либо принося ущерб (Д5). (В определенных организациях может понадобиться и такой параметр.)

По несанкционированной модификации (целостность):

· Критическая — ее несанкционированное изменение приведет к неправильной работе всего субъекта или значительной его части; последствия модификации необратимы (ЦО).

· Очень важная — ее несанкционированное изменение приведет к неправильной работе субъекта через некоторое время, если не будут предприняты некоторые действия; последствия модификации необратимы (Ц1).

· Важная — ее несанкционированное изменение приведет к неправильной работе части субъекта через некоторое время, если не будут предприняты некоторые действия; последствия модификации обратимы (Ц2).

· Значимая — ее несанкционированное изменение скажется через некоторое время, но не приведет к сбою в работе субъекта; последствия модификации обратимы (ЦЗ).

· Незначимая — ее несанкционированное изменение не скажется на работе системы (Ц4).

Аналогичным образом вместо понятия "несанкционированного изменения" можно рассмотреть понятие "санкционированное изменение, которое не было произведено вовремя".

По разглашению (конфиденциальность):

· Критическая — разглашение информации приведет к краху работы субъекта или к очень значительным материальным потерям (КО).

· Очень важная — разглашение приведет к значительным материальным потерям, если не будут предприняты некоторые действия (К1).

· Важная — разглашение приведет к некоторым материальным (может быть, косвенным) или моральным потерям, если не будут предприняты некоторые действия (К2).

· Значимая — приносит скорее моральный ущерб, может быть использована только в определенных ситуациях (КЗ).

· Малозначимая — может принести моральный ущерб в очень редких случаях (К4).

· Незначимая — не влияет на работу субъекта (К5).

Дата добавления: 2014-01-06