Организационно-административное обеспечение безопасности информации

По мнению специалистов, организационные мероприятия играют важную роль в создании надежного механизма защиты информации, так как возможности несанкцио­нированного использования конфиденциальных сведений в значительной мере обус­лавливаются не техническими аспектами, а злоумышленными действиями, нерадивос­тью, небрежностью и халатностью пользователей или персонала, игнорирующего элементарные правила защиты.

Организационное обеспечение (рис. 3.7) — это регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе та­ким образом, что разглашение, утечка и несанкционированный доступ к конфиденци­альной информации становится невозможным или существенно затрудняется за счет проведения организационных мероприятий.

Влияния этих аспектов практически невозможно избежать с помощью техничес­ких средств, программно-математических методов и физических мер. Для этого необ­ходима совокупность организационно-правовых и организационно-технических мероп­риятий, которые исключали бы (или по крайней мере сводили к минимуму) возможность возникновения опасности для информации.

К организационным мероприятиям можно отнести:

• мероприятия, осуществляемые при проектировании, строительстве и оборудо­вании служебных и производственных зданий и помещений (их цель — исключение возможности тайного проникновения на территорию и в помещения; обеспечение удоб­ства контроля прохода и перемещения людей, проезда транспорта; создание отдель­ных производственных зон по типу конфиденциальности работ с самостоятельными системами доступа и т. п.);
• мероприятия, проводимые при подборе персонала, включающие ознакомление с сотрудниками, их изучение, обучение правилам работы с конфиденциальной информацией, ознакомление с мерами ответственности за нарушение правил защиты информации и др.;
• организацию и поддержание надежного пропускного режима и контроля посети­телей;
• надежную охрану помещений и территории; Q хранение и использование документов и носителей конфи­денциальной информации, включая порядок учета, выда­чи, исполнения и возвращения;
• организацию защиты информации, т. е. назначение ответствен­ного за защиту информации в конкретных производственных коллективах, проведение систематического контроля за ра­ботой персонала с конфиденциальной информацией, порядок учета, хранения и уничтожения документов и т. п.

В каждом конкретном случае такие мероприятия носят спе­цифическую для данной организации форму и содержание, на­правленные на обеспечение безопасности информации в конкрет­ных условиях.

Очевидно, что организационные мероприятия охватывают самые различные источ­ники информации и технические средства ее переработки. Значительная доля органи­зационных мероприятий приходится на работу с сотрудниками. Организационные мероприятия при работе с сотрудниками предприятий различных форм собственности в общем плане включают в себя:

– беседы при приеме на работу;

– ознакомление с правилами и процедурами работы с конфиденциальной инфор­мацией на данном предприятии;

– обучение сотрудников правилам и процедурам работы с конфиденциальной ин­формацией;

– беседы с увольняемыми.

В результате беседы при приеме на работу устанавливается целесообразность при­ема кандидата на соответствующую вакансию. При приеме на работу возможно зак­лючение между предприятием и сотрудником соглашения о неразглашении конфиден­циальной информации, которая является собственностью организации.

В подтверждение требований сохранения в тайне коммерческой информации по­ступающий на работу сотрудник дает подписку о сохранении коммерческой тайны предприятия и обязуется не раскрывать секреты фирмы.

Обучение сотрудников предполагает не только приобретение и систематическое поддержание на высоком уровне производственных навыков, но и психологическое их воспитание в глубокой убежденности, что необходимо выполнять требования промыш­ленной (производственной) секретности, информационной безопасности, защиты ин­теллектуальной собственности и коммерческой тайны. Систематическое обучение способствует повышению уровня компетентности руководства и сотрудников в воп­росах защиты коммерческих интересов своего предприятия.

Беседы с увольняющимися имеют главной целью предотвратить разглашение ин­формации или ее неправильное использование. В ходе беседы следует особо подчерк­нуть, что каждый увольняющийся сотрудник имеет твердые обязательства о неразгла­шении фирменных секретов и эти обязательства, как правило, подкрепляются подпиской о неразглашении известных сотруднику конфиденциальных сведений.

Одним из важных направлений мероприятий является четкая организация системы делопроизводства и документооборота, которая обеспечивает порядок делопроизводства, порядок учета, обработки, хранения, уничтожения и контроля наличия и пра­вильности исполнения документов. При реализации системы особое внимание нужно уделять безопасности документов и конфиденциальной информации.

Организационные мероприятия по защите информации предусматривают:

– обеспечение безопасности рабочих зданий и территории;

– обеспечение безопасности отдельных зон и конкретных помещений;

– организацию четкой системы контроля допуска и доступа на территорию (в по­мещение), к определенной информации.

Документирование информации проводится по строго определенным правилам. Основные из них изложены в ГОСТ 6.38-90 «Система организационно-распорядитель­ной документации. Требования к оформлению документов», ГОСТ 6.10.4-84 «Унифи­цированные системы документации. Придание юридической силы документам на ма­шинном носителе и машинограмме, создаваемым средствами вычислительной техники» и некоторых других. Надо отметить, что эти ГОСТы предполагают 31 реквизит, кото­рые делают информацию документом, но не обязательно, чтобы присутствовали все предлагаемые реквизиты. Главный реквизит — это текст. Поэтому любая информа­ция, изложенная в виде связного текста без каких-либо дополнительных реквизитов, уже может рассматриваться как документ, для придания определенной юридической силы которому необходимы такие важные реквизиты, как дата и подпись.

Особый порядок существует только для документов, полученных из автоматизи­рованных информационных систем. При этом, в определенных случаях, применяется процедура заверения электронной подписью информации, полученной от удаленного объекта.

Основные организационные мероприятия — разработка перечня охраняемых све­дений и проведение аттестации помещений на предмет выработки конкретных мер для защиты конфиденциальной информации. При аттестации помещений составляют аттестационные паспорта. Эта работа производится группами специалистов, оформ­ляется актом, прикладываются соответствующие рекомендации и отдается приказ по организации, где указаны конкретные исполнители и сроки реализации.

Для защиты информации требуется создать специальную административную служ­бу, обеспечивающую все организационные мероприятия. Ее штатная структура, чис­ленность и состав определяется реальными потребностями фирмы, степенью конфи­денциальности ее информации и общим состоянием безопасности.

Защита информации — удовольствие достаточно дорогое, поэтому одним из прин­ципов построения системы защиты должно стать дифференцирование степени защиты по ее важности и ценности.

Анализ мирового и отечественного опыта обеспечения безопасности говорит о необходимости создания целостной системы безопасности учреждения, связывающей организационные, оперативные и оперативно-технические меры защиты с использо­ванием современных методов прогнозирования, анализа и моделирования ситуаций.

Важным дополнением организационных мероприятий является поддержка правиль­ной конфигурации сетевой операционной системы. Решают такую задачу, как прави­ло, системные администраторы.

Администратор создает определенные правила, которые должны соблюдаться уже не людьми, а операционной системой. Администрирование системы — это правильное составление файлов конфигурации. В этих файлах (а их может быть несколько, например, по одному файлу для каждой части системы) и содержится описание пра­вил функционирования системы.

Административное обеспечение очень дешево, т.к. средства расходуются только на содержание специалиста (причем один специалист способен управлять сразу не­сколькими системами). Более того, большинством современных систем можно управ­лять удаленно.

Обучение пользователей при этом требуется самое минимальное. Обычно система сама не даст пользователю произвести запрещенные действия, он просто видит, что какое-либо действие в системе просто не получается. Если административными мера­ми закрыт определенный порт соединения, то слабая с точки зрения безопасности про­грамма ICQ не сможет соединиться со своим сервером и, как следствие, не будет фун­кционировать.

Уязвимость системы кроется в том, что, во-первых, система аутентификации пользо­вателя базируется на имени пользователя и его пароле (имеются в виду общеупотре­бительные системы, экзотические случаи вроде использования сетчатки глаза в рас­чет не берутся), а во-вторых, в необходимости наличия в системе пользователя, наделенного правом администрировать систему — супервизора (supervisor).

Достаточно нарушить режим хранения пароля супервизора и вся система окажет­ся доступна для несанкционированного воздействия. Кроме того, система, основанная на таких правилах, — это статичная, закостенелая система. Она способна противосто­ять лишь строго определенным атакам. При возникновении какой-либо новой угрозы, не предусмотренной изначально, сетевая атака может быть не просто успешной, но и оказаться невидимой для системы. Пользователи должны уяснить для себя два не­сложных правила:

– даже зная пароль супервизора, не следует вмешиваться в дела системных адми­нистраторов;

– системные файлы, созданные в процессе администрирования, играют важную роль в системе безопасности корпоративных сетей, поэтому не следует трогать эти файлы, а уж тем более, удалять.

Чтобы свести к минимуму риск в коммерческой деятельности, нужно оценивать всевозможные угрозы безопасности с учетом двух факторов:

– возможной частоты угроз;

– возможного ущерба от них.

Поэтому очень важно четко уяснить, какая используемая в вашем учреждении ин­формация, пусть даже не принадлежащая вам, подлежит обязательной защите. Начать надо с проведения предварительного анализа имеющейся информации. От этого в даль­нейшем будет зависеть выбор степени ее защиты. Все это позволит дифференциро­вать мероприятия по обеспечению безопасности информации и, тем самым, сократить расходы.

Принятие организационных мер по обеспечению безопасности информации ложится в первую очередь на администраторов сети и специалистов по защите информации. Выявить вмешательство в компьютерную систему часто трудно вследствие того, что злоумышленникам удается скрыть следы проникновения в систему. Все попытки взлома систем обнаруживаются, как правило, совершенно случайно. Например, администра­тор сети заметил пропуск в файле протокола или вхождение в систему в отсутствие пользователя. Или он был предупреждён другими администраторами безопасности о присутствии постороннего в сети.

Обычно злоумышленники действуют в нерабочее время (с 18.00 до 8.00)» а также в выходные и праздничные дни. Поэтому для выявления несанкционированного досту­па необходимо:

– регулярно проверять файлы протоколов, особенно протоколов входа в систему;

– отслеживать подсоединение неизвестных пользователей в непривычное время;

– обращать внимание на идентификаторы пользователей, которые оставались ка­кое-то время неиспользованными и оказались снова задействованными.

Одним из способов выявления постороннего присутствия в сети является запуск каждые 10 мин обычной shell-процедуры, фиксирующей все процессы и соединения по сети в отдельном файле. Эта программа формирует списки пользователей, всех теку­щих процессов и сетевых подключений.

Сегодня на рынке средств защиты представлены разнообразные системы защиты информации. Перед администратором безопасности встает вопрос определения необ­ходимости и порядка их применения. Очевидно, что далеко не все компьютеры орга­низации нужно оснащать дополнительными системами защиты информации, так как это требует новых материальных затрат и может только затруднить эксплуатацию всей компьютерной сети в целом.

Применение средств защиты информации целесообразно при:

– размещении на компьютерах средств криптографической защиты данных (здесь дополнительные средства защиты информации необходимы для защиты ключей электронной цифровой подписи и шифрования);

– необходимости регламентации и протоколирования действий пользователей, ра­ботающих на компьютерах, подключенных к сети (в этом случае система защи­ты не позволяет пользователям действовать так, как не предусмотрено техноло­гией обработки данных);

– необходимости ограничения доступа пользователей, работающих на компьюте­ре, к его локальным ресурсам (дискам, каталогам, файлам или внешним устрой­ствам), а также исключения самостоятельного изменения состава и конфигура­ции программных средств, установленных на компьютере.

Применение дополнительных средств защиты предполагает выполнение админис­тратором безопасности ряда действий. Он должен:

– устанавливать средства зашиты информации на компьютеры;

– настраивать средства защиты информации путем задания прав доступа пользо­вателей к ресурсам (как компьютеров, так и сети);

– контролировать состояние защищенности компьютерной сети путем оператив­ного мониторинга и анализа системных журналов.

Следует учитывать, что с первого раза правильно настроить систему защиты прак­тически невозможно. Обычно это связано с отсутствием полного детального списка всех аппаратных, программных и информационных ресурсов системы, подлежащих защите, и готового противоречивого перечня прав доступа и полномочий каждого пользователя. Поэтому этап внедрения системы защиты информации обязательно вклю­чает первоначальное выявление, последовательное уточнение и соответствующее из­менение настроек, устанавливаемых в этой системе.

Очевидно, что те же самые действия администратору безопасности придется не­однократно повторять и на этапе эксплуатации системы защиты информации при из­менениях состава технических средств» программного обеспечения и т. д. Такие изме­нения происходят довольно часто, поэтому средства управления этой системы должны обеспечивать удобство осуществления необходимых при этом настроек.

В случае, если средства управления не приспособлены к этому, а сами системы защиты информации не обладают достаточной гибкостью, то очень скоро они становятся не помощником, а обузой для всех и, в первую очередь, — для администраторов безопасности. В конце концов такие системы защиты информации обречены на оттор­жение.

Деятельность администратора безопасности на этапе эксплуатации системы защи­ты информации состоит в корректном и своевременном изменении полномочий пользо­вателей и настройке защитных механизмов на компьютерах сети. С увеличением мас­штаба защищаемой компьютерной сети и при сохранении неизменным количества людей, отвечающих за ее информационную безопасность, изменяются требования к способам управления этой системой. Как показывает практика, решения, приемлемые для одного компьютера или небольшой сети из 10—15 рабочих станций, обычно не устраивают обслуживающий персонал и администраторов безопасности больших се­тей, объединяющих сотни машин.

Проблемы по управлению полномочиями пользователей и настройками системы защиты информации в компьютерной сети могут быть решены, например, на основе использования системы централизованного управления доступом к сети.

Принцип реализации такой системы состоит в применении специального сервера управления доступом, работающего на основном файловом сервере сети, который осуществляет автоматическую синхронизацию центральной базы данных защиты с локальными базами данных защиты, размещенных на рабочих станциях.

Введение распределенной базы данных защиты (центральной и локальных) гаран­тирует, что выход из строя сети или сервера управления доступом не будет препят­ствовать нормальному функционированию средств защиты на рабочих станциях.

При данной системе управления доступом полномочия пользователя меняются периодически и заносятся в центральную базу данных защиты, а их изменение на кон­кретных компьютерах происходит во время очередного сеанса синхронизации.

Кроме того, при смене пользователем своего пароля на одной из рабочих станций его новый пароль автоматически отражается в центральной базе данных защиты, а также передается на рабочие станции, на которых данному пользователю разрешено работать.

Администратору безопасности необходимо контролировать состояние компьютер­ной сети как оперативно (путем слежения за состоянием защищенности компьютеров сети), так и не оперативно (путем анализа содержимого журналов регистрации собы­тий системы защиты информации).

Использование сервера управления доступом для оперативного контроля за со­стоянием рабочих станций и работой пользователей позволяет отказаться от постоян­ного администратора безопасности. В этом случае сервер управления доступом авто­матически регистрирует несанкционированные действия, происходящие в сети, и всегда обладает оперативной информацией о состоянии рабочих станций.

Увеличение количества рабочих станций и использование программных средств, вклю­чающих много разнообразных компонентов, приводит к существенному увеличению объе­мов журналов регистрации событий в системе зашиты информации. Объем сведений, хра­нящийся в журналах, может стать настолько большим, что администратор уже физически не сможет полностью проанализировать их содержимое за приемлемое время.

Зашита от компьютерных вирусов в настоящее время основывается на применении организационных мероприятий и программных средств, которые практически включают в себя аппаратные возможности компьютеров, программных средств, системно­го программного обеспечения и специальных программных средств защиты.

Организационные средства также позволяют минимизировать риск заражения ком­пьютеров вирусами, а при заражении — сразу же информировать пользователя и по­мочь уничтожить вирус и его последствия. Организационные меры защиты включают следующие основные мероприятия:

– резервирование (наличие всех основных компонентов операционной системы и программного обеспечения в архивах, копирование таблиц распределения фай­лов дисков, ежедневное ведение архивов изменяемых файлов);

– профилактика (систематическая выгрузка содержимого активной части винчес­тера на дискеты, раздельное хранение компонентов программного обеспечения и программ пользователей, хранение неиспользуемых программ в архивах);

– ревизия (обследование вновь получаемых программ на дискетах и дисках на на­личие вирусов, систематическая проверка длин файлов, хранящихся на винчес­тере, использование и постоянная проверка контрольных сумм при хранении и передаче программного обеспечения, проверка содержимого загрузочных сек­торов винчестера и используемых дискет системных файлов);

– фильтрация (разделение винчестера на логические диски с различными возмож­ностями доступа к ним, использование резидентных программных средств сле­жения за файловой системой);

– защита, основанная на применении специальных программных средств.

Все эти мероприятия, в той или иной степени, включают использование различных программных средств защиты. К их числу необходимо отнести программы-архивато­ры, программы резервирования важных компонентов файловой системы, просмотра содержимого файлов и загрузочных секторов, подсчета контрольных сумм и собственно программ защиты.

Инженерно-техническое обеспечение безопасности информации

В настоящее время для получения конфиденциальной информации злоумыш­ленниками, в том числе и промышленными шпионами, используются самые разно­образные средства и способы проникновения на объекты, разработанные на осно­ве последних достижений науки и техники, с использованием новейших технологий в области миниатюризации в интересах скрытного их использования. Для противо­действия этому натиску службы безопасно­сти оснащаются необходимой аппаратурой, не уступающей по надежности и функцио­нальным возможностям аппаратуре зло­умышленников. Инженерно-техническое обеспечение безопасности информации пу­тем осуществления необходимых техничес­кий и организационных мероприятий долж­но исключать:

• неправомочный доступ к аппаратуре обработки информации путем контроля доступа в производственные помещения;
• неправомочный вынос носителей информации персоналом, занимающимся об­работкой данных, посредством выходного контроля в соответствующих произ­водственных помещениях;
• несанкционированное введение данных в память, изменение или стирание ин­формации, хранящейся в памяти;
• неправомочное пользование системами обработки информации и незаконное по­лучение в результате этого данных;
• доступ в системы обработки информации посредством самодельных устройств и незаконное получение данных;
• возможность неправомочной передачи данных через компьютерную сеть;
• бесконтрольный ввод данных в систему;
• обработку данных заказчика без соответствующего указания последнего;
• неправомочное считывание, изменение или стирание данных в процессе их пе­редачи или транспортировки носителей информации.

Методы защиты информации от большинства угроз базируются на инженерных и технических мероприятиях (рис. 3.8). Инженерно-техническая защита — это сово­купность специальных органов, технических средств и мероприятий, функционирую­щих совместно для выполнения определенной задачи по защите информации.

Инженерно-техническая защита использует следующие средства:

• физические средства;
• аппаратные средства;
• программные средства;
• криптографические средства.

Физические средства включают в себя различные инженерные средства и сооруже­ния, препятствующие физическому проникновению злоумышленников на объекты за­щиты и защищающие персонал (личные средства безопасности), материальные сред­ства и финансы, информацию от противоправных действий.

По уровню физической защиты все зоны и производственные помещения могут быть подразделены на три группы:

· тщательно контролируемые зоны с защитой высокого уровня;

· защищенные зоны;

· слабо защищенные зоны.

К первой группе относятся, как правило, серверные комнаты, помещения с сете­вым и связным оборудованием, архив программ и данных.

Ко второй группе относятся помещения, где расположены рабочие места админис­траторов, контролирующих работу сети, а также периферийное оборудование ограни­ченного пользования.

В третью группу входят помещения, в которых оборудованы рабочие места пользо­вателей и установлено периферийное оборудование общего пользования.

К аппаратным средствам относятся приборы, устройства, приспособления и дру­гие технические решения, используемые в интересах обеспечения безопасности. В практике деятельности любой организации находит широкое применение самая раз­личная аппаратура: от телефонного аппарата до совершённых автоматизированных

информационных систем, обеспечивающих ее производственную деятельность. Ос­новная задача аппаратных средств — стойкая безопасность коммерческой деятельно­сти.

Программные средства — это специальные программы, программные комплексы и системы защиты информации в информационных системах различного назначения и средствах обработки данных.

Криптографические средства — это специальные математические и алгоритмичес­кие средства защиты информации, передаваемой по сетям связи, хранимой и обраба­тываемой на компьютерах с использованием методов шифрования.

В общем случае система физической безопасности должна включать в себя следу­ющие подсистемы:

• управления доступом (с функцией досмотра);
• обнаружения проникновения, аварийной и пожарной сигнализации (тревожной сигнализации);
• инженерно-технической защиты (пассивной защиты);
• отображения и оценки обстановки;
• управления в аварийных и тревожных ситуациях;
• оповещения и связи в экстремальных ситуациях;
• обеспечения личной безопасности персонала.

При построении системы физической безопасности, удовлетворяющей сформули­рованным требованиям, выбираются и объединяются средства противодействия из числа указанных ниже:

• здания и строительные препятствия, мешающие действиям злоумышленника и задерживающие его;
• аппаратура тревожной сигнализации, обеспечивающая обнаружение попыток про­никновения и несанкционированных действий, а также оценку их опасности;
• системы связи, обеспечивающие сбор, объединение и передачу тревожной ин­формации и других данных;
• системы управления, необходимые для отображения и анализа тревожной ин­формации, а также для реализации ответных действий оператора и управления оборонительными силами;
• персонал охраны, выполняющий ежедневные программы безопасности, упраз-ление системой и ее использование в нештатных ситуациях;
• процедуры обеспечения безопасности, предписывающие определенные защит­ные мероприятия, их направленность и управление ими.

6. ОПРЕДЕЛЕНИЕ СТЕПЕНИ ЗАЩИЩЕННОСТИ СЕТИ

Компьютерная сеть любой современной организации — это разнородная много­компонентная система. Защита одного или нескольких компонентов не может обес­печить необходимый уровень защищенности информационных ресурсов предприя­тия, что в современной сложной обстановке, когда различные негативные проявления типа вирусных атак стали обычным повседневным явлением, — настоятельная по­требность.

Разумеется, компьютерной сети угрожают не только вирусы, здесь можно отме­тить сбои, остановки в работе, ошибки в программах, конфликты периферийных ус­тройств, «дыры» в операционных системах и другие вредоносные факторы. Кроме того, вопросами обеспечения безопасности часто начинают заниматься тогда, когда информационное пространство объекта уже сформировалось. Между тем, любая ин­формация — ценнейший товар предприятия. Ее потеря из-за неэффективно органи­зованной защиты может обернуться серьезными финансовыми проблемами для ее собственника.

Большинство пользователей сети предприятия (фирмы) являются профессионала­ми в различных областях, но не владеют в достаточной мере специальными знаниями в области защиты информации для оценки уровня безопасности сети. Если кто-либо из них, возможно, сможет грамотно сконфигурировать сложно настраиваемый комп­лекс, использовать специализированные прикладные программы, осуществлять адми­нистрирование сети, то многие не справятся с несложными операциями подключения внешних устройств. Поэтому даже в том случае, когда элементы комплекса средств защиты полностью или частично внедрены, вопрос, насколько они эффективны, оста­ется актуальным. Для решения этого вопроса не всегда необходимо прибегать к таким дорогостоящим и требующим значительных временных затрат средствам, как серти­фикационная процедура оценки по требованиям безопасности.

Современные требования, предъявляемые к защищенным компьютерным системам, изложены в документе, имеющем статус международного стандарта, который полу­чил название «Общие критерии» (Common Criteria for Information Technology Security Evaluation. Version 1.0) и появился совсем недавно, отличаются большей гибкостью, динамизмом по сравнению с предшествующими. При этом подход, основанный на раз­работке подобных требований к информационным системам и дальнейшей оценке со­ответствия им, можно считать наиболее приемлемым.

В настоящее время существует несколько методов оценки защищенности компью­терных сетей (рис. 3.9). Среди них можно выделить:

– аналитический;

– имитационный;

– экспертный.

Ни один из этих методов не имеет преимущества над другим. При выборе и ис­пользовании методов и моделей той или иной группы следует опираться только на их соответствие решаемой задаче и применять те методы, которые в данной ситуации наиболее оправданы.

Что касается самого метода оценки защищенности, то здесь можно сказать следу­ющее. Действительно, с методической точки зрения аналитические и имитационные модели, которые разработаны к настоящему времени, выглядят более предпочтитель­ными, так как основываются на формализованном представлении предметной облас­ти. Экспертные методы позволяют находить решение в условиях слабоструктуриро­ванной предметной области.

Однако отметим, что существующие на сегодняшний день модели и методики оценки во многом ориентированы на узкого специалиста-профессионала, который хорошо разбирается в данной конкретной проблематике. Что же касается вопроса определе­ния необходимого набора требований и критериев оценки и их соблюдения, то здесь основная трудность состоит в сложности выработки полного и достоверного их мно­жества и повторяющемся характере процедуры их конкретизации в течение всего жиз­ненного цикла компьютерной сети. И эта трудность до сих пор не преодолена. Кроме того, найти компромисс между стремлением проектировщиков систем защиты к конк­ретности требований и совместимости их с современными типами архитектур локаль­ных и распределенных сетей и желанием пользователей получить простую, однознач­ную и в то же время гибкую систему требований, определяющих защищенность, очень трудно. А с учетом роли специалистов-оценщиков, требующих детально регламенти­ровать процедуру квалификационного анализа и максимально четко определить сово­купность критериев оценки и их значения, ситуация достижения компромисса стано­вится практически нереальной.

Поэтому при решении задачи анализа защищенности компьютерной сети целесо­образно сформировать группу специалистов-экспертов различного профиля (метод экспертной оценки), которые будут взаимодействовать с заказчиком (пользователем, проектировщиком) и корректировать требования в соответствии с их непониманием решаемых задач. Таким образом, процессы оценки качества функционирования сети с точки зрения безопасности будут органически вписываться в сценарий проектирова­ния и эксплуатации компьютерной сети, а руководство предприятия и его ведущие специалисты смогут активно участвовать в этом процессе. Эксперты же, руководству­ясь опытом и знаниями, смогут подсказать, на что следует обратить внимание, и отве­тить на вопрос, связанный с возможностью эксплуатации оцениваемой компьютерной сети с учетом обеспечиваемого уровня защищенности, который оправдан с точки зре­ния важности охраняемой и обрабатываемой средствами данной сети информации. Сама же оценка защищенности будет выполнять сразу несколько функций:

– аналитическую, которая включает тщательное и всестороннее изучение сетевой структуры, ее элементов, внешней среды, в которой она функционирует;

– контрольную, связанную с выработкой требований к разработке, внедрению и эксплуатации средств защиты;

– консультативно-диагностическую, ориентированную на анализ состояния сис­темы защиты сети, формирование рекомендаций по предпочтению и использо­ванию механизмов, обеспечивающих защищенность.

Применение метода экспертных оценок не является новым для решения задач в различных областях.

Например, в медицине довольно часто практикуется сопоставление мнений веду­щих специалистов, когда необходимо поставить диагноз и определить способ лечения пациента в случаях особо сложных заболеваний. Аналогично этому, в отношении за­дачи оценки защищенности компьютерной сети можно провести некоторую аналогию. Здесь при анализе механизмов, обеспечивающих защищенность, эксперт ставит свое­го рода диагноз, дающий ответ на вопрос о возможности использования данной систе­мы для обработки конфиденциальной информации. При этом мнение одного специа­листа может оказаться совершенно отличным от мнения другого, так как разные эксперты могут детально разбираться каждый в своей, достаточно узкой, профессио­нальной области. Объединение, сопоставление и анализ результатов оценки различ­ных специалистов позволяют получить более полную картину относительно объекта экспертизы.

Такой методический подход как раз и способствует выявлению широкого диапазо­на мнений специалистов в данной предметной области и получению на этой базе объек­тивного экспертного заключения о защищенности оцениваемой компьютерной сети. Кроме того, при данном подходе возможно проведение экспертного анализа собствен­ными силами предприятия, активно использующего средства информатизации. Это, конечно, не означает, что необходимость в специализированной оценке, осуществляе­мой сегодня специальными государственными структурами на основе соответствую­щих стандартов и нормативных документов, практически отпадает. Однако благодаря предварительному анализу защищенности по предлагаемой процедуре может умень­шиться вероятность повторного обращения в специализированные центры, в случае, когда принято решение о том, чтобы подвергнуть локальную сеть сертификационной процедуре.

При выборе показателей оценки защищенности компьютерной сети должны учи­тываться следующие принципы:

– ясность и измеряемость значений;

– отсутствие перекрытия между используемыми показателями;

– соответствие установившимся понятиям и терминологии;

– возможность последующего уточнения, дополнения и детализации.

Каждый показатель может принимать значения типа: «высокая», «средняя», «низ­кая», «полное соответствие», «частичное» и т. д. Такая формулировка создает доста­точно удобства для работы эксперта, так как ему предлагается оценить степень соот­ветствия фактического и требуемого состояния системы защиты сети по некоторым важным параметрам.

Дата добавления: 2014-01-07