Информационная безопасность и защита информации

Комплексный и системный подход к организации защиты информации предполагает, с одной стороны, выявление  и анализ возможных каналов утечки защищаемой информации с учетом объемов  такой информации и носителей, на которых она накапливается, и  ее важности. С другой стороны, изучаются  и анализируются возможности  конкурента по собиранию и добыванию защищаемой информации не вообще, а в каждом конкретном случае в отношении определенного предприятия, учреждения, отрасли или проблемы.

Системный подход позволяет создать  органически взаимосвязанную совокупность сил, средств и специальных методов  по оптимальному ограничению сферы  обращения засекреченной информации, предупреждению ее утечки.

При создании системы защиты информации и осуществлении мероприятий  по защите секретов от разглашения  или новейших TCP важно предусматривать  разносторонние комплексные защитные меры, направленные на предупреждение утечки информации из сферы ее обращения.

Максимальное ограничение числа  лиц, допускаемых к защищаемой информации. Является организационным принципом, применяемым повсеместно в деятельности по защите информации как у нас  в стране при организации защиты государственных или коммерческих секретов, так и зарубежными странами и иностранными фирмами.

Основной смысл этого принципа сводится к тому, что сохранность  засекреченной информации находится  в зависимости от количества лиц, допущенных к обращению с нею. Чем уже этот круг, тем выше вероятность  сохранения в тайне данной информации. Организационно этот принцип решается следующим образом: к секретным  работам допускаются лица, имеющие, во-первых, на то соответствующее разрешение в виде допуска, и во-вторых, из числа  лиц имеющих допуск — получившие разрешение на работу с конкретной информацией в виде доступа, который  получают только те, кто непосредственно  связан по работе с этой информацией.

Своеобразным проявлением этого  принципа возможно также дробление  технологической цепочки производства какого-либо изделия, продукта на отдельные  операции, знание одной из которых  не дает возможность восстановить всю  технологию. Каждая из операций засекречивается  самостоятельно и переход специалиста  с одной операции на другую или  вообще бывает невозможен, или требует  специального допуска и, следовательно, рассмотрения вопроса — с какой  целью это делается, если происходит по инициативе работника.

Персональная ответственность  за сохранность доверенных секретов. Этот принцип хорошо «работает», если каждый сотрудник, допущенный к защищаемой информации, понимает и осознает, что  сохранение в тайне этой информации и в его собственных интересах. Если же работник видит, что сохранение какой-то информации в тайне нужно  лишь предприятию или государству, а ему лично ничего не дает, то он к этому будет и относиться формально. Над ним будет тяготеть лишь груз боязни ответственности.

Важным фактором, повышающим ответственность  сотрудников за сохранение доверенных им секретов, является обучение правилам защиты засекреченной информации и  правилам обращения с конфиденциальными  документами.

Единство в решении производственных, коммерческих, финансовых и режимных вопросов. В этом принципе заложено одно из проявлений комплексного подхода  к организации защиты информации, имеющего, однако, относительно самостоятельное  значение. Знание и учет этого принципа заключается в том, что лица, принимающие  решения о засекречивании информации, болеющие больше, конечно, за решение  производственных, финансовых, маркетинговых  и иных подобных задач, не должны забывать и упускать из вида необходимость  одновременного решения и режимных вопросов, там, где это необходимо.

Непрерывность защиты информации. Данный принцип заключается в том, что  защита секретной или конфиденциальной информации должна начинаться с момента  ее появления (получения, создания, генерирования) «а всех этапах ее обработки, передачи, использования и хранения, вплоть до этапа ее уничтожения или рассекречивания.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

3.3 « Принципы защиты информации  от технических средств разведки»

В организации деятельности по защите информации от TCP и в СВТ руководствуются, прежде всего, теми же организационными и правовыми принципами, о которых  говорилось выше. Это объясняется  тем, что эти принципы имеют достаточно общий и универсальный характер. Эти принципы «работают» независимо от того, где, когда и кем осуществляется защита информации.

Однако имеются и специфические  принципы, обусловленные особенностями  предмета защиты, то есть носителей, на которых отображена защищаемая информация, используемых при этом силах, средствах  и методах, а также учитываются  средства и методы добывания защищаемой информации соперником с помощью TCP.

Принципы защиты информации, используемые при организации противодействия TCP:

— активность защиты информации —  выражается в целенаправленном навязывании  технической разведке ложного представления  об объекте его разведывательных устремлений, в соответствии с замыслом защиты;

— убедительность защиты информации — состоит в оправданности  замысла защиты условиям обстановки в соответствии с характером защищаемого  объекта или свойствам окружающей среды, в применении технических  решений защиты, соответствующих  климатическим, сезонным и другим условиям;

— непрерывность защиты информации предполагает организацию защиты объекта  на всех стадиях его жизненного цикла: предпроектном, проектном, в период разработки, изготовления (строительства), испытания, эксплуатации и утилизации;

— разнообразие защиты информации —  предусматривает исключение шаблона, повторяемости в выборе объекта  прикрытия и путей реализации смысла защиты, в том числе с  применением типовых решений.

Принципы защиты информации, используемые в СВТ. Основными принципами защиты информации, имеющими специфический  характер и используемыми в организации  защиты информации в СВТ, являются, по нашему мнению, следующие: введение избыточности элементов системы, резервирование элементов системы, защитные преобразования данных, контроль состояния элементов  системы, их работоспособности и  правильности функционирования.

Под введением избыточности элементов  системы понимается включение дополнительных компонентов сверх того минимума, который необходим для выполнения им всего множества своих функций. Избыточные элементы функционируют  одновременно с основными, что позволяет  создавать системы, устойчивые относительно внешних и внутренних дестабилизирующих  факторов и воздействий. Различают  избыточность организационную, аппаратную, программно-алгоритмическую, информационную, и др.

Защитные преобразования данных, контроль состояния элементов системы, их работоспособности и правильности функционирования будут рассмотрены  нами ниже.

Резервируются обычно не все элементы системы защиты информации, а особо  важных компьютерных подсистем, чтобы  в случае возникновения каких-то чрезвычайных обстоятельств, их можно  было использовать для решения стоящих  перед системой задач.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Глава 4. «СИСТЕМНЫЙ ПОДХОД КАК МЕТОДОЛОГИЯ ПОСТРОЕНИЯ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ»

Понятия «системный подход» и «система». Для того чтобы лучше понять необходимость  применения системного подхода к  организации деятельности по защите информации, следует представить, что  общая теория защиты секретов является составной и неразрывной частью теории обеспечения национальной безопасности государства, укрепления его обороноспособности и экономической мощи. Защита информации охватывает и вовлекает в свою орбиту различные структуры государственного аппарата, органы и предприятия независимо от форм их собственности, организации  и фирмы и т.д. Все эти структуры  государства связаны друг с другом, причем не какими-то случайными связями, а устойчивыми, влияющими друг на друга и зависящими друг от друга. Разобраться во всем многообразии этих связей можно только тогда, когда  мы применим для рассмотрения проблем  защиты информации системный подход.

Под системным подходом понимается методологическое направление в  науке, основная задача которого состоит  в разработке методов исследования и конструирования сложноорганизованных объектов — систем разного типа и классов. Системный подход используется в целях познания, исследовательской  и конструкторской деятельности, описания и объяснения природы анализируемых  или искусственно создаваемых объектов. Под системой же обычно понимают совокупность элементов, находящихся в отношениях и связях между собой и образующих определенную целостность, единство.

Системный подход к исследованию проблем  защиты информации позволит сделать  переход к упрощению всех сложных  связей системы защиты информации со всеми другими системами, с внешней  средой, выявить и понять сущность деятельности по защите информации. Прежде всего следует осознать, что защита информации имеет самостоятельное  значение лишь относительно. Она призвана обеспечить нормальное и эффективное  функционирование вышестоящей системы, в которую она «встроена» и  которой она создана: например, обеспечивать деятельность отрасли, предприятия, фирмы  и т.д. Цель режимной деятельности на любом предприятии состоит в  том, чтобы обеспечить научно-производственную, управленческую и другую деятельность секретной и другой защищаемой информацией. Поэтому система защиты информации является системой режимного информационного  обслуживания другой системы, являющейся по отношению к ней вышестоящей.

Информационный характер системы  защиты информации. Для большинства  таких систем характерно наличие  в них процессов передачи информации и управления. Информационные процессы обеспечивают целостное и целенаправленное функционирование системы. Системы  защиты информации относятся к целенаправленно  функционирующим системам, так как их создание обусловлено именно тем обстоятельством, что они должны быть пригодны для решения определенного класса задач, достигать определенных целей. Это, как правило, частично закрытые системы, так как с окружающей средой («не своей») обмен информацией они проводят весьма ограниченно и осмотрительно.

Для систем защиты информации характерны как бы два информационных контура: один информационный поток связан с  процессами управления системой защиты информации, другой информационный поток  — собственно защищаемая информация, которая является предметом труда, перемещается по каналам системы  защиты информации для «питания»  информацией той системы, в которую  она «встроена» и которой она  оказывает информационные услуги режимного  характера при осуществлении  этой системой научно-производственной, управленческой и иной деятельности.

Требования к системе защиты информации. Любая система защиты информации имеет свои особенности  и в то же время должна отвечать общим требованиям. Наиболее общими требованиями к системе защиты информации являются следующие.

Во-первых, система защиты информации должна быть представлена как нечто  целое. Целостность системы будет  выражаться в наличии: единой цели ее функционирования, информационных связей между элементами системы, иерархичность  построения подсистемы управления системой защиты информации.

Во-вторых, система защиты информации должна обеспечивать безопасность информации, средств информации и защиту интересов  участников информационных отношений.

В-третьих, система защиты информации в целом, методы и средства защиты должны быть по возможности «прозрачными»  для законного пользователя, не создавать  ему больших дополнительных неудобств, связанных с процедурами доступа  к информации, и в то же время  быть непреодолимыми для несанкционированного доступа злоумышленника к защищаемой информации.

В-четвертых, система защиты информации должна обеспечивать информационные связи  внутри системы между ее элементами, обеспечивающие их согласованное функционирование, и связи с внешней средой, перед  которой система проявляет свою целостность и выступает как единое целое.

 

 

 

 

 

 

4.1 «Структура системы защиты информации»

С одной стороны, система защиты информации включает в себя совокупность элементов ее образующих и их свойства. Внутренние связи системы и их свойства составляют архитектуру системы, ее структуру и внутреннюю организацию; с другой стороны, элементы системы  имеют внешние связи, которые  целенаправленно воздействуют на внешнюю  среду и решают поставленные перед  системой задачи. Это есть функциональная часть системы. Вполне естественно, что эти две части, две стороны  — функциональная и структурная  — не отделены друг от друга, это  как бы две стороны одних и  тех же элементов, составляющих систему  защиты информации.

Структурная часть системы защиты информации составляет ее внутреннюю организацию, которая позволяет  системе функционировать нормально, создает условия для обеспечения  безопасности засекреченной информации, ее обращения только по каналам, контролируемым данной системой.

Структурная часть системы защиты информации включает в себя:

1. Систему законов и других  нормативных актов, устанавливающих:

— порядок и правила защиты информации, а также ответственность за покушение  на защищаемую информацию или на установленный  порядок ее защиты;

— защиту прав граждан, связанных  по службе со сведениями, отнесенными  к охраняемой тайне;