Комплексное обеспечение информационной безопасности автоматизированных систем (продолжение) - Другое - Каталог статей

1. Стадии и этапы проектирования Комплексной системы обеспечения информационной безопасности.
2. Типовая структура Комплексной системы обеспечения информационной безопасности от несанкционированного доступа
3. Последовательность работ при проектировании Комплексной системы обеспечения информационной безопасности от несанкционированного доступа.
4. Предпроектное исследование системы безопасности.
5. Игровые модели принятия решений системы информационной безопасности, анализ информированности.
6. Метод экспертных структурных опросников для оценки качества Комплексной системы обеспечения информационной безопасности.
7. Аттестация по требованиям безопасности.
8. Концепция Комплексной системы обеспечения информационной безопасности.
9. Требования к эксплуатационной документации Комплексной системы обеспечения информационной безопасности.
10. Организационное управление защитой информации. Организационно-функциональные задачи службы безопасности.
11. Моделирование угроз информационной безопасности и защиты.
12. Мониторинг и контроль состояния окружающей среды.
13. Литература

6. Метод экспертных структурных опросников для оценки качества Комплексной системы обеспечения информационной безопасности.

Создается анкета специального вида или Опросник, информация в котором необходима для проектирования защиты информации.

Эксперты должны быть из разных областей. При учете оценки каждого эксперта в составлении итоговой оценки учитывается стаж работы эксперта (например, стаж 30 лет – 10 баллов, 15 лет – 5 баллов), ответы данного эксперта оценивают с коэффициентом 1 только в том разделе, экспертом в котором он является, в других разделах коэффициент ниже.

7. Аттестация по требованиям безопасности.

Согласно руководящим документам Гостехкомиссии России все объекты информатизации, предназначенные для обработки информации, составляющей государственную тайну, а также для ведения секретных переговоров, подлежат обязательной аттестации по требованиям безопасности информации.

Под аттестацией объекта информатизации по требованиям безопасности информации понимается комплекс организационно-технических мероприятий, в результате которых посредством специального документа - “Аттестата соответствия” подтверждается, что объект соответствует требованиям по защите информации, утвержденным Гостехкомиссией России, ФАПСИ или другими органами государственного управления в пределах их компетенции. Наличие на объекте информатизации действующего Аттестата соответствия дает право на обработку информации со степенью секретности и на период времени, установленными в “Аттестате соответствия”.

К аттестуемым объектам информатизации относятся:

Аттестация предусматривает комплексную проверку (аттестационные испытания) защищаемого объекта в реальных условиях эксплуатации с целью оценки соответствия использованного комплекса мер и средств защиты требуемому уровню безопасности информации. При этом подтверждается соответствие объекта требованиям по защите информации от утечки по всем возможным физическим каналам и несанкционированного доступа к ней.

Проводится предварительное ознакомление с объектом, в ходе которого определяются защищаемые информационные ресурсы, изучается состав оформленной на объект информатизации документации, определяется перечень необходимых измерений и испытаний. На указанном этапе составляются Программа и методика проведения испытаний, смета, договор и т.д.
Программа определяет необходимые виды испытаний, соответствующих данному виду объектов информатизации, а также сроки, условия и методики проведения испытаний.
Проводится комплекс необходимых исследований и измерений, направленных на выявление технических каналов утечки информации:
- исследования акустической и виброакустической защищенности помещений; исследование на акустоэлектрические преобразования;
- исследование технических средств на наличие ПЭМИ;
- исследование сети питания и цепей заземления;
- проведение необходимых спецпроверок технических средств и систем;
- исследование защищенности информации от НСД;
- спецобследование помещений.
По результатам второго этапа определяется необходимость дооснащения объекта сертифицированными средствами и системами защиты информации. Проводятся работы по монтажу и настройке аппаратуры, а затем контрольные исследования защищенности информации.
Организационно-распорядительная документация объекта по безопасности информации приводится в соответствие с требованиями нормативных документов.
Проводятся комплексные аттестационные испытания согласно утвержденным ранее Программе и методике. По итогам оформляются Заключение и Аттестат соответствия требованиям по защите информации.

8. Концепция Комплексной системы обеспечения информационной безопасности.

Концепция комплексной защиты информации должна удовлетворять следующей совокупности требований:

С целью построения концепции, удовлетворяющей всей совокупности перечисленных требований, в последнее время рядом отечественных ученых активно разрабатывается теория защиты информации, которая предлагает следующую систему концептуальных решений:

1. Введение понятия функций защиты и формирование полного множества функций;
Под функцией защиты понимается совокупность однородных в функциональном отношении мероприятий, регулярно осуществляемых в АС различными средствами и методами с целью создания, поддержания и обеспечения условий, объективно необходимых для надежной защиты информации. Для того, чтобы множество функций соответствовало своему назначению, оно должно удовлетворять требованию полноты.Можно выделить следующий перечень полноты множества функций защиты:

Полнота множества функций защиты имеет принципиальное значение еще и с точки зрения оптимизации системы защиты информации.

2. Введение понятия задачи защиты и формирование множества задач;
Под задачами защиты понимаются организованные возможности средств, методов и мероприятий, осуществляемых в АС с целью полной или частичной реализации одной или нескольких функций защиты. Основными требованиями, предъявляемые к множеству задач является репрезентативность и реализуемость. Под репрезентативностью понимается достаточность их для обеспечения требуемого уровня и эффективности осуществления всех целей, а под реализуемостью – возможность реализации имеющимися средствами и методами.Весьма сложной и практически нерешенной является проблема оценки эффективности осуществления функций защиты решением той или иной задачи защиты или некоторой совокупности задач. Ввиду большой подверженности самого процесса защиты влиянию случайных факторов, наиболее подходящими для этих целей, очевидно, будут различные неформальные методы оценивания и поиска решений.

3. Введение понятия средств защиты и обоснование возможностей создания достаточного арсенала таких средств;
Множество разнообразных возможных средств защиты определяется прежде всего способами воздействия на дестабилизирующие факторы или порождающие их причины. Принято выделять следующие классы средств защиты:

Физические средства – механические, электрические, электромеханические, электронные, электронно-механические и тому подобные устройства и системы, которые функционируют автономно, создавая различного рода препятствия на пути дестабилизирующих факторов.

Аппаратные средства – различные электронные, электронно-механические и тому подобные устройства, схемно встраиваемые в аппаратуру АС или сопрягаемые с ней специально для решения задач защиты информации.

Программные средства – специальные пакеты программ или отдельные программы, используемые для решения задач защиты.

Организационные средства – организационно технические мероприятия, специально предусматриваемые в АС с целью решения задач защиты.Законодательные средства – законы и другие нормативно-правовые акты, с помощью которых регламентируются права и обязанности всех лиц и подразделений, имеющих отношение к функционированию АС, в которой присутствует информация ограниченного доступа, а также устанавливается ответственность за действие, следствие которых может быть нарушение защищенности информации.

Морально-этические средства – сложившиеся в обществе или данном коллективе моральные нормы и правила, соблюдение которых способствует защите информации, а нарушение приравнивается к несоблюдению правил поведения в обществе или коллективе.

К специальным средствам относят криптографические методы. Они используются как для защиты обрабатываемой информации в компонентах системы, так и для защиты информации, передаваемой по каналам связи.

4. Введение понятия системы защиты и обоснование методологии построения оптимальных систем;
Это организационная совокупность всех средств, методов и мероприятий, выделяемых в АС для решения в ней выбранных задач защиты. Все ресурсы, выделяемые для задач защиты, должны объединяться в единую, целостную систему, которая является функционально самостоятельной подсистемой АС.

5. Введение понятия и обоснование методологии управления функционированием системы защиты информации.
Оно определяется как частный случай управления в системе организационно-технологического типа. Для систем такого типа полное множество составляют следующие функции:Планирование – разработка рациональной программы предстоящих действий;

9. Требования к эксплуатационной документации Комплексной системы обеспечения информационной безопасности.

Эксплуатационная документация должна в себя включать:

10. Организационное управление защитой информации. Организационно-функциональные задачи службы безопасности.

Организационный элемент системы защиты информации содержит меры управленческого, режимного, и технологического характера, определяющего основы и содержание системы защиты, побуждающие персонал соблюдать правила защиты конфиденциальной информации фирмы. Эти меры связаны с установлением режима конфиденциальности в фирме. Элемент включает регламентацию:

Методов отбора персонала для работ с защищаемой информацией, методики обучения и инструктирования сотрудников;

По мнению большинства специалистов, меры организационной защиты составляют 50-60% в структуре большинства систем ЗИ. Это связано с рядом факторов и также с тем, что важной составной частью организационной защиты является подбор, расстановка и обучение персонала, который будет реализовывать на практике систему защиты информации. Отечественный и зарубежный опыт свидетельствует, что основную роль в обеспечении сохранности коммерческой тайны играют сами предприятия, а не государственные органы. Многогранность сферы обеспечения безопасности и защиты информации требует создания специальной службы, осуществляющей реализацию специальных защитных мероприятий – службы безопасности предприятия (фирмы). Служба безопасности предприятия – это совокупность сил и средств, осуществляющая взаимосвязанные мероприятия организационно-правового характера в целях защиты предпринимательской и производственной деятельности от реальных или потенциальных действий физических или юридических лиц, которые могут привести к существенным экономическим потерям в результате нарушения информационной безопасности фирмы.

Основные задачи, решаемые службой безопасности предприятия следующие:

обеспечение безопасности производственно-торговой деятельности и защиты информации и сведений, являющихся коммерческой тайной;
организация работы по правовой, организационной и инженерно-технической (физической, аппаратной, программной и математической) защите коммерческой тайны;
организация специального делопроизводства, исключающего несанкционированное получение сведений, являющихся коммерческой тайной;
предотвращение необоснованного допуска и доступа к сведениям и работам, составляющим коммерческую тайну;
выявление и локализации возможных каналов утечки конфиденциальной информации в процессе повседневной производственной деятельности и в экстремальных (аварийных, пожарных и др.) ситуациях;
обеспечение режима безопасности при проведении всех видов деятельности, включая различные встречи, переговоры, совещания, заседания, связанные с деловым сотрудничеством как на национальном, так и на международном уровне;
обеспечение охраны зданий, помещений, оборудования, продукции и технических средств обеспечения производственной деятельности;
обеспечение личной безопасности руководства и ведущих сотрудников и специалистов;
оценка маркетинговых ситуаций и неправомерных действий злоумышленников и конкурентов.

Служба безопасности предприятия выполняет следующие общие функции:

организует и обеспечивает пропускной и внутри объектовый режим в зданиях и помещениях, порядок несения службы охраны, контролирует соблюдение требований режима сотрудниками, смежниками, партнерами и посетителями;
руководит работами по правовому и организационному регулированию отношений по защите коммерческой тайны;
участвует в разработке основополагающих документов с целью закрепления в них требований обеспечение безопасности и защиты коммерческой тайны, в частности, Устава, Коллективного договора, Правил внутреннего трудового распорядка, Положений о подразделениях, а также трудовых договоров, соглашений, подрядов, должностных инструкций и обязанностей руководства, специалистов, рабочих и служащих;
разрабатывает и осуществляет совместно с другими подразделениями мероприятия по обеспечению работы с документами, содержащими сведения, являющиеся коммерческой тайной, при всех видах работ, организует и контролирует выполнение требований "инструкции по защите коммерческой тайны";
изучает все стороны коммерческой, производственной, финансовой и другой деятельности для выявления и закрытия возможных каналов утечки конфиденциальной информации, ведет учет и анализ нарушений режима безопасности, накапливает и анализирует данные о злоумышленных устремлениях конкурентов и других организаций о деятельности предприятия и его клиентов, партнеров, смежников;
организует и проводит служебные расследования по фактам разглашения сведений, утрат документов и других нарушений безопасности предприятия; разрабатывает, ведет, обновляет и пополняет "Перечень сведений, составляющих коммерческую тайну" и другие нормативные акты, регламентирующие порядок обеспечения безопасности и защиты информации;
обеспечивает строгое выполнение требований нормативных документов по защите коммерческой тайны;
осуществляет руководство службами и подразделениями безопасности подведомственных предприятий, организаций, учреждений и других в части оговоренных в договорах условиях по защите коммерческой тайны;
организует и регулярно проводит учебу сотрудников предприятия и службы безопасности по всем направлениям защиты коммерческой тайны, добиваясь, чтобы к защите коммерческих секретов был глубоко осознанный подход;
ведет учет сейфов, металлических шкафов, специальных хранилищ и других помещений, в которых разрешено постоянное или временное хранение конфиденциальных документов;
ведет учет выделенных для конфиденциальной работы помещений, технических средств в них, обладающих потенциальными каналами утечки информации;
поддерживает контакты с правоохранительными органами и службами безопасности соседних предприятий в интересах изучения криминогенной обстановки в районе (зоне).
проверяет сведения о попытках шантажа, провокаций и иных акций в отношении персонала, преследующих цель получения конфиденциальной информации о деятельности фирмы;
проверяет работников на предмет соблюдения правил обеспечения экономической, информационной и физической безопасности;
оказывает содействие отделу кадров по работе с персоналом в вопросах подбора, расстановки, служебного перемещения и обучения персонала.

11. Моделирование угроз информационной безопасности и защиты.

При решении практических задач защиты информации первостепенное значение имеет количественная оценка ее уязвимости. Перед тем как рассмотреть возможные подходы такой оценки необходимо определить размещение защищаемой информации, сказать о каналах утечки и нарушителе.НСД к информации в АС возможен не только путем непосредственного доступа к базам банных (объекту), но и многими другими путями, не требующими такого доступа. При этом основную опасность представляют преднамеренные действия злоумышленников. Воздействие случайных факторов само по себе не ведет к НСД, оно лишь способствует появлению каналов несанкционированного получения информации (КНПИ), которыми может воспользоваться злоумышленник.

Территориально потенциально возможные НСД может иметь место в различных зонах:

При этом для НСД получения информации необходимо одновременное наступление следующих событий:

С учетом изложенного можно вывести формулу для оценки уязвимости информации, обрабатываемой в АС.Для этого введем следующие обозначения:

${P^{(d)}}_{ikl}$ - вероятность доступа

-ой категорию в

-ю зону i-го компонента АС.
${P^{(k)}}_{ijl}$ - вероятность наличия (проявления)

-го КНПИ в

-ой зоне

-го компонета АС.
${P^{(n)}}_{ijkl}$ - вероятность доступа нарушителя

-ой категории к

-му КНПИ в

-й зоне

-го компонента при условии доступа нарушителя в зону;
${P^{(n)}}_{ijl}$ - вероятность доступа нарушителя

-ой категории к

-му КНПИ в

-й зоне

-го компонента при условии доступа нарушителя в зону;

$P_{ijkl} = {P^{(d)}}_{ikl} \times {P^{(k)}}_{ijl} \times {P^{(n)}}_{ijkl} \times {P^{(n)}}_{ijl}$

Вероятность НСД в одном компоненте АС одним злоумышленником одной категории по одному КНПИ назовем базовым показателем уязвимости информации (с точки зрения НСД). С учетом 1.1 выражение для базового показателя будем иметь вид:

${P^{(b)}}_{ijk} = 1 - \prod^5_{l=1}[1-P_{ijkl}] = 1 - \prod^5_{l=1}[{P^{(d)}}_{ikl} {P^{(k)}}_{ijl} {P^{(n)}}_{ijkl} {P^{(n)}}_{ijl}]$

Рассчитанные таким образом базовые показатели уязвимости сами по себе имеют ограниченное практическое значение. Для решения задач, связанных с разработкой и эксплуатацией систем защиты информации, применяют обобщенные показатели уязвимости, обобщенные по какому либо индексу (i,j,k) или по их комбинации. Например, {K*} – интересующее нас подмножество из множества потенциально возможных нарушителей. Или {I*}, {J*} – подмножества компонентов АС и КНПИ. Тогда в общем случае, общий показатель уязвимости будет определятся как:

$P_{(I^*)(J^*)(K^*)} = 1 - \prod_{\forall i}[1 - P^{(b)}_{ijkl}]\prod_{\forall j}[1 - P^{(b)}_{ijkl}]\prod_{\forall k}[1 - P^{(b)}_{ijkl}]$

Необходимо также рассмотреть метод расчета показателя уязвимости с учетом интервала времени, на котором оценивается уязвимость. При этом следует учитывать что чем больше интервал времени то тем больше возможностей у нарушителя для злоумышленных действий и тем больше вероятность изменения состояния АС. Можно определить такие временные интервалы (не сводимые в точке), на которых процессы, связанные с нарушением защищенности, являлись бы однородными. Назовем эти интервалы малыми. Такой малый интервал, в свою очередь, может быть разделен на очень малые интервалы, уязвимость информации на каждом из которых определяется независимо от других. Зависимость на каждом из выделенных интервалов будет одинакова в силу однородности происходящих процессов уязвимости. Тогда, через обозначим интересующий нас показатель уязвимости в точке (на очень малом интервале), а через - тот же показатель на малом интервале. Получим следующую формулу:

$P^{\mu} = 1 - \prod^{n_t}_{t=1}[1-P^m_t]$ , где

– переменный индекс очень малый интервалов, на который поделен малый интервал; n_t

– общее число очень малых интервалов.Такой подход справедлив, если на всем рассматриваемом интервале условия для нарушения защищенности информации остаются неизменными. В реальных АС эти условия могут изменяться.

12. Мониторинг и контроль состояния окружающей среды.

Растянутый во времени процесс измерения, сопоставления, записи, принятия решения за потенциально возможными изменениями состояния окружающей среды.Направления:

Направления мониторинга и контроля в зависимости от возникновения дестабилизирующих факторов делятся:

Радиомониторинг подразумевает деятельность по изучению и контролю радиообстановки в районе расположения объекта, поиску и обнаружению легальных и нелегальных радиопередатчиков и источников других радиоизлучений.Радиомониторинг обеспечивает непрерывность получения, достоверность и актуальность добываемых данных. Непрерывность достигается постоянством работы средств мониторинга, достоверность – документальным характером поступающей информации, актуальность – своевременностью получения необходимых для принятия решения данных.

В качестве основных средств радиомониторинга в настоящее время используются многоканальные сканирующие приемники, позволяющие осуществлять автоматически как поиск находящихся в эфире радиосигналов, так и постоянный контроль заранее заданных частот связи. Кроме приемников-сканеров в процессе ведения РМ применяется и другая аппаратура: портативные частотомеры, анализаторы радиоспектра, широкополосные антенны, устройства шумоочистки речи и др.Эффективность и результативность РМ зависят не только от наличия дорогостоящей аппаратуры, правильного монтажа антенн и кабелей, но и от приемов и методов работы, от квалификации и опыта радиооператоров.

Как показывает практика, РМ следует проводить со специально оборудованных постов, расположенных в отдельных помещениях на верхних этажах здания объекта, поближе к внешним антенным устройствам, которые в зависимости от их конструкции и способа установки, окружения объекта, материала крыши и т.д. могут размещаться либо непосредственно на крыше здания либо в его чердачных или технических помещениях.

В основном на постах РМ используются ненаправленные дискоконусные или биконические антенные устройства, имеющие широкую полосу пропускания (30…1300МГц) и относительно малые размеры, что делает их наиболее привлекательными для выявления радиотехнических средств съема информации и побочных электромагнитных излучений технических средств.

В качестве основных радиоприемных устройств на постах РМ в настоящее время применяются многоканальные сканирующие радиоприемники (сканеры), позволяющие автоматически контролировать одновременно несколько радиоканалов, а также осуществлять наблюдение за радиообстановкой и вести поиск радиотехнических средств съема информации в выбранных частотных диапазонах.Поскольку сканирующие радиоприемники позволяют выявлять радиосигналы с полосой пропускания не более 200 кГц, для выявления радиотехнических систем съема информации, прикрытых сложными видами кодирования; анализа спектра обнаруженных радиоизлучений и др. следует иметь на посту РМ также и специальный радиоприемник – спектроанализатор, позволяющий осуществлять визуальный просмотр радиодиапазонов в полосе до нескольких сотен мегагерц с помощью электронного дисплея-панорамы.

В автоматизированных комплексах РМ сканирующий приемник объединен в единую систему с персональным компьютером, работающим под управлением специального программного обеспечения. Это позволяет существенно повысить оперативность и наглядность работы с приемником, дает возможность в значительной мере автоматизировать процессы ведения радиомониторинга, обработки, анализа и идентификации принимаемых сигналов, документирования полученных баз данных.Например, многофункциональный спектральный коррелятор КРОНА-4 (НПЦ фирма «Нелк»).

	Среда, 17.09.2025, 22:51
	Сайт группы ИБ-081 !

Главная \| Регистрация \| Вход	Приветствую Вас Гость \| RSS