9.4.2 Структура безопасности информационных технологий

Структура безопасности информационных технологий отражает процесс обеспечения требований безопасности для отдельной системы информационных технологий как части общей структуры системы. Поэтому так важно рассмотрение структуры обеспечения безопасности информационных технологий в процессе выбора защитных мер.

Структура безопасности информационных технологий может использоваться при разработке новых систем, а также при внесении существенных изменений в существующие системы. Данная структура основывается на результатах анализа риска или базового подхода, должна учитывать требования к обеспечению безопасности и на их основе разработать набор технических мер защиты по обеспечению безопасности систем. В ряде случаев, если изменения вносят в существующие системы, некоторые требования могут быть в форме специфических защитных мер, которые должны быть использованы.

В структуре безопасности информационных технологий особое внимание уделяют техническим защитным мерам по обеспечению безопасности и достижению с их помощью целей безопасности; при этом следует принимать во внимание также соответствующие нетехнические средства обеспечения безопасности. Хотя структура безопасности может быть построена на основе использования ряда различных подходов и перспектив, следует всегда учитывать следующий фундаментальный принцип ее построения: нельзя допускать неблагоприятное воздействие проблемы обеспечения безопасности в пределах уникальной зоны безопасности (зоны с одинаковыми или схожими требованиями к обеспечению безопасности и средствам ее защиты) на обеспечение безопасности в другой отдельной зоне безопасности. Структура безопасности информационных технологий обычно включает в себя одну или более зон безопасности. Зоны безопасности должны соответствовать областям деловой деятельности организации. Эти области деловой деятельности могут соответствовать функциональным секторам отдельных видов деловой деятельности организации, таким как выплата заработной платы, производство продукции или обслуживание покупателей, или они могут соответствовать функциональным секторам таких видов деятельности, как обслуживание электронной почты или выполнение конторских операций.

В зависимости от наличия одного или нескольких признаков существуют различные типы зон безопасности. Примерами признаков могут быть:

- уровни, категории или виды информации, доступные в пределах зоны безопасности;

- операции, которые могут проходить в пределах зоны безопасности;

- объединения по интересам, ассоциируемые с зоной безопасности;

- отношения к другим зонам безопасности и окружающим их средам;

- виды функций или доступ к информации, которые могут запрашивать объединения по интересам внутри зоны безопасности.

При построении структуры обеспечения безопасности информационных технологий необходимо также учитывать следующие проблемы:

- взаимоотношения и взаимозависимости между отдельными зонами безопасности;

- роль (или участие) взаимоотношений и взаимозависимостей в снижении качества услуг по обеспечению безопасности;

- необходимость организации дополнительных услуг или принятия дополнительных мер защиты для исправления, контроля или недопущения случаев снижения качества услуг.

Структура безопасности информационных технологий не существует сама по себе, но опирается на содержание других документов по информационным технологиям и согласовывается с ними. Наиболее важными из этих документов являются структура системы информационных технологий и структуры других соответствующих систем (аппаратные средства, средства связи и прикладные программы). Структура безопасности информационных технологий не должна содержать полного описания системы ИТ, а только описание технических вопросов и элементов, касающихся обеспечения безопасности. Назначение этой структуры состоит в том, чтобы свести к минимуму случаи неблагоприятного воздействия на пользователей, обеспечивая при этом оптимальную внутреннюю защиту инфраструктуры систем ИТ.

К структуре безопасности информационных технологий имеет отношение множество других документов или она может находиться в подчиненном положении по отношению к ним. К числу таких документов относятся:

- проект безопасности информационных технологий;

- рабочая концепция безопасности информационных технологий;

- план безопасности информационных технологий;

- политика безопасности системы информационных технологий;

- документы по сертификации и аккредитации системы информационных технологий (в случае необходимости).