4. Ресурсное обеспечение защиты информации

Для полноценной деятельности служб информационной безопасности необходимы следующие виды ресурсов:

финансовые – для закупки средств защиты информации, вспомогательного оборудования, капитального строительства, ремонта средств защиты и оборудования, оплаты сотрудников, для покрытия других затрат;

материальные – представляют некоторые объекты финансовых вложений, и поэтому тесно взаимоувязаны с первым видом ресурсного обеспечения, а именно к ним можно отнести стройматериалы, мебель, сейфы, запасные части и инструменты и некоторые другие;

технические – аппаратные средства защиты информации, технические средства охраны и контроля, автотранспорт, автономные источники питания и прочие;

энергетические – потребляемые объемы электроэнергии, горюче-смазочные материалы для автотранспорта и автономных источников питания;

информационные – к этому классу ресурсов можно отнести программные продукты, нормативно-методическую, специальную литературу, электронные базы данных, знания специалистов, необходимые для эффективного выполнения функций защиты;

временные – заключаются во временных затратах на выполнение тех или иных процедур защиты, анализ временных ресурсов активно используется при создании оргштатных проектов служб защиты, в которых учитывается общий временной объем процесса защиты, относительно стандартизированного объема, реализуемого одним сотрудником;

пространственные – необходимы для обеспечения контролируемых зон вокруг объектов ТСПИ, информационных коммуникаций, размещения средств и технологических участков защиты данных, создания импликативных зон защиты.

Достаточно очевидно, что главным видом ресурсного обеспечения является финансовое. С помощью его можно решать задачи всех остальных ресурсных вложений. Поэтому, возвращаясь к материалу второй главы, подчеркнем важность оценки проекта системы защиты по критерию “стоимость информации – стоимость защиты”, то есть проект системы защиты не должен быть дороже самой информации.

Тема № 6/5 “Назначение и структура систем защиты информации”

1. Понятие “Система защиты информации”

2. Принципы создания систем защиты информации

3. Комплексная система защиты информации учреждения, предприятия

1. Понятие “Система защиты информации”

Материал раздела предлагает к изучению сущность и содержание современных подходов к построению систем защиты информации. Методологическим базисом деятельности по защите информации является системный подход, с чем мы достаточно подробно определились в первой главе. Указанный подход позволяет понять, что общая теория информационной безопасности, а значит и теория защиты информации является составной, неотъемлемой частью теории и практики обеспечения национальной безопасности государства. Защита информации охватывает и вовлекает в свою орбиту различные структуры государственного аппарата в лице Правительства, министерств и ведомств, организации и учреждения независимо от форм их собственности, подчиненности и видов деятельности. Все эти элементы связаны друг с другом, причем не какими-то случайными связями, а устойчивыми, влияющими друг на друга и зависящими друг от друга.

Системный подход к исследованию проблемы защиты информации делает возможным переход к упрощению всех сложных связей системы защиты со всеми другими выше и нижестоящими, взаимодействующими системами, с внешней средой, выявить и понять сущность деятельности по защите информации. Прежде всего, следует осознать, что защита информации имеет самостоятельное значение лишь относительно. Она призвана обеспечить нормальное и эффективное функционирование вышестоящей системы, в которую она “встроена”, которую она обслуживает, для которой она создана. Такой вышестоящей системой является система государственного, ведомственного управления. Промежуточной системной структурой между органами управления и системой защиты является информационная система организации, учреждения.

Целью функционирования системы защиты информации является обеспечение достаточного качества информационного обеспечения процесса управления на основе локализации или исключения проявления информационных угроз. Таким образом, мы видим, что как и любой системный проект или процесс система защиты обладает целевым признаком системности.

Работа системы защиты информациитакже достаточно нагляднохарактеризуется с точки зрения информационно- управленческого признака. Декомпозиция процесса защитыинформации позволяет увидеть в нем информационно-управленческие процедуры и информационные потоки. Для систем защиты информации характерны два информационных потока. Один информационный поток связан с процессами управления системой защиты информации. Другой информационный поток представляет собственно защищаемую информацию, которая перемещается по каналам информационной системы, и обеспечивается защитными ресурсами.

Система защиты имеет организованную структуру, которую также называют топологией или архитектурой системы. Ее можно представить в виде организованной совокупности функциональных элементов, находящихся между собой в установленных связях и отношениях.

Сформулируем определение системы защиты информации, обобщая изложенный в лекциях теоретический материал.

Системой защитыинформации является динамическая совокупность органов информационной безопасности, методов и средств защиты данных, функционирующих на основе разработанного и утвержденного органами управления проекта, соответствующего законам и нормативным требованиям с целью обеспечения установленного уровня неуязвимости используемых информационных ресурсов для вероятного противника (конкурента).

Требования к системе защиты информации(СЗИ) в большей части зависимы от общих требований, предъявляемых к процессу защиты. Однако трансформация процесса защиты информации в системную деятельность способствует появлению новых требований:

СЗИ должна представлять собой нечто целое, целостность системы будет достигаться наличием единой цели ее функционирования (а соответственно общностью задач и функций), структурных и информационных связей между элементами системы, иерархичность ее построения, наличием подсистемы управления процессом;

СЗИ должна обеспечивать безопасность информации в широком смысле, включая защиту интересов участников информационных отношений (легальный, санкционированный пользователь должен обладать возможностью беспрепятственного и оперативного получения необходимых данных).

Структурная часть (топология, архитектура) СЗИ, является проявлением системного признака организации, задается целевым признаком и включает в себя:

свод законов, нормативных актов государства, ведомственных регламентирующих и методических документов, внутренних документов воинской части, организации, учреждения, обуславливающих весь режим защиты используемых данных, в полной совокупности параметров защиты;

систему служб информационной безопасности с их организационно-штатной структурой, финансовые, материальные, технические и пространственные ресурсы, а также требования к сотрудникам, и другие необходимые разъяснения, утвержденные в виде норм.

Структурная часть СЗИ является относительно устойчивой, консервативной частью системы. Компоненты структурной части могут приспосабливаться к изменениям внешней среды, запросам вышестоящей системы управления с некоторой временной задержкой. Положительная сторона устойчивости и консерватизма этой части системы заключается в том, что она оказывается своеобразным фильтром, отбраковывающим те реакции системы на изменение внешней среды, которые являются недостаточно обоснованными и мотивированными.

Примером замедленной реакции СЗИ на изменения условий и запросов может явиться почти десятилетнее становление нынешней государственной системы защиты государственной тайны (с конца 80-ых до середины 90-ых годов). Недостатком внутреннего консерватизма СЗИ является то, что эта часть системы может часто иметь рассогласование и противоречия с ее функциональной частью, в условиях повышенного динамизма внешней среды. Это, естественно, сказывается на эффективности процесса защиты информации.

Функциональная часть СЗИ, обуславливается целевым признаком, и решает задачи информационной безопасности с той или иной степенью детализации уже рассмотренных в главе и пособии в целом. Эта часть представляет совокупность мероприятий защиты данных, реализующихся на основе выбранных методов и с использованием средств. Эта часть системы защиты информации более адаптивна, подвижна, и пластична. Она, исполняя свое предназначение, максимально стремится учесть изменения внешней среды, как-то появление или устранение информационных угроз, изменяющийся динамизм обработки и использования сведений, требования руководства воинской части и другие.

Мероприятия защиты носят, как правило, комплексный характер, и отражаются в календарно-плановых документах администрации СЗИ. Комплексность мер защиты можно проследить на следующем примере. Допустим, требуется обеспечить защищенный режим служебного совещания. На основании требований нормативных документов планируются и проводятся следующие частные мероприятия:

составляется перечень носителей защищаемой информации, вывозимых (высылаемых) на совещание в соответствии с тематикой;

организуется охраняемая доставка носителей защищаемых сведений к месту проведения совещания;

организуется встреча участников, их пропуск с соблюдением необходимых элементов пропускного режима;

перед проведением совещание проводится спецобследование, выделенных для этих целей помещений, на предмет проверки уровня защищенности, используемых ТСПИ, и выявления портативных средств разведки;

предусматриваются меры дифференцированного ознакомления участников совещания с содержанием доводимых вопросов, и другие процедуры.