Наталия Гришина - Организация комплексной системы защиты информации
Анализ возможных направлений использования проблемно-ориентированных моделей при создании систем и средств защиты дал следующие результаты.
Различные виды моделей ориентируются на определенные фазы проектирования. На ранних стадиях проектирования (предпроектное обследование, технический проект) анализируются каналы доступа к информации, формируется концепция защиты. Концептуальные модели используются для определения целей защиты: какую информацию и ресурсы и от кого необходимо защищать. То есть формируется замысел системы защиты и стратегия защиты. Если преимущественным замыслом системы защиты является реализация целевой функции управления безопасностью, то для разработки могут быть применены модели управления безопасностью.
Применяя модели отношений доступа и действий, моделируются права доступа к защищаемой информации, выявляются порождаемые этими правами отношении доступа между элементами системы. Решается вопрос о структуре и виде представления служебной информации по правам доступа, в том числе для ее использования при принятии решений по управлению безопасностью.
На последующей фазе проектирования возможно использование моделей информационных потоков. Типичной задачей, решаемой на этих моделях, является принятие решения о размещении средств защиты.
Многие науки используют моделирование как метод экспертной оценки процессов и объектов. Причем основные принципы моделирования сохраняются в большинстве случаев, что позволяет экстраполировать, к примеру, экономические модели к использованию при моделировании процессов защиты информации. Большинство теорий сводится к дифференциации моделей по видам, приведенным в табл. 2.
6.3. Архитектурное построение комплексной системы защиты информацииМодель представляет образ реального объекта (процесса), выраженный в материальной или идеальной форме (т. е. через описание с помощью знаковых средств на каком-либо языке), отражающий наиболее существенные свойства объекта и замещающий его в ходе изучения.
Для сложного объекта может создаваться не одна, а несколько моделей различных типов. Совокупность моделей, отражающих общую организацию, состав компонентов КСЗИ и топологию их взаимодействия будем называть архитектурой комплексной системы защиты информации. Она охватывает формирование следующих моделей: кибернетической, функциональной, структурной и организационной. Рассмотрим кратко структуру и содержание этих моделей.
Кибернетическая модель. Для того чтобы сформировать и затем управлять сложной системой, необходима информация о структуре, параметрах и других важных характеристиках и свойствах субъекта и объекта управления, образующих систему. В данном случае такую информацию будет содержать в себе кибернетическая модель КСЗИ. Именно она позволит приступить к решению задачи управления системой защиты на объекте.
Исходя из получаемой на этапе формирования архитектуры КСЗИ информации, в эту описательную по своему типу модель будут включены сведения, отражающие роль и место КСЗИ в более большой и сложной системе. Например, место КСЗИ конкретного предприятия в общем государственной системе защиты информации. Эта модель демонстрирует различные виды связей данной системы защиты предприятия с другими системами.
Функциональная модель. Функциональная модель отображает состав, содержание и взаимосвязи тех функций, осуществление которых достигается целью деятельности моделируемых систем. Основными составляющими функциональной модели являются:
1. Перечень функций, предназначенных для непосредственного обеспечения защиты информации;
2. Перечень функций для управления механизмами непосредственной защиты;
3. Общее содержание функций, т. е. перечень их взаимосвязей, основных процедур КСЗИ;
4. Классификация функций, т. е. распределение их по функциональным подразделениям КСЗИ.
Функциональная модель включает в себя 2 вида функций:
1. Функции для непосредственного обеспечения защиты информации, а именно:
1.1. Предупреждение условия, порождающих дестабилизирующие факторы;
1.2. Предупреждение появления дестабилизирующих факторов;
1.3. Обнаружение проявления дестабилизирующих факторов;
1.4. Предупреждение воздействия дестабилизирующих факторов;
1.5. Обнаружение воздействия дестабилизирующих факторов;
1.6. Локализация воздействия дестабилизирующих Факторов;
1.7. Ликвидация последствия воздействия дестабилизирующих факторов;
2. Функции для управления механизмом непосредственной защиты:
2.1. Планирование;
2.2. Оперативно-диспетчерское управление;
2.3. Календарно-плановое руководство;
2.4. Обеспечение повседневной деятельности.
Информационная модель. Информационная модель отражает структуру, содержание, объем и направление циркуляции тех информационных потоков, которые необходимы для решения всех задач предприятия и КСЗИ.
Особенность информационной модели КСЗИ в том, что система защиты информации предприятия организуется с целью защиты информации в тех потоках, которые циркулируют как в процессе функционирования всего предприятия, так и в процессе функционирования КСЗИ.
Составными компонентами информационной модели являются:
1. Тип информационного потока по функциональному назначению;
2. Вид информации, циркулирующей в потоке;
3. Этапы циркуляции потока;
4. Схема циркуляции информации каждого вида;
5. Количественные характеристики потоков каждого вида.
В информационной модели циркулирует несколько видов информации:
1) корреспонденция;
2) техническая документация;
3) периодика (журналы и проч.);
4) книги;
5) фактографическая быстроменяющаяся информация;
6) фактографическая медленноменяющаяся информация (исходная и регламентная);
7) фактографическая постоянная информация.
Информация циркулирует в информационной модели в несколько этапов:
1 этап: генерирование информации;
2 этап: ввод в систему обработки;
3 этап: передача информации;
4 этап: прием, хранение, накопление информации;
5 этап: поиск информации;
6 этап: функциональная переработка информации;
7 этап: выдача информации для использования.
Организационная модель КСЗИ показывает состав, взаимосвязь и подчиненность в управленческой иерархии подразделений, входящих в состав комплексной системы защиты информации.
На построение данной модели влияет множество факторов различной природы: специфика задач, решаемых функциональными подразделениями, принципы и методы, выбранные в данной системе управления, технология реализации основных функций, кадровый состав сотрудников, и другие. По своим разновидностям все модели могут быть разделены на следующие группы:
— модели, в которых организационная структура системы управления КСЗИ построена по линейному принципу;
— модели, в которых организационная структура системы управления КСЗИ построена по функциональному принципу;
— модели, в которых организационная структура построена по линейно-функциональному принципу;
— модели, в которых организационная структура построена по матричному типу.
Данная модель формируется с учетом структуры системы управления предприятия, где создается или функционирует КСЗИ, а также с учетом состава основных функций, осуществляемых в системе защиты.
На рис. 21 представлен вариант построения организационной модели.
Рис. 21. Организационная модель КСЗИ
Структурная модель отражает содержание таких компонентов КСЗИ, как кадровый, организационно-правовой и ресурсный. При этом последний компонент представлен основными видами обеспечения: техническое, математическое, программное, информационное, лингвистическое.
Организационно-правовой компонент представляет собой комплекс организационно-технических мероприятий и правовых актов, являющихся основой, регулирующей функционирование основных подсистем КСЗИ. Этот компонент играет связующую роль между кадровым и ресурсным.
Таким образом, рассмотренные модели представляют архитектуру КСЗИ. Они отражают различные стороны проектируемого (анализируемого) объекта и сами образуют систему, как это показано в организационной модели.
7. ТЕХНОЛОГИЧЕСКОЕ ПОСТРОЕНИЕ КОМПЛЕКСНОЙ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ
Система защиты информации характеризуется большим числом взаимодействующих между собой средств и многофункциональным характером решаемых с ее помощью задач.
Чтобы такая сложная система эффективно функционировала, необходимо рассмотреть целый комплекс вопросов еще на стадии ее создания.
