тратегии применения средств защиты информации

 

Стратегия вообще определяет структуру, приоритеты и методы принятия решений при организации и обеспечении соответствующего вида деятельности. Она направлена на то, чтобы наиболее важные цели этой деятельности достигались при наиболее рациональном расходовании имеющихся ресурсов.

Выработка стратегии защиты информации в самом общем виде может быть определена как поиск компромисса между потребностями в защите и необходимыми для этого ресурсами.

Потребности в защите обусловливаются, прежде всего, важностью и объемами защищаемой информации, а также условиями ее хранения, обработки и использования. Эти условия определяются качеством структурно-организационного построения объекта обработки информации, уровнем организации технологических схем обработки, местом и условиями расположения объекта и его компонентов и другими параметрами.

Размер ресурсов на защиту информации может быть ограничен определенным пределом, либо обусловлен достижением требуемого уровня защиты. В первом случае защита должна быть организована так, чтобы при выделенных ресурсах обеспечивался максимально возможный уровень защиты, а во втором— чтобы требуемый уровень защиты обеспечивался при минимальном расходовании ресурсов.

Сформулированные задачи есть ни что иное, как прямая и обратная задачи оптимизации. Отметим две проблемы, затрудняющие их формальное решение в отношении систем защиты информации.

1. Процессы защиты информации находятся в значительной зависимости от большого числа случайных и труднопредсказуемых факторов, таких как поведение злоумышленника, воздействие природных явлений, сбои и ошибки в процессе функционирования системы и т.п.

2. Среди средств защиты весьма заметное место занимают организационные меры, связанные с воздействием человека.

Поэтому при выборе стратегии защиты обычно руководствуются двумя критериями: требуемый уровень защиты информации и допустимая свобода действий при организации защиты информации.

Значения первого критерия определяется множеством тех угроз информационной безопасности, от которых должна быть обеспечена защита:

- от наиболее опасных из известных угроз;

- от всех известных угроз;

- от всех потенциально возможных угроз.

По второму критерию предполагается, что организаторы и исполнители защиты информации имеют относительно полную свободу распоряжения методами и средствами защиты и некоторую допустимую степень свободы вмешательства в архитектурное построение и процесс функционирования защищаемой ИС. По этому критерию также можно выделить три степени свободы:

- никакое вмешательство в ИС не допускается. Такое требование обычно имеет место в уже функционирующих информационно-управляющих системах, и нарушение процесса их функционирования для установки средств информационной безопасности недопустимо;

- допускается некоторая ограниченная модернизация архитектурного построения ИС и технологии ее функционирования для установки некоторых механизмов защиты информации;

- все требования, обусловленные необходимостью защиты информации, принимаются в качестве обязательных при проектировании, конструировании и эксплуатации ИС.

Таким образом, требования к необходимому уровню защиты информации и допустимая свобода действий при организации защиты определяют выбор стратегии защиты информации, как показано в таблице.

Таблица

Учитываемые угрозы	Влияние на защищаемую информационную систему
Отсутствует	Частичное	Неограниченное
Наиболее опасные	Оборонительная	-	-
Все известные	-	Наступательная	-
Все возможные	-	-	Упреждающая

 

рактическая часть

Выбор средств защиты информации будет исходить из задач защиты и возможных каналов утечки информации, представленных в предыдущих расчетно-графических работах.

Задачи ЗИ могут решаться разными способами: техническими, программными, организационными.

К техническим средствам защиты можно отнести применение замков на двери, предотвращающие несанкционированное проникновение в помещение, где находиться АС, и решает задачу регулирования доступа к элементам системы. Также могут использоваться жалюзи на шторах, для предотвращения съема информации по оптическому КУИ. Для маскировки ПЭМИН применяется генератор пространственного зашумления ГШ-1000М.

Введение избыточности осуществляется за счет установки дополнительного жесткого диска, который предназначен для резервного копирования данных.

Далее рассмотрены программные средства защиты информации.

Применение СЗИ от НСД Панцирь К решает целый ряд задач: система идентификации/аутентификации выбранного средства предотвращает неавторизованный вход пользователей в систему (задача регулирования доступа к элементам системы). Панцирь К разграничивает доступ к каталогам, ресурсам и данным системы (регулирование использования элементов системы). Также подсистема регистрации и учета в Панцире К обеспечивает регистрацию и учет операций в системе, затрагивающих критически важную конфиденциальную информацию (регистрация сведений). В Панцире К предусмотрена система гарантированного удаления, что решает проблему уничтожения остаточной информации после решения соответствующей задачи обработки данных, которая может представлять интерес для злоумышленника. Так как Панцирь К имеет клиентскую и серверную часть, то при попытках НСД к информации обеспечивается сигнализации на терминал администратора. Для этой же цели может применяться Snort, он оповещает пользователей об атаках из вне.

Также для решения задачи маскировки информации, то есть шифрование информации при передаче ее по сети в другие организации, используется крипто библиотека Крипто Про.

Так как информация в АС постоянно дополняется и обновляется с внешних устройств, необходимо применения антивирусной защиты, например Dr. Web, который прошел сертификацию ФСБ по требованиям к антивирусным средствам.

Большинство задач защиты информации решаются организационными мерами, это может быть: введения дополнительной численности обслуживающего персонала, регистрация входа-выхода сотрудников в контролируемое помещение, разработка правил уничтожение информации с носителей, разработка правил и технологий контроля состояния СЗИ и АС, обучение сотрудников действиям при чрезвычайных событиях.

 

Заключение

В данной расчетно-графической работе были выбраны средства защиты информации. Выбор этих средств основывался на задачах защиты информации и возможных каналов утечки информации. При выборе средств ЗИ главным является подбор верного их сочетания. Основой же в данном случае становится четкое понимание того, какие угрозы и требования перекрываются каждым конкретным выбранным средством защиты. Необходимо убедиться, что при внедрении разработанной системы повысится реальный уровень защищенности АС. Если созданная система удовлетворяет требованиям информационной безопасности, то любая конфигурация составляющих её средств имеет право на существование и является индивидуально «правильной». Но вот сама «правильность» компоновки средств защиты – сложная задача, требующая досконального изучения потребностей организации в защите информации, существующих в ней и предлагаемых рынком возможностей в виде различных средств защиты.

 

 

Список литературы

1. А.А.Торокин "Основы инженерно-технической защиты информации"

2. В.А. Герасименко, А.А Малюк. «Основы защиты информации»;

3. Е.В. Зверева, Комплексное обеспечение информационной безопасности автоматизированных систем: Методические указания к выполнению расчетно-графических работ для студентов специальности 075500 «Комплексное обеспечение информационной безопасности автоматизированных систем». - Йошкар-Ола: МарГТУ, 2006

4. Статья «Программные средства защиты информации» http://itsecblog.ru