8.Політика безпеки
Аналіз стану справ в галузі інформаційної безпеки показує, що в провідних країнах склалися цілком сформовані концепції та інфраструктура систем захисту інформації, основу якої складають:
- розвинутий арсенал технічних засобів захисту, створюваних на промисловій основі;
- значне число установ, що спеціалізуються на вирішенні питань захисту інформації;
- достатньо чітко окреслена система концептуальних поглядів на проблему інформаційної безпеки;
- наявність значного практичного досвіду.
І, тим не менше, як свідчить реальність, зловмисні дії над інформацією не тільки не зменшуються, а мають достатньо стійку тенденцію до зростання.
Досвід показує, що для боротьби з цією тенденцією необхідна струнка і цілеспрямована організація забезпечення безпеки інформаційної системи.
Причому в цьому повинні активно брати участь професійні фахівці, адміністрація, співробітники і користувачі інформаційних систем (ІС), все це визначає підвищену значимість організаційної сторони питання.
Сучасний досвід також показує, що:
- забезпечення безпеки інформаційних систем (ІС) це безперервний процес, що полягає в обгрунтуванні і реалізації найбільш раціональних засобів і шляхів вдосконалення та розвитку системи інформаційної безпеки, безперервному контролі, виявленні потенційно можливих каналів витоку інформації та НСД;
- безпека інформації може бути забезпечена лише при комплексному використанні всього арсеналу наявних засобів захисту в усіх структурних елементах виробництва і на всіх етапах технологічного циклу обробки інформації. Найбільший ефект досягається тоді, коли всі засоби, що використовуються об'єднуються в єдиний, цілісний механізм - систему інформаційної безпеки (СІБ). При цьому функціонування механізмів захисту повинно контролюватися, оновлюватися і доповнюватися в залежності від зміни з урахуванням можливих внутрішніх умов, внутрішніх і зовнішніх загроз;
- жодна СІБ не може забезпечити необхідного рівня безпеки інформації без належної підготовки користувачів і дотримання ними всіх встановлених правил збереження конфіденційності.
З врахуванням накопиченого досвіду можна визначити СІБ як сукупність спеціальних засобів, методів і заходів, що забезпечують захист інформації від розголошення, витоку і несанкціонованого доступу до неї.
З позиції системного підходу до захисту інформації необхідно дотримуватись певних вимог. Захист інформації повинен бути:
1. Безперервним. Ця вимога виходить з того, що зловмисники тільки і шукають можливість, щоб обминути захист інформації, яка цікавить їх.
2. Плановим. Планування здійснюється шляхом розробки кожною службою, відділом, напрямом детальних планів захисту інформації в сфері їх компетенції з урахуванням загальної мети органів, служб, підрозділів.
3. Централізованим. В рамках певної структури повинен забезпечуватися організаційно-функціональною самостійністю процесу забезпечення безпеки.
4. Конкретним. Захисту підлягають конкретні дані, які об'єктивно потребують охорони і які можуть завдати певних проблем в тому випадку, коли ними заволодіють зловмисники.
5. Активним. Захищати інформацію необхідно з достатнім ступенем наполегливості і цілеспрямованості.
6. Надійним. Методи і засоби захисту повинні надійно перекривати можливі канали витоку інформації і протидіяти засобам несанкціонованого доступу незалежно від форми подання інформації, мови її вираження і вигляду носія, на якому вона закріплена.
7. Цілеспрямованим. Захищається те, що повинно захищатися в інтересах конкретної мети, а не все підряд.
8. Універсальним. Вважається, що в залежності від вигляду каналу витоку або НСД, його необхідно перекрити, де б він не виявився, розумними і достатніми засобами, незалежно від характеру, форми і вигляду інформації.
9. Комплексним. Для захисту інформації у всій різноманітності структурних елементів ІС і каналів витоку інформації повинні застосовуватися всі види і форми забезпечення безпеки в повному обсязі. Неприпустимо застосовувати окремі форми або технічні засоби. Комплексний характер захисту виходить з того, що специфічне явище являє собою складну систему нерозривно взаємопов’язаних процесів, кожен з яких, в свою чергу, обумовлюється один одним.
Для забезпечення виконання таких багатогранних вимог безпеки СІБ повинна задовольняти такими умовам:
- охоплювати технологічний комплекс інформаційної діяльності підприємства;
- бути різноманітною за засобами, які використовуються, багаторівневою та з ієрархічною послідовністю доступу до інформації;
- бути відкритою для зміни і доповнення заходів забезпечення безпеки інформації;
- бути нестандартною, різноманітної, при виборі засобів не можна розраховувати на необізнаність зловмисників відносно їх можливостей;
Засоби системи СІБ повинні бути прості для технічного обслуговування і зручні для експлуатації користувачів.
СІБ повинна відповідати таким вимогам:
- чіткість визначення повноважень і прав користувачів на доступ до певних видів інформації;
- надання користувачу мінімальних повноважень, необхідних для виконання дорученої роботи;
- зведення до мінімуму числа загальних для декількох користувачів засобів захисту;
- врахування випадків і спроб несанкціонованого доступу до конфіденційної інформації;
- забезпечення оцінки ступеню конфіденційності інформації;
- забезпечення контролю цілісності засобів захисту і негайне реагування на їхній вихід з ладу.
Система інформаційної безпеки (СІБ), як і будь-яка система, повинна мати певні види власного забезпечення, спираючись на те, що вона буде здатна виконати свою цільову функцію. З урахуванням цього СІБ повинна мати:
Правове забезпечення. Сюди входять правові документи, нормативні акти, положення, інструкції, керівництва, вимоги, що є обов'язковими в рамках їхньої сфери дій.
Організаційне забезпечення. Реалізація інформаційної безпеки здійснюється спеціальними структурними одиницями, такими, наприклад, як служба технічного захисту інформації, а також режимними підрозділами, охорони та ін.
Інформаційне забезпечення. Воно включає в себе відомості, дані, показники, параметри, що лежать в основі вирішення завдань, які забезпечують функціонування СІБ. Сюди можуть входити як показники доступу, врахування, зберігання, так і інформаційне забезпечення розрахункових задач різноманітного характеру, пов’язаних з діяльністю служби безпеки.
Апаратне забезпечення. Передбачається широке використання технічних засобів як для захисту інформації, так і для забезпечення діяльності СІБ.
Програмне забезпечення. Мають на увазі різноманітні інформаційні, статистичні та розрахункові програми, які забезпечують оцінку можливої загрози по каналам витоку інформації. Це математичні методи, які використовуються для різних розрахунків, пов’язаних з оцінкою ймовірності несанкціонованого доступу до інформації.
Математичне забезпечення – це математичні засоби, що використовуються для різноманітних розрахунків, пов’язаних з оцінкою небезпеки технічних засобів розвідки з боку зловмисників, зон і норм необхідного захисту.
Лінгвістичне забезпечення. Сукупність спеціальних мовних засобів спілкування фахівців і користувачів в сфері забезпечення інформаційної безпеки.
Нормативно-методичне забезпечення. Сюди входять норми і регламенти діяльності органів, служб, засобів, що реалізують функції захисту інформації; різноманітного роду методики, які забезпечують діяльність користувачів при виконанні своєї роботи в умовах жорстких вимог дотримання конфіденційності.
Безпека інформаційної системи — це заходи, які охороняють її від несанкціонованого доступу, випадкового або навмисного втручання в нормальні дії або спроб руйнування її компонентів.
Мета і завдання системи безпеки.
Основною метою системи безпеки є запобігання збиткам інформаційній системі і інтересам органів, служб, підрозділів ОВС за рахунок знищення засобів, майна і цінностей, втрати, витоку, викривлення і знищення інформації, порушення роботи технічних засобів забезпечення службової діяльності, включаючи допоміжні засоби, а також збиткам персоналу.
Метою системи безпеки є:
- захист прав підприємства (установи), його структурних підрозділів і співробітників;
- збереження і ефективне використання інформаційних, матеріальних і фінансових ресурсів;
- підвищення іміджу системи за рахунок забезпечення якості послуг по інформаційній безпеці.
Завданнями системи безпеки є:
- своєчасне виявлення загроз безпеці персоналу і ресурсам; причин і умов, що сприяють нанесенню фінансових, матеріальних і моральних збитків його інтересам, порушенню його нормального функціонування і розвитку;
- віднесення інформації яка підлягає захисту до категорії секретної і обмеженого доступу на основі різноманітної вразливості;
- створення механізму і умов оперативного реагування на загрози безпеці і виявленню негативних тенденцій в функціонуванні підприємства;
- ефективне припинення посягань на ресурси, а також загроз персоналу на основі правових, організаційних і інженерно-технічних заходів і засобів забезпечення безпеки;
- створення умов для максимально можливого відшкодування і локалізації збитків, завданих неправомірними діями фізичних і юридичних осіб, послаблення негативного впливу наслідків порушення безпеки на досягнення мети організації.
Об'єктами, що підлягають захисту від потенційних внутрішніх і зовнішніх загроз і протиправних посягань, є:
- персонал (керівні робітники, виробничий персонал, обізнаний з відомостями, що складають державну і внутрішньовідомчу таємницю, та інший “вразливий персонал”);
- матеріальні і фінансові ресурси (будинки, споруди, сховища, технічне обладнання, транспорт та інші засоби);
- інформаційні ресурси з обмеженим доступом, що складають службову таємницю, а також інша інформація на паперовій, магнітній основі, інформаційні масиви і бази даних, програмне забезпечення, інформаційні фізичні поля різноманітного характеру;
- засоби і системи інформатизації і охорони матеріальних і інформаційних ресурсів.
Основними завданнями забезпечення безпеки персоналу є охорона особистості від будь-яких протиправних посягань на її життя, матеріальні цінності і особисту інформацію. Особлива увага приділяється організації особистої безпеки керівного складу і певної категорії фахівців.
Основними завданнями збереження фізичного захисту об'єктів є:
- встановлення режиму охорони і безпеки об'єктів життєдіяльності;
- здійснення допускного і пропускного режимів;
- забезпечення захищеного зберігання документів, носіїв інформації, оснащення об'єктів сучасними інженерно-технічними засобами охорони будинків і приміщень;
- організація фізичного захисту інформаційних систем в процесі їхнього функціонування і зберігання;
- забезпечення взаємодії всіх структур, що беруть участь в забезпеченні безпеки ІС.
Основними завданнями забезпечення безпеки інформаційних ресурсів є:
- організація і здійснення дозвільної системи допуску виконавців до роботи з документами і відомостями обмеженого доступу;
- організація обліку, зберігання і користування конфіденційними документами і носіями інформації;
- здійснення закритого листування і шифрованого зв'язку;
- організація і координація робіт по захисту інформації, яка обробляється і передається засобами інформаційної системи;
- забезпечення безпеки в процесі проведення конфіденційних нарад, переговорів, ділових зустрічей;
- здійснення контролю за цілісністю конфіденційних документів (носіїв), по забезпеченню захисту інформації, яка обробляється засобами інформаційної системи;

Напрямок безпеки ІС.
Безпека інформаційних систем досягається проведенням єдиної політики в області захисних заходів, системою заходів правового, організаційного і інженерно-технічного характеру, адекватним загрозам життєво важливим інтересам підприємства (установи).
Для створення і підтримання необхідного рівня захищеності об'єктів інформаційних систем розробляється система правових норм, які регулюють відношення співробітників до сфери безпеки, визначаються основні напрямки діяльності в даній області, формуються органи забезпечення безпеки і механізми контролю за їх діяльністю.
Основними принципами забезпечення безпеки є законність, достатність, дотримання балансу інтересів особистості і підприємства, взаємна відповідальність персоналу і керівництва, взаємодія з іншими правоохоронними органами.
Основними напрямками забезпечення безпеки інформаційних систем, як нормативно-правовими категоріями, які визначають комплексні заходи безпеки, виступає правове, організаційне і інженерно-технічне забезпечення.
На основі аналізу моделі порушника формалізуємо політику безпеки:
Необхідно створити навколо об’єкта захисту постійно діючий замкнений контур або оболонку захисту у вигляді деякої низки перешкод ТЗІ.
Властивості перешкоди ТЗІ, що являє собою механізм або засіб захисту, повинен по мо жливості бути відповідним очікуваній кваліфікації та освіченості порушника ТЗІ;
Для входу в ІС санкціонованого користувача необхідна мінлива таємна інформація, яка відома тільки йому.
Підсумкова стійкість захисного контуру (оболонки) ТЗІ визначається їх найслабкішою ланкою.
При наявності декількох санкціонованих користувачів доцільно забезпечити розмежування їх доступу до інформації в відповідності з повноваженнями та виконуваними функціями, тим самим забезпечується реалізація основного концептуального принципу найменшої освіченості користувача ІС з метою скорочення втрати, якщо матиме місце безвідповідальність (халатна помилка) одного з них. Звідси також слідує, що розрахунок стійкості захисту повинен здійснюватись для двох можливих вихідних позицій порушника ТЗІ: за межами контрольованої території та в її межах.
Як вихідною передумовою також вважаємо, що порушник ТЗІ один, оскільки захист від групи порушників – завдання окремого етапу досліджень. Але це не виключає можливості захисту пропонованими методами та засобами і від такого роду ситуацій, хоча подібна задача значно складніша. При цьому під групою порушників ТЗІ слід розуміти групу фахівців, які виконують одну задачу ТЗІ під загальним керівництвом.
Але для різних по призначенню і принципам роботи ІС, видів і обмеженості оброблюваної в них інформації найбільш “загрозлива” модель поведінки потенційного порушника ТЗІ також може бути різною.
Вданому випадку вибираємо мандатну політику безпеки, оскільки вона найкраще втілює потрібні методи захисту інформації на даному об’єкті.
Основу мандатної політики безпеки (МПБ) становить мандатне управління доступом, яке передбачає, що:
всі суб”єкти та об”єкти повинні бути однозначно ідентифіковані;
задано лінійно впорядкований набір міток секретності;
кожному об”єкту системи присвоєна мітка секретності, яка визначає цінність інформації, що міститься в ньому – його рівень секретності в АС;
кожному суб”єкту системи присвоєна мітка секретності, яка визначає рівень довіри до нього в АС – максимальне значення мітки секретності об”єктів, до яких суб”єкт має доступ; мітка секретності суб”єкта називається його рівнем доступу.
Основна мета МПБ – запобігання витоку інформації від об”єктів з високим рівнем доступу до об”єктів з
низьким рівнем доступу, тобто протидія виникненню в Ас інформвційних каналів зверху вниз. Вона оперує, таким чином, поняттями інформаційного потоку і цінності (певним значенням мітки секретності) інформаційних об”єктів.
МПБ в сучасних системах захисту на практиці реалізується мандатним контролем. Він реалізується на найнижчому апаратно-програмному рівні, що дозволяє досить ефективно будувати захищене середовище для механізму мандатного контролю. Пристрій мандатного контролю називають монітором звернень.
Мандатний контроль ще називають обов”язковим, оскільки його має проходити кожне звернення суб”єкта до об”єкта, якщо вони знаходяться під захистом СЗІ. Організується він так: кожний об”єкт має мітку з інформацією про свій рівень секретності; кожний суб"єкт також має мітку з інформацією про те, до яких об”єктів він має право доступу. Мандатний контроль порівнює мітки і приймає рішення про допуск.