kiev-security.org.ua-Безопасность бизнеса.Опыт использования защиты информации в современных коммерческих структурах

Российский государственный гуманитарный университет В настоящее время в условиях постоянного роста коммерческих структур повышается актуальность защиты коммерческой информации на основе комплексного использования современных средств и методов защиты. Авторами предлагается осуществлять защиту коммерческой информации в процессе ее автоматизированной обработки на основе использования типовой модели шестирубежной системы защиты информации. При этом под рубежом защиты понимается организованная и локализованная совокупность всех средств, методов и мероприятий, используемых для защиты коммерческой информации в процессе ее обработки. Под типизацией системы защиты информации (СЗИ) понимается заблаговременная разработка и всесторонняя проверка и отладка таких ее вариантов или отдельных компонентов, которые могут быть использованы в различных коммерческих структурах и в различных технологиях переработки информации. Предлагается выделить три уровня типизации систем защиты информации: высший - уровень СЗИ в целом, средний - уровень составных компонентов СЗИ, низший - уровень проектных решений по средствам и механизмам защиты. Типизацию СЗИ в целом предлагается осуществлять по двум критериям: 1) уровень защиты, обеспечиваемый соответствующей системой; 2) активность реагирования СЗИ на несанкционированные действия. По уровню обеспечиваемой защиты все СЗИ можно разделить на четыре категории: 1) системы слабой защиты, рассчитанные на такие информационные технологии, в которых обрабатывается главным образом конфиденциальная информация и не требуется сколько-нибудь существенная защита; 2) системы сильной зашиты, рассчитанные на такие информационные технологии, в которых обрабатывается секретная информация, подлежащая защите от несанкционированного ее получения, но обьемы этой информации не очень велики и обрабатывается она эпизодически; 3) системы очень сильной здщц~ц, рассчитанные на регулярную автоматизируемую обработку больших объемов секретной информации; 4) системы особой зашиты, рассчитанные на обработку информации повышенной секретности [1]. По второму критерию, то есть по активности реагирования СЗИ на несанкционированные действия, СЗИ делятся на следующие три типа: 1) пассивные СЗИ, у которых не предусматривается ни сигнализация о несанкционированных действиях, ни воздействие системы защиты на нарушителя; 2) полуактивные СЗИ, у которых предусматривается сигнализация о несанкционированных действиях, но не предусмотрено воздействие системы на нарушителя; 3) активные СЗИ, у которых предусматривается как сигнализация о несанкционированных действиях, так и воздействие системы на нарушителя. Типизация СЗИ на среднем уровне предполагает разработку типовых проектов структурно или функционально ориентированных компонентов СЗИ, к которым целесообразно отнести следующее: * регулирование доступа на территорию, в помещения, к техническим средствам обработки данных; * подавление излучений и наводок; предупреждение наблюдения и подслушивания; * маскировку информации; управление системой защиты. Типизация на низшем уроне предполагает разработку типовых решений по практической реализации средств защиты информации. Анализ проектирования СЗИ для различных коммерческих структур показал перспективность использования типовой модели шестирубежной системы защиты. Организационное построение такой СЗИ представляется совокупностью шести рубежей защиты: 1-рубеж защиты территории; 2-рубеж защиты здания (помещения); 3-рубеж защиты технических средств обработки данных; 4-рубеж защиты линий связи, проходящих в пределах одного помещения; 5-рубеж защиты линий связи, проходящих в пределах одной и той же охраняемой территории; 6-рубеж защиты линий связи, проходящих по неконтролируемой территории. Обобщенные задачи защиты информации на первом и втором рубежах могут быть сформулированы следующим образом: 1) предупреждение доступа посторонних лиц; 2) разграничение (регулирование) доступа законных лиц. Поэтому при организации и обеспечении выделенных рубежей защиты надо исходить из потребностей решения этих задач. Рубеж Э1 есть ни что иное как организованная совокупность всех средств и методов организации защиты периметра контролируемой территории. Помимо технических средств охраны для организации и обеспечения 1-го рубежа защиты широко используются организационные мероприятия, основными видами которых являются организация контрольно-пропускных пунктов и организация наблюдения за контролируемой территорией. Однако организационным средствам защиты, реализуемыми как правило целенаправленной деятельностью людей, присущи и существенные недостатки, обусловленные свойствами человека: а) невнимательностью; б) неосторожностью; в) отказами и ошибками при усталости; г) склонностью к злоумышленным действиям (подверженностью к подкупу). Наиболее совершенной системой, обеспечивающей надежное регулирование доступа на территорию и в помещение, являются автоматизированные КПП. Для организации второго рубежа, дополнительно к предыдущему, могут использоваться следующие средства: - кодовые замки различных конструкций; - различного рода полуавтоматизированные и автоматизированные системы регулирования доступа. Третий рубеж защиты представляет собою совокупность средств и методов защиты ресурсов систем обработки данных, к которым относятся следующие: 1) технические средства обработки; 2) сменные носители информации; 3) методы и модели решения функциональных зщач; 4) алгоритмы и программы обработки данных; 5) массивы (базыданных) в ОЗУ и ВЗУЭВМ; б) документы на трщиционных носителях. Тфетий рубеж является одним из наиболее важных, поскольку именно в зоне ресурсов и зоне баз данных потенциально существует наибольшее число каналов несанкционированного получения информации. Защита информации в линиях связи различной протяженности (рубежи Э4, Э5 и Э6) может быть осуществлена криптографическими и программными средствами, имеющимися в сетевом программном обеспечении, а также специально разрабатываемыми программами. Защита информации на рубеже Э4 сравнительно легко может быть осуществлена чисто организационным путем: размещение кабелей в недоступных коробах или под фальшполом. Особого внимания требуют места сопряжения линий связи с ЭВМ. Защита информации на рубеже Э5 дополнительно может осуществляться расположением кабелей под землей с визуальным наблюдением за трассой прохождения кабеля. Наиболее эффективным и доступным средством защиты на рубеже Э6 является криптозащита. Рассмотренная типовая шестирубежная модель СЗИ использована при проектировании СЗИ в коммерческом банке "Стройинвест" и акционерном обществе "Аргус". Литература 1. В.А. Герасименко. Защита информации в автоматизированных системах обработки данных. Кн.1.- М.: Энергоатомиздат.1994

19. Опыт использования защиты информации в современных коммерческих структурах