Адекватная политика безопасности

 
 
 
 

8. Безопасности информации в АС;
9. Применение системы  защиты  не должно ухудшать экологическую  обстановку,  не быть сложной  для пользователя, не вызывать  психологического противодействия  и желания обойтись без нее.

    Классификация АС

1.1 Классификация распространяется на все действующие и проектируемые АС учреждений, организаций и предприятий, обрабатывающие конфиденциальную информацию.

1.2 Деление АС на соответствующие классы по условиям их функционирования с точки зрения защиты информации необходимо в целях разработки и применения обоснованных мер по достижению требуемого уровня защиты информации.

1.3 Дифференциация подхода к выбору методов и средств защиты определяется важностью обрабатываемой информации, различием АС по своему составу, структуре, способам обработки информации, количественному и качественному составу пользователей и обслуживающего персонала.

1.4 Основными этапами классификации АС являются:

1. Разработка и анализ исходных данных;
2. Выявление основных признаков АС, необходимых для классификации;

3. Сравнение выявленных признаков АС с классифицируемыми;
4. Присвоение АС соответствующего класса защиты информации от НСД.

1.5 Необходимыми исходными данными для проведения классификации конкретной АС являются:

1. перечень защищаемых информационных ресурсов АС и их уровень конфиденциальности;
2. перечень лиц, имеющих доступ к штатным средствам АС, с указанием их уровня полномочий;
3. матрица доступа или полномочий субъектов доступа по отношению к защищаемым информационным ресурсам АС;
4. режим обработки данных в АС.

1.6 Выбор класса АС производится заказчиком и разработчиком с привлечением специалистов по защите информации.

1.7 К числу определяющих признаков, по которым производится группировка АС в различные классы, относятся:

1. Наличие в АС информации различного уровня конфиденциальности;
2. Уровень полномочий субъектов доступа АС на доступ к конфиденциальной информации;

 
 
 
 

3.  Режим обработки данных в АС - коллективный или индивидуальный.

1.8 Устанавливается девять классов защищенности АС от НСД к информации.

    Каждый  класс характеризуется определенной минимальной совокупностью требований по защите. Классы подразделяются на три группы, отличающиеся особенностями обработки информации в АС.

    В пределах каждой группы соблюдается иерархия требований по защите в зависимости от ценности (конфиденциальности) информации и, следовательно, иерархия классов защищенности АС.

    Третья  группа включает АС, в которых работает один пользователь, допущенный ко всей информации АС, размещенной на носителях одного уровня конфиденциальности. Группа содержит два класса - 3Б и 3А.

    Вторая  группа включает АС, в которых пользователи имеют одинаковые права доступа (полномочия) ко всей информации АС, обрабатываемой и (или) хранимой на носителях различного уровня конфиденциальности. Группа содержит два класса - 2Б и 2А.

    Первая  группа включает многопользовательские  АС, в которых одновременно обрабатывается и (или) хранится информация разных уровней конфиденциальности. Не все пользователи имеют право доступа ко всей информации АС. Группа содержит пять классов - 1Д, 1Г, 1В, 1Б и 1А.

    Требования  по защите информации от НСД для АС

2.1 Защита информации от НСД является составной частью общей проблемы обеспечения безопасности информации. Мероприятия по защите информации от НСД должны осуществляться взаимосвязано с мероприятиями по специальной защите основных и вспомогательных средств вычислительной техники, средств и систем связи от технических средств разведки и промышленного шпионажа.

2.2 В общем случае, комплекс программно-технических средств и организационных (процедурных) решений по защите информации от НСД реализуется в рамках системы защиты информации от НСД (СЗИ НСД), условно состоящей из следующих четырех подсистем:

1. Управления доступом;
2. Регистрации и учета;
3. Криптографической;
4. Обеспечения целостности.

 
 
 
 
 
 
 
 

Таблица 1 – Классы защищенности

 
 
 

5 Модель нарушителя

    Модель  нарушителя – абстрактное (формализованное или неформализованное) описание нарушителя правил разграничения доступа.

    Модель  нарушителя определяет:

• категории (типы нарушителей), которые могут воздействовать на объект;
• цели, которые могут преследовать нарушители каждой категории, возможный количественный состав, используемые инструменты, принадлежности, оснащение, оружие и другое;
• типовые сценарии возможных действий нарушителей, описывающие последовательность (алгоритм) действий групп и отдельных нарушителей, способы их действий на каждом этапе;

   Содержательная  модель нарушителей отражает систему принятых руководством объекта, ведомства взглядов на контингент потенциальных нарушителей, причины и мотивацию их действий, преследуемые цели и общий характер действий в процессе подготовки и совершения акций воздействия.

   Математическая  модель воздействия  нарушителей представляет собой формализованное описание сценариев в виде логико-алгоритмической последовательности действий нарушителей, количественных значений, параметрически характеризующих результаты действий, и функциональных (аналитических, численных или алгоритмических) зависимостей, описывающих протекающие процессы взаимодействия нарушителей с элементами объекта и системы охраны. Именно этот вид модели используется для количественных оценок уязвимости объекта и эффективности охраны.

   Нарушитель – это лицо, предпринявшее попытку выполнения запрещенных операций (действий) по ошибке, незнанию или осознанно со злым умыслом (из корыстных интересов) или без такового (ради игры или удовольствия, с целью самоутверждения и т.п.) и использующее для этого различные возможности, методы и средства.

   Таблица 2 – Типы нарушителей

 
 
 
 

   Классификация внутренних нарушителей:

  Сотрудники, допускающие утечку конфиденциальной информации, будучи допущенными к ней, классифицируются по нескольким критериям — злонамеренные или халатные, ставящие цели себе сами или действующие по заказу, охотящиеся за конкретной информацией или выносящие все, к чему имеют доступ. Правильно классифицировав потенциального нарушителя, сотрудники подразделения информационной безопасности компании могут спрогнозировать поведение нарушителя при невозможности осуществления попытки передачи информации. Кроме того, рассматривая средства защиты, всегда надо иметь в виду, против каких нарушителей эти средства действенны, а против каких — нет.

 Мы  разделяем нарушителей на пять  основных видов — неосторожные, манипулируемые, саботажники, нелояльные и мотивируемые извне. Рассмотрим каждый вид и их подвиды подробнее.

Таблица 3 – Экосистема внутренних нарушителей

   Неосторожные