Полезное:
Как сделать разговор полезным и приятным
Как сделать объемную звезду своими руками
Как сделать то, что делать не хочется?
Как сделать погремушку
Как сделать так чтобы женщины сами знакомились с вами
Как сделать идею коммерческой
Как сделать хорошую растяжку ног?
Как сделать наш разум здоровым?
Как сделать, чтобы люди обманывали меньше
Вопрос 4. Как сделать так, чтобы вас уважали и ценили?
Как сделать лучше себе и другим людям
Как сделать свидание интересным?
Категории:
АрхитектураАстрономияБиологияГеографияГеологияИнформатикаИскусствоИсторияКулинарияКультураМаркетингМатематикаМедицинаМенеджментОхрана трудаПравоПроизводствоПсихологияРелигияСоциологияСпортТехникаФизикаФилософияХимияЭкологияЭкономикаЭлектроника
|
Вопрос 45.2. Концепция инженерно-технической защиты информации (ИТЗИ): базовые принципы и основные направления ИТЗИ. ⇐ ПредыдущаяСтр 8 из 8 КОНЦЕПЦИЯ - система взглядов на что-либо, основная мысль. ИТЗИ – одна из основных компонент комплекса мер по защите информации, составляющей государственную, служебную, коммерческую и личную тайну. Этот комплекс включает нормативно-прововые документы, организационные и технические меры, направленные на обеспечение безопасности секретной и конфиденциальной информации. С возрастанием роли информации в обществе повышаются требования и к ИТЗИ. Замкнутость информационного обмена, существовавшего в “дорыночный период”, замедляла научно-технический прогресс. Многие достижения, полученные в ходе закрытых разработок, были недоступны не только для потенциальных противников, но и отечественной промышленности, выпускающей товары широкого потребления. В условиях рынка проблему защиты информации нельзя решить тотальным закрытием информации, так как без информации о новой продукции, которая распространяется, прежде всего, через рекламу, невозможно завоевать рынок. Более того, задачи по защите информации в условиях рынка усложняются, так как она интересует не только разведку других государств, но и многочисленных конкурентов или просто криминальные элементы. В переходный период становления рыночной экономики проблемы защиты информации усугубляются еще и несовершенством законодательной базы по сохранению государственной и коммерческой тайн. Инженерно-техническая защита информации включает комплекс организационных и технических мер по обеспечению безопасности информации техническими средствами. Она решает следующие задачи: · Предотвращение проникновения злоумышленника к источникам информации с целью ее уничтожения, хищения или изменения. · Защита носителей информации от уничтожения в результате воздействия стихийных сил и прежде всего, пожара и воды (пены) при его тушении. · Предотвращение утечки информации по различным техническим каналам. (Возможна альтернативная схема выделения направлений ИТЗИ) · защита информации в каналах связи. · защита от утечек через поля и среды за счет утечек через э/м излучение утечки по упругим каналам (акустические) · защита от наблодения и фотографирования · защита от хищения по материально-вещественным каналам Способы и средства решения первых двух задач не отличаются от способов и средств защиты любых материальных ценностей, третья задача решается исключительно способами и средствами инженерно-технической защиты информации. Инженерно-техническая защиты информации представляет собой достаточно быстро развивающуюся область науки и техники на стыке теории систем, физики, оптики, акустики, радиоэлектроники, радиотехники, электро- и радиоизмерений и других дисциплин. Круг вопросов, которыми вынуждена инженерно-техническая защита, широк и обусловлен многообразием источников и носителей информации, способов и средств ее добывания, а следовательно и защиты. Для обеспечения эффективной ИТЗИ необходимо определить: · Что защищать техническимим средствами в конкретной организации, здании, помещении; · Каким угрозам подвергается защищаемая информация со стороны злоумышленников и их технических средств; Какие способы и средства целесообразно применять для обеспечения безопасности информации с учетом как величины угрозы, так и затрат на ее предотвращение; В основу защиты должны быть положены следующие принципы: - непрерывность защиты информации, характеризующая постоянную готовность системы защиты к отражению угроз безопасности информации в любое время; - активность, предусматривающая прогнозирование действий злоумышленника, разработку и реализацию опережающих мер по защите; - скрытность, исключающая ознакомление посторонних лиц со средствами и технологией защиты информации: - целеустремленность, предполагающая сосредоточение усилий по предотвращению угроз наиболее ценной информации; - комплексное использование различных способов и средств защиты информации, позволяющая компенсировать недостатки одних достоинствами других. Эти принципы хотя и не содержат конкретных рекомендаций, однако определяют общие требования к способам и средствам защиты информации. Следующая группа принципов характеризует основные профессиональные подходы к организации защиты информации, обеспечивает рациональный уровень ее защиты и позволяет сократить затраты. Эта группа включает следующие принципы: - соответствие уровня защиты ценности информации; - гибкость защиты: - многозональность защиты, предусматривающая размещение источников информации в зонах с контролируемым уровнем ее безопасности; - многорубежность защиты информации на пути движения злоумышленника или распространения носителя. Первый принцип определяет экономическую целесообразность применения тех или иных мер защиты. Он заключается в том, что затраты на защиту не должны превышать цену защищаемой информации. В противном случае защита нерентабельна. Так как цена информации - величина переменная, зависящая как от источника информации, так и времени, то во избежание неоправданных расходов защита должна быть гибкой. Гибкость защиты проявляется в возможности изменении степени защищенности в соответствии с изменившимися требованиями к безопасности информации. Степень защищенности информации определяет уровень безопасности информации. Требуемый уровень безопасности информации достигается многозональностью и многорубежностью защиты. Принципы многозональности и многорубежности иллюстрируются на рисунке. Многозональность обеспечивает дифференцированный санкционированный доступ различных категорий сотрудников и посетителей к источникам информации и реализуется путем разделения пространства, занимаемого объектом защиты (организацией, предприятием, фирмой или любой другой государственной и коммерческой структурой) на так как называемые контролируемые зоны. Типовыми зонами являются: - территория, занимаемая организацией и ограничиваемая забором или условной внешней границей; - здание на территории; - коридор или его часть; - помещение (служебное, кабинет, комната, зал, техническое помещение, склад и др.): - шкаф. сейф, хранилище. Зоны могут быть независимыми (здания организации, помещения зданий), пересекающимися и вложенными (сейф внутри комнаты, комнаты внутри здания, здания на территории организации). С целью воспрепятствования проникновению злоумышленника в зону на ее границе создаются, как правило, один или несколько рубежей защиты. Особенностью защиты границы зоны является требование равной прочности рубежей на границе и наличие контрольно-пропускных пунктов или постов, обеспечивающих управление доступом в зону людей и автотранспорта. Рубежи защиты создаются и внутри зоны на пути возможного движения злоумышленника или распространения иных носителей, прежде всего, электромагнитных и акустических полей. Например, для защиты акустической информации от подслушивания в помещении может быть установлен рубеж защиты в виде акустического экрана.
Каждая зона характеризуется уровнем безопасности находящейся в ней информации. Безопасность информации в зоне зависит от: - расстояния от источника информации (сигнала) до злоумышленника или его средства добывания информации; - количества и уровня защиты рубежей на пути движения злоумышленника или распространения иного носителя информации (например, поля); - эффективности способов и средств управления допуском людей и автотранспорта в зону; - мер по защите информации внутри зоны. Чем больше удаленность источника информации от места нахождения злоумышленника или его средства добывания и чем больше рубежей защиты, тем больше время движения злоумышленника к источнику и ослабление энергии носителя в виде поля или электрического тока. Количество и пространственное расположение зон и рубежей выбираются таким образом, чтобы обеспечить требуемый уровень безопасности защищаемой информации как от внешних (находящихся вне территории организации), так и внутренних (проникших на территорию злоумышленников и сотрудников). Чем более ценной является защищаемая информация, тем большим количеством рубежей и зон целесообразно окружать ее источник и тем сложнее злоумышленнику обеспечить разведывательный контакт с ее носителями. Вариант классификация зон по степени защищенности приведен в таблице.
Рассмотренные выше принципы относятся к защите в целом. При построении системы защиты целесообразно учитывать также следующие принципы: - минимизация дополнительных задач и требований к сотрудникам организации, вызванных мерами по защите информации; - надежность в работе технических средств системы, исключающая как не реагирование на угрозы безопасности (пропуски угроз) информации, так и ложные реакции при их отсутствии; - ограниченный и контролируемый доступ к элементам системы обеспечения безопасности информации; - непрерывность работы системы в любых условиях функционирования объекта защиты, в том числе при, например, кратковременном выключении электроэнергии; - адаптируемость (приспособляемость) системы к изменениям окружающей среды: Смысл указанных принципов очевиден, но следует остановиться подробнее на последнем. Дело в том, что закрытая информация о способах и средствах ее защиты в конкретной организации со временем становится известной все большему количеству людей, в результате чего увеличивается вероятность попадания этой информации к злоумышленнику. Поэтому целесообразно производить изменения в структуре системы защиты периодически или при появлении достаточно реальной возможности утечки информации о системе защиты, например, при внезапном увольнении информированного сотрудника службы безопасности. Реализация указанных принципов в системе защиты позволит приблизить ее к абсолютной, которая может быть определена как система, обладающая всеми возможными способами защиты и способная в любой момент своего существования прогнозировать наступление угрожающего события за время, достаточное для приведения в действие адекватных мер. Вопрос 52.2. Концепция инженерно-технической защиты информации (ИТЗИ): характеристика ИТЗИ как области информационной безопасности; основные задачи, показатели эффективности и факторы, влияющие на эффективность ИТЗИ. ИТЗИ – одна из основных компонент комплекса мер по защите информации, составляющей государственную, служебную, коммерческую и личную тайну. Этот комплекс включает нормативно-прововые документы, организационные и технические меры, направленные на обеспечение безопасности секретной и конфиденциальной информации. С возрастанием роли информации в обществе повышаются требования и к ИТЗИ. Замкнутость информационного обмена, существовавшего в “дорыночный период”, замедляла научно-технический прогресс. Многие достижения, полученные в ходе закрытых разработок, были недоступны не только для потенциальных противников, но и отечественной промышленности, выпускающей товары широкого потребления. В условиях рынка проблему защиты информации нельзя решить тотальным закрытием информации, так как без информации о новой продукции, которая распространяется, прежде всего, через рекламу, невозможно завоевать рынок. Более того, задачи по защите информации в условиях рынка усложняются, так как она интересует не только разведку других государств, но и многочисленных конкурентов или просто криминальные элементы. В переходный период становления рыночной экономики проблемы защиты информации усугубляются еще и несовершенством законодательной базы по сохранению государственной и коммерческой тайн. Инженерно-техническая защита информации включает комплекс организационных и технических мер по обеспечению безопасности информации техническими средствами. Она решает следующие задачи: · Предотвращение проникновения злоумышленника к источникам информации с целью ее уничтожения, хищения или изменения. · Защита носителей информации от уничтожения в результате воздействия стихийных сил и прежде всего, пожара и воды (пены) при его тушении. · Предотвращение утечки информации по различным техническим каналам. Способы и средства решения первых двух задач не отличаются от способов и средств защиты любых материальных ценностей, третья задача решается исключительно способами и средствами инженерно-технической защиты информации. Инженерно-техническая защиты информации представляет собой достаточно быстро развивающуюся область науки и техники на стыке теории систем, физики, оптики, акустики, радиоэлектроники, радиотехники, электро- и радиоизмерений и других дисциплин. Круг вопросов, которыми вынуждена инженерно-техническая защита, широк и обусловлен многообразием источников и носителей информации, способов и средств ее добывания, а следовательно и защиты. Для обеспечения эффективной ИТЗИ необходимо определить: · Что защищать техническимим средствами в конкретной организации, здании, помещении; · Каким угрозам подвергается защищаемая информация со стороны злоумышленников и их технических средств; · Какие способы и средства целесообразно применять для обеспечения безопасности информации с учетом как величины угрозы, так и затрат на ее предотвращение; Вариантов систем защиты, удовлетворяющих поставленным целям и задачам, может быть много. Сравнение вариантов производится по количественной мере, называемой критерием эффективности системы. Критерий может быть в виде одного показателя, учитывающего основные характеристики системы или представлять собой набор частных показателей. Единый общий критерий эффективности называется глобальным. В качестве частных показателей критерия эффективности системы защиты информации используются, в основном, те же, что и при оценке эффективности разведки. Это возможно потому, что цели и задачи, а, следовательно, значения показателей эффективности разведки и защиты информации близки по содержанию, но противоположны по результатам. То, что хорошо для безопасности информации, плохо для разведки, и наоборот. Частными показателями эффективности системы защиты информации являются: - вероятность обнаружения и распознавания органами разведки объектов - погрешности измерения признаков объектов защиты; - качество (разборчивость) речи на выходе приемника злоумышленника; - достоверность (вероятность ошибки) дискретного элемента информации (буквы, цифры, элемента изображения). Очевидно, что система защиты тем эффективнее, чем меньше вероятность обнаружения и распознавания объекта защиты органом разведки (злоумышленником), чем ниже точность измерения им признаков объектов защиты, ниже разборчивость речи, выше вероятность ошибки приема органом разведки дискретных сообщений. Однако при сравнении вариантов построения системы по нескольким частным показателям возникают проблемы, обусловленные возможным противоположным характером изменения значений разных показателей: одни показатели эффективности одного варианта могут превышать значения аналогичных показателей второго варианта, другие наоборот - имеют меньшие значения. Какой вариант предпочтительнее? Кроме того, важным показателем системы защиты являются затраты на обеспечение требуемых значений оперативных показателей. Поэтому результаты оценки эффективности защиты по совокупности частных показателей, как правило, неоднозначные. Для выбора рационального (обеспечивающего достижение целей, решающего поставленные задачи при полном наборе входных воздействий с учетом ограничений) варианта путем сравнения показателей нескольких вариантов используется глобальный критерий в виде отношения эффективность/стоимость. Под эффективностью понимается степень выполнения системой задач, под стоимостью - затраты на защиту. В качестве меры эффективности применяются различные композиции частных показателей, чаще их «взвешенная» сумма: , где - «вес» частного показателя эффективности. «Вес» частного показателя определяется экспертами (руководством, специалистами организации, сотрудниками службы безопасности) в зависимости от характера защищаемой информации. Если защищается в основном семантическая информация, то больший «вес» имеют показатели оценки разборчивости речи и вероятности ошибки приема дискретных сообщений. В случае защиты объектов наблюдения выше «вес» показателей, характеризующих вероятности обнаружения и распознавания этих объектов. Для оценки эффективности системы защиты информации по указанной формуле частные показатели должны иметь одинаковую направленность влияния на эффективность - при увеличении их значений повышается значение эффективности. С учетом этого требования в качестве меры обнаружения и распознавания объекта надо использовать вероятность не обнаружения и не распознания, а вместо меры качества подслушиваемой речи - ее неразборчивость. Остальные частные показатели соответствуют приведенным выше.Выбор лучшего варианта производится по максимуму глобального критерия, так как он имеет в этом случае лучшее соотношение эффективности и стоимости. Проектирование требуемой системы защиты проводится путем системного анализа существующей и разработки вариантов требуемой. Алгоритм этого процесса включает следующие этапы: - определение перечня защищаемой информации, целей, задач, ограничений и показателей эффективности системы зашиты: - моделирование существующей системы и выявление ее недостатков с позиции поставленных целей и задач; - определение п моделирование угроз безопасности информации: - разработка вариантов (алгоритмов функционирования) проектируемой системы: - сравнение вариантов по глобальному критерию и частным показателям, выбор наилучших вариантов; - обоснование выбранных вариантов системы в докладной записке пли в проекте для руководства организации; - доработка вариантов или проекта с учетом замечаний руководства. Так как отсутствуют формальные способы синтеза системы защиты, то ее оптимизация при проектировании возможна путем постепенного приближения к рациональному варианту в результате нескольких итераций. Факторы, влияющие на структуру и функционирование системы, называются системообразующими. К ним относятся: - перечни защищаемых сведений, составляющих государственную (по тематике гос. заказа, если он выполняется организацией) и комм-ую тайну; - требуемые уровни безопасности информации, обеспечение которых не приведет к превышению ущерба над затратами на защиту информации; - угрозы безопасности информации; - ограничения, которые надо учитывать при создании или модернизации системы защиты информации; - показатели, по которым будет оцениваться эффективность системы защиты. [1] Функция называется кусочно-непрерывной на всей числовой оси, если она на любом сегменте или непрерывна, или имеет конечное число точек разрыва 1 рода. Авторы здесь для простоты изложения материала одинаково обозначают записи и ключи этих записей. Но обратите внимание: в листинге предполагается, что записи имеют отдельное поле key (ключ). Авторы здесь для простоты изложения материала одинаково обозначают записи и ключи этих записей. Но обратите внимание: в листинге предполагается, что записи имеют отдельное поле key (ключ).
|