Построение защищенных информационных систем

 

 

 

 

В настоящее  время уделяется большое внимание вопросам построения защищенных информационных систем, что связано с растущей необходимостью применения современных информационных технологий в тех областях, для которых основным требованием к автоматизированным системам обработки информации является обеспечение безопасности. Широко распространенные операционные системы (ОС) типа Linux или Windows не могут удовлетворить этому критерию. В то же время эти ОС обладают огромным количеством приложений для обработки информации и имеют привычный для пользователя интерфейс.

Для удовлетворения высоких требований к безопасности создаются специальные защищенные ОС (ЗОС), нацеленные в основном на обеспечение  безопасности и сохранение целостности  защищаемых информационных ресурсов.

 

Построение сложных  защищенных информационных систем связано  с решением следующих двух ключевых взаимосвязанных проблем:

 

-распределение  задач администрирования средствами  защиты информации между субъектами  управления системой;

 

-использование  встроенных механизмов защиты  на всех уровнях иерархии системы. 

 

Первая проблема обусловлена иерархическими принципами построения сложной системы - как  правило, можно выделить уровень  платформы (операционная система), общесистемный  уровень (СУБД и другие системные  средства), уровень приложений. Каждый уровень требует своего администрирования.

 

В сложной системе в общем  случае выделяются следующие задачи администрирования:

 

-системное администрирование (настройка ОС,-конфигурация и маршрутизация сетевого трафика и т.п.);

 

-администрирование  СУБД и других общесистемных  средств; 

 

-администрирование  прикладных приложений.

 

Основные принципы построения защиты:

 

1.Необходимо  построить вокруг предмета защиты  постоянно действующий замкнутый  контур защиты.

 

2.Свойства  преграды составляющие защиту должны, по возможности, соответствовать ожидаемой квалификации и осведомленности нарушителя.

 

3.Для входа  в систему законного пользователя  необходима переменная секретная  информация, известная только ему.

 

4.Итоговая  прочность защитного контура  определяется его слабейшим звеном.

 

5.При наличии  нескольких законных пользователей  полезно обеспечить разграничение  их доступа к информации в  соответствии с полномочиями  и выполняемыми функциями, реализуя таким образом принцип наименьшей осведомленности каждого пользователя с целью сокращения ущерба в случае, если имеет место безответственность одного из них.

 

По сравнению с  традиционными технологиями построения защищенных информационных систем, основанными  либо на разработке специальных ЗОС, либо на интеграции средств защиты в распространенные ОС, применение технологии ЗГОС имеет следующие  преимущества:

 

1. Полный контроль доступа распространенных приложений к информационным ресурсам со стороны доверенных средств защиты из состава базовой ЗОС.

 

2. Невозможность обхода или отключения защиты с помощью распространенных приложений, поскольку они находятся под контролем базовой ЗОС и не имеют доступа к аппаратуре.

 

3. Множество доступных приложений базовой ЗОС расширяется за счет приложений встраиваемой ОС, что позволяет использовать ЗГОС практически везде, где применяется встраиваемая ОС.

 

4. Накладные расходы на выполнение распространенных приложений в среде ЗГОС не велики — фактически единственным дополнительно исполняемым кодом, по сравнению с обычной встраиваемой ОС, является код средств защиты базовой ЗОС.

 

Методы и средства построения  информационной системы:

 

Системный подход к построению системы зашиты, означающий оптимальное сочетание взаимосвязанных  организационных, программных, аппаратных, физических и других свойств, подтвержденных практикой создания отечественных и зарубежных систем защиты и применяемых на всех этапах технологического цикла обработки информации.

Принцип непрерывного развития системы. Этот принцип, являющийся одним из основополагающих для компьютерных информационных систем, еще более  актуален для СИБ.

 

Разделение  и минимизация полномочий по доступу  к обрабатываемой информации и процедурам обработки, т.е. предоставление как пользователям, так и самим работникам ИС минимума строго определенных полномочий, достаточных для выполнения ими своих служебных обязанностей.

 

Полнота контроля и регистрации попыток несанкционированного доступа, т.е. необходимость точного  установления идентичности каждого  пользователя и протоколирования его  действий для проведения возможного расследования, а также невозможность  совершения любой операции обработки  информации в ИТ без ее предварительной регистрации.

 

Обеспечение надежности системы защиты, т. е. невозможность  снижения уровня надежности при возникновении  в системе сбоев, отказов, преднамеренных действий взломщика или непреднамеренных ошибок пользователей и обслуживающего персонала.

 

Обеспечение контроля за функционированием системы защити, т.е. создание средств и методов контроля работоспособности механизмов защиты.

 

Обеспечение всевозможных средств борьбы с вредоносными программами.

 

Обеспечение экономической целесообразности использования  системы защиты, что выражается в  превышении возможного ущерба ИС и  ИТ от реализации угроз над стоимостью разработки и эксплуатации СИБ.

 

Нормативные документы в области  информационной безопасности 

 

 

В Российской Федерации  к нормативно-правовым актам в  области информационной безопасности относятся:

 

• Акты федерального законодательства:
• Международные договоры РФ;
• Конституция РФ;
• Законы федерального уровня (включая федеральные конституционные законы, кодексы);
• Указы Президента РФ;
• Постановления правительства РФ;
• Нормативные правовые акты федеральных министерств и ведомств;
• Нормативные правовые акты субъектов РФ, органов местного самоуправления и т. д.

 

• Подробнее списки и содержание указанных нормативных документов в области информационной безопасности обсуждаются в разделе Информационное право.

 

• К нормативно-методическим документам можно отнести
• Методические документы государственных органов России:
• Доктрина информационной безопасности РФ;
• Руководящие документы ФСТЭК (Гостехкомиссии России);
• Приказы ФСБ;
• Стандарты информационной безопасности, из которых выделяют:
• Международные стандарты;
• Государственные (национальные) стандарты РФ;
• Рекомендации по стандартизации;
• Методические указания.

 

 

 

Для описания технологии защиты информации конкретной информационной системы обычно строится так называемая Политика информационной безопасности или Политика безопасности рассматриваемой информационной системы.

 

Политика  безопасности  — совокупность документированных правил, процедур, практических приемов или руководящих принципов в области безопасности информации, которыми руководствуется организация в своей деятельности.

 

Политика  безопасности информационно-телекоммуникационных технологий— правила, директивы, сложившаяся практика, которые определяют, как в пределах организации и её информационно-телекоммуникационных технологий управлять, защищать и распределять активы, в том числе критичную информацию.

 

Для построения Политики информационной безопасности рекомендуется  отдельно рассматривать следующие  направления защиты информационной системы:

 

• Защита объектов информационной системы;

 

• Защита процессов, процедур и программ обработки информации;

 

• Защита каналов связи (акустические, инфракрасные, проводные, радиоканалы и др.);

 

• Подавление побочных электромагнитных излучений;

 

• Управление системой защиты.

 

При этом по каждому  из перечисленных выше направлений  Политика информационной безопасности должна описывать следующие этапы  создания средств защиты информации:

 

• Определение информационных и технических ресурсов, подлежащих защите;
• Выявление полного множества потенциально возможных угроз и каналов утечки информации;

Проведение  оценки уязвимости и рисков информации при имеющемся множестве угроз  и каналов утечки;

• Определение требований к системе защиты;
• Осуществление выбора средств защиты информации и их характеристик;

Внедрение и  организация использования выбранных  мер, способов и средств защиты;

• Осуществление контроля целостности и управление системой защиты.

 

 

Политика  информационной безопасности оформляется  в виде документированных требований на информационную систему. Документы  обычно разделяют по уровням описания (детализации) процесса защиты.

 

Документы верхнего уровня Политики информационной безопасности отражают позицию организации к  деятельности в области защиты информации, её стремление соответствовать государственным, международным требованиям и  стандартам в этой области. Подобные документы могут называться «Концепция ИБ», «Регламент управления ИБ», «Политика  ИБ», «Технический стандарт ИБ» и  т. п. Область распространения документов верхнего уровня обычно не ограничивается, однако данные документы могут выпускаться  и в двух редакциях — для  внешнего и внутреннего использования.

 

К среднему уровню относят документы, касающиеся отдельных аспектов информационной безопасности. Это требования на создание и эксплуатацию средств защиты информации, организацию информационных и бизнес-процессов  организации по конкретному направлению  защиты информации. Например: Безопасности данных, Безопасности коммуникаций, Использования  средств криптографической защиты, Контентная фильтрация и т. п. Подобные документы обычно издаются в виде внутренних технических и организационных политик (стандартов) организации. Все документы среднего уровня политики информационной безопасности конфиденциальны.

 

В политику информационной безопасности нижнего  уровня входят регламенты работ, руководства  по администрированию, инструкции по эксплуатации отдельных сервисов информационной безопасности.

 

 

 

 

 

 

ФЕДЕРАЛЬНЫЙ ЗАКОН

ОБ ИНФОРМАЦИИ, ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЯХ

И О ЗАЩИТЕ ИНФОРМАЦИИ

 

 

Статья 13. Информационные системы

 

 

1. Информационные системы  включают в себя:

 

1) государственные  информационные системы - федеральные  информационные системы и региональные  информационные системы, созданные  на основании соответственно  федеральных законов, законов  субъектов Российской Федерации,  на основании правовых актов  государственных органов;

 

2) муниципальные  информационные системы, созданные  на основании решения органа  местного самоуправления;

 

3) иные информационные  системы.

 

2. Если иное  не установлено федеральными  законами, оператором информационной  системы является собственник  используемых для обработки содержащейся в базах данных информации технических средств, который правомерно пользуется такими базами данных, или лицо, с которым этот собственник заключил договор об эксплуатации информационной системы.

 

3. Права обладателя  информации, содержащейся в базах  данных информационной системы,  подлежат охране независимо от  авторских и иных прав на  такие базы данных.

 

4. Установленные  настоящим Федеральным законом  требования к государственным  информационным системам распространяются  на муниципальные информационные  системы, если иное не предусмотрено  законодательством Российской Федерации  о местном самоуправлении.