А,В,Соколов, 0,М, Степанюк - Скачать документы

Глава 3. Основные пути обеспечения безопасности информации 161
Главной задачей третьего этапа является
анализ обстановки, в том числе местных
специфических условий, производственных
процессов, уже установленных технических
средств защиты.
Концепция защиты должна содержать
перечень организационных, технических и
других мер, которые обеспечивают максимальную
безопасность при заданном остаточном
риске и минимальные затраты на их
реализацию.
Политика защиты — это общий документ, где перечисляются правила доступа, определяются
пути реализации политики и описывается базовая архитектура среды защиты.
Сам по себе документ состоит из нескольких страниц текста. Он формирует основу
физической архитектуры сети, а содержащаяся в нем информация определяет выбор
продуктов защиты. При этом документ может и не включать списка необходимых закупок,
но выбор конкретных компонентов после его составления должен быть очевидным.
Политика защиты выходит далеко за рамки простой идеи «не впускать злоумышленников».
Это очень сложный документ, определяющий доступ к данным, характер
серфинга в WWW, использование паролей или шифрования, отношение к вложениям
в электронную почту, использование Java и ActiveX и многое другое. Он детализирует
эти правила для отдельных лиц или групп. Нельзя забывать и об элементарной физической
защите. Ведь если кто-нибудь может войти в серверную комнату и получить
доступ к основному файловому серверу или выйти из офиса с резервными дискетами и
дисками в кармане, то все остальные меры становятся попросту бессмысленными.
Конечно, политика не должна позволять чужакам проникнуть в сеть, но, кроме
того, она должна устанавливать контроль и над потенциально нечистоплотными сотрудниками
вашей организации. Девиз любого администратора системы защиты —
«Никому не доверяй!».
На первом этапе разработки политики
прежде всего необходимо определиться, каким
пользователям какая информация и какие
сервисы доступны, какова вероятность
нанесения вреда и какая защита уже есть.
Кроме того, политика защиты должна
диктовать иерархию прав доступа, т. е.
пользователям следует предоставить доступ
только к той информации, которая действительно
нужна им для выполнения своей работы.
Политика защиты должна обязательно
отражать следующее:
Q контроль доступа (запрет на доступ
I этап
II этап
III этап
Определение ценностей объекта
защиты информации
Анализ потенциальных действий
злоумышленников
Оценка надежности установленных
средств защиты информации
на объекте
пользователя к материалам, которы-
. Рис. 3.2. Этапы разработки концепции
ми ему не разрешено пользоваться);
защиты информации