А,В,Соколов, 0,М, Степанюк - Скачать документы

164
Если система не будет постоянно адаптироваться с учетом этих изменений, то в ней
неизбежно появятся «дыры».
Большинство предложений сторонних услуг предусматривает предоставление заказчику
интерфейса на базе WWW, откуда он может брать изменения. Несмотря на
удобство, такой подход не обеспечивает всех необходимых средств контроля.
Важной частью создания политики защиты является планирование. Установив свои
потребности до начала реализации и проанализировав их вплоть до уровня всех подразделений,
вы сможете в результате создать гораздо лучший проект организации защиты,
особенно в долгосрочной перспективе.
Определение политики ничего не дает, если она не соблюдается, впрочем, как ничего
не дает и установка устройств защиты, если их оставляют без присмотра.
Защита — сложный и часто противоречивый процесс, реализация и управление
которым осуществляется с помощью множества подчас слабо связанных между собой
устройств и программ.
Политика безопасности информации
При разработке политики безопасности информации, в общем случае, первоначально
определяют объекты, которые надо защитить, и их функции. Затем оценивают степень
интереса потенциального противника к этим объектам, вероятные виды нападения
и вызываемый ими ущерб. Наконец, определяют уязвимые для воздействия области, в
которых имеющиеся средства противодействия не обеспечивают достаточной защиты.
Для эффективной защиты нужно оценить каждый объект с точки зрения возможных
угроз и видов нападения, потенциальной вероятности применения специальных
инструментов, оружия и взрывчатых веществ. Особо важным допущением в этом процессе
является предположение о том, что наиболее ценный для потенциального злоумышленника
объект привлечет пристальное внимание злоумышленника и будет служить
вероятной целью, против которой он использует основные силы. При этом
разработка политики безопасности информации должна проводиться с учетом задач,
решение которых обеспечит реальную защиту данного объекта (рис. 3.3).
Средства противодействия должны соответствовать концепции полной и эшелонированной
защиты. Это означает, что их следует размещать на концентрических кругах,
в центре которых находится объект защиты. В этом
случае все возможные пути противника к любому
объекту будут пересекать эшелонированную систему
защиты. Каждый рубеж обороны организуется так, чтобы
задержать нападающего на время, достаточное для
принятия персоналом охраны ответных мер.
На заключительном этапе выбранные средства противодействия
объединяют в соответствии с принятой
концепцией защиты. Производится предварительная
оценка начальной и ожидаемой общей стоимости жизненного
цикла всей системы. В частности, следует учитывать
возможные перемещения объектов, а также изменение
требований в местах входа.