А,В,Соколов, 0,М, Степанюк - Скачать документы

168
Идентификация!
Разделение
полномочий
Правила
безопасности
Регистрация,
и учет Шифрование
работы
Применение
цифровой
подписи
Обеспечение^
антивирусы
защиты
Рис. 3.5. Основные правила обеспечения политики безопасности информации
Автоматизированный комплекс можно считать защищенным, если все операции
выполняются в соответствии со строго определенными правилами (рис. 3.5), которые
обеспечивают непосредственную защиту объектов, ресурсов и операций. Основу
для формирования требований к защите составляет список угроз. Когда такие
требования известны, могут быть определены соответствующие правила обеспечения
защиты. Эти правила, в свою очередь, определяют необходимые функции и средства
защиты. Чем строже требования к защите и больше соответствующих правил,
тем эффективнее ее механизмы и тем более защищенным оказывается автоматизированный
комплекс.
Из вышеизложенного следует, что защита информации в компьютерной сети эффективнее
в том случае, когда проектирование и реализация системы защиты происходит
в три этапа:
Q анализ риска;
О реализация политики безопасности;
Q поддержка политики безопасности.
На первом этапе анализируются уязвимые элементы компьютерной сети, определяются
и оцениваются угрозы и подбираются оптимальные средства защиты. Анализ
риска заканчивается принятием политики безопасности. Политикой безопасности
(Security Policy) называется комплекс взаимосвязанных мер, направленных на обеспечение
высокого уровня безопасности. В теории защиты информации считается, что
эти меры должны быть направлены на достижение следующего:
Q конфиденциальность (засекреченная информация должна быть доступна только
тому, кому она предназначена);
Q целостность (информация, на основе которой принимаются решения, должна
быть достоверной и полной, а также защищена от возможных непреднамеренных
и злоумышленных искажений);
Q готовность (информация и соответствующие автоматизированные службы должны
быть доступны и в случае необходимости готовы к обслуживанию).
Уязвимость означает невыполнение хотя бы одного из этих свойств.
Для компьютерных сетей можно выделить следующие вероятные угрозы, которые
необходимо учитывать при определении политики безопасности:
Q несанкционированный доступ посторонних лиц, не принадлежащих к числу служащих,
и ознакомление с хранимой конфиденциальной информацией;