43. Общеметодологических принципов архитектуры системы защиты информации.

 Концептуальное единство. Архитектура, технология, организация и обеспечение функционирования как СЗИ в целом, так и составных ее компонентов должны рассматриваться и реализовываться в строгом соответствии с основными положениями единой концепции защиты информации.

 Адекватность требованиям. СЗИ должна строиться в строгом соответствии с требованиями к защите, которые в свою очередь определяются категорией соответствующего объекта и значениями параметров, влияющих на защиту информации.

 Гибкость (адаптируемость). Такое построение и организация функционирования системы защиты информации, при котором функции защиты осуществлялись бы достаточно эффективно при изменении в некотором диапазоне структуры АСОД, технических схем или условий функционирования каких-либо ее элементов.

 Функциональная самостоятельность. СЗИ должна быть самостоятельно обеспечивающей подсистемой АСОД и при осуществлении функций защиты не зависеть от других систем.

 Удобство использования. СЗИ не должна создавать дополнительных неудобств для пользователей и персонала АСОД.

 Минимизация предоставляемых прав. Каждому пользователю и каждому лицу из персонала АСОД должны предоставляться лишь те полномочия на доступ к ресурсам АСОД и находящейся в ней информации, которые ему действительно необходимы для выполнения своих функций в процессе автоматизированной обработки информации. При этом предоставляемые права должны быть определены и заблаговременно утверждены в установленном порядке.

 Полнота контроля.Все процедуры автоматизированной обработки  защищаемых данных должны контролироваться системой защиты в полном объеме, причем основные результаты контроля должны фиксироваться в специальных регистрационных журналах.

 Активность реагирования. СЗИ должна реагировать на любые попытки несанкционированных действий. Характер реагирования может быть различным — просьба повторить действие, задержку в выполнении запросов, отключение структурного элемента, с которого осуществляется несанкционированное действие, исключение нарушителя из числа зарегестрированных пользователей; подача специального сигнала и т. п.

 Экономичность. При условии соблюдения всех остальных принципов, расходы на СЗИ должны быть минимальными.

44. Построение средств защиты информации.

1. Этап 1. Формирование требований к системе защиты информации (предпроектный этап).

2. Этап 2. Разработка системы защиты информации (этап проектирования).

3. Этап 3. Внедрение системы защиты информации (этап установки, настройки, испытаний).

4. Этап 4. Подтверждение соответствия системы защиты информации (этап оценки).

Формирование требований к системе защиты информации

Этап 1 осуществляется обладателем информации (заказчиком).

Перечень работ на этапе 1:

1. Принятие решения о необходимости защиты обрабатываемой информации.

2. Классификация объекта по требованиям защиты информации (установление уровня защищенности обрабатываемой информации).

3. Определение угроз безопасности информации, реализация которых может привести к нарушению безопасности обрабатываемой информации.

4. 4. Определение требований к системе защиты информации.

Решение о необходимости создания системы защиты информации принимается на основе анализа стоящих задач, обрабатываемой информации и нормативной базы. В ходе анализа определяются структурно-функциональные характеристики объекта и режим обработки информации:

Характеристики объекта:

• статус (принадлежность) объекта (государственный, муниципальный, иной);

• структура объекта (локальный или распределенный);

• масштаб объекта (федеральный, региональный, объектовый);

• наличие подключений к сторонним сетям, в том числе сетям общего пользования (имеются или отсутствуют);

• режим обработки информации (одно или многопользовательский);

• уровень доступа (с разграничением или без разграничения);

• перечень технологических операций (чтение, поиск, запись, удаление, сортировка, модификация, передача, голосовой ввод,);

• используемые информационные технологии (беспроводный, удаленный доступ, виртуализация, мобильные объекты, туннелирование и пр.),

Категория информации, подлежащей защите, и свойства ее безопасности:

• информация ограниченного доступа (конфиденциальность, целостность, доступность);

• общедоступная информация (целостность, доступность),

Нормативная правовая база по информационно-технической безопасности выделяет разные задачи по защите информации:

• защита информации, составляющей государственную тайну;

• защита государственного информационного ресурса, не отнесенного к государственной тайне;

• обеспечение безопасности персональных данных в иных информационных системах;

• обеспечение безопасности критической информационной инфраструктуры;

• обеспечение безопасности информации в информационных системах общего пользования.