2.Принципы организации ксзи

Концептуальные принципы.

1. Адаптируемость– способность к целенаправленному приспособлению при изменении структуры, технологических схем, условий функционирования предприятия, а также при изменении главных угроз.

2. Непрерывность– построение КСЗИ есть непрерывный процесс, а не одноразовый акт.

3. Комплексность– это использование всего арсенала средств защиты для блокирования главных угроз защищаемой информации по всем возможным каналам утечки, во всех структурных элементах производства, на всех этапах технологического цикла обработки информации.

4. Научная обоснованность– системное рассмотрение проблем, изучение, обобщение и применение научных знаний и передового практического опыта при создании СЗИ.

5. Концептуальное единство– построение КСЗИ должно рассматриваться и реализовываться на основе единой концепции защиты информации.

Основные принципы.

1. Адекватность– СЗИ должна строиться в строгом соответствии с требованиями к защите, которые определяются категорией объекта и факторами, влияющими на защиту. Уровень защиты должен быть адекватен угрозам.

2. Функциональная самостоятельность– СЗИ должна быть самостоятельной подсистемой АСОД и при осуществлении функций защиты не зависеть от других подсистем.

3. Минимизация предоставляемых прав– каждому пользователю и лицам из персонала предприятия должны предоставляться лишь те полномочия на доступ к ресурсам предприятия, которые действительно необходимы ему для исполнения обязанностей.

4. Полнота контроля– все процедуры обработки защищаемой информации должны быть под контролем системы защиты в полном объеме, причем результаты контроля должны документироваться.

5. Активность реагирования– СЗИ должна реагировать на любые попытки НСД.

6. Централизованность управления СЗИ– процесс управления должен быть обязательно централизован, структура системы защиты должна соответствовать структуре защищаемого объекта, а также целям и задачам защиты.

7. Плановость– организация взаимодействия всех подразделений объекта в интересах реализации принятой концепции защиты, формирование каждой службой планов защиты информации в пределах ее компетенции с учетом общих целей предприятия (концепции защиты информации).

8. Целенаправленность– защищаться должно то, что необходимо защищать в интересах поставленных целей, а не все подряд.

9. Конкретность– защите подлежат конкретные ресурсы, представляющие интерес для противника, утечка которых может привести к ущербу.

10.Активность защиты– в том смысле, что СЗИ должно иметь инструменты, реализующие не только требование «обнаружить и устранить», но и «предвидеть и предотвратить».

3. Основные требования, предъявляемые к ксзи

Общие требования

1. Функциональные– обеспечения решения требуемой совокупности задач, удовлетворение всем требованиям защиты.

2. Эргономические– минимизация помех для пользователей, простота эксплуатации и технического обслуживания.

3. Экономические– минимизация затрат на систему защиты, использование серийно выпускаемых средств защиты.

4. Технические– оптимизация архитектуры технических средств защиты, надежность применяемых технических средств.

5. Организационные– четкость предоставления пользователям прав доступа к КИ, сведение к минимуму набора полномочий для одного пользователя, надлежащая подготовка пользователей и контроль управления установленных правил по защите информации.

Специальные требования.

1. Учет влияния особенностей объекта и факторов внешней среды.

2. Учет неопределенности при проектировании системы защиты.

3. Учет эвристического и экспертного характера самого процесса проектирования.

4. Учет при проектировании того, что источники угроз имеют наихудшие намерения.

5. Учет выбранной стратегии и целей защиты при обосновании ресурсного обеспечения.

6. Независимость системы защиты от субъектов защиты.

7. Ограничение информации об используемых средствах защиты.