Проблеми впровадження комплексних систем захисту.

Поняття системності полягає не просто в створенні відповідних механізмів захисту, а представляє собою регулярний процес, що здійснюється на всіх етапах життєвого циклу МІС. При цьому, всі засоби, методи і заходи, котрі використовуються для захисту інформації, об’єднуються в цілісний єдиний механізм – систему захисту.

На сьогоднішній день є очевидним те, що спеціалісти різних областей знань, в тому числі і медичних, так чи інакше, змушені займатися питаннями забезпечення інформаційної безпеки (ІБ). Це зумовлено тим, що найближчий час нам доведеться жити в суспільстві (сфері) інформаційних технологій, куди перекочують всі соціальні проблеми людства, в тому числі і питання безпеки.

Кожний із вказаних вище спеціалістів по своєму розв’язує задачу забезпечення інформаційної безпеки і при цьому знаходить свої цілком правильні рішення. Проте, як показує практика, сукупність таких правильних рішень не дає в сумі позитивного результату – система безпеки в загальному і цілому працює неефективно.

Якщо зібрати всіх спеціалістів разом, то при наявності у кожного з них великого досвіду і знань, створити СИСТЕМУ інформаційної безпеки так і не вдасться. Це зумовлено відсутністю системного підходу, котрий би визначив взаємозв’язки (відношення) між існуючими поняттями, визначеннями, принципами, способами та механізмами захисту.

Специфічними особливостями вирішення задачі створення системи захисту є:

• неповнота та невизначеність вихідної інформації про склад МІС і характерних загрозах;

• багатокритеріальність задачі, пов’язана з необхідністю врахування великої кількості показників (вимог) системи захисту інформації (СЗІ);

• наявність як кількісних, так і якісних показників, котрі необхідно враховувати при розв’язанні задач розробки та впровадження СЗІ;

• неможливість застосування класичних методів оптимізації.

Вирішення задачі забезпечення інформаційної безпеки багато в чому залежить від розробки моделі представлення системи захисту, котра на основі науково-методичного апарату, дозволила б вирішувати задачі створення, використання і оцінки ефективності СЗІ для існуючих МІС та тих, що проектуються.

Основним завданням такої моделі є наукове забезпечення процесу створення системи інформаційної безпеки за рахунок правильної оцінки ефективності рішень, що приймаються та вибору раціонального варіанту технічної реалізації системи захисту інформації.

В спрощеному вигляді модель СЗІ має такий вигляд (рис. 92):

Рис. 66 Модель інформаційної безпеки у

Вимоги до моделі процесів інформаційної безпеки.

Така модель повинна задовольняти вимоги, зображені на рисунку 93.

Рис. 67. Вимоги до моделі процесів інформаційної безпеки

Формування моделі інформаційної безпеки.

Як скласти таке уявлення про інформаційну безпеку, щоб охопити всі аспекти проблеми? Людина отримує найбільш повне уявлення про явище, яке найбільш її цікавить, коли їй вдається розглянути це дещо невідоме зі всіх сторін, у трьохмірному просторі. Виходячи з цього, розглянемо три групи складових моделі ІБ (див. рис. 94).

• З чого складається (ОСНОВИ).

• Для чого призначена (НАПРЯМОК).

• Як працює (ЕТАПИ).

Рис. 68. Групи складових моделі інформаційної безпеки

В якості ОСНОВ (рис. 95) або складових частин СИСТЕМИ розглядають:

• законодавчу, нормативно-правову та наукову базу;

• структуру та завдання органів (підрозділів), котрі забезпечують безпеку інформації;

• організаційно-технічні та режимні заходи і методи (політика інформаційної безпеки);

• програмно-технічні способи і засоби.

Рис. 69 Основи інформаційної

Далі виділяють основні НАПРЯМКИ забезпечення безпеки інформаційних технологій:

• захист об’єктів інформаційних систем;

• захист процесів, процедур та програм обробки інформації;

• захист каналів зв’язку;

• погашення побічних електромагнітних випромінювань;

• управління системою захисту.

Виділяють наступні ЕТАПИ створення систем захисту (рис. 96):

1. визначення інформаційних і технологічних ресурсів, а також об’єктів МІС, що належать захисту;

2. виявлення множини потенціально можливих загроз і каналів витоку інформації;

3. проведення оцінки вразливості та ризиків інформації (ресурсів МІС) при наявній множині загроз і каналів витоку;

4. визначення вимог до системи захисту інформації;

5. здійснення вибору засобів захисту інформації та їх характеристик;

6. впровадження та організація використання вибраних заходів, способів і засобів захисту;

7. здійснення контролю цілісності та управління системою захисту.

Рис. 70. Етапи створення систем захисту

Для наочності та простоти використання вказаної моделі застосовують так звану матрицю знань (табл. 32). Зміст кожного з елементів МАТРИЦІ описує взаємозв’язок складових системи захисту інформації (СЗІ).

Таблиця 23. Матриця захисту інформації

Етапи	Основи	Захист об’єктів ІС	Захист процесів і програм	Захист каналів зв’язку
1	Визначення інформації, що потребує захисту
2	Виявлення загроз і каналів витоку інформації
3	Проведення оцінки вразливості та ризиків
4	Визначення вимог до СЗІ
5	Здійснення вибору засобів захисту
6	Впровадження і використання вибраних заходів та засобів
7	Контроль цілісності й управління захистом