Терминология и постановка задачи

admin — Thu, 28 Aug 2008 13:25:53 +0000

Для понимания материала, изложенного в данной главе, необходимо разделить понятие информационной системы на объекты, субъекты и средства работы с информацией. В главе 2 эти термины были уже определены, но для избежания путаницы повторим и уточним определения.
Объектом будем называть информацию создаваемую, хранимую, обрабатываемую, отправляемую или принимаемую.
Субъектом будет выступать любой пользователь системы, ориентированный как на производственные или иные задачи, так и на поддержку самой системы (администратор).
Средство работы с информацией — это набор аппаратного и программного обеспечения, с помощью которого производится работа в системе, т. е. субъекты воздействуют на объекты.
Таким образом задача сводится к классификации:
□ объектов — по степени их важности для предприятия; □ средств работы с информацией — их способности поддерживать предопределенный уровень информационной безопасности;
□ субъектов — по степени их допуска к работе с тем или иным объектом (или на том или ином средстве работы с информацией).
В идеальном варианте, когда классификация полностью проведена, остается только привести в соответствие три составляющих — объект данной категории чувствительности обрабатывается только средством соответствующей категории надежности субъектом соответствующей категории доступа. Если не найдено средство или субъект соответствующего уровня — нужно сделать обновление или докупить средства и произвести обучение или прием на работу новых пользователей.
Правда, реальность в данном вопросе более сложная. Проще всего на первый взгляд классифицировать субъектов, учитывая опыт, накопленный отделами по режиму (так называемыми “первыми отделами”) советских предприятий. Однако в современном информационном пространстве необходимо учитывать не только общий уровень благонадежности пользователя, но и такие факторы как:
□ общая квалификация или способность работать в информационной системе, не внося в нее сбоев из-за человеческого фактора. Известна статистика нарушений информационной безопасности. Мы не будем приводить конкретных цифр — они меняются в зависимости от времени и агентства, производившего опрос. В любом случае, например, цифра, равная 1% нарушений, приемлемая для одной организации, может оказаться катастрофичной для другой;
□ подготовка пользователя в сфере информационной безопасности или осведомленность его в вопросах установленных процедур безопасности. Любой доверенный и квалифицированный пользователь, не знакомый с
. возможностью и принципами социальной инженерии (см. разд. “Социальная инженерия ” главы 10), представляет собой угрозу.
Классификация субъектов будет подробно освещена в главе 7, а в данной коснемся вопроса классификации объектов и средств работы с ними. Кроме того следует учесть, что хотя в качестве объекта классификации и выделена информация как таковая, иногда бывает необходимо классифицировать и иные ресурсы, которые могут рассматриваться как объект защиты, например, место, выделенное для хранения на жестком диске, или процессорное время. Однако, на наш взгляд, разобравшись в принципах классификации информации, можно при необходимости произвести аналогичную классификацию любых других ресурсов.

Информационная безопасность » Терминология и постановка задачи

Терминология и постановка задачи