Информационная безопасность / Eremenko - Sistemy zashchity informatsii 2016

Далее в соответствии с ТЗ выбираются методы и средства, разрабатываются способы защиты информации и организационные соответствующие структуры, которые объединяются в единую совокупность – КСЗИ, обеспечивающую защиту информации от всех потенциально возможных и выявленных в ходе аудита угроз и каналов утечки. Затем разработанный план КСЗИ оптимизируется и в случае необходимости корректируется.

Таким образом, разработанная САПР КСЗИ обеспечивает:

1)возможность проведения аудита информационной безопасности объекта защиты;

2)получение комплекта проектной документации для развертывания комплексной системы защиты информации на защищаемом объекте;

3)технико-экономическую оценку спроектированного варианта комплексной системы защиты информации;

4)хранение ранее спроектированных вариантов проектов КСЗИ

ивозможность их редактирования;

Исходные данные на разработку автоматизированной системы проектирования включают:

∙характеристику объекта защиты;

∙вид защищаемой информации.

Результатом работы САПР КСЗИ является разработка политики безопасности, определяющей комплексное использование правовых, организационных, инженерно-технических, программно-аппаратных и криптографических методов, средств и способов защиты информации.

Разработка структуры и наполнение информационного обес-

печения САПР КСЗИ. Информационное обеспечение является одним из важных элементов САПР КСЗИ. Основной формой реализации компонентов информационного обеспечения САПР КСЗИ в соответствии с ГОСТ 23501.101 87 являются базы данных (БД) в распределенной или централизованной форме, организация данных в которых обеспечивает их оптимальное применение [29].

86

Основу информационного обеспечения составляют данные, которые используются в процессе проектирования непосредственно для выработки конкретных решений защиты. Эти данные представлены

ввиде:

-нормативно-правовой базы в области защиты информации;

-справочной информации;

-базы оценок показателей защищенности;

-базы угроз и уязвимостей;

-базы типовых форм документации;

-базы организационных, технических, программных средств защиты информации;

-промежуточных проектных решений;

-окончательных проектных решений.

Структурно БД САПР КСЗИ включают термины и символы, классификаторы, условные обозначения и способы представления данных. Описанная совокупность является унифицированной и удовлетворяет принципу информационного единства, обеспечивает соблюдение единого вида представления данных, принятого в САПР систем защиты информации.

Одними из главных критериев при выборе СУБД считаются простота, надежность, отсутствие для работы СУБД дополнительного программного обеспечения, а также отсутствие установки серверных компонентов, необходимых для функционирования системы. Ведь для конечного пользователя важно использовать продукт, функциональность которого не будет зависеть от дополнительного ПО, установленного на автоматизированных рабочих местах.

Ввиду этого наиболее подходящей под заявленные критерии для разработки информационного обеспечения САПР КСЗИ является Microsoft Access, так как ее простота и надежность уже зарекомендовали себя на рынке систем управления базами данных. К тому же данная СУБД удобно компилируется с языками программирования и не будет терять свой функционал при осуществлении запросов даже при отсутствии установленного на АРМ пакета Microsoft Access.

При проектировании комплексных систем защиты информации с помощью специализированной САПР используется большое число

87

информационных массивов. В состав информационного обеспечения САПР КСЗИ входит ряд БД, содержащих информацию, используемую на всех этапах работы САПР (рис. 32).

ИО САПР КСЗИ

БД блока оптимизации

КСЗИ

БД требований БД блока к КСЗИ аудита ИБ

Рис. 32. Структура информационного обеспечения САПР КСЗИ

Рассмотрим для примера структуру и содержание БД блока аудита информационной безопасности. БД требований СТР-К/РД содержит информацию, необходимую для оценки соответствия систем защиты информации обследуемого объекта. Данная БД включает:

1. Специальные требования и рекомендации по технической защите конфиденциальной информации (СТР-К) – документ, устанавливающий порядок организации работ, требования и рекомендации по обеспечению технической защиты конфиденциальной информа-

88

ции на территории Российской Федерации, являющийся основным руководящим документом в этой области для федеральных органов государственной власти, органов государственной власти субъектов Российской Федерации и органов местного самоуправления, предприятий, учреждений и организаций независимо от их организацион- но-правовой формы и формы собственности, должностных лиц и граждан Российской Федерации, взявших на себя обязательства либо обязанных по статусу исполнять требования правовых документов Российской Федерации по защите информации [1].

Информация в данной БД представлена в виде анкет табличного вида. Анкеты, определяющие соответствие требованиям СТР-К обследуемого объекта в рассматриваемой БД, составлены по следующим направлениям:

∙защита информации при проведении звукозаписи;

∙защита информации, циркулирующей в системах звукоусиления и звукового сопровождения кинофильмов;

∙определение соответствия основным требованиям и рекомендациям по защите информации, циркулирующей в защищаемых помещениях;

∙защита речевой информации при её передаче по каналам связи, основные требования и рекомендации по защите служебной тайны

иперсональных данных;

∙основные рекомендации по защите информации, составляющей коммерческую тайну и порядок обеспечения защиты конфиденциальной информации при эксплуатации АС и защита конфиденциальной информации на автоматизированных рабочих местах на базе автономных ПЭВМ;

∙защита информации при использовании съемных накопителей информации большой емкости для автоматизированных рабочих мест на базе автономных ПЭВМ;

∙защита информации в локальных вычислительных сетях, при межсетевом взаимодействии.

2. Руководящий документ «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации». На основе данного документа разработаны опросные анкеты таблич-

89

ного вида (рис. 33), содержащиеся в БД, которые позволяют оце-

Определение соответствия основным требованиям и рекомендациям по защите информации, циркулирующей в защищаемых помещениях

Рис. 33. Фрагмент анкеты-опросника на соответствие требованиям СТР-К

3. Руководящий документ «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации». Данный документ устанавливает классификацию автоматизированных систем, подлежащих защите от несанкционированного доступа к информации, и требования по защите информации в АС различных классов [1].

90