Размещено на http://www.allbest.ru/

Разработка САПР комплексных систем защиты информации информационных систем

Аверченков В.И.,

Рытов М.Ю.,

Рудановский М.В.

Широкое использование в процессе информатизации общества современных методов и средств обработки информации создало не только объективные предпосылки повышения эффективности всех видов деятельности личности, общества и государства, но и ряд проблем защиты информации, обеспечивающей требуемое ее качество. Сложность решения этой проблемы обусловлена необходимостью создания целостной системы комплексной защиты информации, базирующейся на стройной её организации и регулярном управлении.

Рассматривая концептуальную модель процесса защиты информации [1], становится очевидным, что защита информации - динамический процесс. Чем совершеннее современные способы несанкционированного доступа и более реальны источники угроз, тем более актуальным ставится проблема создания необходимого рубежа защиты информации. В то же время, чем грамотнее выбраны и реализованы направления и способы защиты, тем дальше отходят угрозы от защищаемой информации. Рубеж защиты "плавает" во времени в зависимости от тех или иных вышеназванных факторов.

Таким образом, проектировать (разрабатывать заново или в большинстве случаев, как показывает практика, модифицировать существующую) комплексную систему защиты информации (КСЗИ) следует для конкретного момента времени, объективно оценивая положение рубежа защиты. В целях обеспечения соответствия КСЗИ современному уровню обеспечения безопасности и для снижения трудоемкости, обеспечения качества проектных решений, а главное, сокращения сроков её проектирования, целесообразно применять специализированные системы автоматизированного проектирования (САПР). В настоящее время задача автоматизации проектирования КСЗИ сводится к обработке экспертных данных с выдачей решений общего рекомендательного характера.

Как показывает практика, системы автоматизированного проектирования и принятия решения в сфере информационной безопасности достаточно новые. Широко известны и применяются лишь системы, позволяющие автоматизировать аудит информационной безопасности, такие, как "Кондор", "Авангард" или "Гриф".

комплексная система защиты информации - это система, в которой действуют в единой совокупности правовые, организационные, технические, программно-аппаратные и другие нормы, методы, способы и средства, обеспечивающие защиту информации от всех потенциально возможных и выявленных угроз и каналов утечки. Элементы КСЗИ, в свою очередь, в общем виде состоят из средств, устройств и способов защиты информации, а также методов их использования.

Понятие защиты информации в настоящее время ассоциируется, как правило, с проблемами обеспечения информационной безопасности в информационных системах. Информационные системы способствуют значительному повышению эффективности и скорости информационных процессов, однако при этом резко возрастают угрозы конфиденциальности, доступности, целостности информации (а также некоторые другие типы угроз). Эти угрозы могут вызывать значительные неблагоприятные последствия для государства, общества, бизнеса и отдельных граждан.

Информационные системы, для которых следует проектировать КСЗИ, можно классифицировать по виду используемой информации на два типа - системы, в которых циркулирует государственная тайна и конфиденциальная тайна. Организация защиты государственной тайны жестко регламентирована Законом РФ "О государственной тайне" и другими документами, утвержденными в соответствии с этим законом, защитой секретной информации занимаются ФСБ, ФСО и ряд других спецслужб; острой необходимости в разработке специализированных САПР комплексных систем защиты секретной информации нет. В то же время задача автоматизации проектирования КСЗИ информационных систем для обработки информации конфиденциального характера является актуальной. Методы, подходы и средства, применяемые для разработки КСЗИ подобных систем, нормативно-правовыми документами четко не определяются, и у разработчиков есть возможность выбора тех или иных методов и средств защиты конфиденциальной информации.

На основе анализа накопленного опыта по исследованию и практической разработке автоматизированных систем проектирования сложных технических машиностроительных объектов, специализированных объектно-ориентированных САПР, САПР технологических процессов [2] была предложена концепция построения специализированной САПР КСЗИ.

При создании САПР КСЗИ была реализована следующая структурно-функциональная схема, представленная на рис.1.

Размещено на http://www.allbest.ru/

Рисунок 1 - Структурно-функциональная модель САПР КСЗИ

На начальных этапах проектирования происходит получение модели объекта защиты, в основу которой положено структурирование элементов информационной системы, определение характеристик процесса проектирования, определяется категория информационной системы и виды обрабатываемой информации, возможные людские, материальные и финансовые ограничения КСЗИ, технические характеристики объектов). Далее выполняется моделирование возможных угроз информации в информационной системе и ранжирование их.

На следующем этапе осуществляется аудит информационной безопасности информационной системы на основе требований международных стандартов по информационной безопасности и нормативных документов Российской Федерации. В ходе проведения аудита проводится анализ используемой в защищаемой системе информации, определяются её виды, степень конфиденциальности, ценность, актуальность и важность и выявляются все виды угроз, которым может быть подвергнута защищаемая информационная система, и все возможные каналы утечки информации. защита информация безопасность

Для построения математической модели выбора средств защиты информации информационной системы была использована модель с полным перекрытием Клементса - Хофмана [3]. Данная модель позволяет оценить защищенность информационной системы, рассчитать затраты на построение системы защиты, а также определить оптимальный вариант построения системы информационной безопасности.

Так, например, при проектировании инженерно-технической составляющей КСЗИ в зависимости от угроз, которым подвержен объект, используется программный комплекс, позволяющий выбирать средства контроля и управления доступом, технические средства охраны, определять параметры системы телевизионного наблюдения, средства пожаротушения, разрабатывать организационно-технические документы.

Результатом работы САПР КСЗИ является разработка документированного организационно-технического проекта КСЗИ информационной системы, определяющего комплексное использование правовых, организационных, инженерно-технических, программно-аппаратных и криптографических методов, средств и способов защиты информации, обрабатываемой в информационной системе.

В составе САПР КСЗИ разработаны семь видов обеспечения, адаптированных к рассматриваемой области проектирования с учетом её специфики.

Разработанная методология автоматизации проектирования КСЗИ может быть использована при проектировании КСЗИ информационных систем для промышленных предприятий, государственных учреждений и коммерческих организаций, а также при оценке эффективности и модернизации существующих на объектах систем защиты информации.

Литература

1. Аверченков, В.И. Организационная защита информации [Текст]: учеб. пособие для вузов / В.И. Аверченков, М.Ю. Рытов. - Брянск: Изд-во БГТУ, 2005. - 184 с.

2. Аверченков, В.И. САПР технологических процессов, приспособлений и режущих инструментов [Текст]: учеб. пособие для вузов / В.И. Аверченков, И.А. Каштальян, А.П. Пархутик. - Минск: Вышэйш. шк., 1993. - 288 с

3. Хоффман, Л.Д. Современные методы защиты информации [Текст] / Л.Д. Хоффман; под ред. В.А. Герасименко. - М.: Сов. радио, 1980. - 264 с.

Размещено на Allbest.ru