Принципы построения системы защиты электронной информации

Автор: Администратор
Дата публикации: 28 июля 2012 года
Раздел: Защита от взлома

Любой недостаток в системе защиты может привести к нарушению безопасности защищаемых объектов. Для того чтобы своевременно избежать появления наиболее серьезных недостатков, необходимо учитывать следующие базовые принципы защиты информации:

  • учет требований по защите при построении информационно-компьютерной системы и разработке технологии автоматизированной обработки данных. Отсутствие учета таких требований при построении информационно-компьютерной системы и разработке технологии обработки информации может привести к невозможности реализации ряда функций по защите информации. Примером здесь могут служить операционные системы MS-DOS, Windows 9x, без существенной переработки и расширения которых невозможно обеспечить надежную защиту информации.
  • усиление самого слабого звена и непрерывность защиты. Надежность любой системы защиты определяется надежностью ее самого слабого звена. Злоумышленник не будет бороться против силы, а предпочтет легкую победу над слабостью. Если у него появится возможность миновать защитные средства, он, разумеется, так и сделает. Часто самым слабым звеном оказывается не компьютер или программа, а человек, и тогда проблема обеспечения информационной безопасности приобретает нетехнический характер.
  • недопустимость перехода системы защиты в опасное состояние. При любых обстоятельствах, в том числе нештатных, защитные средства должны либо полностью выполнять свои функции, либо полностью блокировать доступ. Образно говоря, если в крепости механизм подъемного моста ломается, мост должен оставаться в поднятом состоянии, препятствуя проходу неприятеля.
  • минимизация привилегий и правильное разделение обязанностей. Пользователям необходимо предоставлять минимальные полномочия, необходимые для выполнения их служебных обязанностей. Все лишние полномочия могут использоваться для выполнения несанкционированных действий. Правильное разделение обязанностей предполагает такое распределение ролей и ответственности, при котором один человек не может нарушить критически важный для организации процесс. Это особенно важно, чтобы предотвратить злонамеренные или неквалифицированные действия администраторов.
  • подотчетность. Действие подотчетно, если его можно проследить для конкретного лица. Эффективная система защиты должна обеспечивать подотчетность путем установления соответствия между всеми входами в систему и реальными пользователями, учета каждого действия и сопоставления каждого действия конкретному пользователю.
  • многоуровневое построение системы защиты и разнообразие защитных средств. Система защиты должна иметь многоуровневую структуру, при которой для нарушения безопасности необходимо преодолеть все установленные уровни защиты. Разнообразие защитных средств предполагает организацию различных по своему характеру оборонительных рубежей, например, блокирования несанкционированного доступа и криптографической защиты.
  • простота и управляемость информационно-компьютерной системы и системы защиты. Только в простой и управляемой системе можно проверить согласованность конфигурации разных компонентов и осуществить централизованное администрирование. Только для простого защитного средства можно формально или неформально доказать его корректность.
  • обеспечение всеобщей поддержки мер безопасности. Данный принцип носит нетехнический характер. Если пользователи считают информационную безопасность чем-то излишним или даже враждебным, режим безопасности сформировать не удастся. Следует с самого начала предусмотреть комплекс мер, направленный на обеспечение лояльности персонала, а также его постоянное теоретическое и практическое обучение.
Fatal error: Call to a member function return_links() on a non-object in /var/www/zoleg9992/data/www/e2epro.com/page/footer.php on line 42