стоит дорого, использует при работе существенную часть мощности и ресурсов компьютерной системы и может создавать ощутимые дополнительные неудобства пользователям. Важно правильно выбрать тот достаточный уровень зашиты, при котором затраты, риск и размер возможного ущерба были бы приемлемыми (задача анализа риска).
Принцип гибкости системы защиты на обеспе-
чение возможности варьирования уровнем защищенности. Особенно важным это свойство является в тех случаях, когда установку средств защиты необходимо осуществлять на работающую систему, не нарушая процесса ее нормального функционирования. Кроме того, внешние условия и требования с течением времени меняются. В таких ситуациях свойство гибкости спасает от необходимости принятия кардинальных мер по полной замене средств защиты на новые.
Принцип открытости алгоритмов и механизмов защиты предполагает, что защита не должна обеспечиваться только за счет секретности структурной организации и алгоритмов функционирования ее подсистем. Знание алгоритмов работы системы защиты не должно давать возможности ее преодоления (даже автору). Однако, это вовсе не означает, что информация о конкретной системе защиты должна быть общедоступна.
Принцип простоты применения средств защиты заключается в том, что механизмы защиты должны быть интуитивно понятны и просты в использовании. Применение средств защиты не должно быть связано со знанием специальных языков или с выполнением действий, требующих значительных дополнительных трудозатрат при обычной работе законных пользователей, а также не должно требовать от пользователя выполнения рутинных мало-
75
понятных ему операций (ввод нескольких паролей и имен и т.д.).
Для ИТКС, предназначенных для обработки информации с ограниченным доступом, используемой в управлении экологически опасными объектами, требования вышеперечисленных документов являются обязательными. В остальных случаях требования вышеперечисленных документов носят рекомендательный характер и конкретные требования по созданию и функционированию ИТКС в области защиты информации могут устанавливаться в нормативных документах, разрабатываемых собственником информации.
Таблица 1 Типовое содержание работ по этапам создания ИТКС в
защищенном исполнении
|
По ГОСТ 34.601 |
|
Типовое содержание ра- |
|||||
Ста- |
Направ- |
Этапы |
ра- |
|||||
бот по защите информа- |
||||||||
дия |
ленность |
боты |
|
|||||
|
|
|
ции |
|
||||
|
работ |
|
|
|
|
|
||
|
|
|
|
|
|
|
||
1. Пред |
Формиро- |
1.1. Обсле |
Сбор данных |
о прово- |
||||
про- |
вание тре- |
дование |
димых работах на объ- |
|||||
ектная |
бований к |
объекта |
|
ектах |
информатизации, |
|||
стадия |
СЗИ |
(дейст- |
|
объединяемых |
ИТКС, |
|||
|
|
вующей |
по |
обработке |
информа- |
|||
|
|
ИТКС) |
и |
ции |
различной степени |
|||
|
|
обоснова- |
секретности. |
Определе- |
||||
|
|
ние необ- |
ние факторов, воздейст- |
|||||
|
|
ходимости |
вующих на информацию |
|||||
|
|
создания |
в соответствии с требо- |
|||||
|
|
СЗИ |
|
ваниями ГОСТ Р 51275. |
||||
|
|
|
|
Оценка |
целесообразно- |
|||
|
|
|
|
сти создания СЗИ. |
||||
76
|
|
1.2.Форми |
Подготовка |
исходных |
|||
|
|
рование |
|
данных для формирова- |
|||
|
|
требова- |
|
ния требований по ЗИ на |
|||
|
|
ний поль- |
ИТКС |
и |
процессов ее |
||
|
|
зователя |
к |
создания |
и |
эксплуата- |
|
|
|
СЗИ |
|
ции. Разработка предва- |
|||
|
|
|
|
рительных требований к |
|||
|
|
|
|
СЗИ. |
Предварительное |
||
|
|
|
|
обоснование |
класса за- |
||
|
|
|
|
щищенности ИТКС |
|||
|
|
1.3.Оформ |
Разработка предложений |
||||
|
|
ление от- |
по ЗИ в отчетной норма- |
||||
|
|
чета о вы- |
тивно-технической до- |
||||
|
|
полняемой |
кументации. |
Оформле- |
|||
|
|
работе |
и |
ние отчета о выполнен- |
|||
|
|
заявки |
на |
ных работах по ЗИ на |
|||
|
|
разработ- |
данных |
|
|
стадиях. |
|
|
|
ку СЗИ |
|
Оформление |
предложе- |
||
|
|
|
|
ний по ЗИ в заявку на |
|||
|
|
|
|
разработку СЗИ. Фор- |
|||
|
|
|
|
мирование предложений |
|||
|
|
|
|
по ЗИ в ТЗ на СЗИ. |
|||
77
2. Раз |
Разра- |
2.1.Допол |
Уточнение условий экс- |
|||||
ра- |
ботка |
нительное |
плуатации ИТКС и СЗИ |
|||||
ботка |
концепции |
изучение |
и категорий |
важности |
||||
про- |
СЗИ (кон- |
объекта |
обрабатываемой |
инфор- |
||||
екта |
цептуаль- |
|
мации. |
Формирование |
||||
СЗИ |
ное проек- |
|
перечня угроз защищае- |
|||||
(про- |
тирова- |
|
мой информации. Опре- |
|||||
ект- |
ние) |
|
деление |
|
|
требуемого |
||
ная |
|
|
класса |
защищенности. |
||||
ста- |
|
|
Уточнение |
номенклату- |
||||
дия) |
|
|
ры требований, предъ- |
|||||
|
|
|
являемых |
к |
СЗИ |
и |
||
|
|
|
ИТКС . |
|
|
|
|
|
|
|
2.2.Провед |
Поиск путей реализации |
|||||
|
|
ение не- |
требований |
|
по |
ЗИ |
в |
|
|
|
обходи- |
ИТКС. Оценка возмож- |
|||||
|
|
мых НИР |
ности реализации требо- |
|||||
|
|
|
ваний по ЗИ в ИТКС. |
|||||
|
|
|
Оформление |
и |
утвер- |
|||
|
|
|
ждение отчета о НИР по |
|||||
|
|
|
ЗИ или разделов по ЗИ в |
|||||
|
|
|
отчет о НИР по созда- |
|||||
|
|
|
нию СЗИ в ИТКС. |
|
||||
78
|
|
2.3. Разра- |
Разработка альтернатив- |
||||||
|
|
ботка |
ва- |
ных |
вариантов концеп- |
||||
|
|
риантов |
ции ЗИ в ИТКС и обли- |
||||||
|
|
концепции |
ка СЗИ и процессов ее |
||||||
|
|
СЗИ и вы- |
создания. Выбор опти- |
||||||
|
|
бор целе- |
мального варианта кон- |
||||||
|
|
сообраз- |
цепции |
СЗИ |
в |
ИТКС |
|||
|
|
ного вари- |
(разработка |
замысла |
|||||
|
|
анта |
|
ЗИ). |
|
|
|
Технико- |
|
|
|
|
|
экономическое |
обосно- |
||||
|
|
|
|
вание выбранного вари- |
|||||
|
|
|
|
анта СЗИ и процессов ее |
|||||
|
|
|
|
создания и эксплуатации |
|||||
|
|
2.4.Оформ |
Подготовка и оформле- |
||||||
|
|
ление |
от- |
ние отчета о выполнен- |
|||||
|
|
чета о вы- |
ных работах по ЗИ на |
||||||
|
|
полненной |
данной стадии создания |
||||||
|
|
работе |
|
СЗИ в ИТКС. Согласо- |
|||||
|
|
|
|
вание концепции |
ЗИ в |
||||
|
|
|
|
ИТКС |
и |
предложений |
|||
|
|
|
|
по |
вариантам |
СЗИ. |
|||
|
|
|
|
Предложения |
по |
ЗИ в |
|||
|
|
|
|
отчетную |
нормативно- |
||||
|
|
|
|
техническую |
докумен- |
||||
|
|
|
|
тацию этапа работ. Со- |
|||||
|
|
|
|
гласование и получение |
|||||
|
|
|
|
заключения ФСБ на раз- |
|||||
|
|
|
|
работку |
|
шифровальных |
|||
|
|
|
|
средств. |
|
|
|
|
|
79