Материал: Технология проектирования систем защиты информации в информационно-телекоммуникационных системах. Язов Ю.К

комплексной наладке всех средств ИТКС с точки зрения обеспечения ЗИ

Организации-участники работ по созданию СЗИ (ИТКС в защищенном исполнении) должны иметь лицензии на право проведения работ в области защиты информации. Лицензирование организаций и предприятий осуществляется в установленном порядке.

Для создания ИТКС могут применяться как се-

рийно выпускаемые, так и вновь разработанные техни-

ческие и программные средства обработки информации,

а также технические, программные, программно-

технические, шифровальные средства ЗИ и средства для

контроля эффективности. Выпускаемые средства долж-

ны иметь сертификаты соответствия, полученные в со-

ответствующих системах сертификации по требованиям

безопасности информации.

Вновь разработанные средства должны быть сертифицированы в установленном порядке до начала опытной эксплуатации ИТКС.

Процесс создания и применения СЗИ должен быть документирован в полном соответствии с требованиями

85

ГОСТ 34.201, в том числе и нормативных документов по защите обрабатываемой информации.

Заказчик, собственник и владелец ИТКС, а также организации-участники создания ИТКС несут ответственность за обеспечение защиты обрабатываемой информации в ИТКС и выполняемые работы по ЗИ на всех стадиях создания ИТКС.

Технические, программные и программнотехнические средства защиты информации специального применения создаются разработчиком ИТКС. Конструкторская документация на их изготовление включается в состав документации на ИТКС отдельными документами или разделами основных документов.

За обеспечение создания ИТКС несут ответствен-

ность:

-заказчик - в части включения в ТЗ (ЧТЗ) на ИТКС

иее компонентов, а также в техническую, программную, конструкторскую и эксплуатационную документацию обоснованных требований по защите обрабатываемой информации и контроля их выполнения в процессе экспертизы документации, испытаний и приемки как ИТКС в целом, так и ее компонентов;

-предприятие - разработчик - в части обеспечения соответствия разрабатываемой ИТКС и системы ЗИ требованиям ТЗ по защите обрабатываемой информации, действующим стандартам, нормам и другим нормативным документам;

-предприятие - изготовитель - в части осуществления технических мер по обеспечению соответствия изготавливаемых технических средств и программной продукции заданным требованиям по защите обрабатываемой информации, реализованным в конструкторской и программной документации.

86

Общее руководство работами по ЗИ при создании ИТКС в целом осуществляет главный конструктор ИТКС или его заместители, а при создании компонентов ИТКС - главные конструктора этих компонентов или их заместители.

Ввод ИТКС в эксплуатацию осуществляется только после выполнения всех мероприятий по ЗИ и проведения испытаний испытательным центром (лабораторией) на соответствие требованиям нормативных документов по защите информации ее аттестации на соответствие требованиям безопасности информации.

В случае, когда для создания новой ИТКС необходимо провести исследования по изысканию новых технических решений, предварительно может проводиться одна или цикл НИР и опытно-конструкторских работ (ОКР).

Возможно объединение НИР и ОКР, если необходимо ускорить процесс разработки, то есть ставится НИОКР, в ходе которой отрабатываются требования к ИТКС, в том числе к СЗИ в ИТКС, определяются целесообразные технические решения по защите информации. По результатам НИОКР разрабатывается ТЗ на создание ИТКС. Если проводится НИР, ОКР или НИОКР, то говорят, что имеет место полный цикл разработки ИТКС в защищенном исполнении. В ходе НИР исследуются возможные и целесообразные способы защиты информации и отрабатывается ТЗ на ОКР по созданию элементов ИТКС в защищенном исполнении и специализированных средств защиты информации для данной ИТКС. При этом в НИР или, если НИР не ставится, то в ходе работ по созданию ИТКС в защищенном исполнении, наряду с вопросами построения самой ИТКС:

87

анализируются потоки информации в ИТКС и определяется информация, составляющая государственную и другие виды тайны;

определяются элементы ИТКС, где циркулирует информация, составляющая государственную тайну;

проводится анализ ее уязвимых звеньев с точки зрения защиты информации;

определяются возможные угрозы безопасности информации, оценивается опасность этих угроз и выбираются актуальные из них. Выделяются угрозы утечки информации, составляющей государственную тайну;

применительно к выбранным угрозам формулируются задачи и обосновываются требования по защите информации, которые необходимо предъявить к ИТКС;

определяется стратегия защиты информации, с помощью которой можно реализовать обоснованные требования;

формируются возможные меры безопасности информации, реализуемые административными мерами администратора сети;

определяются эффективные и целесообразные по критерию "эффективность-стоимость" дополнительные способы защиты информации от выбранных угроз;

анализируется возможность реализации способов защиты с привлечением ранее разработанных программных и программно-аппаратных средств, определяется необходимость разработки нового программного обеспечения;

88

определяются основные вопросы управления защитой информации.

Рассмотрим более подробно каждый из этих аспектов.

Анализ потоков информации в ИТКС и определение информации, составляющей государственную и другие виды тайн, проводится на основе перечней сведений, составляющих эти виды тайн, при этом основное внимание уделяется сведениям, составляющим государственную тайну. В результате анализа устанавливается, есть в информации, циркулирующей в ИТКС, сведения, составляющие тот или иной вид тайны. Особое внимание при этом уделяется сведениям, составляющим государственную тайну. Дело в том, что к элементам ИТКС, в которых циркулирует информация, составляющая государственную тайну, предъявляются специальные требования по защите. Эти элементы выделяются в отдельный перечень, а затем и в отдельную подсистему, отделенную от других элементов ИТКС, и для них формируется в последующем своя подсистема защиты информации, отделенная от системы защиты информации, составляющей другие виды тайн.

Наиболее сложным и существенным для защиты информации в ИТКС является анализ уязвимых звеньев ИТКС и определение возможных угроз безопасности информации. При этом анализируются следующие исходные данные об ИТКС:

назначение и выполняемые функции каждым элементом ИТКС;

состав и назначение аппаратных и программных средств;

89