Наталия Гришина - Организация комплексной системы защиты информации

— определять усредненные сроки и трудоемкость работ;

— обеспечивать оптимизацию процесса создания СЗИ по срокам выполнения работ, затратам и ресурсам.

Типовая сетевая модель дает возможность представить все операции и работы процесса создания СЗИ, упорядочить эти работы в их надлежащей последовательности, выяснить содержание и значение каждой работы и определить, каким образом и с помощью каких средств она может быть выполнена.

Последовательность работ, определяющая наибольшую длительность разработки и создания СЗИ, является критическим путем L, а работы, входящие в критический путь, являются критическими работами. Критический путь L начинается с самого первого события сетевого графика и проходит через весь график, заканчиваясь последним событием. Анализ критических путей устанавливает приоритет работ. Критические работы должны быть завершены вовремя, иначе сроки создания СЗИ будут сорваны. При разработке конкретной СЗИ определение критического пути дает возможность ускорить выполнение комплекса работ за счет перераспределения средств и сил, выделяемых на выполнение работ.

Модуль типового плана проведения специального инженерного анализа защищаемой системы обеспечивает процесс исследования и формализации объекта защиты, построения его структурно-функциональной схемы для выявления возможных каналов компрометации информации в системе, определение состава и характеристик стратегий нападения на информацию.

Модуль реализует поддержку решения следующих задач:

1) анализ технологических процессов обработки информации, анализ информационных потоков, анализ дислокации элементов защищаемой системы, анализ технических и программных средств и особых условий, влияющих на безопасность информации в системе; итог — построение, структурно-функциональной схемы (СФС) системы;

2) деструктуризация СФС с целью выявления основных, в плане выполнения функций управления и в плане общности решений по защите информации, узлов системы с целью выявления возможных каналов компрометации информации;

3) определение состава системы нападения на информацию Y, оценку параметров элементов системы Y.

Модуль выбора стандартных средств и типовых проектных решений базируется на информации банка данных и ограничений проектировщика и заказчика системы.

Блок модели нарушителей содержит в себе описания категорий людей, которые могут предпринять попытку несанкционированного доступа к информации случайно или преднамеренно. Это могут быть операторы, инженерно-технический персонал, пользователи, разработчики, обслуживающий персонал и т. д. Нарушитель может быть осведомлен о структуре защищаемой системы, характере информации технического и программного обеспечения, наличии средств защиты, их устройстве и технических характеристиках. Неизвестными можно считать лишь те параметры и элементы средств защиты, которые подлежат периодической смене (ключи, пароли и т. п.).

Блок «Исходный набор У» предназначен для определения потенциальных стратегий нападения, которые выявляются посредством неформально-логического анализа выявленных в деструктурированных узлах системы возможных каналов компрометации информации и вероятных нарушений безопасности с использованием каталога основных потенциальных стратегий нападения на информацию.

Результатом работы данного модуля САПР является сформированный рабочий набор стратегий нападения Y в виде табличного файла:

Модуль комплекса моделей расчета параметров подсистем СЗИ включает в себя программно-математические средства проектирования системы криптозащиты, технических средств, системы разграничения доступа, системы постобработки регистрационной информации и т. д. В процессе функционирования САПР комплекс моделей должен пополняться и совершенствоваться.

Модуль синтеза и оптимизации СЗИ осуществляет разработку мер защиты. Этот этап следует непосредственно после проведения инженерного анализа СЗИ и определения состава и основных характеристик системы нападения на информацию. В результате выполнения этапа определяется оптимальный состав СЗИ и основные требования к качеству мер защиты информации, а также производится оценка затрат, требующихся для реализации СЗИ.

Синтез и оптимизация СЗИ выполняются в следующей последовательности: