Комплексні системи захисту інформації. Проектування, впровадження, супровід

Пiд час розгляду рiзних варiантiв реалiзацii рекомендуеться враховувати наступнi аспекти:

– iнженерно-технiчне обладнання примiщень, в яких розмiщуються компоненти ІТС;

– реестрацiя санкцiонованих користувачiв ІТС, авторизацiя користувачiв в системi;

– керування доступом до iнформацii i механiзмiв, що реалiзують послуги безпеки, включаючи вимоги до розподiлу ролей користувачiв i адмiнiстраторiв;

– виявлення та реестрацiя небезпечних подiй з метою здiйснення повсякденного контролю;

– перевiрка i забезпечення цiлiсностi критичних даних на всiх стадiях iхньоi обробки в ІТС;

– забезпечення конфiденцiйностi iнформацii, у тому числi використання криптографiчних засобiв;

– резервне копiювання критичних даних, супроводження архiвiв даних i ПЗ;

– вiдновлення роботи ІТС пiсля збоiв, вiдмов, особливо для систем iз пiдвищеними вимогами до доступностi iнформацii;

– захист ПЗ, окремих компонентiв i ІТС в цiлому вiд внесення несанкцiонованих доповнень i змiн;

– забезпечення функцiонування засобiв контролю.

2. Аналiз ризикiв реалiзацii загроз

Пiд час цього кроку здiйснюеться аналiз ризикiв, який передбачае вивчення моделей загроз i порушникiв, можливих наслiдкiв вiд реалiзацii потенцiйних загроз (рiвня можливоi заподiяноi ними шкоди). В результатi аналiзу ризикiв реалiзацii загроз визначаеться перелiк суттевих загроз для ІТС.

Аналiз ризикiв полягае в моделюваннi картини появи несприятливих умов з урахуванням всiх можливих чинникiв, що визначають ризики, якi називаються вхiдними параметрами.

Активи – ключовi компоненти ІТС, що залученi в технологiчнi процеси та мають певну цiннiсть.

Вразливостi – слабкостi в засобах захисту, викликанi помилками або недосконалiстю процедур, якi можуть бути використанi для проникнення в ІТС або пошкодження активiв.

Загрози – реалiзацiя яких можлива за допомогою використання вразливостей.

Збитки – втрати пiсля реалiзацii загрози з урахуванням витрат на вiдновлення пошкоджених активiв.

Керування ризиками – це процес послiдовного виконання трьох основних етапiв:

– визначення початкових ризикiв (в незахищенiй ІТС);

– застосування засобiв захисту для скорочення ризикiв;

– прийняття залишкових ризикiв.