Ровни обеспечения информационной безопасности

Проблемы обеспечения безопасности носят комплексный характер, включают необходимость сочетания законодательных, организационных и программно-технических мер.

К сожалению, законодательная база отстает от требностей практики. Имеющиеся в России законы и указы носят в основном запретительный характер. В то же время следует учитывать, что в данном случае от государства требуется в первую очередь поддержка, организация и координация работ. В других странах это поняли довольно давно. Так, в США в 1987 г. был принят закон о компьютерной безопасн сти (Computer Security Act, вступил в силу в сентябре 1988 м Этот закон предусматривает комплекс мер по обучению поль зователей, имеющих дело с критичной информацией, разъяс­нительных руководств и т. д., без чего сознательное поддержа­ние режима безопасности просто невозможно. И данный за­кон на самом деле выполняется.

Проблемы законодательного уровня мы здесь не рассматри­ваем, отсылая читателей, например, к учебному пособию [30].

Следующим после законодательного, можно назвать управленческий (организационный) уровень. Ру­ководство каждой организации должно осознать необходимость поддержания режима безопасности и выделения на эти цели значительных ресурсов. Главное, что должен сделать управлен­ческий уровень, это выработать политику безопасности, которая задает общее направление работам в данной области и управленческие регуляторы безопасности. Операционные регу­ляторы применяются к окружению компьютерных систем и пре­жде всего к людям. Имеются в виду способы подбора персонала, его обучения, обеспечения дисциплины. Сюда же относятся меры по физической защите помещений и оборудования и неко­торые другие.

Для поддержания режима информационной безопасности особенно важны программно-технические меры, поскольку ос­новная угроза компьютерным системам исходит от самих этих систем (сбои оборудования, ошибки программного обеспечения, промахи пользователей и администраторов и т. п.).

Ключевые механизмы безопасности программно-техниче­ского уровня:

• идентификация и аутентификация;

• управление доступом;

• протоколирование и аудит;

• криптография;

• экранирование.

Строго говоря, всем защитным мерам должен предшество-анализ угроз. Информационная безопасность начинается не тогда, когда случилось первое нарушение, а когда идет формирование будущей компьютерной системы. Она начинается с составления спецификаций на приобретаемое оборудование и про­граммное обеспечение.