Информационная безопасность. Корнюшин П.Н - 141 стр.

требования определяют значения основных технических характеристик, выполняемые функции,
режимы работы, взаимодействие с внешними системами и т.д.
        Аппаратные средства оцениваются следующими характеристиками: быстродействие,
производительность, емкость запоминающих устройств, разрядность, стоимость, характеристики
надежности и др. Программные средства характеризуются требуемым объемом оперативной и
внешней памяти, системой программирования, в которой разработаны эти средства,
совместимостью с ОС и другими программными средствами, временем выполнения, стоимостью и
т.д.
        Получение значений этих характеристик, а также состава выполняемых функций и
режимов работы средств защиты, порядка их использования и взаимодействия с внешними
системами составляют основное содержание этапа научно-исследовательской разработки. Для
проведения исследований на этом этапе заказчик может привлекать исполнителя или научно-
исследовательское учреждение, либо организует совместную их работу.
        Научно-исследовательская разработка начинается с анализа угроз безопасности
информации, анализа защищаемой КС и анализа конфиденциальности и важности информации в
КС. Прежде всего, производится анализ конфиденциальности и важности информации, которая
должна обрабатываться, храниться и передаваться в КС. На основе анализа делается вывод о
целесообразности создания КСЗИ. Если информация не является конфиденциальной и легко
может быть восстановлена, то создавать КСЗИ нет необходимости. Не имеет смысла также
создавать КСЗИ в КС, если потеря целостности и конфиденциальности информации связана с
незначительными потерями. В этих случаях достаточно использовать штатные средства КС и,
возможно, страхование от утраты информации.
        При анализе информации определяются потоки конфиденциальной информации, элементы
КС, в которых она обрабатывается и хранится. На этом этапе рассматриваются также вопросы
разграничения доступа к информации отдельных пользователей и целых сегментов КС. На основе
анализа информации определяются требования к ее защищенности. Требования задаются путем
присвоения определенного грифа конфиденциальности, установления правил разграничения
доступа.
        Очень важная исходная информация для построения КСЗИ получается в результате
анализа защищаемой КС. Т.к. КСЗИ является подсистемой КС, то взаимодействие системы
защиты с КС можно определить как внутреннее, а взаимодействие с внешней средой – как
внешнее.
        Внутренние условия взаимодействия определяются архитектурой КС. При построении
КСЗИ учитываются:
• географическое положение КС;
• тип КС (распределенная или сосредоточенная);
• структуры КС (техническая, программная, информационная и т.д.);
• производительность и надежность элементов КС;
• типы используемых аппаратных и программных средств и режимы их работы;
• угрозы безопасности информации, которые порождаются внутри КС (отказы аппаратных и
     программных средств, алгоритмические ошибки и т.п.);
        Учитываются следующие внешние условия:
• взаимодействие с внешними системами;
• случайные и преднамеренные угрозы.
        Анализ угроз безопасности является одним из обязательных условий построения КСЗИ. По
результатам проведенного анализа строится модель угроз безопасности информации в КС, которая
содержит систематизированные данные о случайных и преднамеренных угрозах безопасности
информации в конкретной КС. Систематизация данных модели предполагает наличие сведений
обо всех возможных угрозах, их опасности, временных рамках действия, вероятности реализации.
Часто модель угроз рассматривается как композиция модели злоумышленника и модели
случайных угроз. Модели представляются в виде таблиц, графов или на вербальном уровне. При
построении модели злоумышленника используется два подхода:
     1. модель ориентируется только на высококвалифицированного злоумышленника-
        профессионала, оснащенного всем необходимым и имеющего легальный доступ на всех
        рубежах защиты;
     2. модель учитывает квалификацию злоумышленника, его оснащенность (возможности) и
        официальный статус в КС.

                                            142