Информационная безопасность

Для обеспечения безопасности информации, хранимой и обрабатываемой в автоматизированной системе (АС) организации необходимо согласованное применение разнородных мер защиты (юридических, организационных, технологических и программно-технических). Только в этом случае существует потенциальная возможность надежно защитить информацию от различных посягательств.
Контроль за соблюдением соответствия реального состояния АС требованиям положений политики безопасности предполагает периодический сбор информации о значениях контролируемых настроек сетевых сервисов, компьютеров, прав доступа пользователей и т.д. и их сравнение с настройками, указанными в организационно-распорядительных документах. При обнаружении несоответствия возможна корректировка как прав доступа пользователя, так и положений организационно-распорядительных документов.

Обычно, для достижения поставленных целей необходимо построение системы защиты информации с использованием различных разнородных мер защиты. Способ объединения этих мер в систему защиты формулируется в принципах построения системы защиты, а также самых общих правилах доступа сотрудников к информации, циркулирующей в АС. Сформулированные принципы зависят прежде всего от требований к свойствам информации и АС, которые необходимо обеспечить с учетом принятой в АС технологии обработки информации. Изменение принципов и правил обычно происходит при изменении технологии обработки данных в АС, что, в свою очередь, случается сравнительно редко.
Принципы и правила получают свое воплощение в так называемых абстрактных разрешениях – совокупности абстрактных прав доступа различных элементов организационно-штатной структуры (должностных категорий) к информации, обрабатываемой в АС, в соответствии с их служебными обязанностями. На этом уровне присутствуют только должностные категории, их служебные обязанности, задачи, решаемые в соответствии с этими обязанностями, а также ресурсы АС, к которым необходим доступ для решения этих задач. По сравнению с принципами и правилами абстрактные разрешения значительно более динамичны в связи с тем, что они зависят от существующей организационно-штатной структуры организации и номенклатуры используемых ресурсов АС.

Абстрактные разрешения задаются для конкретных должностных категорий организации и номенклатуры ресурсов АС. С их помощью реализуется законный доступ к ресурсам АС. Однако средства защиты не могут функционировать при таком уровне представления прав доступа. Поэтому абстрактные разрешения преобразуются в так называемые эталонные настройки средств защиты для ресурсов различных операционных сред.
Эталонные настройки средств защиты имеют вполне конкретное назначение. С их помощью непосредственно реализуется установленный порядок разграничения доступа должностных категорий к ресурсам АС и задается деление всех типов доступа к ресурсам АС на санкционированные и несанкционированные.