Наталия Гришина - Организация комплексной системы защиты информации

Система управления может быть построена таким образом, когда в каждом звене управления создаются штабы (советы, отделы, лаборатории), в которых имеются специалисты по отдельным важным вопросам (рис. 27). Штабы (Ш) подготавливают квалифицированные решения, но утверждает и передает их на нижние уровни линейный руководитель.

Програмно-целевая организация ОС, представленная на рис. 28, объединяет в себе особенности всех рассмотренных выше.

Рис. 28. Программно-целевая структура

Опираясь на осмысление закономерностей реальных процессов формирования ОС, а также с учетом традиционных этапов разработки больших систем, можно предложить следующие технологические этапы ОС для наиболее сложного вида проблем (непрограммируемых проблем).

Этап 1. Постановка проблемы, которую требуется решить.

Этап 2. Исследование проблемы: сбор и анализ всех доступных объективных данных и знаний о проблеме и факторах, влияющих на ее решение, формирование банка проблемных знаний, построение и исследование модели проблемы (если проблема допускает модельное представление).

Этап 3. Определение границ (состава) проблемного объекта, т. е. всех потенциальных участников решения проблемы (организаций, коллективов и лиц, от деятельности которых зависит ее решение).

Этап 4. Обследование проблемного объекта. Проводится обследование ОС, входящих в состав проблемного объекта, и выбирается комплекс мер по решению проблемы. На этом этапе формируется план мероприятий (или целевая комплексная программа) по решению проблемы и решается вопрос о целесообразности создания ОС.

Этап 5. Выбор критерия эффективности ОС. На этом этапе начинается собственно разработка будущей ОС. Выбор критерия эффективности системы дает возможность дальнейшем объективно оценивать альтернативные проекты ОС.

Этап 6. Выбор границ (состава) ОУ. Из всех потенциальных участников решения проблемы отбираются те, кто войдет в состав ОУ проектируемой ОС

Этап 7. Обследование ОУ. Проводится углубленное обследование организаций, входящих в состав ОУ, с целью получения данных, необходимых для формирования альтернативных вариантов построения СУ и ОС в целом.

Этап 8. Разработка технического задания на создание ОС. Производятся выбор наиболее эффективного варианта Построения ОС и разработка технического задания.

Этап 9. Техническое и рабочее проектирование ОС.

Этап 10. Внедрение ОС.

Эти этапы не обязательно должны быть строго последовательными. На каждом из них допускается возврат к одному из предыдущих. В зависимости от особенностей проблемы и условий ее решения возможно объединение нескольких этапов в один или пропуск отдельных этапов. Например, если границы ОУ совпадут с границами проблемного объекта, то этап 7 может быть опущен. Этап 3 может быть объединен с этапом 4, этап 6 — с этапом 7 и т. д.

Предлагаемая технологическая схема имеет рекомендательный, а не обязательный, характер и требует в каждом конкретном случае уточнения в зависимости от специфики решаемой проблемы.

Наряду с органами, осуществляющими управление по вертикали, создаются дополнительные органы, призванные обеспечивать управление по горизонтали.

Под проектированием КСЗИ будем понимать процесс разработки и внедрения проекта организационной и функциональной структуры системы защиты, использование возможностей существующих методов и средств защиты с целью обеспечения надежного функционирования объекта (предприятия) в современных условиях.

Поскольку форма производственных отношений всегда соответствует конкретной социально-экономической обстановке, процессы защиты должны рассматриваться с учетом этих условий.

Поскольку процессы защиты находятся во взаимосвязи и взаимодействии, при их исследовании в проектировании обязателен комплексный подход, требующий исследования и учета внешних и внутренних отношений всей совокупности потенциальных угроз.

И наконец, системный подход — это принцип рассмотрения проекта, при котором анализируется система в целом, а не ее отдельные части. Его задачей является оптимизация всей системы в совокупности, а не улучшение эффективности отдельных частей. Это объясняется тем что, как показывает практика, улучшение одних параметров часто приводит к ухудшению других, поэтому необходимо стараться обеспечить баланс противоречивых требований и характеристик.

Для каждой системы должна быть сформулирована цель, к которой она стремится. Эта цель может быть описана как назначение системы, как ее функция. Чем точнее и конкретнее указано назначение или перечислены функции системы, тем быстрее и правильнее можно выбрать лучший вариант ее построения.

Так, например, цель, сформулированная в самом общем виде как обеспечение безопасности объекта, заставит рассматривать варианты создания глобальной системы защиты. Если уточнить ее, определив, например, как обеспечение безопасности информации, передаваемой по каналам связи внутри здания, то круг возможных технических решений существенно сузится.

Следует иметь в виду, что, как правило, глобальная цель достигается через достижение множества менее общих локальных целей (подцелей). Построение такого «дерева целей» значительно облегчает, ускоряет и удешевляет процесс создания системы.

В зависимости от полноты перечня вопросов, подлежащих исследованию, проектные работы представляются в виде разработки комплексного или локального проекта.

Общее — (комплексное) — проектирование организации и технологии всего комплекса или большего числа мероприятий по ЗИ.

При локальном проектировании осуществляется проектирование отдельной подсистемы КСЗИ.

Перечень направлений комплексного проектирования определяется в зависимости от нужд конкретного предприятия и поставленных перед проектом задач и условий. Соответственно, при локальном проектировании круг задач сужается и проект может быть ограничен разработками по одному из направлений. Но локальные проекты должны осуществляться как части комплексного проекта, последовательно реализуемые в ходе работы. Иначе внедрение проекта может привести к отрицательным результатам.

Можно выделить также индивидуальное и типовое проектирование. Индивидуальное представляет собой разработку проекта для какого-нибудь конкретного предприятия, с учетом его специфических особенностей, условий и требований.

Типовые проекты преследуют цель унификации и стандартизации процессов защиты на различных предприятиях.

Наилучшие результаты при создании систем любого уровня сложности достигаются, как правило, тогда, когда этот процесс четко разделяется на отдельные этапы, результаты которых фиксируются, обсуждаются и официально утверждаются. Рекомендуется выделять следующие этапы: