ПОДХОДЫ К КЛАССИФИКАЦИИ ОБЪЕКТОВ ИНФОРМАТИЗАЦИИ ПО УРОВНЮ БЕЗОПАСНОСТИ

Под объектами информатизации понимают автоматизированные системы, устройства, информационные компоненты различной степени сложности и назначения, которые реализованы на основе электронно-вычислительной техники и информационных технологий и обеспечивают важные функции управления основными процессами объектов инфраструктур. В настоящее время критически важные объекты информатизации, которые представляют собой основу управления объектами инфраструктур, важных для жизнедеятельности непосредственно государства, общества, граждан, наиболее подвержены атакам различного рода.

В мировой практике выделяют два основных вида компьютерных систем, которые могут рассматриваться как критически важные объекты информатизации - это информационные системы и управляющие системы.

Критически важные информационные системы выполняют сбор, обработку и предоставление информации в удобном для человека виде. Основная роль принадлежит человеку, а компьютер в свою очередь играет вспомогательную роль, выдавая пользователю необходимую информацию.

Критически важные управляющие системы обеспечивают не только сбор информации и ее обработку по специальным алгоритмам, но и выдачу управляющих команд непосредственно исполнителям или другим исполнительным механизмам. Управляющие системы работают обычно в реальном масштабе времени, т.е. согласуются с технологическими или производственными операциями. Безусловно, наиболее важная роль здесь отводится машине, а человек контролирует и решает наиболее сложные вопросы, которые по различным причинам не могут решить вычислительные средства управляющей системы.

Существующая система классификации информационных систем по важности относится к категорированию систем организационного типа, используемых или эксплуатируемых органами государственной власти, организациями, работающими по контракту с государственными органами, или им подчиненными [1, с.9]. Информационная безопасность обычно рассматривается через обеспечение задач безопасности - конфиденциальности, целостности, доступности.

Категория важности информации связывается как с информацией пользователя, так и с системной информацией, может быть применима к информации в электронной и в традиционной форме. Определение соответствующей категории безопасности для каждого вида информации, можно сказать, требует выявления потенциального влияния невыполнения каждой задачи безопасности, связанной с использованием информации конкретного вида, на организацию или отдельных лиц:

- низкая (Low) - требования по обеспечению всех задач безопасности низкие;

- умеренная (Moderate) - требования по обеспечению хотя бы одной задачи безопасности оцениваются как умеренные и в то же время ни одна задача безопасности не превышает уровень «умеренная»;

- высокая (High) - требования по обеспечению хотя бы одной задачи безопасности оцениваются как высокие.

Ущерб при нарушении этих задач информационной безопасности оценивается степенью нарушения деятельности организации, экономическими потерями, стоимостью потерянных активов или прибыли, ущербом репутации владельца организации и др. Конкретное содержание показателей ущерба для отнесения объектов информатизации к критически важным объектам может устанавливаться как актами информационного законодательства, так и владельцами информации или системы.

Широкое применение компьютерной техники в автоматизации процессов управлении важными производственными процессами, необходимость оценки их безопасности требует более детального подхода к классификации объектов информатизации, такого подхода, который учитывает особенности функционирования объектов информатизации в реальных условиях эксплуатации.

Определение классификации может состоять из сочетания детерминированного и вероятностного подходов к оценке важности функциональности объектов информатизации для выполнения основных процессов, которая применяется ко всем системам, устройствам, компонентам, автоматизирующим функции объекта инфраструктуры на основе электронной вычислительной техники [2, с.14].

Детерминированный подход требует подробного анализа функций объекта управления, осуществляемых объектом информатизации (включая операции персонала, средств технического обслуживания, оборудования и др.), оценки их влияния на миссию объекта инфраструктуры и возможные последствия отказа или сбоя в работе объекта информатизации.

Вероятностный подход требует оценки риска, т.е. анализа уязвимости ресурсов объекта информатизации, выделения актуальных угроз уязвимым ресурсам, определения вероятности отказов функций, реализуемых этими ресурсами, анализа надежности функционирования объекта информатизации с учетом качества его разработки, изготовления и контроля до поставки (при контроле, сборе, испытаниях) и оценки надежности в эксплуатации [3, с.5].

Опасность нарушения безопасности оценивается произведением вероятности отказа системы на размер средневзвешенного ущерба объекту инфраструктуры по причине этого отказа. Классификация объектов информатизации по безопасности с применением описанных выше подходов может осуществляться по следующей схеме:

а) исходя из важности основных процессов или функций объекта инфраструктуры, определяется категория важности объекта информатизации, который реализует функции или управление ими: высокая, средняя, низкая;

б) исходя из оценки последствий отказа, снижения качества выполнения функций или разрушения объекта информатизации, определяются последствия отказа объекта информатизации (тяжесть ущерба для объекта инфраструктуры): высокая, средняя, низкая;

в) с учетом тяжести ущерба и вероятности отказа объекта информатизации определяется риск невыполнения важных функций и процессов объекта инфраструктуры;

г) исходя из категории важности объекта информатизации и уровня риска, осуществляется отнесение объекта информатизации к соответствующему классу безопасности в соответствии с таблицей 1.

Таблица 1 - Классификация объектов информатизации по уровню безопасности

Требования класса G соответствуют максимальным требованиям безопасности, класса L - самому низкому уровню информационной безопасности. Исходным для назначения требований информационной безопасности является базовый состав требований, который обязателен для объектов информатизации всех классов. Каждому классу объектов информатизации соответствуют специальные требования, дополняющие требования базового уровня.

Для назначения требований объектам информатизации в зависимости от уровня безопасности используются основные характеристики объектов информатизации различных уровней безопасности и основные требования безопасности [9, с.23].

Базовый уровень. Требования базового уровня безопасности устанавливаются для объектов информатизации, которые характеризуются незначительным уровнем риска. Требования безопасности для таких объектов не являются жесткими - отказ в доступе может составлять несколько десятков часов в год, степень конфиденциальности сведений не высока.

Класс L. Основные характеристики - обеспечение конфиденциальности информации не требуется; ошибки могут быть допущены, если они не срывают выполнение задач; не допустим долговременный отказ в доступе к системе, однако допустимы умеренные периоды простоя.

Класс M. Основные характеристики - гарантируется защита важной информации, предназначенной для использования только внутри учреждения; допустимы незначительные ошибки; ошибки, которые существенно нарушают выполнение задач, должны быть обнаружены и устранены; надежность системы должна попадать в диапазон от 0,75 до 0,80.

Класс H. Основные характеристики - защита критичной информации должна соответствовать требованиям законодательства и быть повышенной в важных областях; обрабатываемая информация должна быть точной, любые ошибки должны быть обнаружены и исправлены; на процессы, которые действуют в пределах жесткой временной шкалы, приходятся основные области деятельности; широкомасштабные задачи объекта инфраструктуры выполняются только с применением информационных технологий; разрешаются только короткие периоды простоя, надежность в пределах от  0,87 до 0,93.

Класс G. Основные характеристики - защита критичной информации в важных областях деятельности должна быть гарантированной и соответствовать строгим требованиям секретности; информация должна быть максимально точной; основные задачи учреждения не могут выполняться без использования объектов информатизации; малое время реакции для принятия важных решений требует постоянного наличия актуальной и вовремя обновляемой информации; время простоя не допускается, надежность системы выше 0,95.

Защита объектов информатизации от полного набора угроз требует использования методов многоуровневой защиты, ориентированной на человеческие, технические и эксплуатационные аспекты. Это необходимо из-за высоко интерактивного характера различных систем и сетей инфраструктур и того факта, что любой отдельный объект информатизации не может быть максимально защищен и функционировать с высокой надежностью, если остальные взаимодействующие с ним объекты информатизации не защищены на том же уровне.

Следовательно, для обеспечения безопасности объектов информатизации, вместе с основными задачами, относящимися к применению технических средств, обеспечивающих защиту его функций, должны учитываться и нетехнические факторы, такие как политика безопасности, эксплуатационные процедуры, уровень подготовки пользователя.

Литература:

1.         СТБ П 34.101.38-2009. Информационные технологии и безопасность. Классификация объектов информационных технологий по требованиям информационной безопасности.

2.         СТБ 34.101.30-2007. Информационные технологии. Методы и средства безопасности. Объекты информатизации. Классификация.

3.         ГОСТ Р ИСО/МЭК 19791 - 2008: Информационная технология. Методы и средства обеспечения безопасности. Оценка безопасности автоматизированных систем.

4.         Профили защиты на основе «Общих критериев». Аналитический обзор. Бетелин В.Б., Галатенко В. А., Кобзарь М.Т., Сидак А. А., Трифаленков И. А. - JET INFO, 2003 год.