Комплексні системи захисту інформації. Проектування, впровадження, супровід

Характеристика можливих варiантiв побудови КСЗІ:

– мiнiмальний – досягнення необхiдного рiвня захищеностi iнформацii за мiнiмальних затрат i допустимого рiвня обмежень на технологiю ii обробки в ІТС;

– оптимальний – досягнення необхiдного рiвня захищеностi iнформацii за допустимих затрат i заданого рiвня обмежень на технологiю ii обробки в ІТС;

– максимальний – досягнення максимального рiвня захищеностi iнформацii за необхiдних затрат i мiнiмального рiвня обмежень на технологiю ii обробки в ІТС.

Пiсля цього необхiдно здiйснити первинне (попередне) оцiнювання допустимих витрат на блокування загроз, виходячи з вибраного варiанту побудови КСЗІ i видiлених на це коштiв.

На етапi проектування КСЗІ, пiсля формування пропозицiй щодо складу заходiв i засобiв захисту, здiйснюеться оцiнка залишкового ризику для кожноi пропозицii (наприклад, за критерiем «ефективнiсть/вартiсть»), вибираеться найбiльш оптимальна серед них i первинна оцiнка уточнюеться.

Якщо залишковий ризик не вiдповiдае критерiям прийнятностi, вносяться вiдповiднi змiни до складу заходiв i засобiв захисту, пiсля чого всi процедури виконуються повторно до одержання прийнятного результату.

На пiдставi визначених завдань i функцiй ІТС, результатiв аналiзу ii середовищ функцiонування, моделей загроз i порушникiв та результатiв аналiзу ризикiв визначаються компоненти ІТС (наприклад, ЛОМ, спецiалiзований АРМ, Інтернет-вузол тощо), для яких необхiдно або доцiльно розробляти своi власнi полiтики безпеки, вiдмiннi вiд загальноi полiтики безпеки в ІТС.

Визначаються загальна структура та склад КСЗІ, вимоги до можливих заходiв, методiв та засобiв захисту iнформацii, обмеження щодо середовищ функцiонування ІТС та використання ii ресурсiв для реалiзацii завдань захисту, припустимi витрати на створення КСЗІ, умови створення, введення в дiю i функцiонування КСЗІ (окремих ii пiдсистем, компонентiв), загальнi вимоги до застосування в ІТС (окремих ii пiдсистемах, компонентах) органiзацiйних, технiчних, криптографiчних та iнших заходiв захисту iнформацii, що ввiйдуть до складу КСЗІ.

Для ІТС формуеться перелiк необхiдних функцiональних послуг захисту (далi – ФПЗ) вiд НСД та вимог до рiвнiв реалiзацii кожноi з них, визначаеться рiвень гарантiй реалiзацii послуг. Визначенi вимоги складають профiль захищеностi iнформацii в ІТС або ii компонентi.