Лекция 7. Технологическое построение комплексной системы защиты информации

7.1. Технологическое построение организационной системы КСЗИ

Система защиты информации характеризуется боль­шим числом взаимодействующих между собой средств и многофункциональным характером решаемых с ее помо­щью задач.

Чтобы такая сложная система эффективно функциони­ровала, необходимо рассмотреть целый комплекс вопросов еще на стадии ее создания.

Для решения сложных проблем (экономических, со­циальных, политических, научных, технических), стоящих перед обществом, требуется организованная деятельность многих людей. Такая деятельность, осуществляемая в рам­ках искусственных (т. е. созданных человеком) формиро­ваний, называется организационными системами (ОС).

Понятие «организация» относятся к числу ведущих категорий организационной науки. Организация (от лат. organizo — сообщаю, устраиваю) может быть определена как разновидность социальных систем, объединение лю­дей, совместно реализующих некоторую общую цель и действующих на основе определенных принципов и пра­вил. Организация — это элемент общественной системы, самая распространенная форма человеческой общности, первичная ячейка социума. Она не существует без обще­ства, и общество не может существовать без организаций, которые оно ради своего существования и создает. Орга­низация — объект и субъект общества. Но, будучи само­стоятельной подсистемой общества, организация имеет специфические потребности, интересы, ценности, предлагает обществу продукты своей деятельности, свои услуги и предъявляет обществу определенные требования.

В значительной мере и индивидуальное, и групповое поведение людей определяется их включенностью в орга­низации. Особенно значима роль организаций в регулиро­вании совместной деятельности людей.

Решение сложных социально-экономических проблем требует скоординированных усилий многих людей и зна­чительных затрат ресурсов. Кроме того, нужны знания (ин­формация), без которых невозможно определить, какие средства и сколько их необходимо выделить для решения проблемы. При наличии необходимых знаний и средств (ресурсов) для решения проблем разрабатывают комп­лекс мероприятий, реализация которых должна приводить к желаемому результату. В условиях ограниченности зна­ний и средств на решение проблемы ее разбивают на час­ти (если это возможно) и решают по частям или поэтапно, постепенно приближаясь к цели. Для реализации намечен­ных мероприятий могут быть подготовлены специальное постановление, приказ, договор либо разрабатывается це­левая комплексная программа. Если намеченный комплекс мероприятий невозможно реализовать с помощью указан­ных средств, для решения проблемы создается организаци­онная система ОС (рис.7.1.).

Организационной системой называется такая система, структурными элементами которой являются люди, осуществляющие преобразование ресурсов этой системы. Как правило, организационные системы — это сложные многоуровневые системы, состоящие из множества взаимодействующих элементов и подсистем. Характерной особенностью организационной системы, отличающей ее от систем другого типа, например от технических систем, является то, что каждый элемент организационной системы принимает решение по организации действий, т. е. является решающим элементом. Некоторые из них принимают решения по организации только своих собственных действий — это исполнительные элементы. Элементы, принимающие решения по организации не только своих собственных действий, но и действий некоторых других элементов, объединенных или не объединенных в коллективы или организации,— это руководящие элементы системы.

Постановления,

приказы, планы

договоры

Целевые

Проблема Знания Ресурсы комплексные

программы

Организационные

системы

Рис 7.1. Проблема и средства ее решения

Основным элементом любой организационной системы (ОС) являются люди, условно разбиваемые на организаторов и исполнителей. Работа организаторов есть управление и контроль над исполнением; работа исполнителей — физическое воздействие на объекты труда. Множество исполнителей с их орудиями труда образует объект управления (ОУ), множество организаторов (управленцев) вместе с информацией, техникой, специалистами и обслуживающим персоналом — субъект управления (СУ).

Четкую границу между ОУ и СУ провести невозможно, поскольку исполнительская деятельность немыслима без управленческой, а последняя без исполнительской бессмысленна, однако для целей построения ОС такое разделение является полезным.

С понятием ОС тесно связано понятие «деятельность», так как основная задача ОС заключается в том, чтобы координировать и осуществлять деятельность людей, направленную на решение проблемы. В связи с этим деятельность можно определить как осознанное и направленное на решение проблемы поведение людей.

Понятие «деятельность» будем относить не только к отдельному человеку или группе людей, но и к ОС в целом.

Каждая ОС выполняет множество видов деятельности (основной или обеспечивающей). Для того чтобы скоординировать различные виды деятельности с целью удовлетворения некоторой общественной потребности (проблемы), как правило, требуется установить информационные и деловые связи с ОС, осуществляющими эту деятельность. Например, для выпуска автомобилей автозавод должен получать необходимые комплектующие изделия (двигатели, карбюраторы, шины и др.) от поставщиков, с которыми он заключает договоры на поставку. Договорные отношения могут дополняться другими видами соглашений между участниками решения проблемы. Однако когда участников (исполнителей) становится много (например, для авиационных заводов число поставщиков достигает нескольких тысяч) и связи между ними имеют сложный характер, для координации их деятельности недостаточно взаимной информации и доброй воли (хотя это обязательное условие координации), а необходим еще и координатор (или орган управления), своевременно информируемый обо всех нарушениях и уполномоченный принимать решения, направленные на обеспечение слаженной работы всех исполнительских элементов ОС. Образно говоря, координатора можно сравнить с дирижером оркестра. При этом оркестр может рассматриваться как ОС, дирижер — как СУ, а множество исполнителей— как ОУ. Принципиальная схема ОС приведена на рис 7.2.

Субъект

управления СУ ОУ

(СУ)

Объект

управления Обеспечивающие

(ОУ) подсистемы

Рис 7.2. Принципиальная рис 7.3. ОС с обеспечивающими

схема ОС. подсистемами.

Наряду с СУ и ОУ в ОС могут включаться обеспечивающие подсистемы, выполняющие вспомогательную деятельность: снабжение, ремонт, информационное обслуживание, энергообеспечение и др. (рис 7.3.).

7.2. Структура организационной системы предприятия

По организационной структуре все предприятия в зависимости от размеров, сложности управления, вида деятельности (серийное, многофункциональное, индивидуальный тип производства и др.) в основном делятся на пять типов.

Каждая ОС построена по иерархическому принципу.

1. Линейная организационная структура

P

Рис 7.4. Линейная структура

Здесь каждый исполнитель (U) подчиняется только одному руководителю (Р) по всем вопросам своей деятельности. Данная организационная структура может применяться на небольших предприятиях, с небольшим штатом сотрудников защиты информации. На предприятиях с массовым типом производства, функциональные обязанности этой службы, как правило, связаны с выполнением одной-двух функций.

Положительные черты: структура проста, легка в управлении.

Недостатки: данная структура не может выполнять много функций, не вписывается в крупные предприятия, возможности структуры ограничены.

Кроме того, у линейных структур существует сильная зависимость результатов работы всей организационной структуры от качества принятых решений первого руководителя Р, т.е. здесь принцип единоначалия (как в армии).

2. Функциональная организационная структура

Она в какой-то мере решает недостаток линейной структуры.

Рис 7.5. Функциональная структура

Каждый исполнитель (U) подчиняется нескольким функциональным руководителям (ФР) одновременно, причем каждому по строго определенным вопросам. При функциональной организационной структуре начинается деление подразделений на элементы, которые имеют свои цели и задачи и разделяются по функциональному признаку.

При этой структуре необходимые руководящие указания более квалифицированны. Можно реализовать разные функции защиты информации. Такая структура обладает большими возможностями, а также выполняет комплексную защиту информации.

Но здесь нарушается принцип единоначалия.

Недостаток - сложность в управлении.

Применяется на средних предприятиях, при серийном типе производства.

3. Линейно-функциональная структура

Она объединяет предыдущие две структуры. Используется на средних и крупных предприятиях, многосерийных и многофункциональных. Когда предприятие не только производит, но и разрабатывает.

Преимущества - двойная подчиненность, т.е. при решении разных задач, разные объекты

подчиняются разным руководителям

Недостатки - структура сложна в управлении Здесь один объект должен решать несколько задач.

4. Линейно-штабная структура

Рис 7.6. Линейно-штабная структура

Эта структура, как правило, используется (применяется) в крупных компаниях с дочерними предприятиями, типа холдинг и т.п.

Здесь в каждом звене управления создаются штабы (советы, отделы, лаборатории), в которых имеются специалисты по отдельным важным вопросам. Штабы (Ш) подготавливают квалифицированные решения, но утверждает и затем передает их на нижние уровни линейный руководитель (; )

5.Программно-целевая или матричная организационная структура

Руководитель

программы А

Руководитель

программы В

Рис 7.7. Программно – целевая структура

Наряду с органами, осуществляющими управление по вертикали, создаются дополнительные органы, призванные обеспечивать управление по горизонтали.

Как правило, используется на предприятиях с индивидуальным типом производства, на крупных и многофункциональных предприятиях.

Преимущества - мобильность данной структуры. Можно решать разные задачи в разных условиях.

7.3. Общее содержание работ по проектированию КСЗИ

Под проектированием КСЗИ будем понимать процесс разработки и внедрения проекта организационной и функциональной структуры системы защиты, использование возможностей существующих методов и средств защиты с целью обеспечения надежного функционирования объекта (предприятия) в современных условиях.

Поскольку форма производственных отношений всегда соответствует конкретной социально-экономической обстановке, процессы защиты должны рассматриваться с учетом этих условий.

Поскольку процессы защиты находятся во взаимосвязи и взаимодействии, при их исследовании в проектировании обязателен комплексный подход, требующий исследования и учета внешних и внутренних отношений всей совокупности потенциальных угроз.

И наконец, системный подход — это принцип рассмотрения проекта, при котором анализируется система в целом, а не ее отдельные части. Его задачей является оптимизация всей системы в совокупности, а не улучшение эффективности отдельных частей. Это объясняется тем, что, как показывает практика, улучшение одних параметров часто приводит к ухудшению других, поэтому необходимо стараться обеспечить баланс противоречивых требований и характеристик.

Для каждой системы должна быть сформулирована цель, к которой она стремится. Эта цель может быть описана как назначение системы, как ее функция. Чем точнее и конкретнее указано назначение или перечислены функции системы, тем быстрее и правильнее можно выбрать лучший вариант ее построения.

Так, например, цель, сформулированная в самом общем виде как обеспечение безопасности объекта, заставит рассматривать варианты создания глобальной системы защиты. Если уточнить ее, определив, например, как обеспечение безопасности информации, передаваемой по каналам связи внутри здания, то круг возможных технических решений существенно сузится.

Следует иметь в виду, что, как правило, глобальная цель достигается через достижение множества менее общих локальных целей (подцелей). Построение такого «дерева целей» значительно облегчает, ускоряет и удешевляет процесс создания системы.

В зависимости от полноты перечня вопросов, подлежащих исследованию, проектные работы представляются в виде разработки комплексного или локального проекта.

Комплексное проектирование — это проектирование организации и технологии всего комплекса или большего числа мероприятий по ЗИ.

При локальном проектировании осуществляется проектирование отдельной подсистемы КСЗИ.

Перечень направлений комплексного проектирования определяется в зависимости от нужд конкретного предприятия и поставленных перед проектом задач и условий. Со-ответственно, при локальном проектировании круг задач сужается и проект может быть ограничен разработками по одному из направлений. Но локальные проекты должны осуществляться как части комплексного проекта, последовательно реализуемые в ходе работы. Иначе внедрение проекта может привести к отрицательным результатам. Можно выделить также индивидуальное и типовое проектирование. Индивидуальное представляет собой разработку проекта для какого-нибудь конкретного предприятия, с учетом его специфических особенностей, условий и требований.

Типовые проекты преследуют цель унификации и стандартизации процессов защиты на различных предприятиях.

7.4. Основные стадии проектирования КСЗИ

Наилучшие результаты при создании систем любого уровня сложности достигаются, как правило, тогда, когда этот процесс четко разделяется на отдельные этапы, резуль­таты которых фиксируются, обсуждаются и официально ут­верждаются. Рекомендуется выделять следующие этапы:

— на предпроектной стадии:

1) разработка технико-экономического обоснования;

2) разработка технического задания;

— на стадии проектирования:

1) разработка технического проекта;

2) разработка рабочего проекта;

— на стадии ввода в эксплуатацию:

1) ввод в действие отдельных элементов системы;

2) комплексная стыковка элементов системы;

3) опытная эксплуатация;

4) приемочные испытания и сдача в эксплуатацию. Поскольку системы обеспечения безопасности имеют определенную специфику по сравнению с другими систе­мами, содержание некоторых этапов может отличаться от рекомендованного. Тем не менее общая концепция сохра­няется неизменной. Рассмотрим последовательность вы­полняемых работ.

Разработка технико-экономического обоснования. На этом этапе анализируется деятельность объекта, готовят­ся исходные данные для технико-экономического обосно­вания (ТЭО) и готовятся ТЭО. Главное на этом этапе — обоснование целесообразности и необходимости создания системы защиты, ориентировочный выбор защищаемых каналов, определение объемов и состава работ по созданию системы защиты, сметы и сроков их выполнения.

Технико-экономическое обоснование должно согласо­вываться со всеми организациями и службами, ответствен­ными за обеспечение безопасности, и утверждаться лицом, принимающим решения.

Разработка технического задания. Основная цель это­го этапа — разработка и обоснование требований к струк­туре системы защиты и обеспечение совместимости и вза­имодействия всех средств. Главное на этом этапе — сбор и подготовка исходных данных, определение состава систе­мы, плана ее создания и оценка затрат. Разработка техни­ческого задания начинается после утверждения ТЭО.

Разработка технического проекта. На этом этапе разрабатываются и обосновываются все проектные решения: разработан и обоснован выбранный вариант проекта; уточ­нены перечни технических средств, порядок и сроки их поставки. В техническом проекте могут рассматриваться 2-3 варианта решения поставленной задачи по созданию системы защиты. Все варианты должны сопровождаться расчетом эффективности, на основе которого могут быть сделаны выводы о рациональном варианте.

При создании системы защиты небольшого или про­стого объекта этап технического проектирования может быть исключен.

Разработка рабочего проекта имеет своей целью детализировать проектные решения, принятые на предыдущем этапе. В частности:

— определяется и фиксируется регламент взаимодейс­твия отдельных служб и составляющих системы обеспече­ния безопасности;

— составляются технологические и должностные инс­трукции персонала;

— разрабатывается рабочая документация.

В состав рабочей документации входят: спецификация оборудования и материалов, схемы размещения техничес­ких средств системы защиты (охранно-пожарной сигна­лизации, охранного телевидения, охранного освещения и т. п.), схемы прокладки кабельной связи системы защиты, схемы прокладки электропитания системы защиты.

Каждая система защиты уникальна, поэтому докумен­тация, как правило, строго индивидуальна и зависит не только от типа и размера объекта защиты, но и от возмож­ностей и опыта заказчика, который будет ее эксплуатиро­вать.

Поскольку документация содержит конфиденциаль­ные сведения, круг лиц, допущенных к ознакомлению и ра­боте с ней, должен быть ограничен.

Ввод в эксплуатацию — это стадия создания системы защиты, состоящая из нескольких этапов (см. выше). На практике при создании систем защиты границы между этими этапами размыты. Состав выполняемых работ следующий:

— комплектация технического обеспечения системы;

— монтажные или строительно-монтажные работы и пуско-наладочные работы;

— обучение персонала (предварительно должны быть укомплектованы все службы системы обеспечения безо­пасности с учетом требуемой квалификации);

—опытная эксплуатация компонентов и системы в це­лом:

— приемочные испытания и приемка системы в экс­плуатацию.

Все эти работы начинаются только после утверждения всех документов и выделения финансовых средств. Разра­ботчик системы защиты проводит техническое и коммер­ческое сравнение всех предложений от конкурирующих фирм-изготовителей защитного оборудования, после чего выбирает поставщика, заключает договор на поставку обо­рудования и оплачивает его.

При получении оборудования желательно сразу прово­дить его проверку на соответствие сопроводительным доку­ментам и техническим условиям, а также (если это возмож­но) проверку работоспособности в условиях эксплуатации.

Все работы по монтажу и отладке системы защиты должны выполнять специалисты. Силами заказчика можно выполнять только специфические и небольшие по трудо­затратам работы такие, как, например установка скрытого теленаблюдения, перенос датчиков охранной сигнализа­ции, ремонт системы радиосвязи и т. п.

Желательно, чтобы в монтаже и настройке защитных систем участвовали те сотрудники службы охраны объек­та, которые будут их эксплуатировать.

После окончания работ и испытаний необходимо уточ­нить все вопросы гарантийного и послегарантийного об­служивания системы защиты.

В разработке системы могут принимать участие не­сколько групп разработчиков, каждая из которых объеди­няет специалистов определенного профиля. Так, например, в разработке проектных решений в зависимости от стадии проектирования, особенностей объекта и видов защиты мо­гут участвовать специалисты по охранно-пожарной сигна­лизации и охранному телевидению, системам связи и ком­муникациям, общестроительным и монтажным работам и т.п. Поэтому важнейшая задача организации создания сис­темы безопасности состоит в четком распределении функ­ций и в согласовании выполняемых работ. Практика пока­зывает, что основной причиной плохих разработок является отсутствие единого руководства, единого координацион­ного плана и неудовлетворительная организация контроля и управления ходом разработки со стороны заказчика.

7.5. Факторы, влияющие на выбор состава КСЗИ

Идеология разрабатываемой системы, стратегические вопросы ее функционирования должны быть согласованы и утверждены высшим руководством заказчика.