Как решают проблемы обеспечения безопасности работников с позиций системного подхода

Обновлено: 18.05.2024

Основополагающим методологическим принципом исследования проблем безопасности является принцип системности. В его основе лежит соотношение целого и части. Целое по своим основным характеристикам не тождественно сумме составляющих частей, т.к. обладает новым качеством, отсутствующим в частях и возникающим в результате их взаимодействия. При этом часть, в свою очередь, обладает относительной самостоятельностью и может рассматриваться как целое со своими частями, но уже меньшего масштаба.

Иначе говоря, каждая часть оказывает определенное влияние на сущность целого и его развитие. С одной стороны, любое явление в сфере безопасности надо изучать как целое, относительно самостоятельное и включающее ряд явлений меньшего масштаба. С другой – само оно есть часть большего явления, испытывает его влияние и на него воздействует. Новое качество целого в сравнении с обычной суммой его частей возникает благодаря структуре, представляющей способ сочетания и взаимосвязи компонентов, в него входящих. Структура и организация в совокупности создают стройную систему связей и отношений между всеми элементами, делая их цельным и мощным организмом, предназначенным для выполнения главной задачи.

Таким образом, каждое явление процесса обеспечения безопасности должно изучаться как определенная система составляющих его элементов, как единство взаимосвязанных и взаимодействующих предметов, процессов, отношений.

Система

БЕЗОПАСНОСТИ

Субъект–

Рис. 2. Обобщенное представление целого:

Под объектом здесь подразумевается любая система, в том числе планету, страну, личность, технические средства, сооружения, элементы природной среды, т.е. все, что необходимо для обеспечения безопасности человека в самом широком смысле слова и что может подвергаться негативному воздействию различного характера.

Соотношение части и целого изучаются общенаучными методами анализа и синтеза. Анализ– это процесс расчленения исследуемого события, явления на составные части, элементы, признаки, противоположности и изучение их с целью раскрытия сущности.Синтезпредставляет собой процесс установления связей между выделенными элементами, признаками, противоположностями, соединение их и воспроизведение используемого события в его существенных признаках и отношениях. Анализ и синтез – это противоположно направленные (первый – от целого к части, второе – от частей к целому) и вместе с тем неразрывно связанные способы познания.

Системный подход позволяет представить объект исследования с макро-. микро- и мезопозиций. Примакроподходе объект защиты рассматривается как единое целое (система безопасности в единстве всех составляющих ее элементов). Это означает, что его внутреннее устройство, внутренние связи не рассматриваются, а исследуются только входы и выходы и их взаимная зависимость. Примикроподходеобъект защиты рассматривается как бы изнутри, используются внутренняя структура и связи его элементов (анализ отдельных элементов системы безопасности – политической, экономической, социальной и т.д.).Мезоподходпозволяет рассматривать любой объект защиты на уровне сложной системы с большим количеством связей как внутренних, так и внешних (исследование каждого элемента системы безопасности как самостоятельной системы – политической, зкономической, социальной, экологической и т.д.).

Системный подход вообще заключается в том, что, поскольку все компоненты и процессы в системе широко и тесно взаимосвязаны, их нельзя рассматривать независимо друг от друга. Изменение любого фактора, любого параметра вызывает изменение (мгновенное, вскоре или через достаточно длительное время) других переменных в системе. Более того, состояние других переменных может меняться не сразу и не скачком, а постепенно, эволюционно. Так как изменения будут происходить в разное время, то и система будет меняться по-разному, в зависимости от времени.

Принцип системности дополняется другим методологическим принципом изучения проблем безопасности – взаимосвязи и взаимозависимости. Суть его заключается в том, что мир, в котором живет человек, представляет собой единое целое. Все его части неразрывно связаны между собой. Ни в природе, ни в общественной жизни нет абсолютно изолированных явлений и предметов. Объективное существование всеобщей взаимосвязи явлений и процессов действительности, как и взаимодействие всех их сторон, обусловливаются именно этими связями.

В исследовании проблем безопасности широко применяется также и принцип определяющих факторов, который состоит в выделении существенных связей и отношений, оказывающие решающее влияние на состояние безопасности. Этот принцип позволяет отсеять второстепенные воздействия, не оказывающие значительного влияния на функционирование тех или иных исследуемых систем.

Сама жизнедеятельность человеческого сообщества ставит вопрос о создания системы безопасностиадекватной характеру и уровню угроз и опасностей, под которой подразумевается специально созданная совокупность правовых норм, законодательных и исполнительных органов, а также направлений, методов и средств их деятельности, обеспечивающих надежную безопасность всей совокупности объектов жизнедеятельности социума.

Зарубежный и отечественный опыт изучения проблем безопасности позволяет сделать следующие обобщения 14 .

Обеспечение безопасности не может быть одноразовым актом. Это непрерывный процесс, заключающийся в обосновании и реализации наиболее оптимальных путей, методов, способов развития и совершенствования системы безопасности, непрерывном контроле и выявлении реальных и потенциальных угроз и опасностей.

Безопасность может быть обеспечена лишь при комплексном использовании всего арсенала имеющихся сил и средств. Наибольший эффект достигается тогда, когда все используемые силы, средства и методы объединяются в единый, целостный механизм – систему обеспечения безопасности.

Никакая система безопасности не может обеспечить требуемого уровня защищенности без надлежащей подготовки и обеспеченности необходимыми силами и средствами, без участия соответствующих органов управления и необходимых правовых, организационных и технических мер.

Стратегическая цель обеспечения безопасного и стабильного развития социума требует видеть одновременно и в комплексе все угрозы безопасности. При таком концептуальном подходе основной целью безопасности является поддержание динамичной стабильности социума, т.е. предсказуемого, контролируемого хода основных процессов его жизнедеятельности, для обеспечения такого сочетания внутренних и внешний условий, которое было бы максимально благоприятным для эволюционного развития человеческой цивилизации.

Социум, рассматриваемый как система, представляет собой множество сложных, развивающихся по своим законам различных и противоречивых процессов и структур, причем для каждого из них есть свое место, все они оказываются необходимыми для функционирования системы в целом и обеспечения ее устойчивости и безопасности.

Каждая отдельная система обладает комплексом свойств, регулирующих ее поведение таким образом, чтобы в условиях динамичных изменений внешней среды и собственной внутренней структуры была бы обеспечена ее устойчивость и безопасность. Если этого нет, система утрачивает свои системообразующие свойства. Ее целостность нарушается. Это касается и человека (личности), общества и государства, которые также могут быть представлены как социальные системы, дифференциация которых связана с решением конкретных вопросов, а выделение их элементов определяется наличием социальной стратификации особых политических, экономических, экологических и других систем, различных институтов, играющих в жизни общества определенную роль 15 .

В этом контексте крайне важно определиться с безопасностью как функцией социальной системы, содержание которой определяется как цель, способ и условие ее существования. Безопасное и устойчивое развитие системы при этом рассматривается как особая форма движения, характеризующаяся такими категориями, имеющими философский статус, как количество (число, величина, численная определенность), качество (целостная нерасчлененная определенность предметов и явлений), структура (целостность, качественное отличие от составляющих ее элементов). Структура теснейшим образом связана с количеством и особенно с качеством. Изменение качества предметов во всех случаях связано с перестройкой структуры составляющих их элементов. Развитие же рассматривается как совокупное изменение во взаимосвязи количественных, качественных и структурных параметров в системе.

Количественные изменения – это увеличение или уменьшение составных частей данного целого, выражаемое увеличениями или уменьшениями их числовых значений, приводящих на определенных этапах своего изменения к качественному скачку. Структурные изменения – это изменения взаимоотношения составных частей, которые совсем необязательно должны сопровождаться увеличением или уменьшением их числа. Они также могут приводить к качественному скачку.

Для развивающихся систем характерны как устойчивость структуры, так и потеря ее устойчивости, разрушение одной структуры, потерявшей устойчивость, и создание другой, устойчивой, структуры, что является проявлением одного из законов диалектики – перехода количественных изменений в качественные.

Таким образом, процесс развития можно представить как последовательность циклов эволюционного изменения состояний внутри цикла со скачкообразным переходом состояния в конце цикла на новый качественный уровень, означающий начало нового цикла развития.

Следствием такого циклического развития является невозможность перехода от новообразованной структуры к старой разрушенной структуре, т.е. его необратимость, которая так же как устойчивость и потеря устойчивости –атрибут любой развивающейся системы.

Как свидетельствует общественная практика, слишком устойчивая система к развитию не способна, ибо она подавляет любые отклонения от своего гиперустойчивого состояния. Для перехода в качественно новое состояние система обязательно должна в какой-то момент оказаться неустойчивой.

Вместе с тем и перманентная неустойчивость – другая крайность, крайне вредная для развивающейся системы, как и гиперустойчивость, так как она исключает запоминание и закрепление в системе характеристик, полезных для взаимодействия с внешней средой, т.е. того, что определяет устойчивую структуру системы. В модели развивающейся системы и должны быть отражены объективные соотношения между устойчивостью системы и ее неустойчивостью, порождающей необходимые изменения, т.е. процесс развития.

В конечном итоге, все действия, направленные на обеспечение безопасности, самым непосредственным образом связаны с обеспечением стабильности социума, под которой понимается свойство системы, позволяющее ей сохранять свои базовые, качественные характеристики и основные тенденции устойчивого и безопасного развития. Иными словами, это состояние системы, где не по отдельности, а в совокупности проявляются следующие факторы:

- динамика всех жизненных процессов, остановить которую невозможно, которая не искажена экстремальностью внешних и внутренних условий жизни, особенно создаваемой искусственно;

- предсказуемость наиболее существенных, принципиальных параметров в состоянии системы, направлений и тенденций ее эволюции и развития;

- возможность рационально, практически и эффективно реагировать на перемены, вызываемые жизнью, особенно на потенциально наиболее угрожающие или нежелательные из них.

При этом наиболее важен именно последний фактор, так как угроза существенно снижается, если человек в принципе к ней готов и в состоянии ее парировать. Иначе говоря, категория стабильности непосредственно соприкасается с понятием и явлением безопасности как объективного состояния и субъективного восприятия некоей данности.

выявление и прогнозирование внутренних и внешних угроз жизненно важным интересам объектов безопасности, осуществление комплекса оперативных и долговременных мер по их предупреждению и нейтрализации;

создание и поддержание в готовности сил и средств обеспечения безопасности;

управление силами и средствами обеспечения безопасности в повседневных условиях и при чрезвычайных ситуациях;

осуществление системы мер по восстановлению нормального функционирования объектов безопасности в регионах, пострадавших в результате возникновения чрезвычайных ситуаций и стихийных бедствий;

участие в мероприятиях по обеспечению безопасности за пределами государства в соответствии с международными договорами и соглашениями.

Важной особенностью безопасности является и то, что она выступает для любой развивающейся системы характеристикой также системной. Как уже отмечалось, угроз и опасностей самого разнообразного характера имеется множество, а безопасность – это одна, единая, целостная характеристика. Общепринятое искусственное дробление безопасности системы на отдельные виды и формы является лишь методическим приемом, способом моделирования реальных процессов, позволяющим рассмотреть эту сложную проблему во всем ее многообразии. И не случайно в Законе РФ, как объектами, так и субъектами безопасности определяются личность, общество и государство, т.е. социум, а не экономика, политика, экология, техносфера, природа и т.д.

В Концепции национальной безопасности РФ системообразующие сферы, в которых должна осуществляться деятельность, направленная на обеспечение безопасности социума, так и определяются – экономическая (внутренняя и внешняя), социальная, духовная, международная, информационная, военная и экологическая сферы безопасности. Сюда же включаются и опасности, связанные с терроризмом и криминализацией общественных отношений.

Необходимо подчеркнуть, что сфера обеспечения безопасности социума и сегодня остается одним из слабо разработанных направлений научного исследования, что требует особого внимания к выбору эффективных системных методов его анализа. С этих позиций проблему следует рассматривать в нескольких аспектах.

Во-первых, как деятельность конкретных социальных субъектов, сферу отношений, возникающих между этими субъектами, сферу, в которой функционирует и развивается общественное, групповое и индивидуальное сознание.

Во-вторых, как предмет научного познания, ибо исследовать сущность, закономерности развития и особенности функционирования этого сложного социального явления можно лишь с помощью теоретического анализа. Однако сам этот анализ, чтобы быть достоверным, должен опираться на практический материал, поставляемый эмпирическим уровнем сознания.

В-третьих, как системный анализ с позиций политики, экономики, социальных отношений, права, морали, экологии, что позволяет представить данный процесс как социальное явление, направленное на защиту всех компонентов социума – на поддержание политической власти, стабильности государства, экономической системы, общественных отношений, интересов больших социальных общностей и отдельного человека.

В целом, при исследовании проблем безопасности должна быть использована вся совокупность этих подходов, Лишь в этом случае можно говорить о всестороннем и целостном анализе этой актуальной научной и практической задачи.

Как уже отмечалось, системный подход является одним из наиболее эффективных методов исследования систем различного рода, представляющий собой направление методологии научного познания и социальной практики, в основе которого лежит рассмотрение объектов как систем. Он ориентирует исследователей на изучение целостности объекта, выявление многообразных типов связей в нем и сведение их в единую теоретическую картину.

Сущность системного подхода при исследовании проблем обеспечения безопасности заключается, прежде всего, в том, что деятельность социума в этой сфере рассматривается как открытая динамическая система в совокупности ее важнейших внутренних и внешних взаимосвязей в целях нахождения путей оптимизации этой системы. Поскольку социум является как объектом, так и субъектом обеспечения безопасности, то его компоненты (личность, общество и государство) объединяются при решении стоящих перед ними задач по достижению конкретных целей и направляют совместные усилия на получение нужного результата. Эта цель определяет все взаимоотношения между компонентами системы, ее структуру и функции, а также конкретные задачи управления, связанные с поддержанием безопасности на определенном уровне или изменением ее состояния. Узловым при этом является фундаментальное положение об единстве и неразрывности экономической, социальной и экологической среды обитания социума. Следствием такого подхода является тесная связь социально-экономической, политической, правовой и других систем со средой обитания.

Обобщенная схема системного разрешения проблем обеспечения безопасности социума можно представить в виде трех базовых элементов:

Исходя из этой схемы, алгоритм действий по обеспечению безопасности социума можно представить следующим образом:

Изучение сложных и жизненно важных проблем безопасности в новой эпохе, должно основываться на качественном анализе, для чего целесообразно применить широко практикуемый в науке системный подход. При системном подходе явления, лежащие в основе проблем, рассматриваются как процессы, протекающие в определённых системах, состоящих из компонентов.

Понятие система обозначает:

- наличие определенных взаимосвязей между компонентами, совокупно составляющими систему;

- наличие свойств и процессов, присущих именно взаимосвязанной совокупности данных компонентов.

При решении задач безопасности тот компонент системы, защищённость которого рассматривается в анализе, называют объектом безопасности. Активный компонент, обеспечивающий с помощью действий безопасность объекта (меры безопасности), называют субъектом безопасности.

Как упоминалось, многообразная действительность познаётся и отражается в нашем сознании и в наших носителях информации не полностью. Поэтому очень важным является понятие модель.

Модель системы - схематичное отображение выбранной области действительности для анализа, сохраняющее её основные особенности и отбрасывающее те, которые для решения проблемы несущественны.

Упрощённая схема-модель используется для изучения основных закономерностей процессов в системе. Известны модели двух типов: модели физические (предметные) и модели идеальные (мысленные). Наибольшее применение имеют сегодня модели идеальные, к которым относятся вербальные (словесные), графические и математические модели.

Определяющее значение имеют допущения (предварительное разделение особенностей системы на важные и несущественные), используемые при составлении модели. Разработка допущений и составление модели основывается либо на имеющемся опыте, либо на интуиции исследователя. В любом случае, перед использованием результатов моделирования на практике, соответствие допущений поставленным задачам проверяется экспериментом.

Комплекс объектов безопасности

- биосфера (с человечеством как своим компонентом в космической среде).

На схеме (см. рис.) отображены объекты безопасности, соответствующие анализируемым в данном пособии уровням систем: индивидуальному (сюда отнесен и групповой уровень, исходя из того соображения, что группа, как и индивид, не преобразует окружающую среду вне более крупных объединений), профессиональному, национальному и глобальному.

Отметим, что системы высшего уровня, большие масштабами, чем биосфера, серьёзно рассматривать мы пока что не можем - вследствие недостаточности наших знаний и того, что влияние человечества на состояние систем космических масштабов пока практически отсутствует. Воздействие сфер Космоса на системы с объектами безопасности может учитываться как реакция окружающей среды.

Системы для анализа безопасности

До наступления новой эпохи проблемы безопасности рассматривались в рамках социальных и техногенных вопросов. Вся природа считалась окружающей средой, независимой от деятельности сообществ и процессов в изучаемых системах.

Сегодня та часть природы, которая изменяется процессом жизнедеятельности сообществ и определяет условия жизни (а это биосфера и её экологические ареалы), во многих задачах безопасности уже не может считаться независимой окружающей средой, а должна быть включена в анализируемую систему как компонент. Это не означает, что при решении любых задач безопасности нужно учитывать природные компоненты. Например, решая задачи обеспечения безопасности фирмы (профессионального коллектива) от конкурентов и преступников, можно о взаимодействии с окружающей природной средой не беспокоиться, но нужно учитывать, скажем, появление зимой снежных валов вблизи защитной ограды фирмы. В то же время, решая задачи производства, нельзя исключать вопросы экологии – вроде сбросов вредных отходов в соседнюю речку.

При разработке модели анализируемой системы безопасности необходимо учитывать все компоненты, изменяющиеся в исследуемом процессе.

Системы для исследования проблем безопасности характеризуются следующими общими особенностями:

· компонентов, изменяющихся в исследуемом процессе и влияющих на него, много;

· объектами и субъектами безопасности являются личность и сообщества различных уровней;

· окружающую среду с постоянными угрозами представляют не изменяющиеся при исследуемом процессе природные, техногенные, социальные составляющие;

· мерами безопасности могут служить действия субъектов в сложившихся опасных и чрезвычайных ситуациях (защита), принципы и характер повседневной жизнедеятельности субъектов (предотвращение).

Выбор для конкретного анализа одного из уровней структуры и связей его с другими уровнями зависит от решаемой задачи. Выбранная система дoлжнa привести к решению поставленной задачи, не усложняя его излишне, но и не упуская из вида её современных особенностей, возникающих вследствие взаимосвязей между уровнями.

Примечательно, что если анализ проблем верхних уровней структуры может проводиться без учёта процессов в нижних уровнях (судьба одного человека не влияет на судьбу народа или человечества), то обратная картина сегодня недопустима. При анализе проблемы безопасности индивида нельзя игнорировать проблемы национальной и глобальной безопасности и т.п.; система, выбранная для анализа, должна в той или иной мере включать в себя взаимосвязи с верхними уровнями общей структуры.

Задачи безопасности встают ежедневно перед каждым человеком, каждый человек, становясь работником, должен знать и рассчитывать возможные последствия своих действий, преобразующих среду, чётко представляя себе все процессы в системах с сообществами всех уровней. Вступая в созидательную (или разрушительную?) жизнедеятельность, надо научиться рассматривать себя как субъекта безопасности. Знания каждого человека, необходимые в настоящее время для обеспечения безопасности, должны базироваться на чётких представлениях о процессах, протекающих в сложных системах, включающих большое число природных, социальных, техногенных компонентов, и на осознании своей личной ответственности за результаты своей жизнедеятельности.

Проблемы безопасности объектов следующих уровней отдельными людьми и коллективами непосредственно не решаются, однако, при решении всех задач низших уровней (личных, групповых, профессиональных) их необходимо знать и руководствоваться в своей повседневной жизнедеятельности выработанными обществом мерами безопасности. Важно, чтобы знанием проблем и необходимых мер безопасности общества в новой эпохе руководствовался каждый гражданин в его общественной жизни, хотя бы во время голосования при выборах политиков - лидеров общества.

Модели систем с объектом безопасности Государство (Нация) в окружающей природной, социальной и техногенной среде явно или неявно используются государственными ведомствами и общественными организациями при решении проблем национальной безопасности. Наряду с государством в таких моделях в настоящее время не могут не присутствовать в качестве объектов безопасности личность и общество (включая мировое сообщество). Подобная модель будет рассмотрена в следующей теме данного курса.

Модели систем с объектами безопасности Человечество, Биосфера разрабатываются и применяются учёными и международными организациями при анализе глобальных проблем и выработке международных мер безопасности. Такая система использовалась Д.Форрестером при анализе мировой динамики (МД).

Напомним, что Форрестер рассматривал процессы в ограниченной замкнутой системе без связей с окружающей средой. Несмотря на очевидную ограниченность постановки задачи, им были получены выводы, привлекшие к проблеме безопасности развития цивилизации внимание всей мировой общественности. Этот пример демонстрирует важность выбора оптимальной модели системы для анализа – минимум сложности при максимуме эффективности.

Намного сложнее модель системы биосфера в исследованиях Горшкова (хотя в явном виде автором она не представлена). В самом первом приближении она изображена на схеме (см. рис. Модель биосферы). В отличие от предыдущего примера, с помощью этой модели изучаются не только антропогенные процессы внутри системы, но и поведение всей системы в целом под естественным внешним воздействием окружающей её среды (Космоса – прежде всего, Солнца). В составе этой системы все компоненты поверхности нашей планеты: атмосфера, гидросфера, литосфера и живое вещество – биота (виды флоры, виды фауны и отдельно человек, преобразующий остальные компоненты системы в своих интересах). Анализ функционирования и устойчивости этой системы позволил научно обосновать взгляды на весь комплекс экологических проблем, входящих определяющим звеном в характеристику сущности новой эпохи развития человечества.

Комплекс субъектов безопасности

Проблемы безопасности характерны тем, что и объектом и субъектом безопасности, если говорить вообще, является человек. При конкретном же анализе оказывается: при том, что в основе и объектов и субъектов находится личность человека, безопасность объектов различного уровня обеспечивается, в основном, субъектами различного рода, поскольку возможности различных субъектов разные.

Решение задач безопасности низших уровней носит характер конкретных действий индивида и группы, вызванных необходимостью защиты в сложившейся опасной ситуации.

Система

БЕЗОПАСНОСТИ

Субъект–

Рис. 2. Обобщенное представление целого:

Зарубежный и отечественный опыт изучения проблем безопасности позволяет сделать следующие обобщения 14 .

создание и поддержание в готовности сил и средств обеспечения безопасности;

1. Понятие защиты информации и основные задачи защиты информации.

2. Классификация информации, хранимой в электронном виде.

3. Системный подход к обеспечению безопасности.

4. Понятие аутентификации, авторизации, аудита

5. Технология защищенного канала.

Понятие защиты информации и основные задачи защиты информации

В экономической и военных областях одной из основных проблем является защита информации.

Объективными причинами, определяющими важность проблемы защиты информации являются:

§ Высокие темпы роста парка компьютеров, находящихся в эксплуатации;

§ Широкое применение компьютеров в самых разных сферах человеческой деятельности;

§ Высокая степень концентрации информации в компьютерах;

§ Совершенствование способов доступа пользователей к ресурсам компьютеров;

§ Усложнение вычислительного процесса в компьютерах.

Учитывая эти факторы, защита информации в процессе ее сбора, хранения и обработки приобретает исключительное значение.

Под защитой информации понимается совокупность мероприятий, методов и средств, обеспечивающих решение следующих основных задач:

§ проверки целостности информации;

§ исключения несанкционированного доступа к ресурсам компьютера и хранящимся в нем программам и данным;

§ исключения несанкционированного использования хранящихся в компьютере программ.

Второе определение защиты:

Защита — предотвращение или исключение:

а) доступа к информации тем, кто не имеет соответствующего разрешения;

б) непредумышленного (но недозволенного) или умышленного разрушения или изменения этой информации.

Секретность защищает как от непредумышленных, так и от умышленных попыток получения доступа к поддающейся разрушению информации, причем по-разному в зависимости от обстоятельств. Понятия безопасности, целостности и защиты взаимосвязаны.

Целостность— способность противостоять изменениям при системных ошибках. Пользователь, накапливающий информацию, вправе ожидать, что содержимое его файлов останется неизменным несмотря на отказы аппаратных и программных средств.

Классификация информации хранимой в электронном виде

1.1. Информация, хранимая в электронном виде обычно имеет следующую классификацию:

1) По секретности:

2) По ценности:

б) ценная информация;

в) особо ценная информация.

Свойство достоверности понимается как сохранение информацией своих семантических свойств в любой момент времени от момента ввода в систему. Свойство доступности понимается как возможность пользования некоторым ресурсом КС и информацией в произвольный момент времени. Свойство целостности(связанное со свойством достоверности) подразумевает неизменность свойств информации и ресурсов в любой момент времени от момента их порождения или ввода в систему. Свойство конфиденциальностипонимается как недоступность информации или сервисов пользователей, которым априорно не задана возможность использования указанных сервисов или информации (данных). Иногда выделяют также свойство актуальности информации связанное со свойством доступности.

Системный подход к обеспечению безопасности

Построение и поддержка безопасной системы требует системного подхода. В соответствии с этим подходом прежде всего необходимо осознать весь спектр возможных угроз для конкретной системы и для каждой из этих угроз продумать тактику ее отражения. В этой борьбе можно и нужно использовать самые разноплановые средства и приемы — морально-этические и законодательные, административные и психологические, защитные возможности программных и аппаратных средств.

К морально-этическим средствам защиты можно отнести всевозможные нормы, которые сложились по мере распространения вычислительных средств в той или иной стране. Например, подобно тому, как в борьбе против пиратского копирования программ в настоящее время в основном используются меры воспитательного плана, необходимо внедрять в сознание людей аморальность всяческих покушений на нарушение конфиденциальности, целостности и доступности чужих информационных ресурсов.

Законодательные средства защиты — это законы, постановления правительства и указы президента, нормативные акты и стандарты, которыми регламентируются правила использования и обработки информации ограниченного доступа, а также вводятся меры ответственности за нарушение этих правил. Правовая регламентация деятельности в области защиты информации имеет целью защиту информации, составляющей государственную тайну, обеспечение прав потребителей на получение качественных продуктов, защиту конституционных прав граждан на сохранение личной тайны, борьбу с организованной преступностью.

Административные меры — это действия, предпринимаемые руководством предприятия или организации для обеспечения информационной безопасности. К таким мерам относят конкретные правила работы сотрудников предприятия, например режим работы сотрудников, их должностные инструкции, строго определяющие порядок работы с конфиденциальной информацией на компьютере. К административным мерам относят также правила приобретения предприятием средств безопасности. Представители администрации, которые несут ответственность за защиту информации, должны выяснить, насколько безопасным является использование продуктов, приобретенных у зарубежных поставщиков. Особенно это касается продуктов, связанных с шифрованием. В таких случаях желательно проверить наличие у продукта сертификата, выданного российскими тестирующими организациями.

Психологические меры безопасности могут играть значительную роль в укреплении безопасности системы. Пренебрежение учетом психологических моментов в неформальных процедурах, связанных с безопасностью может привести к нарушениям защиты. Рассмотрим, например, сеть предприятия, в которой работает много удаленных пользователей. Время от времени пользователи должны менять пароли (обычная практика для предотвращения их подбора). В данной системе выбор паролей осуществляет администратор. В таких условиях злоумышленник может позвонить администратору по телефону и от имени легального пользователя попробовать получить пароль. При большом количестве удаленных пользователей не исключено, что такой простой психологический прием может сработать.

Технические средства информационной безопасности реализуются программным и аппаратным обеспечением. Такие средства решают самые разнообразные задачи по защите системы, например контроль доступа, включающий процедуры аутентификации и авторизации, аудит, шифрование информации, антивирусную защиту, контроль сетевого трафика и много других задач. Технические средства безопасности могут либо встроены в программное (операционные системы и приложения) и аппаратное (компьютеры и коммуникационное оборудование) обеспечение, либо реализованы в виде отдельных продуктов, созданных специально для решения проблем безопасности.

Построение и поддержка безопасной системы требует системного подхода. В соответствии с этим подходом прежде всего необходимо осознать весь спектр возможных угроз для конкретной сети и для каждой из этих угроз продумать тактику ее отражения. В этой борьбе можно и нужно использовать самые разноплановые средства и приемы — морально-этические и законодательные, административные и психологические, защитные возможности программных и аппаратных средств сети.

К морально-этическим средствам защиты можно отнести всевозможные нормы, которые сложились по мере распространения вычислительных средств в той или иной стране. Например, подобно тому как в борьбе против пиратского копирования программ в настоящее время в основном используются меры воспитательного плана, необходимо внедрять в сознание людей аморальность всяческих покушений на нарушение конфиденциальности, целостности и доступности чужих информационных ресурсов.

Законодательные средства защиты — это законы, постановления правительства и указы президента, нормативные акты и стандарты, которыми регламентируются правила использования и обработки информации ограниченного доступа, а также вводятся меры ответственности за нарушения этих правил. Правовая регламентация деятельности в области защиты информации имеет целью защиту информации, составляющей государственную тайну, обеспечение прав потребителей на получение качественных продуктов, защиту конституционных прав граждан на сохранение личной тайны, борьбу с организованной преступностью.

Административные меры — это действия, предпринимаемые руководством предприятия или организации для обеспечения информационной безопасности. К таким мерам относятся конкретные правила работы сотрудников предприятия, например режим работы сотрудников, их должностные инструкции, строго определяющие порядок работы с конфиденциальной информацией на компьютере. К административным мерам также относятся правила приобретения предприятием средств безопасности. Представители администрации, которые несут ответственность за защиту информации, должны выяснить, насколько безопасным является использование продуктов, приобретенных у зарубежных поставщиков. Особенно это касается продуктов, связанных с шифрованием. В таких случаях желательно проверить наличие у продукта сертификата, выданного российскими тестирующими организациями.

Психологические меры безопасности могут играть значительную роль в укреплении безопасности системы. Пренебрежение учетом психологических моментов в неформальных процедурах, связанных с безопасностью, может привести к нарушениям защиты. Рассмотрим, например, сеть предприятия, в которой работает много удаленных пользователей. Время от времени пользователи должны менять пароли (обычная практика для предотвращения их подбора). В данной системе выбор паролей осуществляет администратор. В таких условиях злоумышленник может позвонить администратору по телефону и от имени легального пользователя попробовать изучить пароль. При большом количестве удаленных пользователей не исключено, что такой простой психологический прием может сработать.

Технические средства информационной безопасности реализуются программным и аппаратным обеспечением вычислительных сетей. Такие средства, называемые также службами сетевой безопасности, решают самые разнообразные задачи по защите системы, например контроль доступа, включающий процедуры аутентификации и авторизации, аудит, шифрование информации, антивирусную защиту, контроль сетевого трафика и много других задач. Технические средства безопасности могут быть либо встроены в программное (операционные системы и приложения) и аппаратное (компьютеры и коммуникационное оборудование) обеспечение сети, либо реализованы в виде отдельных продуктов, созданных специально для решения проблем безопасности.

Политика безопасности

Важность и сложность проблемы обеспечения безопасности требует выработки политики информационной безопасности, которая подразумевает ответы на следующие вопросы:

□ Какую информацию защищать?

□ Какой ущерб понесет предприятие при потере или при раскрытии тех или иных данных?

□ Кто или что является возможным источником угрозы, какого рода атаки на безопасность системы могут быть предприняты?

□ Какие средства использовать для защиты каждого вида информации?

Специалисты, ответственные за безопасность системы, формируя политику безопасности, должны учитывать несколько базовых принципов. Одним из таких принципов является предоставление каждому сотруднику предприятия того минимально уровня привилегий на доступ к данным, который необходим ему для выполнения его должностных обязанностей. Учитывая, что большая часть нарушений в области безопасности предприятий исходит именно от собственных сотрудников, важно ввести четкие ограничения для всех пользователей сети, не наделяя их излишними возможностями.

Следующий принцип — использование комплексного подхода к обеспечению безопасности. Чтобы затруднить злоумышленнику доступ к данным, необходимо предусмотреть самые разные средства безопасности, начиная с организационно-административных запретов и кончая встроенными средствами сетевой аппаратуры. Административный запрет на работу в воскресные дни ставит потенциального нарушителя под визуальный контроль администратора и других пользователей, физические средства защиты (закрытые помещения, блокировочные ключи) ограничивают непосредственный контакт пользователя только приписанным ему компьютером, встроенные средства сетевой ОС (система аутентификации и авторизации)~предотвращают вход в сеть нелегальных пользователей, а для легального пользователя ограничивают возможности только разрешенными для него операциями (подсистема аудита фиксирует его действия). Такая система защиты с многократным резервированием средств безопасности увеличивает вероятность сохранности данных.

Следующим универсальным принципом является использование средств, которые при отказе переходят в состояние максимальной защиты. Это касается самых различных средств безопасности. Если, например, автоматический пропускной пункт в какое-либо помещение ломается, то он должен фиксироваться в таком положении, чтобы ни один человек не мог пройти на защищаемую территорию. А если в сети имеется устройство, которое анализирует весь входной трафик и отбрасывает кадры с определенным, заранее заданным обратным адресом, то при отказе оно должно полностью блокировать вход в сеть. Неприемлемым следовало бы признать устройство, которое бы при отказе пропускало в сеть весь внешний трафик.

Принцип единого контрольно-пропускного пункта — весь входящий во внутреннюю сеть и выходящий во внешнюю сеть трафик должен проходить через единственный узел сети, например через межсетевой экран (firewall). Только это позволяет в достаточной степени контролировать трафик. В противном случае, когда в сети имеется множество пользовательских станций, имеющих независимый выход во внешнюю сеть, очень трудно скоординировать правила, ограничивающие права пользователей внутренней сети по доступу к серверам внешней сети и обратно — права внешних клиентов па доступу к ресурсам внутренней сети.

Принцип баланса возможного ущерба от реализации угрозы и затрат на ее предотвращение. Ни одна система безопасности не гарантирует защиту данных на уровне 100 %, поскольку является результатом компромисса между возможными рисками и возможными затратами. Определяя политику безопасности, администратор должен взвесить величину ущерба, которую может понести предприятие в результате нарушения защиты данных, и соотнести ее с величиной затрат, требуемых на обеспечение безопасности этих данных. Так, в некоторых случаях можно отказаться от дорогостоящего межсетевого экрана в пользу стандартных средств фильтраций обычного маршрутизатора, в других же можно пойти на беспрецедентные затраты. Главное, чтобы принятое решение было обосновано экономически.

При определении политики безопасности для сети, имеющей выход в Интернет, специалисты рекомендуют разделить задачу на две части: выработать политику доступа к сетевым службам Интернета и выработать политику доступа к ресурсам внутренней сети компании.

Политика доступа к сетевым службам Интернета включает следующие пункты:

□ Определение списка служб Интернета, к которым пользователи внутренней сети должны иметь ограниченный доступ.

□ Принятие решения о том, разрешен ли доступ внешних пользователей из Интернета во внутреннюю сеть. Если да, то кому. Часто доступ разрешают только Для некоторых, абсолютно необходимых для работы предприятия служб, например электронной почты.

Политика доступа к ресурсам внутренней сети компании может быть выражена в одном из двух принципов:

□ запрещать все, что не разрешено в явной форме;

□ разрешать все, что не запрещено в явной форме.

В соответствии с выбранным принципом определяются правила обработки внешнего трафика межсетевыми экранами или маршрутизаторами. Реализация защиты на основе первого принципа дает более высокую степень безопасности, однако при этом могут возникать большие неудобства у пользователей, а кроме того, такой способ защиты обойдется значительно дороже. При реализации второго принципа сеть окажется менее защищенной, однако пользоваться ею будет удобнее и потребуется меньше затрат.

Читайте также: