Проблемы разработки, требования и задачи автоматизированной информационной системы

Важность и сложность проблемы защиты информации в информационных системах требует принятия кардинальных мер, выработки рациональных решений, для чего необходимо сконцентрировать усилия на вопросах разработки общей концепции защиты интересов всех субъектов информационных отношений, с учетом особенностей тех прикладных областей, в которых функционируют различные информационной системы (ИС) .

Широкомасштабное использование вычислительной техники и телекоммуникационных систем в рамках территориально-распределенных ИС, переход на этой основе к безбумажной технологии, увеличение объемов обрабатываемой информации и расширение круга пользователей приводят к качественно новым возможностям несанкционированного доступа к ресурсам и данным информационной системы, к их высокой уязвимости.

Реализация угроз несанкционированного использования информации наносит сейчас гораздо больший ущерб, чем, например, "случайные" пожары в помещениях или физическое воздействие на сотрудников. Однако затраты на построение системы защиты информации еще пока несоизмеримо малы по сравнению с затратами на защиту от грабителей или на противопожарную защиту. К тому же, в настоящее время, наблюдается постепенный переход от чисто физических методов воздействия на информационные ресурсы, к более интеллектуальным, в том числе с использованием новейших средств и способов добывания информации.

Необходимым условием достижения требуемой степени информационно-компьютерной безопасности - комплексной защиты, является принятие всех возможных мер защиты [2]:

- морально-этических;

- законодательных;

- организационных;

- технических.

К сожалению необходимость комплексного обеспечения безопасности информационных технологий пока не находит должного понимания у пользователей современных ИС. В то же время построение систем защиты информации не ограничивается простым выбором тех или иных средств защиты. автоматизированный информационный система exсel

Учитывая, что современная нормативно-методическая база в этой области не дает полного представления о том, как организовать защиту информации, а также увеличение поставок вычислительных комплексов (расширение ИС), при неизменной численности инженерно-эксплуатационных подразделений, заказчику часто приходится действовать на свой страх и риск, поэтому с целью уменьшения вероятности принятия ошибочных решений, необходимо сформировать целостное представление о проблемах выбора рациональной структуры и организации систем информационной безопасности и путях их решения.

Однако, независимо от того, какая именно, по своей рациональности, разрабатывается система защиты, следует различать следующие основные фазы жизненного цикла системы информационной безопасности:

- разработка;

- внедрение и эксплуатация;

- сопровождение.

Рассмотрим этапы построения и типовые требования, предъявляемые к системам информационной безопасности (системам защиты информации):

1. Анализ физической и логической архитектуры компьютерной системы, а также используемых схем автоматизированной обработки информации:

- анализ аппаратных средств и их конфигурации;

- анализ программного обеспечения и схемы распределения его компонентов между узлами сети;

- анализ протоколов взаимодействия;

- анализ сетевого трафика на различных уровнях сетевой модели взаимодействия;

- анализ технологии использования мобильных программ (JAVA, ActiveX, JavaScript, VBScript и т.д);

- анализ согласованности аппаратной и программной конфигурации узлов сети;

- анализ подсистем защиты информации на различных уровнях программно-аппаратных средств.

2. Выявление на основе проведенного анализа уязвимых элементов, через которые возможна реализация угроз информации:

- уязвимых элементов аппаратных средств и каналов связи (локальных сетей, сетевых устройств концентрации и маршрутизации каналов межсетевого взаимодействия, а также каналов взаимодействий с глобальными сетями);

- уязвимых элементов операционных систем;

- уязвимых элементов используемых систем управления базами данных;

- уязвимых элементов прикладного программного обеспечения (электронного документооборота, справочных систем, электронной бухгалтерии и т.д.);

- уязвимых элементов сетевых программных средств (групповой работы, утилит администрирования, мобильных программ);

- уязвимых элементов подсистем информационно-компьютерной безопасности.

3. Определение, анализ и классификация всех возможных угроз информации в компьютерных системах:

- угроз несанкционированного использования компьютерных ресурсов (хищения, подлога, разрушения и потери информации, отказов в работе программно-аппаратных средств);

- угроз некорректного использования компьютерных ресурсов (нарушения физической и логической целостности данных, нарушений работоспособности компьютерных систем);

- угроз проявления ошибок пользователей, операторов и администраторов, а также ошибок допущенных в процессе разработки программно-аппаратных средств;

- угроз безопасности сетевого взаимодействия (безопасности информационного обмена, а также нарушений протоколов взаимодействия);

- угроз несанкционированного изменения состава компьютерной системы и ее компонентов (изменений параметров конфигурирования, внедрения вредоносных программ и других несанкционированных элементов);

- угроз нанесения ущерба физическим способом (хищение носителей информации, нарушений системы электроснабжения, перехвата электромагнитных излучений и др.);

4.Разработка политики безопасности как совокупности концептуальных решений, направленных на эффективную защиту информации и ассоциированных с ней ресурсов:

- формирование стратегических целей обеспечения информационно-компьютерной безопасности и определение требований к защищаемой информации;

- разработка концепции защиты от реализации преднамеренных угроз;

- разработка концепции защиты от реализации случайных угроз;

- составление общего плана восстановления на случай воздействия на компьютерные ресурсы;

- разработка организационных мероприятий по созданию условий безопасной обработки информации;

5. Формирование полного перечня детальных требований к системе информационно-компьютерной безопасности в соответствии с необходимыми классами защищенности:

- требований к подсистеме управления контролем доступа (аутентификации и разграничения доступа);

- требований к подсистеме защиты от вирусоподобных программ;

- требований к подсистеме криптографической защиты;

- требований к подсистеме удаленного централизованного контроля процесса функционирования распределенных гетерогенных автоматизированных систем (контроль эталонного состояния информации и рабочей среды);

- требований к подсистемам резервирования информации и восстановления работоспособности компьютерных средств;

- требований к подсистемам регистрации и сигнализации;

- требований к подсистеме обеспечения безопасности сетевого взаимодействия;

6. Непосредственная разработка системы защиты информации (СЗИ) с учетом всех предъявленных требований и влияющих на защиту факторов:

- формирование детальных спецификаций на компоненты системы информационно-компьютерной безопасности;

- проектирование комплексных систем защиты для рабочих станций, серверов, а также компьютерной сети в целом;

- выбор сертифицированных средств защиты информации и обоснование принятых решений;

- проектирование уникальных подсистем информационно-компьютерной безопасности, не содержащих концептуальных недоработок;

- реализация разработанных проектов;

- интеграция подсистем информационно-компьютерной безопасности, их комплексная настройка и проверка работоспособности;

- оценка качества СЗИ по комплексным методикам, а также отечественным и международным стандартам.

Итогом гарантированного выполнения всех требований к системе информационной безопасности на этапах ее построения является максимальная защищенность информационной системы, а также конечной целью должны быть четыре содержательных результата:

- архитектура системы защиты;

- количественная оценка качества ее функционирования;

- оценка практической чувствительности разработанных моделей к отклонениям от априорных данных;

- физическая реализуемость систем защиты в современных системах обмена данными (соответствие технологии обработки информации уровню ее защиты).

2.5 Заключение

Уже давно наступило время, когда под автоматизацией предприятий стало подразумеваться не просто приобретение компьютеров и создание корпоративной сети, но создание информационной системы, включающей в себя и компьютеры, и сети, и программное обеспечение, а главное - организацию информационных потоков. Проанализировав опыт внедрения информационных систем (ИС) на российских предприятиях, можно заметить, что время от времени ИС на базе какого-либо интегрированного продукта либо внедряются не до конца, либо руководство компаний ими практически не пользуется.

Анализ внедрений, осуществленных на сегодняшний день, выявляет несколько причин неудач при создании ИС:

1. Первая состоит в том, что готовые западные системы ориентированы на некие идеальные бизнес-процессы, оторванные от реальной структуры конкретной компании. А реальные учреждения, компании и корпорации вовсе не идеальны, а наоборот, очень сложны с точки зрения иерархии управления. Более того, зачастую формальная иерархия причудливо переплетается с реальной.

2. Вторая причина - в том, что исторически разработкой систем занимались программисты, в силу чего они строились согласно теории автоматизированных систем. Получался замкнутый автоматизированный процесс, по возможности исключающий человека. В результате весь средний менеджмент такой системой отторгался. Поэтому руководители среднего звена противятся внедрению таких систем и сознательно, и бессознательно.

3. Третье - это недостаточный анализ существующих задач на этапе проектирования. Например, на Западе, в частности, в США, у компаний-заказчиков, как правило, есть специальные отделы, которые планируют работы по автоматизации и анализируют: что надо автоматизировать, что не надо, что выгодно, а что убыточно, и как вообще должна быть построена система, какие функции она должна выполнять. У отечественных компаний подобные структуры, как правило, отсутствуют.

Опыт показывает, что успешны, бывают те проекты, в результате внедрения которых клиент полностью владеет своей системой, понимает, как она работает. Этот, труднодостижимый при традиционных способах, результат получается тогда, когда руководство предприятия уделяет значительное внимание проекту, вникает во все его тонкости, детально разбирается в организации всех бизнес-процессов на предприятии. В противном случае руководитель с недоверием относится к цифрам, выдаваемым системой, так как не знает, откуда они берутся, и кто за них несет ответственность. Но много ли найдется руководителей, способных не только возглавить, но и, по сути, самим выполнить проект? И разве в этом функция руководителя? Конечно же, нет!

Сегодня необходим новый подход к созданию информационных систем. Новизна заключается не в создании системы на базе какого-либо интегрированного продукта, а в тщательном проектировании системы и лишь потом реализации ее с помощью адекватных программных средств.

Не секрет, что зачастую подход к автоматизации бывает таким: нужно автоматизировать все, а поэтому покупаем могучую интегрированную систему и модуль за модулем всю ее внедряем. Но уже потом выясняется, что полученный эффект весьма далек от ожидаемого и деньги потрачены впустую. Все эти вопросы можно и нужно решать на этапе проектирования, т. е. осознанно подходить к выбору средств автоматизации, сравнивая затраты с ожидаемым эффектом.

3. Практическая часть