Информационно-аналитическое обеспечение безопасности бизнеса

Предполагается такое распределение ролей и ответственности, чтобы один человек не мог нарушить критически важный для организации процесс или создать брешь в защите по неведению или заказу злоумышленников. Применительно к программно-техническому уровню принцип минимизации привилегий предписывает выделять пользователям и администраторам только те права доступа, которые необходимы им для выполнения служебных обязанностей. Это позволяет уменьшить ущерб от случайных или умышленных некорректных действий пользователей и администраторов;

эшелонирование обороны, разнообразие защитных средств, простота и управляемость информационной системы и системой ее безопасности. Принцип эшелонирования обороны предписывает не полагаться на один защитный рубеж, каким бы надежным он ни казался. За средствами физической защиты должны следовать программно-технические средства, за идентификацией и аутентификацией — управление доступом, протоколирование и аудит. Эшелонированная оборона способна не только не пропустить злоумышленника, но и в не которых случаях идентифицировать его благодаря протоколированию и аудиту. Принцип разнообразия защитных средств предполагает создание различных по своему характеру оборонительных рубежей, чтобы от потенциального злоумышленника требовалось овладение разнообразными и, по возможности, несовместимыми между собой навыками.

Очень существенен общий принцип незамысловатости и управляемости информационной системы в целом и защитных средств в особенности. Только в простой и управляемой системе можно проверить согласованность конфигурации различных компонентов и осуществлять централизованное администрирование. В этой связи важно подметить интегрирующую роль Web-сервиса, скрывающего многообразие обслуживаемых объектов и дающего единый, наглядный интерфейс. Соответственно, если объекты некоторого вида (например, таблицы базы данных) доступны через Интернет, необходимо заблокировать прямой доступ к ним, поскольку в противном случае система будет уязвимой, сложной и плохо управляемой.

Продуманная и упорядоченная структура программных средств и баз данных, топология внутренних и внешних сетей непосредственно отражается на достигаемом качестве и безопасности информационной системы, а также на трудоемкости их разработки. При строгом соблюдении правил структурного построения значительно облегчается достижение высоких показателей качества и безопасности, так как сокращается число возможных ошибок в реализующих программах, отказов и сбоев оборудования, упрощается их диагностика и локализация. В хорошо структурированной системе с четко выделенными компонентами (клиент, сервер приложений, ресурсный сервер) контрольные точки выделяются достаточно четко, что решает задачу доказательства достаточности применяемых средств защиты и обеспечения невозможности обхода этих средств потенциальным нарушителем.

Высокие требования, предъявляемые к созданию архитектуры и инфраструктуры на этапе проектирования информационной системы, обусловливаются тем, что именно на этом этапе можно в большей степени минимизировать число уязвимостей, соединенных с невольными дестабилизирующими факторами, которые влияют на безопасность программных средств, баз данных и систем коммуникации.

Анализ безопасности информационной системы при отсутствии злоумышленных моментов основывается на модели взаимодействия главных компонент информационной системы (рис.

1).

Рис.

1. Модель анализа безопасности ИС при отсутствии злоумышленных угроз

В качестве объектов уязвимости рассматриваются:

динамический вычислительный процесс обработки данных, автоматизированной подготовки решений и выработки управляющих воздействий;

объектный код программ, исполняемых вычислительными средствами в процессе функционирования информационных систем;

данные и информация, накопленная в базах данных;

информация, выдаваемая потребителям и на исполнительныемеханизмы.

Полное устранение перечисленных угроз принципиально невозможно. Вопрос состоит в обнаружении факторов, от которых они зависят, в формировании методик и средств уменьшения их воздействия на безопасность информационной системы, а также в действенном распределении ресурсов для предоставления защиты, равнопрочной по отношению ко всем отрицательным воздействиям.

Заключение

Информационно-аналитическая система должна позволять гибко строить иерархическую систему показателей с указанием источников, из которых берутся значения частных показателей, и механизмов их получения из источников данных различной природы. Соблюдение установленных взаимоувязанных требований, норм и методов, определяющих методологию проведения работ по информационно-аналитическому обеспечению системы экономической безопасности предприятия позволяет: повысить эффективность противостояния потенциальным угрозам экономической безопасности за счет предупреждения или снижения внешних непредсказуемых и внутренних рисков; снизить издержки эксплуатации информационной системы за счет своевременного проведения контроля и диагностирования, а также разработки и реализации мероприятий по поддержанию работоспособности информационно-аналитической системы в течение определенного времени.

Стоит заметить, что результативность политики безопасности только тогда будет находиться на надлежащем уровне, когда ее осуществление будет представлять собой итог совместной деятельности сотрудников организации, способных осмыслить все ее аспекты, и руководителей, способных влиять на ее претворение в жизнь. Следование политики безопасности должно гарантироваться наличием ответственного по каждому виду проблем.

Список используемой литературы:

А.Г. Баутов Эффективность защиты информации //Открытые системы.- 2003. № 07−08

Галатенко В. А. Основы информационной безопасности. М: ИНТУИТ, 2004.

Грунин О.А., Грунин СО. Экономическая безопасность предприятия. СПб.: Питер, 2002.

Зегжда

Д.П., Ивашко A.M. Основы безопасности информационных систем. М.: Горячая линия — Телеком, 2000

Липаее B.B. Программно-технологическая безопасность информационных систем:

www.jetinfo.ru/1997/6−7/l/articlel.6−7.

1997.html#AENll

Трифаленков И., Зайцева Н. Функциональная безопасность корпоративных систем / Открытые системы, 2002. № 7,8. С. 12

Торянинов Б.Н., Красковский

А.П. Экономическая безопасность предпринимательской деятельности. СПб.: Кредитформа, 2000

Трифаленков И., Зайцева Н. Функциональная безопасность корпоративных систем / Открытые системы, 2002. № 7,8. С. 12

Зегжда

Д.П., Ивашко A.M. Основы безопасности информационных систем.

Грунин О.А., Грунин СО. Экономическая безопасность предприятия.

Торянинов

Б.Н., Красковский

А.П. Экономическая безопасность предпринимательской деятельности