Мы рассмотрели различные типы критериев оценки, позволяющие оценить систему для присвоения ей соответствующего рейтинга. Это очень формализованный процесс, следуя которому оцениваемой системе или продукту присваивается определенный рейтинг, после чего сведения об этой системе (продукте) размещаются в EPL.
Покупатель может проверить этот список и сравнить различные продукты и системы, чтобы увидеть, как соотносятся их рейтинги возможностей защиты. Однако когда покупатель приобретает этот продукт и устанавливает его в свою среду, безопасность не гарантирована. Обеспечение безопасности включает в себя множество аспектов, среди которых администрирование системы, физическая безопасность, процесс установки и настройки механизмов непосредственно в среде, а также другие действия. Чтобы сказать, что система защищена, все эти аспекты должны быть учтены. Рейтинг – это только один из элементов в головоломке, называемой безопасностью.
Сертификация – это всесторонняя техническая оценка компонентов безопасности и их соответствия цели аккредитации. Процесс сертификации может использовать оценку мер безопасности, анализ рисков, проверку, тестирование и методы аудита для оценки пригодности конкретной системы.
Что изменится на рынке недвижимости. Главный архитектор Москвы: о строительстве и архитектуре.
Предположим, что Дэн – офицер безопасности компании, который купил новые системы для использования в процессе обработки конфиденциальных данных. Он хочет знать, подходят ли эти системы для этих задач и предоставляют ли они необходимый уровень защиты. Он также хочет убедиться, что они совместимы с имеющимся окружением, не снизят производительность, не создадут новых угроз – по сути, он хочет знать, подходят ли эти системы его компании. Он может заплатить специализирующейся на этих вопросах компании, которая выполнит необходимые процедуры сертификации этих систем, либо он может это сделать своими силами. В рамках сертификации команда оценщиков анализирует оборудование, прошивки, тестирует конфигурации программного обеспечения, структуру, реализацию, системные процедуры, управление на физическом и коммуникационном уровнях.
Цель процесса сертификации – гарантировать, что сеть, продукт или система подходят задачам покупателя. Различные покупатели могут использовать один и тот же продукт по различным причинам, а их среда может имеет различный уровень угроз. Поэтому не каждый продукт хорошо подойдет каждому конкретному покупателю (хотя продавцы, конечно, будут пытаться убедить вас в обратном). Продукт предоставляет надлежащую функциональность и безопасность покупателям, цели которых соответствуют целям процесса сертификации.
Процесс сертификации и соответствующая документация могут показать продукт хорошим, плохим, ужасным, описать, как он работает в рамках данной среды. Далее, Дэн возьмет эти результаты и покажет своему руководству для проведения процесса аккредитации.
Аккредитация – это формальное принятие руководством адекватности безопасности системы в целом и ее функциональности. Руководству (или ответственному лицу) представляется информация сертификации, ответы на их вопросы, обзоры отчетов и исследований, чтобы руководство решило – принять ли продукт, и нужны ли какие-либо корректирующие действия. Если безопасность системы в целом руководство устраивает, оно формально принимает ее. Делая это, руководство утверждает, что оно понимает уровень защиты, предоставляемый системой в текущей среде компании, и понимает риски безопасности, связанные с установкой и поддержкой этой системы.
Аэропорт (Хитроу) — Чудеса инженерии | Документальный фильм про аэропорт| (National Geographic)
Не нужно больше ломать карандаши. Многие компании стали относиться к процессу аккредитации более серьезно, чем раньше. К сожалению, иногда после завершения процесса сертификации и передачи документации руководству для анализа и принятия решения, руководство просто не глядя подписывает необходимые документы, не понимая в действительности, что оно подписывает.
Аккредитация означает, что руководство принимает риск, связанный с разрешением внедрить новый продукт в среду компании. Когда происходит серьезная проблема с безопасностью, последней инстанцией является человек, который подписал документ. Как только такие руководители понимают, что они несут ответственность за то, что они подписали, а также узнают, как много законов устанавливают персональную ответственность руководителя за безопасность, они гораздо реже ломают карандаши об аккредитационные бумаги. Хотя, увы, полностью исключить такие случаи все равно нельзя.
ПРИМЕЧАНИЕ. Сертификация – это технический обзор, обеспечивающий оценку механизмов безопасности и их эффективности. Аккредитация – это официальное принятие руководством информации, выявленной в процессе сертификации.
Поскольку программное обеспечение, системы и среды постоянно меняются и развиваются, сертификацию и аккредитацию следует также продолжать применять. При любом существенном дополнении в программном обеспечении, изменении в системе или изменении в среде следует инициировать новый цикл сертификации и аккредитации.
Компьютерные системы могут разрабатываться для легкой интеграции с другими системами и продуктами (открытые системы), либо могут разрабатываться как более закрытые по своей природе и работающие только с определенным подмножеством других систем и продуктов (закрытые системы). Следующие разделы описывают различия между этими подходами.
Системы, которые описываются как открытые, построены на основе стандартов, протоколов и интерфейсов, имеющих опубликованные спецификации, которые позволяют сторонним разработчикам разрабатывать дополнительные компоненты и устройства. Эта функциональная совместимость обеспечивается всеми разработчиками, которые следуют соответствующим стандартам и предоставляют интерфейсы, позволяющие любой системе без проблем взаимодействовать с другими системами, легко дополняя их.
Большинство систем, используемых в настоящее время, являются открытыми. Именно по этой причине администратор может обеспечить легкое взаимодействие в рамках одной сети компьютеров под управлением Windows NT 4, Windows 2000, Macintosh и Unix, так как их платформы являются открытыми. Если разработчик создает закрытую систему, это ограничивает ее потенциальные продажи, т.к. она пригодна только для проприетарных сред.
ПРИМЕЧАНИЕ. В Домене 09 мы рассмотрим стандарты взаимодействия, такие как CORBA, DCOM, J2EE и другие.
Системы, которые называют закрытыми, используют архитектуру не соблюдающую отраслевые стандарты. При этом функциональная совместимость не обеспечивается, стандартные интерфейсы не применяются, что не позволяет различными типам систем легко взаимодействовать между собой и дополнять возможности друг друга. Закрытая система проприетарна, что означает, что она может взаимодействовать только с такими же системами.
С другой стороны, закрытая архитектура может обеспечить более высокий уровень безопасности, т.к. она не имеет множества точек входа и функционирует в более ограниченной среде, чем открытые системы. Для закрытых систем не существует такого множества средств для обхода или нарушения механизмов безопасности, немногие люди понимают их структуру, язык, а также слабости защиты, чтобы воспользоваться ими.
Большинство современных систем построено на открытой архитектуре, что позволяет им работать с другими типами систем, легко совместно использовать информацию и получать расширенную функциональность за счет дополнений, разработанных сторонними разработчиками. Однако это открытая дверь для взлома и атак.
К настоящему моменту мы рассмотрели множество вопросов и концепций, относящихся к операционным системам и приложениям. Мы начали с архитектуры системы, прошли через различные компоненты, которые должны быть безопасным образом встроены в систему для обеспечения необходимого (требуемого от них) уровня защиты. Архитектура безопасности системы – это высокоуровневый проект, использующийся в качестве основы. Архитектура необходима для обеспечения соблюдения политики безопасности системы и требуемого уровня безопасности. Прекрасно, но что такое корпоративная архитектура безопасности?
Компания всегда имеет выбор, пытаясь защитить свою среду в целом. Она может решить просто внедрить отдельные продукты в различных частях среды (это называется точечными решениями) и надеяться, что такой подход будет прекрасно работать и обеспечит равномерную безопасность среды, закроет все уязвимости компании. Либо компания может потратить время, чтобы проанализировать свою среду, понять требования бизнеса в отношении безопасности и разработать полноценную платформу и стратегию, которые являются отображением друг друга. Большинство компаний выбирают первый вариант, занимаясь «тушением локальных пожаров». Это приводит к постоянным стрессам, несоблюдению требований безопасности, делает хаос нормой жизни.
Второй подход может использоваться для определения корпоративной архитектуры безопасности, применяя ее в качестве руководства при реализации решений, чтобы убедиться, что учтено все необходимое, обеспечена стандартная защита всей среды, минимизировано количество возможных сюрпризов безопасности для компании, когда она начнет реально использовать все это. Хотя реализация корпоративной архитектуры безопасности не обещает идеальную среду, она устраняет хаос, существенно увеличивает продуктивность работы сотрудников безопасности и компании в целом, позволяет мыслить более проактивно и зрело в отношении безопасности компании.
Корпоративная архитектура безопасности (enterprise security architecture) определяет стратегию информационной безопасности, которая состоит из уровней политики, стандартов, решений, процедур и способов, которыми они соединены стратегически, тактически и операционно. Это отличается от архитектуры инфраструктуры.
Инфраструктура – это лежащие в основе технологии и аппаратное обеспечение, необходимые для поддержки корпоративной архитектуры безопасности. Просто иметь инфраструктуру (коммутаторы, кабели, маршрутизаторы, узлы и т.п.) недостаточно. Чтобы иметь корпоративную архитектуру безопасности необходимо обеспечить совместную работу всех элементов инфраструктуры взаимосвязанным и безопасным образом, для чего требуется программное обеспечение, люди и процессы. Помимо безопасности, этот тип архитектуры позволяет компаниям достигать лучшей совместимости, интеграции, легкости использования, стандартизации и управляемости.
- Выявление новых уязвимостей и воздействий от них заняло более 15 дней?
- Когда потребности пользователя в доступе возрастают в соответствии с потребностями бизнеса, администратор безопасности или сетевой администратор просто изменяет его права доступа без документально оформленного руководителем пользователя разрешения?
- После внедрения нового продукта, неожиданно появляются проблемы несовместимости, которые требуют существенное количество времени и денег для своего исправления?
- При возникновении проблем безопасности применяются индивидуальные, одноразовые, точечные решения, вместо следования стандартизированным процедурам?
- Руководители бизнес-подразделений компании не осведомлены о своих обязанностях в области безопасности, в том числе обязанностях установленных законодательством и требованиями регуляторов?
- Понятие «критичные данные» определено в политике, однако необходимые защитные меры не полностью внедрены, а их работа не отслеживается надлежащим образом?
- Реализуются точечные решения вместо решений корпоративного уровня?
- Продолжают происходить одни и те же дорогостоящие ошибки?
- Отсутствует постоянный контакт между высшим руководством и персоналом безопасности?
- Стратегическое управление безопасностью в настоящее время недоступно, поскольку безопасность компании не анализируется и не контролируется стандартными и всеобъемлющими способами?
- Бизнес-решения принимаются без учета безопасности?
- Персонал безопасности обычно «тушит пожары», не имея времени на разработку и внедрение стратегических подходов?
- Все больше и больше сотрудников безопасности «сохнет» на работе, пьет антидепрессанты и успокоительное?
Основная причина, по которой компании не разрабатывают и не внедряют корпоративную архитектуру безопасности, заключается в том, что они не полностью понимают что это такое, и это выглядит для них очень сложной задачей. Борьба с точечными «пожарами» более понятна и прямолинейна, поэтому многие компании остаются с этим простым подходом.
Если вы помните, в Домене 01 мы рассматривали внедрение программы безопасности, в которой описаны следующие задачи:
- Планирование и Организация
- Получение одобрения от руководства
- Создание Руководящего комитета по надзору
- Оценка бизнес-драйверов
- Создание профиля угроз компании
- Проведение оценки рисков
- Разработка архитектуры безопасности на организационном, прикладном, сетевом и компонентном уровнях
- Определение решений на каждом уровне архитектуры
- Получение согласия руководства на дальнейшие действия
- Реализация
- Распределение ролей и обязанностей
- Разработка и внедрение политик безопасности, процедур, стандартов, базисов и руководств
- Выявление критичных данных на этапах хранения и передачи
- Реализация следующих проектов:
- Идентификация и управление активами
- Управление уязвимостями
- Соответствие требованиям
- Управление идентификацией и доступом
- Управление изменениями
- Жизненный цикл разработки программного обеспечения
- Планирование непрерывности бизнеса
- Физическая безопасность
- Реакция на инциденты
- Внедрение решений (административных, технических, физических) по каждому проекту
- Разработка решений по аудиту и мониторингу для каждого проекта
- Установка целей, соглашений об уровне обслуживания (SLA) и метрик по каждому проекту
- Функционирование и Поддержка
- Соблюдение установленных процедур для обеспечения соблюдения базисных уровней в каждом реализованном проекте
- Проведение внутренних и внешних аудитов
- Выполнение задач, намеченных в каждом проекте
- Управление соглашениями об уровне обслуживания по каждому проекту
- Мониторинг и Оценка
- Анализ лог-файлов, результатов аудита, собранных значений метрик и SLA по каждому проекту
- Оценка достижения целей по каждому проекту
- Проведение ежеквартальных встреч с руководящими комитетами
- Совершенствование действий каждого этапа и их интеграция в фазу Планирования и Организации
В качестве аналогии скажем, что Шеннон говорит строителю, что он хочет дом в стиле ранчо с четырьмя спальнями общей площадью 2500 квадратных футов. Это высокоуровневое описание (политика) и строитель не собирается просто импровизировать и думать, что он сможет построить дом на основании такого наброска. Строитель будет следовать плану дома (архитектура), который предоставит более детализированные требования, которые должны быть учтены для выполнения запроса Шеннона.
Почти все хорошие корпоративные архитектуры безопасности работают тем или иным образом со структурой, предоставленной Моделью Захмана (Zachman Architecture Framework). Таблица 3-3 показывает состав этой модели (более полную информацию вы можете получить на сайте www.zifa.com). Модель Захмана на протяжении многих лет используется многими организациями для построения или лучшего определения своей бизнес-среды. Эта модель не является ориентированной на безопасность, но это хороший шаблон для использования, поскольку он дает направление, как понять реальное предприятие модульным способом.
ПРИМЕЧАНИЕ. Модель Захмана используется в качестве модели для надежной архитектуры безопасности, т.е. работающей со многими компонентами всей организации. Многие люди знакомы с техническими архитектурами безопасности, которые имеют дело просто с сетями и системами в рамках этой сети. Это две совершенно разные вещи. Надежная архитектура безопасности включает в себя техническую архитектуру и многое другое, как вы можете видеть в Таблице 3-3.
Модель Захмана является двумерной, она использует шесть основных вопросов (communication interrogatives) (Что, Как, Где, Кто, Когда и Почему), пересекающихся с различными уровнями (Планировщик, Владелец, Конструктор (архитектор), Проектировщик, Разработчик и Сотрудник), чтобы дать целостное представление о предприятии. Эта модель была разработана в 1980-х годах, она основывается на принципах классической архитектуры бизнеса, которые содержат правила, управляющие упорядоченным множеством отношений.
Исходя из опыта автора, большинство технических людей негативно относятся к моделям, таким, как эта. Они считают, что здесь слишком много работы, очень много «воды», что это не имеет прямого отношения к их задачам и т.д. Они сфокусированы на технологиях и не понимают все остальные компоненты безопасности, которые являются не менее (а, возможно, более) важными, чем технологии.
SABSA. Независимо от Модели Захмана была разработала модель и методология SABSA (Sherwood Applied Business Security Architecture – Шервудская прикладная архитектура безопасности бизнеса). Она показана в следующей таблице. Вы можете посетить сайт www.sabsa-institute.org/home.aspx, чтобы узнать больше об этом подходе. На экзамене CISSP модель SABSA не рассматривается.
Работа на корпоративном уровне требует совершенно иного мышления, чем работа исключительно на системном или техническом уровне. Мало того, что решения должны применяться ко всей компании стандартизованным образом, они должны быть связаны с потребностями бизнеса. Например, когда вы думаете об управлении доступом, а не просто о Kerberos, контроллерах домена, ACL и полномочиях, вам нужно также принимать во внимание те требования регуляторов и законодательства, которые компания должна соблюдать. Если эта компания должна соблюдать требования SOX, она нуждается в том, чтобы многие из этих процессов (управления доступом) были документированы, а доступ предоставлялся только с разрешения руководителей. Это может потребовать внедрения полноценных решений по управлению идентификацией – доменной аутентификации, реализованной в продуктах Microsoft, может быть недостаточно.
В процессе разработки корпоративной архитектуры безопасности, должны быть поняты и учтены следующие вопросы: стратегическое выравнивание, обеспечение бизнеса, улучшение процессов, эффективность безопасности.
Стратегическое выравнивание (strategic alignment) относится к обеспечению соблюдения архитектурой безопасности требований бизнес-драйверов, регуляторов и законодательства. Текущее состояние безопасности должно быть понятно, для чего должна быть проведена оценка рисков, позволяющая компании понять свои актуальные угрозы, а также свои способности бороться с этими угрозами. Следует достичь консенсуса в отношении уязвимостей и угроз компании, приемлемый для компании уровень риска должен быть установлен на основе толерантности компании к рискам. Прекрасно, но что все это означает? Попробуем выразить это проще. Стратегическое выравнивание означает « Какие активы мы должны защищать? », « Насколько наши инициативы в области безопасности связаны с реальными потребностями бизнеса? », « Что подразумевается под «достаточной безопасностью»? », и « Высшее руководство участвует во всем этом? ».
Результатом этих усилий является выработка согласованного текущего профиля рисков и желаемого профиля. Следует разработать трехлетний план безопасности, в котором должно быть определено, каким образом компания будет двигаться и достигать желаемого профиля. Также в этом плане следует детализировать поэтапный подход к построению безопасности (в целом) компании.
ПРИМЕЧАНИЕ. Хотя приведенная выше информация может показаться очевидной, это действительно то, что должно быть предпринято компанией в первую очередь. К сожалению, многие компании просто начинают подключать межсетевые экраны, настраивать ACL и внедрять решения по шифрованию без создания общего плана. Получается, что все заняты, но зачастую все идут различными путями, не согласовав между собой цели, над которыми должен работать каждый.
- Определить заинтересованных лиц и их потребности
- Определить владельцев и ответственных за хранение, распределить ответственность
- Определить и распределить обязанности, подотчетность и полномочия
Глядя на часть архитектуры, связанную с обеспечением бизнеса (business enablement), мы должны напомнить себе, что любая коммерческая компания находится в бизнесе, чтобы заработать деньги. Не существует коммерческих компаний, единственной целью которых является обеспечение своей безопасности. Безопасность не может стоять на пути бизнес-процессов, она должна быть реализована, чтобы обеспечивать потребности бизнеса, повышать его эффективность, участвовать в создании бизнес-продуктов. Многие из критически важных бизнес-процессов имеют дело с транзакциями, целостность которых должна быть обеспечена от начала до конца. В связи с этим безопасности уделяется повышенное внимание, т.к. именно обеспечение безопасности должно позволить осуществлять соответствующую бизнес-деятельность.
Обеспечение бизнеса означает, что ключевые бизнес-процессы интегрируются в операционную модель безопасности, они основываются на стандартах и учитывают критерии толерантности рисков. Что это означает в реальной жизни?
Например, бухгалтерия компании рассчитала, что если компания организует работу на дому персонала обслуживания и поддержки клиентов, это позволит компании сэкономить существенные деньги на аренде офиса, коммунальных услугах и т.д., к тому же страхование работающих на дому сотрудников стоит дешевле. Компания может перейти в эту новую модель с использованием VPN, межсетевых экранов, контентной фильтрации и т.п. Другой пример – финансовая компания хочет позволить своим клиентам просматривать информацию о своих банковских счетах и осуществлять финансовые транзакции. Она может предложить такую услугу клиентам только в том случае, если будут внедрены все необходимые механизмы безопасности. Безопасность должна помогать компании процветать, предоставляя ей механизмы, позволяющие безопасно решать новые задачи.
Часть, связанная с улучшением процессов (process enhancement), может быть весьма полезной для компании, если она правильно использует эту возможность. Если компания серьезно относится к обеспечению безопасности своей среды, она должна пристально взглянуть на многие бизнес-процессы, выполняющиеся на постоянной основе.
Хотя при этом бизнес-процессы рассматриваются через призму безопасности, это является также прекрасной возможностью для усовершенствования и улучшения этих процессов с целью повышения их эффективности. Если вы проанализируете бизнес-процессы, происходящие в компаниях любого типа, часто вы найдете факты дублирования одинаковых действий, выполняющиеся вручную операции, которые можно легко автоматизировать и т.п. Помимо обеспечения безопасности этих процессов, вы можете предложить пути повышения их эффективности, сокращения времени и ресурсов, необходимых для их выполнения. Это обычно называют реинжинирингом процессов.
Когда компания разрабатывает проекты по обеспечению своей безопасности, эти проекты должны интегрироваться в бизнес-процессы, чтобы быть эффективными. Это позволит интегрировать безопасность в жизненные циклы систем и ежедневные операции. Также это может позволить компании параллельно усовершенствовать и откалибровать управление процессами.
Эффективность безопасности (security effectiveness) связана с метриками, соблюдением требований SLA, возвратом инвестиций (ROI – return on investment), соблюдением набора базисов и предоставлением руководству отчетов с указанием всех основных показателей безопасности. Это позволяет определить, насколько полезны текущие решения по безопасности и архитектура безопасности при их комплексной работе.
Многие компании уже дошли до этой точки в своей архитектуре, поскольку существует необходимость в том, чтобы убедиться, что внедренные контрмеры обеспечивают необходимый уровень защиты, а ограниченный бюджет используется надлежащим образом. После установки базисов можно разработать метрики для проверки соответствия их требованиям. Затем эти метрики предоставляются руководству в формате, позволяющим ему понять текущее состояние безопасности компании и уровень ее соответствия требованиям. Также это должно предоставлять руководству компании дополнительную информацию для принятия бизнес-решений. Безопасность сегодня затрагивает почти все в бизнесе, поэтому эта информация должна быть доступна высшему руководству в форме, которую руководство может реально использовать.
Рисунок 3-20 показывает, как компании обычно развивают зрелость своей безопасности.
Все эти элементы (стратегическое выравнивание, обеспечение бизнеса, улучшение процессов и эффективность безопасности) могут существовать только при наличии прочного фундамента поддерживающих проектов по безопасности. Проекты намечают актуальные механизмы безопасности, которые будут использоваться для обеспечения необходимого компании уровня защиты. Среди таких проектов может быть управление доступом, управление идентификацией, управление активами, реагирование на инциденты, инфраструктура безопасности, безопасность приложений и т.п. Без прочного фундамента безопасности ни одна из целей реально не может быть достигнута. Это все равно, что пытаться построить дом на песке.
ПРИМЕЧАНИЕ. Фундамент корпоративной безопасности не может быть построен без установленных зон безопасности , которые предоставляют основанные на доверии границы, определяющие, что на самом деле должно быть защищено. Это позволяет реализовывать защиту и управление рисками стандартизированным образом в рамках всей компании.
Источник: dorlov.blogspot.com
Зона повышенной безопасности | Архитектурно-строительный надзор
Когда мы видим построенный объект, будь то жилой дом или торгово—развлекательный центр, ни у кого из нас, кроме, пожалуй, специалистов, не возникает мыслей о том, насколько сложен процесс превращения проекта в полноценное здание и кем этот процесс контролируется. Между тем вопрос контроля над строителями становится все актуальнее, учитывая высокие темпы строительства в стране и перманентно возникающие аварии на объектах.
Наверное, все помнят страшную трагедию четырехлетней давности, случившуюся в московском аквапарке «Трансвааль». За последние годы в России случались и другие, менее громкие происшествия, а в соседней Украине основное количество аварий зданий и сооружений происходит на объектах, которые по возрасту «моложе» 10 лет. К счастью, случаев обрушения жилых и общественных зданий, подобных инциденту с московским аквапарком, в Красноярске не происходило. И, наверное, здесь надо сказать спасибо как надзорным органам, осуществляющим строительный контроль, так и самим строителям, старающимся не доводить до откровенного брака. Немного о том, как и кем контролируется волшебный процесс превращения здания из проекта в полноценный жилой или общественный объект.
После подготовки архитекторами, проектировщиками и другими специалистами проектной документации все эти документы подвергаются государственной экспертизе на соответствие требованиям строительных норм и техрегламентов, которые устанавливают общие требования к обеспечению безопасности и качества строительства. Получив положительное заключение государственной экспертизы, застройщик обязан получить разрешение на строительство, а затем направить извещение о начале строительных работ со всеми сопутствующими документами в службу строительного надзора и жилищного контроля Красноярского края. Далее начинаются долгие взаимоотношения застройщика и службы, которая ведет объект от начала и до конца, то есть до выдачи заключения о соответствии объекта всем требованиям. Кроме того, отдел жилищного контроля службы продолжает следить за состоянием дома и его коммуникациями и после ввода в течение всего срока эксплуатации здания.
Представители заказчика или застройщика непрерывно в процессе строительства осуществляют строительный контроль над выполнением работ, в том числе и тех, которые оказывают влияние на безопасность объекта. Все материалы, применяемые в строительстве и отделке, должны иметь сертификаты, удостоверяющие их безопасность (экологическую, пожарную и прочую), и соответствовать требуемым проектным характеристикам.
И, тем не менее, несмотря на столь тщательный и многоступенчатый контроль, проблемы, конечно, существуют. Кто, как не специалисты службы строительного надзора и жилищного контроля, знающие буквально все о строительстве, могут рассказать о том, как должно выглядеть современное и безопасное жилье? Они и будут нашими главными экспертами по этой теме.
«Самое важное — качество, а качество — это безопасность»
— Служба строительного надзора и жилищного контроля со времени своего основания занималась вопросами качества и безопасности строительства — это наша основная задача, рассказывает руководитель краевой службы Андрей Пряничников. — Кроме того, сейчас в наши функции входит и надзор за жилищно коммунальным хозяйством, где мы проверяем состояние жилищного фонда и качество предоставляемых коммунальных услуг. Специалисты службы занимаются также контролем за соблюдением действующего законодательства участниками рынка долевого строительства. То есть мы комплексно подходим к жилищной безопасности — следим, чтобы человек жил в надежном доме и получал все необходимые услуги.
Какие же этапы проходит объект, подконтрольный службе? Начинается все с получения от застройщика извещения о начале работ, которое направляется не позднее чем за 7 дней до начала строительства. Опоздание по срокам чревато административным наказанием.
Далее службой разрабатывается программа проверок, в которой прописан каждый этап контроля от подготовки земельного участка — сноса ветхих строений, выставления ограждения — до момента полной готовности дома к вводу в эксплуатацию. В поле зрения госинспекторов находятся и ограждение, и территория стройплощадки, процесс устройства фундаментов, монтаж конструкций до и выше нулевой отметки, монтаж наружных систем инженерно строительного обеспечения, кровли и фасадов. Все это подвергается проверкам в течение всего периода строительства на предмет соответствия проектной документации и нормам организации строительства.
Итоговая проверка заключается в том, что все отделы службы — отдел надзора за жилищным строительством, санитарно эпидемиологического надзора и экологического контроля, пожарного, энергонадзора — выходят на объект, оценивают его состояние и сверяют с документацией. Затем выдается заключение о соответствии объекта проектной документации — это итоговый документ, на котором заканчиваются функции службы по объектам капитального строительства. Далее застройщик обращается в органы местного самоуправления для получения разрешения на ввод объекта в эксплуатацию.
Важно отметить, что государственный надзор не подменяет строительный контроль, который ведется заказчиком и застройщиком непрерывно. Работники же службы могут посещать объект только во время плановых и внеплановых проверок, тем более, что у каждого госинспектора под надзором не один два, а более десятка объектов, на которых они работают не хуже самих строителей — и в лютый мороз, и в летний зной.
— Сказать, что мы за всем следим, будет не совсем корректно, — резюмирует Андрей Евгеньевич, — у нас есть свои определенные функции — мы проводим мероприятия разового надзорного характера, позволяющие сделать выводы о безопасности возводимого жилья. Сейчас абсолютно другой подход к стройке: если раньше беспокоились только за надежность самого дома, то сейчас к этому прибавилась и пожарная безопасность, и санитарная.
Что же касается нарушений, то многие из них носят системный характер, но серьезно не влияют на несущую способность здания. Это определенные дефекты на строительной площадке, дефекты, которые мы встречаем при монтаже перегородок — отклонения от вертикали, некачественная отделка помещений. Из часто встречаемых серьезных нареканий — нарушения санитарно эпидемиологических норм, например, проблемы с санитарными зонами.
За нарушения требований проектной документации и нормативных документов в процессе строительства предусмотрена административная ответственность. Служба строительного надзора и жилищного контроля — орган, который вправе не только составлять протоколы, но и рассматривать административные дела.
В здоровом доме и жить здорово
Покупая квартиру, новосел, конечно же, хочет знать, безопасен ли дом и его конкретная квартира, в частности? Начнем с санитарно эпидемиологических и экологических факторов.
Первый этап санитарно эпидемиологического надзора и экологического контроля будущий объект проходит еще на стадии отвода участка под строительство — этим вопросом занимается управление Роспотребнадзора по Красноярскому краю. Участок должен соответствовать санитарным нормам и правилам на самой первой ступени, когда решается вопрос о его размещении.
Он не должен находиться в пределах санитарно защитных зон предприятия, чтобы не было опасного воздействия на человека. Также должно быть сведено к минимуму вредное воздействие транспорта, шум, другие факторы. Так что уже на отводе земельного участка определяются максимально благоприятные условия для размещения жилого дома.
Второй очень серьезный этап — это экспертиза проекта, которую проводит Красноярская краевая государственная экспертиза. В надзорную службу застройщик представляет лишь итоговый документ этой проверки — положительное заключение. Здесь рассматриваются детально условия размещения жилого дома, в том числе вопрос осуществления инсоляции — обеспечения солнечным светом жилья. При этом необходимый минимум — 2 часа в день, именно столько (или больше, но ни в коем случае не меньше) должно заглядывать солнышко в окна нашей квартиры. Кроме этого врачи—гигиенисты оценивают защиту жилья от шума встроенных помещений, инженерных коммуникаций, транспортного шума.
В процессе строительства инспекторы отдела санэпиднадзора повторно оценивают соблюдение требований санитарных правил при размещении объекта, проверяют, соответствует ли фактическое размещение объекта проектным решениям и требованиям санитарных правил.
— В нашей практике есть прецеденты, когда служба настаивала на переносе нежилых объектов, расположенных в недопустимой близости от дворовой территории, отказывала в выдаче заключения на завершенный строительством объект, расположенный на расстоянии, нарушающем требования санитарных правил, — рассказывает начальник отдела санитарно эпидемиологического надзора и экологического контроля службы Татьяна Волкова. — Обязательно проводится проверка инсоляции, особенно в тех случаях, когда вносятся изменения в проект с изменением количества квартир, их ориентации.
О радиации и вентиляции
На стадии ввода дома в эксплуатацию отделом санитарно эпидемиологического надзора и экологического контроля оценивается ряд исследований, подтверждающих безопасность условий проживания, в том числе исследования по радиационной безопасности.
— Известно, что в Красноярске иногда встречаются превышения гигиенических нормативов по показателям радиационной безопасности, — поясняет Татьяна Владимировна. — И если гамма фон остается на стабильном безопасном уровне, то по содержанию в воздухе радона изредка бывают превышения. Это обусловлено геологическим фактором.
Также обязательно проводятся исследования горячей и холодной воды по микробиологическим и санитарно химическим показателям. Этому предшествует довольно большая работа строителей по опресовке сетей водоснабжения, их промывке, и тут иногда требуются неоднократные исследования. Исследуется уровень шума от различных подкачивающих насосных установок, которые размещаются в подвалах домов под жилыми квартирами, шума от лифтов и другого оборудования. Проверяются системы приточно вытяжной вентиляции. Специалисты отдела не только контролируют исследования, они их назначают — определяют точки исследований, их объемы и виды.
Например, обязательно проводятся исследования систем естественной вентиляции. — В ходе проверок зачастую выясняется, что иногда до 20% вентиляционных каналов не работает, — поясняет Татьяна Волкова, — строители проводят их ревизию, прочистку, и после того, как эффективность естественной вентиляции подтвердится измерениями, такие системы принимаются нами как обеспечивающие благоприятные условия для эксплуатации квартир.
Опасная химия и коварный радон не пройдут
Какие еще опасности подстерегают новосела в его свежеотстроенном жилище? В практике работы отдела санитарно эпидемиологического надзора и экологического контроля чаще встречались нестандартные пробы по химии, чем по радиологии. На строительный материал — бетоны, растворы, кирпич — получают санитарно эпидемиологическое заключение. И материалы, и земля под строительство, и строящийся из них дом проверяются еще несколько раз, так что радиации бояться не следует.
Что же касается таких вредных веществ, как фенолы и формальдегиды, то они имеют свойство выделяться из полимерных строительных материалов, и больше всего из линолеума и ДСП. Но качество строительных материалов с каждым годом становится лучше, и объясняется это тем, что в качестве связующих элементов применяются другие компоненты, более безопасные. Кроме этого, из линолеума, например, являющегося основным источником вредных испарений среди отделочных материалов, все опасные для здоровья вещества быстро улетучиваются — стоит ему немного полежать, и запах исчезает (если вообще был). Учитывая то, что после отделочных работ квартиры сдаются в эксплуатацию не мгновенно и люди, как правило, заселяются не сразу (переезды, ремонт), эта проблема не так уж актуальна. Лучше задуматься о качественной мебели, ведь дешевые поделки из ДСП опаснее в разы.
На конечном этапе исследуется почва детских игровых площадок по микробиологическим, паразитологическим и санитарно химическим показателям.
В помощь частнику
Частному застройщику, задумавшему возвести коттедж в городе или пригородной зоне, сложнее в другом плане — ведь такие исследования ему нужно будет проводить самостоятельно, а расходы на исследования возмещать самому. Если вы заботитесь о своем здоровье, что нужно учесть при строительстве частного дома? В первую очередь, необходимо проверить качество воды и показатели радиационной безопасности, особенно если вы будете пользоваться водой из скважин. Воду на присутствие радиации надо проверить обязательно, ведь если с бактериями и микробиологическим фактором можно бороться, то эффективных методик для снижения радиации не существует. Сейчас есть масса лабораторий, занимающихся этим вопросом, например, лаборатории ФГУЗ «Центр гигиены и эпидемиологии в Красноярском крае», ФГУ «Красноярский центр стандартизации, метрологии и сертификации», ООО «Краском».
Галина Викторовна Саломахина, генеральный директор исследовательской лаборатории ООО»Аспект»
Чтоб водой не затопило и тепло не уходило?
Но не только хорошие санитарно эпидемиологические и экологические показатели обеспечивают безопасность вашего нового жилья. Соответствие систем инженерно технического обеспечения дома и квартиры, в частности, проектным решениям и нормативным документам имеет немаловажное значение для комфортного проживания. Этим занимается отдел Энергонадзора, в функции которого входит надзор за качественным выполнением работ по инженерно техническому обеспечению объектов строительства и реконструкции.
Итак, какие же чаще всего нарушения встречаются в этой области? К сожалению, при выполнении строительных работ нарушения требований стандартов, СНиПов и других важных для строительства документов, а также использование дешевых материалов низкого качества скорее правило, чем исключение.
Отдел Энергонадзора при проверках чаще всего встречается с такими нарушениями, как, например, неправильная установка отопительных приборов. А ведь даже незначительное отступление от норм при монтаже может ухудшить теплоснабжение помещения, затруднить осмотр, ремонт и очистку радиаторов.
Применение некачественной изоляции трубопроводов, которая не отвечает требованиям СНиП и пожарной безопасности, также негативно сказывается на подаче тепла и безопасной эксплуатации всей инженерной системы.
Одним из важных факторов при строительстве является правильное выполнение системы вентиляции, обеспечивающей обмен воздуха в помещении, удаление избытков тепла, влаги, вредных веществ и примесей. При проверках часто обнаруживается отсутствие вентиляционных решеток в квартирах, не соответствующие нормам вентиляционные отверстия, а иногда они настолько забиты строительным мусором, что приточно вытяжная вентиляция и вовсе не функционирует.
В квартирах и подвалах жилых домов используемый материал трубопроводов нередко не соответствует тому, что указан в документах. И, как выясняется, чаще строители не экономят, а, наоборот, ставят материал новый, более современный — поливинилхлорид, полиэтиленовые, медные, латунные трубы, а в документации это забывают отразить.
— Такие незначительные, на первый взгляд, отступления от норм и правил могут привести к негативным последствиям в процессе эксплуатации объектов, — поясняет начальник отдела Энергонадзора Владимир Муганцев, — поэтому наша главная задача — обнаружить нарушения на той стадии, когда еще можно их исправить и проследить за устранением.
?или током не убило
Что касается электроснабжения, то и здесь существующие нормы и правила строителями нередко нарушаются. Очень часто встречаются нарушения при прокладке кабельных линий в подвальных помещениях, расстояние между параллельно проложенными кабелями зачастую не выдерживается — должно быть не менее 10 сантиметров, бывает, что кабельные линии переплетены и лежат друг на друге. Помещения вводно распределительных устройств (ВРУ) жилого дома, куда заведены все кабельные линии, зачастую не имеют вентиляции, на электрощитах отсутствуют диспетчерские надписи и однолинейные схемы, бирки на кабельных линиях, указывающие марку, сечение, напряжение, наименование кабельной линии.
На все нарушения инспекторами отдела Энергонадзора, как и всех других отделов службы, выдаются предписания, исполнение которых контролируется. В случае же неисполнения предписаний ответственным лицам грозит административная ответственность. Что новенького?
За последние годы произошли значительные изменения требований к системам инженерно технического обеспечения новостроек, причем в сторону повышения безопасности и долговечности зданий. По новым требованиям вся внутриквартирная электропроводка с 2001 года стала устанавливаться трехпроводная медная вместо двухпроводной алюминиевой. Это связано с повышением надежности электроснабжения и минимизацией рисков поражения электрическим током. Также на решение разработчиков норм повлияло и то, что в квартирах резко возросло количество бытовых электроприборов достаточно большой мощности, и если установленной мощности в 5 кВт для квартиры раньше считалось достаточно, то сейчас норма составляет 8 кВт.
Повысились требования и к обеспечению электробезопасности жилья: обязательной является установка устройства защитного отключения (УЗО), питающего электрические розетки в ванных и душевых помещениях квартир. Устройство срабатывает при коротком замыкании, скачке напряжения, ухудшении качества изоляции электроприемника или электропроводки и отключает подачу тока. Еще одно нововведение — установка системы дополнительного заземления для ванных и душевых помещений — отдельный проводник до металлических труб, металлических ванн.
В системе отопления единственное кардинальное изменение по новым нормам и правилам — присутствие индивидуального теплового пункта (ИТП) во всех жилых домах, который обеспечивает автоматическое регулирование подачи тепла в жилой дом. ИТП — комплекс устройств, расположенный в обособленном помещении, состоящий из элементов тепловых энергоустановок, обеспечивающий присоединение этих установок к тепловой сети, их работоспособность, управление режимами теплопотребления, трансформацию, регулирование параметров теплоносителя.
Это отдельное помещение в подвале, где стоят теплообменник, подкачивающие насосы, приборы регулирования и учёта расхода тепла. В ИТП обычно устанавливается смесительное устройство, которое снижает температуру поступающей из тепловой сети воды до значения, предусмотренного в системе отопления.
Такие параметры теплоносителя (горячей воды в трубах), как температура и давление, не должны превышать 90 °С и 1,0 МПа. Понятно, что чем морознее за окном, тем выше температура воды в трубах. Систему теплоснабжения с применением ИТП называют закрытой, так как горячая вода в радиаторы отопления квартиры поступает, проходя через ИТП, в старых же системах теплоснабжения (так называемых открытых) горячая вода подавалась в квартиры по трубам напрямую из теплосети, приводя к опасным перегревам батарей. Дело даже не в том, что о чрезмерно нагретый радиатор легко обжечься, а еще и в том, что перегретая батарея сжигает воздух в комнате, создавая духоту в помещении. Проветривать же комнату в сильные морозы чревато повреждением окон из за обильно образующегося при этом конденсата.
Уберечься от пожара
Практика пожарной службы показывает, что 80% пожаров происходят в жилых домах. И хотя чаще всего горят частные жилые дома старой постройки, время от времени случаются пожары и в многоквартирных зданиях. И тогда жертв и пострадавших может быть значительно больше.
Поэтому пожарной безопасности уделяется самое пристальное внимание как со стороны проектировщиков и производственного контроля, так и со стороны службы строительного надзора. Системы пожарной безопасности и противопожарные меры постоянно совершенствуются. Посмотрим, какие же изменения произошли на фронте борьбы с этой самой страшной стихией.
Если рассматривать безопасность зданий выше 28 метров (то есть выше 10 этажей), то в этих зданиях предусмотрены объемно планировочные, инженерно технические, организационные и другие мероприятия пожарной безопасности. Из объемно планировочных мероприятий можно выделить наличие незадымляемой лестничной клетки — это лестничная клетка, переходы в которую осуществляются через воздушную зону, то есть с каждого этажа должен быть выход по неостекленному балкону на лестничную клетку.
Инженерно технические мероприятия — меры, направленные на обнаружение пожара и создание условий, способствующих безопасной эвакуации людей. Такие меры подразумевают не только наличие автономных извещателей (о них мы поговорим немного позже) в каждой квартире, но и автоматической системы пожарной сигнализации, которая при срабатывании подает сигнал на пульт управления. При этом включаются насосы повысители внутреннего противопожарного водопровода, включается система дымоудаления, расположенная на каждом этаже в виде люков или клапанов дымоудаления, которые работают на отсос дыма, включается система подпора воздуха в шахтах лифтов, чтобы обеспечить безопасность людей, находящихся в лифтах, при этом лифты спускаются до первого этажа, двери открываются и лифт больше не работает. Также действуют и все те меры, которые применяются в жилых зданиях до 10 этажей — это отделение всех технических помещений от жилых, наличие аварийных выходов, оптимальная ширина и высота путей эвакуации.
Что касается самых распространенных домов 97 й серии (жилые дома до 10 этажей), противопожарная система там намного проще, чем в высотках, — нет систем автоматической пожарной защиты, нет систем дымоудаления. С 2003 года были внесены изменения по оборудованию каждой комнаты, за исключением ванной комнаты и туалета, автономными дымовыми пожарными извещателями.
Устройство абсолютно автономно, не требует подключения к системам и работает от элементов питания типа «Крона» (одной батарейки хватает примерно на год). Такие извещатели выделяются среди других средств активной защиты от огня, поскольку могут реагировать на дым на ранней стадии возгорания и способны звуковым сигналом тревоги своевременно предупредить жителей об угрозе пожара. В США, например, пожарными извещателями оборудовано 88% квартир, а в Канаде — 100%. По данным аналитиков, при использовании автономных дымовых пожарных извещателей число человеческих жертв сокращается на 64 69%, количество пожаров уменьшается на 25 30%, материальный ущерб сокращается на 19 26%.
Еще одно изменение, которое было внесено в действующие СНиПы по жилым зданиям, — это оборудование каждой квартиры бытовыми пожарными кранами. Это устройство, которое крепится к сети хозяйственного питьевого водопровода и представляет собой смотанный шланг, обеспечивающий возможность тушения локального возгорания в любой точке помещения квартиры.
В новых домах предусмотрено отделение технических этажей, подвалов, технических помещений от жилых помещений. В старых домах, где эти помещения располагались непосредственно под жилыми квартирами, при пожаре возникала опасная ситуация, когда лестничные клетки заволакивало дымом, что затрудняло эвакуацию жильцов из здания.
Без изменений остались базовые нормы, предполагающие отделение машинных помещений, лифтов противопожарными перегородками и установку в проемах противопожарных дверей, люков, а также отделение технического этажа либо чердака противопожарными дверьми. Что спасет при пожаре?
На случай пожара очень важно, чтобы была соблюдена следующая норма — зазор между маршами лестниц в подъезде должен составлять 75 мм для возможности более быстрой прокладки рукавных линий при тушении пожара. Ведь от скорости работы пожарных зависят жизни и здоровье людей.
Второе, что должно быть соблюдено при строительстве, — выход из любого подъезда на кровлю, чердак для тушения пожара и проведения спасательных работ. Кроме того, для безопасности жильцов должен быть обеспечен выход на балкон или лоджию, поэтажно соединенную между собой лестницами до отметки 5 го этажа. Либо выход на балкон или лоджию, имеющую простенок с торца балкона до остекленного проема — 1 м 20 см либо 1 м 60 см между остекленными проемами. Это сделано для того, чтобы при пожаре человек мог выйти на балкон в зону, куда огню добраться затруднительно, и дождаться помощи на балконе.
— Среди наиболее распространенных нарушений в новостройках я бы отметил разную высоту ступеней лестничных клеток, — рассказывает заместитель начальника отдела пожарного надзора службы Евгений Скрипальщиков, — это очень больной вопрос, и встречается практически на каждом объекте. Бывает, что ширина зазора между лестницами меньше установленной нормами.
Очень опасное нарушение, а оно, к сожалению, встречается, если открывание дверей из квартир на лестничную площадку происходит не вовнутрь, как предусмотрено проектом, а наружу. При пожаре, если квартиры расположены рядом, открыв дверь одной квартиры, сложно открыть дверь другой, и оставшиеся жильцы могут быть заблокированы в горящей квартире. Иногда встречаются замечания по аварийным выходам — либо забывают делать люки до 5 го этажа, либо каким то образом уменьшают простенки между остекленными проемами. В целом же можно сказать, что жилье строится нормальное, если есть нарушения, вовремя пресекаем.
Как же проверяют?
Отдел пожарного надзора проводит проверку возводимого дома, как и большинство отделов, на всех этапах строительства. Первое, что требуется на этапе строительства, — обеспечить объект и саму строительную площадку наружным противопожарным водоснабжением. Также специалистам необходимо посмотреть противопожарные разрывы до соседних зданий и сооружений — такие разрывы зависят от степени огнестойкости здания и не позволяют пламени в случае пожара распространяться на соседние здания и сооружения.
Далее объект проверяется на этапах возведения самого здания — смотрится соответствие геометрических размеров путей эвакуации, эвакуационных выходов, объемно планировочные решения — длина путей эвакуации до эвакуационных выходов, те ли применяются строительные конструкции. Проверку объект проходит и на завершающем этапе отделочных работ — проверяется применение строительных материалов на путях эвакуации, выполнение систем автоматической противопожарной защиты — сигнализации, пожаротушения, дымоудаления. Завершается все итоговой проверкой.
Отделка должна быть безопасной
В случае возникновения пожара очень многое зависит от отделочных материалов, и зачастую это вопрос жизни и смерти — опасны не только сильногорючие материалы, но и их дымообразующая способность и способность выделять токсичные соединения при горении. Особенно это актуально для отделки путей эвакуации. Пожарная опасность строительных и отделочных материалов определяется такими пожарно техническими характеристиками, как горючесть, воспламеняемость, распространение пламени по поверхности, дымообразующая способность и токсичность.
По словам Евгения Николаевича, в жилых зданиях, как правило, токсичные и горючие материалы не применяют:
— Нормами предусмотрено разграничение по группам горючести, токсичности, воспламеняемости, дымообразующей способности на путях эвакуации (коридоры, холлы, тамбуры). И я не встречал, чтобы коридоры, например, отделывали линолеумом, не имеющим достаточного сертификата. Чаще всего такая отделка попадается в зданиях административного назначения и общественных зданиях. Встречается и линолеум, и пластиковые панели токсичные и имеющие группу горючести самую высокую — Г4 (таких групп всего четыре). Штукатурка, покраска — это куда безопаснее в плане отделки путей эвакуации людей.
При этом сейчас появляется большое количество новых отделочных материалов. Буквально на днях мы встречаемся со специалистами компании «Сибирь»: они готовы предложить на рынок стеновые панели для внутренней отделки с сертификатом горючести НГ — негорючие. Интересно посмотреть, что это за панели? Много новинок и в системе автоматической пожарной защиты — появляются и извещатели новые, и приемно контрольные приборы.
То есть прогресс в деле пожарной безопасности очевиден, и это не может не радовать.
Конечно, иногда введение дополнительных требований к безопасности и качеству объектов вызывает у некоторых застройщиков бурю негодования. Им не хочется нести дополнительные расходы на покупку и установку различных систем безопасности. Ведь многие нормы зачастую даже жестче европейских и американских требований. Но ведь в итоге получается, что сами застройщики при большой конкуренции заинтересованы строить качественное, комфортное и безопасное жилье, превосходящее на порядок по потребительским качествам изношенные «сталинки» и «хрущевки».
Источник: www.sibdom.ru
Архитектурная безопасность
1. Галатенко В.А. Основы информационной безопасности. М.:ИНТУИТ. РУ. – 2003. с. 169-189, 213-222.
2. Завгородний В.И. Комплексная защита информации в компьютерных системах. М.: «Логос» – 2001. с. 179–188.
3. Малюк А.А., Пазизин С.В., Погожин Н.С. Введение в защиту информации в автоматизированных системах. М.: «Горячая Линия – Телеком» – 2001. с.124-132.
Материальное обеспечение: LCD-проектор или Лектор 2000.
Тема лекции: Защита информации в корпоративных сетях.
Введение
Многие организации присоединили или хотят присоединить свои локальные сети к Интернету, чтобы их пользователи имели легкий доступ к сервисам Интернета. Т.к. Интернет в целом не является безопасным, машины в этих ЛВС уязвимы к неавторизованному использованию и внешним атакам.
Основы и цель политики безопасности в компьютерных сетях
Информационная система типичной современной организации является весьма сложным образованием, построенным в многоуровневой архитектуре клиент/сервер, которое пользуется многочисленными внешними сервисами и, в свою очередь, предоставляет собственные сервисы вовне. С точки зрения безопасности существенными представляются следующие аспекты ИС:
— корпоративная сеть имеет несколько территориально разнесенных частей, связи между которыми находятся в ведении внешнего поставщика сетевых услуг, выходя за пределы зоны, контролируемой организацией;
— корпоративная сеть имеет одно или несколько подключений к Internet;
— на каждой из разнесенных частей ИВС могут находиться критически важные серверы, в доступе к которым нуждаются сотрудники, работающие на удаленных рабочих местах, мобильные пользователи и, возможно, сотрудники других организаций;
— для доступа пользователей могут применяться не только компьютеры, но и потребительские устройства, использующие, беспроводную связь;
— в течение одного сеанса работы пользователю приходится обращаться к нескольким информационным сервисам, опирающимся на разные аппаратно-программные платформы;
— к доступности информационных сервисов предъявляются жесткие требования, которые выражаются в необходимости круглосуточного функционирования с максимальным временем простоя порядка нескольких минут;
— информационная система представляет собой сеть с активными агентами, то есть в процессе работы программные компоненты, такие как апплетыили сервлеты, передаются с одной машины на другую и выполняются в целевой среде, поддерживая связь с удаленными компонентами;
— не все пользовательские системы контролируются сетевыми и/или системными администраторами организации;
— программное обеспечение, особенно полученное по сети, не может считаться надежным, в нем могут быть ошибки, создающие проблемы в защите;
— конфигурация информационной системы постоянно изменяется на уровнях административных данных, программ и аппаратуры (меняется состав пользователей, их привилегии и версии программ, появляются новые сервисы, новая аппаратура и т.п.).
Архитектурная безопасность
Сервисы безопасности, какими бы мощными они ни были, сами по себе не могут гарантировать надежность программно-технического уровня защиты. Только проверенная архитектура способна сделать эффективным объединение сервисов, обеспечить управляемость информационной системы, ее способность развиваться и противостоять новым угрозам при сохранении таких свойств, как высокая производительность, простота и удобство использования.
Если какой-либо (составной) сервис не обладает полным набором защитных средств, необходимо привлечение дополнительных сервисов, которые называются экранирующими. Экранирующие сервисы устанавливаются на путях доступа к недостаточно защищенным элементам; в принципе, один такой сервис может экранировать (защищать) сколь угодно большое число элементов.
С практической точки зрения наиболее важными являются следующие принципы архитектурной безопасности:
— непрерывность защиты в пространстве и времени, невозможность миновать защитные средства;
— следование признанным стандартам, использование апробированных решений;
— иерархическая организация ИС с небольшим числом сущностей на каждом уровне;
— усиление самого слабого звена;
— невозможность перехода в небезопасное состояние;
— эшелонированность обороны;
— разнообразие защитных средств;
— простота и управляемость информационной системы.
Для обеспечения высокой доступности необходимо соблюдать следующие принципы архитектурной безопасности:
— внесение в конфигурацию той или иной формы избыточности (резервное оборудование, запасные каналы связи и т.п.);
— наличие средств обнаружения нештатных ситуаций;
— наличие средств реконфигурирования для восстановления, изоляции и замены компонентов, отказавших или подвергшихся атаке на доступность;
— рассредоточенность сетевого управления, отсутствие единой точки отказа;
— выделение подсетей и изоляция групп пользователей друг от друга.
Экранирование
Формальная постановка задачи экранирования состоит в следующем. Пусть имеется два множества ИС. Экран – это средство разграничения доступа клиентов из одного множества к серверам из другого множества. Экран осуществляет свои функции, контролируя все информационные потоки между двумя множествами систем (рис.1). Контроль потоков состоит в их фильтрации, возможно, с выполнением некоторых преобразований.
На следующем уровне детализации экран удобно представлять как последовательность фильтров. Каждый из фильтров, проанализировав данные, может задержать (не пропустить) их, а может и сразу «перебросить» за экран. Кроме того, допускается преобразование данных, передача порции данных на следующий фильтр для продолжения анализа или обработка данных от имени адресата и возврат результата отправителю (рис. 2).
Рис. 1. Экран как средство разграничения доступа.
Рис.2. Экран как последовательность фильтров.
Помимо функций разграничения доступа, экраны осуществляют протоколирование обмена информацией.
Обычно экран не является симметричным, для него определены понятия «внутри» и «снаружи». При этом задача экранирования формулируется как защита внутренней области от потенциально враждебной внешней. Так, межсетевые экраны (МЭ) (английский термин firewall) чаще всего устанавливают для защиты корпоративной сети организации, имеющей выход в Internet.
Экранирование помогает поддерживать доступность сервисов внутренней области, уменьшая или вообще ликвидируя нагрузку, вызванную внешней активностью. Уменьшается уязвимость внутренних сервисов безопасности, поскольку первоначально злоумышленник должен преодолеть экран, где защитные механизмы сконфигурированы особенно тщательно.
Экранирование дает возможность контролировать также информационные потоки, направленные во внешнюю область, что способствует поддержанию режима конфиденциальности в ИС организации.
Экранирование может быть частичным, защищающим определенные информационные сервисы, например экранирование электронной почты системой «Дозор-Джет».
МЭ обеспечивают несколько типов защиты:
— блокируют нежелательный трафик;
— направляют входной трафик только к надежным внутренним системам;
— скрывают уязвимые системы, которые нельзя обезопасить от атак из Интернета другим способом;
— протоколируют трафик в и из внутренней сети;
— скрывают информацию, такую как имена систем, топология сети, типы сетевых устройств и внутренние идентификаторы пользователей, от Интернета;
— обеспечить более надежную аутентификацию, чем та, которую представляют стандартные приложения.
Источник: megaobuchalka.ru
Архитектура безопасности
Архитектура безопасности — официальное дополнение ISO к модели OSI, определяющее меры безопасности в информационной сети.
Архитектура безопасности предполагает:
— предотвращение чтения сообщений любыми лицами;
— защиту трафика от его анализа посторонними;
— обнаружение изменений потоков сообщений;
— определение искажений блоков данных.
В зависимости от используемых методов различают:
— сети со слабой защитой, в которых усилия нарушителя пропорциональны затратам отправителя;
— сети с сильной защитой, требующие резкого увеличения затрат нарушителя.
Финансовый словарь Финам .
Смотреть что такое «Архитектура безопасности» в других словарях:
архитектура безопасности — (МСЭ Т Х.1141). [http://www.iks media.ru/glossary/index.html?glossid=2400324] Тематики электросвязь, основные понятия EN security architecture … Справочник технического переводчика
архитектура безопасности общих данных — архитектура защиты общих данных — [Л.Г.Суменко. Англо русский словарь по информационным технологиям. М.: ГП ЦНИИС, 2003.] Тематики информационные технологии в целом Синонимы архитектура защиты общих данных EN common data security… … Справочник технического переводчика
архитектура безопасности данных — Архитектура, определяющая методы и средства защиты программ и данных. [Гипертекстовый энциклопедический словарь по информатике Э. Якубайтиса] [http://www.morepc.ru/dict/] Тематики информационные технологии в целом EN data security architecture … Справочник технического переводчика
архитектура безопасности распределенных систем — АБРС Разработанная в 1986 г. криптосистема американской фирмы «DEC», использующая две схемы шифрования: симметричную для обеспечения конфиденциальности и целостности данных и асимметричную для аутентификации и распределения ключей.… … Справочник технического переводчика
Архитектура системы безопасности в сетях LTE — Архитектура системы безопасности в сетях LTE это структура сотовой сети стандарта LTE, описанная в технических спецификациях 3GPP TS 33.401[1] и 3GPP TS 33.402[2], которая включает набор методов, позволяющих обеспечить безопасную связь… … Википедия
архитектура — (architecture): Набор элементов конструкции или описательных представлений, необходимый для такого описания объекта, чтобы он мог быть создан в соответствии с требованиями (с нужным качеством), а также обслуживаться в течение всего срока его… … Словарь-справочник терминов нормативно-технической документации
архитектура информационной безопасности Взаимоувязанной сети связи Российской Федерации [*] — архитектура информационной безопасности ВСС РФ [**] Логическая структура и принципы обеспечения информационной безопасности ВСС РФ [**]. Примечание Логическая структура обеспечения информационной безопасности ВСС РФ совокупность органов, служб,… … Справочник технического переводчика
Архитектура Windows NT — Windows NT 3.1, Windows NT 3.5, Windows NT 3.51 … Википедия
АРХИТЕКТУРА ЕВРОПЕЙСКОЙ БЕЗОПАСНОСТИ — (European security architecture) эффективное сотрудничество между европейскими и евроатлантическими организациями, а также ООН, с целью обеспечения дополняемости и взаимного усиления вкладов этих международных организаций, в том числе… … Юридическая энциклопедия
Архитектура и достопримечательности Перми — Архитектура и достопримечательности Перми. Содержание 1 Планировка и благоустройство 1.1 Первые планы города … Википедия
Источник: dic.academic.ru