Владимир Волхонский, Сергей Малышкин,
Национальный исследовательский университет
"Алгоритм Безопасности" № 4, 2014 год
Вопросы терминологии в различных областях методов и средств обеспечения безопасности (МСОБ), например, информационной (ИБ), ядерной (ЯБ), противокри-минальной и других разрабатывались, как правило, в соответствии с востребованностью тех или иных МСОБ. На начальном этапе различные термины и понятия формулировались с учетом особенностей и специфики каждой конкретной области применения. И такая задача, как формулировка общих определений, при этом обычно и не ставилась. Конечно, предметно-ориентированные определения так же нужны, однако они, как минимум, должны быть согласованы с общими определениями.
Сказанное относится и к таким терминам как «физическая защита» (ФЗ) и «система физической защиты» (СФЗ), частному случаю проблемы единства терминологии [1]. Так само понятие физическая защита трактуется в разных документах и особенно разными авторами существенно различным образом. Существует, например, мнение, что ИБ не включает ФЗ, хотя государственные стандарты четко определяют это. Таким образом в настоящее время сложилась ситуация, когда специалисты в различных предметных областях обеспечения безопасности говорят на «разных языках», используя различные формулировки для обозначения одного и того же понятия и одинаковые термины для обозначения разных задач и систем.
Вопрос единства терминологии важен и с точки зрения международного общения специалистов, требующего перевода рассматриваемых понятий с русского на английский и наоборот. Примером попытки решить такую задачу может служить работа Sandia National Labs [2].
Поэтому, с точки зрения авторов, нужно говорить о целесообразности и актуальности формулировки общих терминов, справедливых для любых объектов обеспечения безопасности. Для этого проанализируем известные термины, такие как «физическая защита», «системы физической защиты», используемые в областях информационной, ядерной, противокри-минальной безопасности и в других предметно ориентированных областях.
Анализ ситуации в области терминологии СФЗ
Наиболее полно и логично с научно-методической точки зрения термины, связанные с обеспечением физической защиты, сформулированы применительно к задачам физической защиты информации, как одного из видов защиты информации (ЗИ). В соответствующих документах [3-5] даны определения практически всех упомянутые терминов. И это в определенной степени понятно, поскольку задачи ЗИ требуют использования практически всех методов и средств обеспечения безопасности. Так как обеспечение ЗИ невозможно без обеспечения безопасности собственно объекта информатизации (ОИ) и средств обработки, передачи и хранения информации (СОПХИ), находящихся на нем. В отличие от частных задач, к примеру, обеспечения безопасности только материальных ресурсов.
Нужно отметить и тот факт, что на современном этапе развития объекты информатизации становятся наиболее общими и сложными с точки зрения обеспечения безопасности объектами, требующими максимально полный перечень методов и средств обеспечения безопасности. Ведь современные объекты в большинстве случаев являются в большей или меньшей степени объектами информатизации. Так любой, даже небольшой офис сейчас немыслим без компьютерных СОП-ХИ. Все больше информации с твердых носителей переводится в электронную форму, поэтому и задача обеспечения физической безопасности объектов становится все в большей степени задачей не охраны имущества, а информации, содержащейся в нем. Таким образом меняется соотношение возможных потерь от кражи компьютера или мобильного телефона, как некоторого материального объекта со своей стоимостью, в сторону возможных и значительно более существенных и, зачастую, трудно восполнимых информационных потерь (по сравнению с материальными - стоимостью устройства).
Это же можно сказать и о вопросах защиты ядерных объектов, в силу чрезвычайной важности этой задачи (возможности нанесения не просто существенных, а катастрофических потерь).
Другая сторона рассматриваемого вопроса состоит в том, что в современных условиях в значительном числе случаев трудно и обычно нецелесообразно разделять функционально разные подсистемы безопасности или функции, выполняемые этими подсистемами. Так для одного и того же объекта обеспечения безопасности одни и те же средства, к примеру, охранной сигнализации (ОС), контроля доступа, ТВ наблюдения и др. могут решать задачи и антитеррористической, и противокриминальной, и информационной, и других видов безопасности. И, наоборот, материальные ресурсы могут быть объектом обеспечения безопасности при решении задач обеспечения упомянутых выше видов безопасности, к примеру, информационной.
Сказанное иллюстрируется на рисунке 1 , где представлен основной состав технических средств обеспечения безопасности - охранной и пожарной сигнализации, ТВ наблюдения, контроля доступа, инженерно-технической защиты и др. А также показана необходимость использования перечисленных средств для решения различных задач обеспечения безопасности: противокриминальной, антитеррористической, информационной и др. Очевидно, что одни и те же средства используются практически во всех задачах. А это также подтверждает целесообразность решения поставленной задачи.
Рис. 1. Технические средства обеспечения безопасности
Известные определения для предметноориентированных приложений
Основные определения, касающиеся систем физической защиты, представленные в стандартах и специальной литературе проанализированы подробно в работе «Системы физической защиты. Терминология, состав и функции.» [1]. В основном эти определения учитывают специфику различных предметно ориентированных отраслей.
Для задач защиты информации основными документами можно считать государственные стандарты [3-5].
В соответствии с ними термин «защита информации» включает четыре вида защиты информации: правовая, криптографическая, техническая и физическая. При этом [3] физическая защита информации - это защита информации путем применения организационных мероприятий и совокупности средств, создающих препятствия для проникновения или доступа неуполномоченных физических лиц к объекту защиты.
В свою очередь, термин «объект информатизации» раскрывается в [5]. Объект информатизации - совокупность информационных ресурсов, средств и систем обработки информации, используемых в соответствии с заданной информационной технологией, а также средств их обеспечения, помещений или объектов (зданий, сооружений, технических средств), в которых эти средства и системы установлены, или помещений и объектов, предназначенных для ведения конфиденциальных переговоров.
Техника ЗИ, среди прочих, включает ряд средств физической защиты информации на объекте, а именно системы [4]:
¦ охранной и охранно-пожарной сигнализации;
¦ охранного телевидения и наблюдения;
¦ инженерно-технические средства защиты объектов.
А также средства управления, такие как средства управления доступом к информации.
Отметим, что приведенные выше термины объект информатизации и расшифровка техники ЗИ можно рассматривать как пример удачной формулировки ООБ и МСОБ. Формулировки общей и, в тоже время, достаточно детализированной и учитывающей практически все аспекты конкретной прикладной задачи обеспечения ИБ.
Однако, с точки зрения общности, имеет смысл учитывать вопросы защиты не только от проникновения или доступа неуполномоченных физических лиц, а также и от других угроз (в общем случае произвольных), приводящих к существенным потерям.
Для ядерных объектов, например, в [7] представлены следующие определения:
Система физической защиты ядер-ноопасных объектов и радиационно-опасных объектов - совокупность организационных мероприятий, инженерно-технических средств и действий подразделений охраны, предназначенных для обеспечения физической защиты ядерных материалов, ядерных установок, радиоактивных веществ, радиационных источников.
Физическая защита - совокупность организационных мероприятий, инженерно-технических средств и действий подразделений охраны с целью предотвращения диверсий или хищений ядерных материалов.
Техническими средствами системы физической защиты являются [8] элементы и устройства, входящие в состав следующих основных функциональных систем:
¦ охранная сигнализация;
¦ тревожно-вызывная сигнализация;
¦ контроль и управление доступом;
¦ оптико-электронное наблюдение и оценка ситуации;
¦ оперативная связь и оповещение (в том числе средства проводной связи и радиосвязи);
¦ защита информации;
¦ обеспечение электропитания, освещения.
Отметим имеющийся на взгляд авторов недостаток с точки зрения общности определений в области ЯБ, заключающийся в том, что практически во всех определениях угрозой ООБ считаются неуполномоченные физические лица (нарушители). Однако очевидно, что есть и ряд других угроз, например, исходящих от сотрудников, т.е. формально уполномоченных для доступа лиц или угрозы природного характера.
Ряд терминов и понятий предлагается в различных публикациях таких авторов, как П.В. Бондарев, С.Ф. Алаухов, В.Я. Коцеруба и др.
Например, в монографии [9] система обеспечения безопасности объекта определяется как совокупность физической защиты, инженерной защиты, технической защиты и специальной защиты. Автор использует следующие определения перечисленных выше терминов. Физическая защита обеспечивается службой охраны, инженерная защита предусматривает использование усиленных дверей и дверных коробок, металлических решеток, усиленных ограждающих конструкций, усиленных запоров, сейфов повышенной стойкости. Техническая защита включает систему охранной сигнализации, систему телевизионного наблюдения, систему тревожного оповещения, автоматизированную систему контроля доступа, переговорные устройства, средства связи, пожарной сигнализации, средства проверки почтовой корреспонденции, охранного освещения, резервного (аварийного) электропитания, систему дежурного и тревожного освещения.
Заметим, что последние термины заметно расходятся с рассмотренными выше формулировками для задач ЗИ и ЯБ.
В зарубежной литературе используются термины, перевод которых приведен ниже.
Физическая защита (Physical Protection) - это характеристика ядерно-энергетических систем, которая показывает степень противодействия краже материалов, пригодных для ядерных взрывных устройств или радиоактивных устройств, их перемещению, а также диверсиям на объекте субнациональными противниками [10].
Система физической защиты (Physical Protection System) - совокупность людей, процедур и оборудования для физической защиты имущества или сооружений [11].
В целом, анализируя все вышесказанное, можно сделать вывод о наличии явного разночтения в трактовке одинаковых терминов в разных областях, различных документах и разными авторами. А это дополнительно подтверждает целесообразность решения поставленной авторами в работе задачи.
Предлагаемые термины
Обоснуем и сформулируем максимально общее определение ФЗ и СФЗ, которое, при необходимости, могло бы служить для формулировки частных и более детальных определений для предметно ориентированных областей. Анализируя приведенные выше определения, можно сделать вывод, что термины «физическая защита» или «системы физической защиты» используются в четырех смысловых значениях:
1) защита от физических лиц;
2) защита физическими лицами (сотрудниками служб охраны);
3) использование физических препятствий (и как следствие задержки для их преодоления) достижению цели нарушителем (угрозой);
4) обеспечение физической целостности объектов.
Можно говорить о том, что в той или иной мере правильны все смысловые значения, но полностью применительно только к конкретным предметно ориентированным задачам. Кроме того, они учитывают не все угрозы.
Проанализируем эти смысловые понятия.
В первом случае угрозой считаются только физические лица, хотя очевидно, что угрозы могут исходить не только от физических и не только от неуполномоченных лиц. Имеется ряд других угроз, аналогичных по наносимому ущербу, а зачастую и превосходящих его. И угроз не только прямых, но и опосредованных. Примерами могут служить ситуации на АЭС Фокусима (реализовавшаяся угроза -природное явление) и Чернобыльской АЭС (реализовавшаяся угроза - уполномоченные лица - персонал). Таким образом, подобное ограничение перечня угроз снижает общность определений, поскольку одни и те же последствия могут быть при реализации разных угроз.
Второй вариант представляется также частным случаем, поскольку сотрудники службы охраны составляют лишь часть системы обеспечения физической безопасности и практически всегда используются в сочетании с техническим средствами.
Третий вариант является частным случаем, так как препятствия, создающие задержку в развитии угрозы, могут быть не только физические, а, например, программными, организационными и др. Также, только одними препятствиями задача физической защиты не решается.
Поэтому последнее смысловое значение - обеспечение физической целостности ООБ - представляется наиболее правильным и общим. Так как определяет объект защиты от произвольных в общем случае угроз.
К такому же выводу можно прийти и путем других рассуждений. Чтобы определиться со смысловым значением, выделим главное, суть, которая должна определять понятия. Нет сомнения, что главное - это объект защиты (объект обеспечения безопасности), поскольку все делается ради этого объекта. Поэтому, по мнению авторов, надо говорить, прежде всего, о сохранении физической целостности объекта защиты или связанных с ним и влияющих на его физическую целостность составляющих (например, окружающей среды). Так, применительно к задачам ЗИ, это объект информатизации, включая носители и средства обработки информации.
Более того, в выше рассмотренных терминах ЗИ и ЯБ явно прослеживается задача сохранения физической целостности ООБ.
Таким образом, можно дать следующие определения ФЗ и СФЗ.
Физическая защита - это совокупность действий по обеспечению физической целостности объекта обеспечения безопасности.
Система физической защиты - это совокупность методов и средств обеспечения физической целостности объекта обеспечения безопасности.
При этом под различными составляющими определения будем понимать следующее:
¦ совокупность методов - правовые, организационные, юридические, морально-этические и др., необходимые для решения задачи;
¦ совокупность средств - средства, необходимые для решения задачи, такие как аппаратные, программные и инженерно-технические;
¦ физическая целостность учитывает также и изменение взаимного пространственного расположения различных элементов ООБ без нарушения целостности каждого из элементов (например, в случае кражи это перемещение объекта);
¦ объект обеспечения безопасности - жизнь, здоровье, среда обитания, имущество, ресурсы и информация [12].
В заключении отметим, что, хотя авторы и старались аргументировано обосновать свое мнение, они не считают предложенные термины окончательной версией. Работа носит дискуссионный характер, авторы готовы выслушать замечания заинтересованных специалистов и обсудить этот вопрос.
Полный текст статьи ищите на портале AVTORITET.NET в разделе Библиотека/Статьи Avtoritet.net, по адресу http://avtoritet.net/library/articles
Литература
1. Волхонский В. В., Малышкин С. Л. К вопросу единства терминологии в задачах физической защиты объектов // Информационно-управляющие системы. 2013. № 5. С. 61-68.
2. 5. English / Russian and Russian / English Glossary of Physical Protection Terms/Soo Hoo, M. S. Sandia National Labs., Albuquerque, NM (United States), 1995.
3. ГОСТ Р 50922-2006. Защита информации. Основные термины и определения. - Введ. 1.02.2008. -М.: Стандартинформ, 2008.
4. ГОСТР 52069.0-2003. Защита информации. Система стандартов. Основные положения. - Введ. 01.01.2004. - М.: ИПК Издательство стандартов, 2003.
5. ГОСТ Р 51275. Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения [Электронный ресурс]. -Введ. 01.02.2008. - Режим доступа: http://protect.gost.ru/document.aspx?control=7&id=129071.
6. Федеральный закон от 21.11.1995 № 170-ФЗ «Об использовании атомной энергии» // Собрание законодательства Российской Федерации. 1995. № 48. С. 45-52.
7. РД-07-01-2004. Методические указания по проведению оценки состояния физической защиты ядерно- и радиационно-опасных объектов по результатам проведенной инспекции. - Введ. 1.01.2005. - Источник: www.russgost.ru.
8. Постановление Правительства РФ от 19.07.2007 № 456 «Обутверждении Правил физической защиты ядерных материалов, ядерных установок и пунктов хранения ядерных материалов». - Источник: www.referent.ru.
9. Магауренов Р. Г. Системы охранной сигнализации: основы теории и принципы построения. Учебное пособие. М.: Горячая линия-Телеком, 2004.
10. Proliferation Resistance and Physical Protection Evaluation Methodology Development and Applications/ R. Bari [et al.]. Brookhaven National Laboratory, 2009.
11. Physical Protection Principles/ Fedrick Charlie Matthew Brayon. - Nuclear Installation Dept. AELB. - Retrieved: http://www.aelb.gov.my.
12. Волхонский В. В. Системы охранной сигнализации. 2-е изд., доп. и перераб. СПб.: Экополис и культура, 2005.
