Захищена система грунтується на надійному проекті та інтелектуальному плануванні. Розглянемо елементи проекту, необхідні для створення більш захищених систем, заснованих на принципах безпеки. Ці принципи фізичної безпеки, багато з яких можуть бути запозичені з набору перевірених принципів ІТ-безпеки, допомагають керівникам в питаннях створення безпечного оточення безпосередньо з того моменту, коли в цьому виникла необхідність.

Безпека часто розглядається просто як «щось необхідне» для компанії. Відповідно кошти, вкладені в систему безпеки, розглядаються як витрати, а не як інвестиції, їх обсяг недооцінюється і применшується. В результаті багато компаній занадто пізно починають розглядати конкретні заходи безпеки, які повинні бути реалізовані. Те ж саме відноситься до інших об'єктів організацій, таких як ІТ-підрозділи. Тому в багатьох областях принципи розроблені в якості керівництва для прийняття бізнес-рішень.

Принципи, створені на основі передового досвіду, містять рекомендації для керівників і установників обладнання компанії. Дані принципи зобов'язують зацікавлені сторони на початковому етапі сформулювати цілі і створити проект. В цьому відношенні принципи є основою протягом усього процесу покупки і впровадження придбань.

З урахуванням об'єднання сфер безпеки та ІТ, а також таких явищ як глобалізація, застосування нових методів роботи і технологічних розробок, до систем безпеки пред'являються все більш високі вимоги. В результаті принципи безпеки стають все більш важливими. Тому перевірені принципи безпеки беруть свій початок в сфері ІТ-безпеки.

Принципи безпеки можна визначити, як набір бажаних властивостей системи, моделей поведінки, цілей і методів впровадження, які знижують ймовірність реалізації загрози і зменшують наслідки в разі її реалізації. Принципи безпеки допомагають визначити необхідні вимоги, прийняти рішення з питань архітектури та впровадження, а також виявити можливі вразливі місця систем. Вони допомагають керівникам в питаннях створення безпечного оточення безпосередньо з того моменту, коли в цьому виникла необхідність. Вони мотивують постачальників критично ставитися до питання і постійно перевіряти рішення, прийняті в процесі придбання та впровадження засобів безпеки.

Перевірені принципи ІТ-безпеки застосовні в сфері фізичної безпеки.

Представлені далі принципи ІТ-безпеки можуть застосовуватися при виборі і реалізації заходів фізичної безпеки, в залежності від розглянутого типу системи.

Застосовуйте «глибокий» захист. Це означає, що необхідні багаторівневі заходи безпеки. Ніхто не повинен покладатися тільки на один рубіж захисту. Публічний доступ до системи повинен бути ізольований від критично важливих ресурсів, фізичні і логічні заходи повинні застосовуватися в комбінації.

Використовуйте позитивну модель системи безпеки. Щоб забезпечити надійний контроль доступу, замість чорного списку необхідно використовувати білий список в комбінації зі значеннями за замовчуванням і мінімальними можливостями для атаки. Наприклад, необхідно використовувати зумовлені варіанти, замість порожніх полів для введення інформації.

Забезпечте реалізацію відмовостійкої політики і роботу всіх компонентів з найменшим рівнем привілеїв. Компоненти системи не повинні мати більше функціональних можливостей, ніж це необхідно для виконання їх завдань. Наприклад, кожен компонент повинен мати доступ тільки до тих таблиць в базах даних, які необхідні для його роботи, і не мати доступ до всіх інших таблиць або баз даних, щоб запобігти несанкціонованому доступу.

Уникайте такого підходу, при якому безпека забезпечується за рахунок невідомості. У якісно розробленій криптосистемі тільки ключ повинен зберігатися в секреті, а використовувані алгоритми не повинні містити прихованих елементів. Для цього повинні застосовуватися контрольовані і економічно здорові механізми. Зусилля та інвестиції повинні відповідати досягнутому рівню безпеки.

Виявляйте вторгнення. Переконайтеся, що ви зберігаєте всю важливу інформацію, щоб реагувати на події, як тільки вони відбуваються. Також необхідно впровадити процедури для подальшого контролю і реагування на події.

Не довіряйте інфраструктурі або сервісам. Якщо будь-який зовнішній ресурс або сервіс повинен відповідати політиці організації, він повинен бути перевірений. Крім того, до всіх зовнішніх систем слід ставитися з обережністю, використовуючи аналогічні стандарти.

Створіть надійні стандартні параметри. Безпека ніколи не повинна бути поставлена ​​під загрозу в зв'язку зі зручністю використання. За замовчуванням повинні застосовуватися максимально можливі заходи безпеки. Система повинна забезпечувати реалізацію цього принципу, в той час як конкретні користувачі повинні мати можливість робити винятки в разі потреби. Це повинно регулюватися системою.

Система повинна бути досить простою. У той час як зручність використання може ніколи не поставити під загрозу безпеку, це може зробити складність системи. Отже, співвідношення рівня безпеки та рівня складності системи повинно бути збалансованим. Зокрема, це стосується зручності використання, архітектури системи і можливих інтеграцій. Робота зі складною системою призводить до занадто багатьох залежностей, які ставлять під загрозу безпеку.

Місія системи безпеки повинна бути захищена від атаки, а не окремі компоненти системи. Тобто система в цілому повинна бути захищеною, а не кожен окремий її компонент.

Застосування принципів безпеки

Для того щоб допомогти у виборі і реалізації рішень у сфері безпеки, принципи безпеки повинні бути оцінені, інтерпретовані і застосовані для вирішення конкретного завдання. За допомогою оцінки та інтерпретації кожного принципу виявляються багато загроз для системи безпеки, в результаті чого може бути визначений перелік вимог до захисту. Метою є отримання повного набору параметрів, необхідних для забезпечення безпеки. Слід зазначити, що даний набір параметрів, специфічний для конкретного завдання яке необхідно вирішити, також називається «завданням безпеки».

Принципи розробки

Аналізуючи питання з позиції виробника, ми з'ясували, що сфера використання принципів безпеки не повинна обмежуватися процесами вибору і впровадження продукту, оскільки дані принципи застосовні протягом усього життєвого циклу розробки продукту. Наше завдання полягає в тому, щоб забезпечити клієнтам реалізацію заходів безпеки, які відповідають їхнім побажанням і вимогам, а також місцевим законам і обмеженням бюджету. Виходячи з цього, ми виробили принципи безпеки, щоб дозволити нашим клієнтам реалізувати їх головну мету - створити безпечне оточення, а також виявляти і відстежувати всіх людей, які входять в їх компанію.

Великою проблемою для постачальників продуктів у сфері управління системами безпеки є те, що їм доводиться пропонувати рішення, які повинні відповідати багатьом, іноді суперечливим вимогам клієнтів. Необхідність в комерційних, готових продуктах для управління системами безпеки змушує постачальників впроваджувати багатофункціональні, гнучкі, зручні у використанні і легко адаптивні продукти, які можуть вирішувати широкий спектр завдань безпеки і повинні відповідати принципам безпеки в такому вигляді, в якому їх оцінив, інтерпретував і застосував клієнт. Єдиний спосіб досягти цього - надавати продукти, які мають широкі можливості конфігурації і адаптації. Тому виробники повинні незмінно дотримуватися чітко визначених принципів безпеки. В даний час вони пропонують стандартний набір заходів безпеки, в той час як системи повинні бути спроектовані для конкретних завдань.