Инженерия безопасности — это процесс внедрения элементов управления безопасностью в информационную систему , чтобы элементы управления стали неотъемлемой частью эксплуатационных возможностей системы. [1] Она похожа на другие виды деятельности по системной инженерии тем, что ее основной мотивацией является поддержка поставки инженерных решений, которые удовлетворяют заранее определенным функциональным и пользовательским требованиям , но у нее есть дополнительное измерение предотвращения ненадлежащего использования и вредоносного поведения. Эти ограничения и запреты часто утверждаются как политика безопасности .
В той или иной форме инженерия безопасности существовала как неформальная область изучения на протяжении нескольких столетий. Например, области слесарного дела и защищенной печати существуют уже много лет. Проблемы современной инженерии безопасности и компьютерных систем впервые были закреплены в статье RAND от 1967 года «Безопасность и конфиденциальность в компьютерных системах» Уиллиса Х. Уэра. [2] Эта статья, позднее расширенная в 1979 году, [3] предоставила многие из фундаментальных концепций информационной безопасности, называемых сегодня кибербезопасностью, которые влияют на современные компьютерные системы, от облачных реализаций до встроенного Интернета вещей.
Недавние катастрофические события, особенно 9/11 , быстро превратили инженерию безопасности в быстрорастущую область. Фактически, в отчете, завершенном в 2006 году, было подсчитано, что глобальная индустрия безопасности оценивается в 150 миллиардов долларов США.
Инженерия безопасности включает в себя аспекты социальных наук , психологии (например, проектирование системы, которая « хорошо срабатывает », вместо того, чтобы пытаться устранить все источники ошибок), экономики , а также физики , химии , математики , криминологии , архитектуры и ландшафтного дизайна . [4] Некоторые из используемых методов, такие как анализ дерева неисправностей , заимствованы из инженерии безопасности .
Другие методы, такие как криптография, ранее ограничивались военными приложениями. Одним из пионеров создания инженерии безопасности как формальной области изучения является Росс Андерсон .
Не существует единой квалификации, позволяющей стать инженером по безопасности.
Тем не менее, степень бакалавра и/или магистра, часто в области компьютерных наук , компьютерной инженерии или степеней, ориентированных на физическую защиту, таких как наука о безопасности, в сочетании с практическим опытом работы (системы, сетевая инженерия, разработка программного обеспечения , моделирование систем физической защиты и т. д.) в большинстве случаев позволяет человеку добиться успеха в этой области. Существуют и другие квалификации с фокусом на безопасность. Доступны многочисленные сертификаты , такие как Certified Information Systems Security Professional или Certified Physical Security Professional, которые могут продемонстрировать экспертность в этой области. Независимо от квалификации, курс должен включать базу знаний для диагностики драйверов системы безопасности, теорию и принципы безопасности, включая глубокую защиту, глубокую защиту, ситуационную профилактику преступности и профилактику преступности посредством проектирования среды для определения стратегии защиты (профессиональный вывод) и технические знания, включая физику и математику, для проектирования и ввода в эксплуатацию решения по инженерной обработке. Инженер по безопасности также может извлечь пользу из знаний в области кибербезопасности и информационной безопасности. Любой предыдущий опыт работы, связанный с конфиденциальностью и информатикой, также ценится.
Все эти знания должны быть подкреплены профессиональными качествами, включая сильные коммуникативные навыки и высокий уровень грамотности для написания инженерных отчетов. Инженерия безопасности также известна под названием Security Science.
Технологические достижения, в основном в области компьютеров , теперь позволили создать гораздо более сложные системы с новыми и сложными проблемами безопасности. Поскольку современные системы пересекают многие области человеческой деятельности, инженерам по безопасности необходимо не только учитывать математические и физические свойства систем; им также необходимо учитывать атаки на людей, которые используют и формируют части этих систем, используя атаки социальной инженерии . Защищенные системы должны противостоять не только техническим атакам, но и принуждению , мошенничеству и обману со стороны мошенников .
По данным Microsoft Developer Network, шаблоны и методы проектирования безопасности состоят из следующих видов деятельности: [5]
Эти мероприятия призваны помочь в достижении целей безопасности на протяжении жизненного цикла программного обеспечения .
Проектирование безопасности продукта — это проектирование безопасности, применяемое специально к продуктам, которые организация создает, распространяет и/или продает. Проектирование безопасности продукта отличается от корпоративной/корпоративной безопасности, [6] которая фокусируется на обеспечении безопасности корпоративных сетей и систем, которые организация использует для ведения бизнеса.
Безопасность продукции включает в себя инженерию безопасности, применяемую к:
Такие инженеры по безопасности часто работают в отдельных командах, не входящих в состав корпоративных служб безопасности, и тесно сотрудничают с командами по разработке продуктов.
Независимо от цели, существует множество способов предотвращения проникновения нежелательных или несанкционированных лиц. Методы включают размещение барьеров Jersey , лестниц или других прочных препятствий снаружи высоких или политически чувствительных зданий для предотвращения взрывов автомобилей и грузовиков . Улучшение метода управления посетителями и некоторые новые электронные замки используют преимущества таких технологий, как сканирование отпечатков пальцев , сканирование радужной оболочки или сетчатки глаза и идентификация по отпечатку голоса для аутентификации пользователей.
{{cite web}}: CS1 maint: multiple names: authors list (link)