Политика информационной безопасности организации
Введение
Темпы развития современных информационных
технологий значительно опережают темпы разработки рекомендательной и
нормативно-правовой базы руководящих документов, действующих на территории
России. Поэтому решение вопроса об разработке эффективной политики
информационной безопасности на современном предприятии обязательно связано с
проблемой выбора критериев и показателей защищенности, а также эффективности
корпоративной системы защиты информации. Вследствие этого, в дополнение к
требованиям и рекомендациям стандартов, Конституции, законам и иным руководящим
документам приходится использовать ряд международных рекомендаций. В том числе
адаптировать к отечественным условиям и применять на практике методики
международных стандартов, таких, как ISO 17799, ISO 9001, ISO 15408, BSI,
COBIT, ITIL и другие, а также использовать методики управления информационными
рисками в совокупности с оценками экономической эффективности инвестиций в
обеспечение защиты информации предприятия. Современные методики управления рисками
позволяют решить ряд задач перспективного стратегического развития современного
предприятия.
Во-первых, количественно оценить текущий уровень
информационной безопасности предприятия, что потребует выявления рисков на
правовом, организационно-управленческом, технологическом, а также техническом
уровнях обеспечения защиты информации.
Во-вторых разработать политику безопасности и
планы совершенствования корпоративной системы защиты информации для достижения
приемлемого уровня защищенности информационных активов компании. Для этого
необходимо:
обосновать и произвести расчет финансовых
вложений в обеспечение безопасности на основе технологий анализа рисков,
соотнести расходы на обеспечение безопасности с потенциальным ущербом и
вероятностью его возникновения;
выявить и провести первоочередное блокирование
наиболее опасных уязвимостей до осуществления атак на уязвимые ресурсы;
определить функциональные отношения и зоны
ответственности при взаимодействии подразделений и лиц по обеспечению
информационной безопасности компании, создать необходимый пакет
организационно-распорядительной документации;
разработать и согласовать со службами
организации, надзорными органами проект внедрения необходимых комплексов
защиты, учитывающий современный уровень и тенденции развития информационных
технологий;
обеспечить поддержание внедренного комплекса
защиты в соответствии с изменяющимися условиями работы организации, регулярными
доработками организационно-распорядительной документации, модификацией
технологических процессов и модернизацией технических средств защиты.
Решение названных задач открывает новые широкие
возможности перед должностными лицами разного уровня.
Руководителям верхнего звена это поможет
объективно и независимо оценить текущей уровень информационной безопасности
компании, обеспечить формирование единой стратегии безопасности, рассчитать,
согласовать и обосновать необходимые затраты на защиту компании. На основе
полученной оценки начальники отделов и служб смогут выработать и обосновать
необходимые организационные меры (состав и структуру службы информационной
безопасности, положение о коммерческой тайне, пакет должностных инструкций и
инструкции действия в нештатных ситуациях). Менеджеры среднего звена смогут
обоснованно выбрать средства защиты информации, а также адаптировать и
использовать в своей работе количественные показатели оценки информационной
безопасности, методики оценки и управления безопасностью с привязкой к
экономической эффективности компании.
Практические рекомендации по нейтрализации и
локализации выявленных уязвимостей системы, полученные в результате
аналитических исследований, помогут в работе над проблемами информационной
безопасности на разных уровнях и, что особенно важно, определить основные зоны
ответственности, в том числе материальной, за ненадлежащее использование
информационных активов компании. При определении масштабов материальной
ответственности за ущерб, причиненный работодателю, в том числе разглашением
коммерческой тайны, следует руководствоваться соответствующими положениями
Трудового кодекса.
1. Аналитическая часть
.1 Понятие информационной безопасности
Защита информации - это комплекс мероприятий,
направленных на обеспечение информационной безопасности.
Информационная безопасность - задача
комплексная, направленная на обеспечение безопасности, реализуемая внедрением
системы безопасности. Проблема защиты информации является многоплановой и
комплексной и охватывает ряд важных задач. Проблемы информационной безопасности
постоянно усугубляются процессами проникновения во все сферы общества
технических средств обработки и передачи данных и, прежде всего, вычислительных
систем .
Термин «информационная безопасность» не так
давно вошёл в широкое употребление, хотя деятельность современного предприятия
невозможно представить себе без персональных компьютеров. Этому есть простое
объяснение: объём обрабатываемой и хранящейся в электронном виде информации для
среднего предприятия в миллионы раз выше по сравнению с «бумажной». На
компьютерах устанавливается сложное в настройке программное обеспечение,
создаются трудные для восстановления схемы взаимодействия компьютеров и
программ, рядовые пользователи обрабатывают огромные массивы данных. Понятно,
что любое нарушение работы выстроенной технологической цепочки приведёт к
определённым потерям для предприятия. Таким образом, под информационной
безопасностью (ИБ) будем понимать защищенность информационной среды предприятия
от внешних и внутренних угроз её формированию, использованию и развитию.
На крупных предприятиях существуют специальные
службы с немалым бюджетом, в задачи которых входит обеспечение ИБ, выявление,
локализация и устранение угроз ИБ предприятия. Они используют специальное
дорогостоящее программное и аппаратное обеспечение, подчас настолько сложное в
обслуживании, что требуется особая подготовка персонала для работы с ним.
Задачи руководства ИБ в таких организациях часто сводятся к выпуску инструкций
с ключевыми словами: «углубить», «расширить», «повысить», «обеспечить» и т.д.
Вся работа по обеспечению ИБ выполняется незаметно для руководства сотрудниками
соответствующих служб, и описание методов их работы - это тема для отдельной
большой статьи.
В то же время ИБ малых предприятий с не очень
большим числом рабочих мест для специалистов (часто не более 50) уделяется не
слишком много внимания. Однако существующая организационно-техническая
обстановка на данный момент такова, что большинство существующих угроз ИБ, в
силу хорошей защищённости от них больших предприятий, становятся актуальными
как раз для предприятий меньшего размера. Обычно такие предприятия имеют весьма
скромный IT-бюджет, позволяющий приобрести только необходимое оборудование, ПО
и содержать одного системного администратора.
На сегодняшний день сформулировано три базовых
принципа, которые должна обеспечивать информационная безопасность:
целостность данных -- защита от сбоев, ведущих к
потере информации, а также зашита от неавторизованного создания или уничтожения
данных;
конфиденциальность информации;
доступность информации для всех авторизованных
пользователей.
Выделяют и другие не всегда обязательные
категории модели безопасности:
неотказуемость или апеллируемость -
невозможность отказа от авторства;
подотчётность - обеспечение идентификации
субъекта доступа и регистрации его действий;
достоверность - свойство соответствия
предусмотренному поведению или результату;
аутентичность или подлинность - свойство,
гарантирующее, что субъект или ресурс идентичны заявленным.
.2 Понятие политики безопасности
Политика информационной безопасности (ПИБ) -
совокупность руководящих принципов, правил, процедур и практических приёмов в
области безопасности, которые направлены на защиту ценной информации.
Назначение политика информационной безопасности
:
формулирование целей и задач информационной
безопасности организации с точки зрения бизнеса (позволяет определить это для
руководства и продемонстрировать поддержку руководством значимости ИБ),
определение правил организации работы в компании
для минимизации рисков информационной безопасности и повышения эффективности
бизнеса.
Требования к политика информационной
безопасности:
Политика должна быть утверждена высшим
административным органом компании (генеральный директор, совет директоров и
т.п.) для демонстрации поддержки руководства.
Политика ИБ должна быть написана понятным языком
для конечных пользователей и руководства компании и быть по возможности
краткой.
Политика ИБ должна определять цели ИБ, способы
их достижения и ответственность. Технические подробности реализации способов
содержатся в инструкциях и регламентах, на которые даются ссылки в Политике.
Минимизация влияния политики безопасности на
производственный процесс.
Непрерывность обучения сотрудников и руководства
организации в вопросах обеспечения ИБ
Непрерывный контроль выполнения правил политики
безопасности на этапе внедрения и в дальнейшем.
Постоянное совершенствование политик
безопасности.
Согласованность во взглядах и создание
корпоративной культуры безопасности.
Предлагается следующая структура ПИБ:
· Общие положения (ссылки на законы, нормативные
акты и др.руководящие документы, которым подчиняется деятельность организации),
· Подтверждение значимости ИБ для
организации и формулирование целей защиты информации с точки зрения бизнеса
организации (выполнение требований законодательства и др. норм, удовлетворение
ожиданий клиентов и партнеров, повышение конкурентоспособности, финансовой
стабильности, имиджа организации).
· Описание стратегии организации по
обеспечению информационной безопасности (например, выполнение требований
законодательства, оценка и управление рисками).
· Область применения ПИБ (например,
ПИБ обязательна для выполнения всеми сотрудниками и руководством организации,
или отдельного филиала, или сотрудниками, использующими ноутбуки)
· Описание объекта защиты (защищаемые
ресурсы - информация различных категорий, информационная инфраструктура и т.д.)
· Цели и задачи обеспечения
информационной безопасности (например, снижение угроз ИБ до приемлемого уровня,
выявление потенциальных угроз и уязвимостей ИБ, предотвращение инцидентов ИБ)
· Угрозы и модель нарушителя, которые
принимаются во внимание для данной организации (по источникам возникновения, по
способам реализации, по направленности)
· Краткое разъяснение принципов
политики ИБ:
o подход к построению СУИБ,
o требования к подготовке и
осведомленности персонала в области ИБ,
o последствия и ответственность за
нарушение ПИБ,
o подход к управлению рисками,
o определение оргструктуры, общих и
специальных обязанностей по управлению ИБ, включая отчеты об инцидентах,
o ссылки на документацию, которая
может поддержать политику, например, частные политики и процедуры в области
защиты для конкретных информационных систем или правила защиты, которым должны
следовать пользователи.
o механизмы контроля за выполнением
положений ПИБ,
o порядок пересмотра и принятия изменений
в политике.
После утверждения политики ИБ необходимо:
· Довести положения политики ИБ, подполитик,
процедур и инструкций под роспись до сведения рядовых сотрудников при их
первоначальном и последующем периодическом обучении и информировании;
· Разработать процедуры, инструкции и
т.д., уточняющие и дополняющие политику (для специалистов отдела ИБ);
· Периодически анализировать политику
для поддержки ее адекватности и результативности;
· Проводить периодический аудит на
выполнение сотрудниками положений политики с предоставлением отчета Руководству
организации.
· Кроме того, в должностные инструкции
ответственного персонала, положения о подразделениях, контрактные обязательства
организации должны быть включены обязанности по обеспечению информационной безопасности.
Таким образом, в результате не только создается
документальная база СУИБ, но и происходит реальное распределение обязанностей
по обеспечению безопасности информации среди персонала организации.
Жизненный цикл политики безопасности:
. Планирование
Первоначальный аудит безопасности
проведение обследования,
идентификация ресурсов, нуждающихся в защите
оценка рисков.
В ходе аудита производится анализ текущего
состояния информационной безопасности, выявляются существующие уязвимости,
наиболее критичные области функционирования и самые чувствительные к угрозам
безопасности бизнес-процессы.
Разработка политики безопасности:
Определяются основные условия, требования и
базовая система мер по обеспечению информационной безопасности в организации,
позволяющие уменьшить риски до приемлемой величины
Оформляются в виде согласованных в рамках
рабочей группы решений и утверждаются руководством организации.
. Внедрение ПИБ
Решение технических, организационных и
дисциплинарных проблем.
. Проверка
Аудит и контроль.
. Корректировка
Периодические пересмотр и корректировка, а также
при изменении исходных данных.
компьютерный защита информация система
1.3 Современные средства физической,
аппаратной и программной защиты информации
Главная цель любой системы информационной
безопасности заключается в обеспечении устойчивого функционирования объекта:
предотвращении угроз его безопасности, защите законных интересов владельца
информации от противоправных посягательств, в том числе уголовно наказуемых
деяний в рассматриваемой сфере отношений, предусмотренных Уголовным кодексом,
обеспечении нормальной производственной деятельности всех подразделений
объекта. Другая задача сводится к повышению качества предоставляемых услуг и
гарантий безопасности имущественных прав и интересов клиентов. Для этого
необходимо:
отнести информацию к категории ограниченного
доступа (служебной тайне);
прогнозировать и своевременно выявлять угрозы
безопасности информационным ресурсам, причины и условия, способствующие
нанесению финансового, материального и морального ущерба, нарушению его
нормального функционирования и развития;
создать условия функционирования с наименьшей
вероятностью реализации угроз безопасности информационным ресурсам и нанесения
различных видов ущерба;
создать механизм и условия оперативного
реагирования на угрозы информационной безопасности и проявления негативных
тенденций в функционировании, эффективное пресечение посягательств на ресурсы
на основе правовых, организационных и технических мер и средств обеспечения
безопасности;
создать условия для максимально возможного
возмещения и локализации ущерба, наносимого неправомерными действиями
физических и юридических лиц, и тем самым ослабить возможное негативное влияние
последствий нарушения информационной безопасности.
При разработке политики безопасности можно
использовать следующую модель (рис. 1), основанную на адаптации Общих Критериев
(ISO 15408) и проведении анализа риска (ISO 17799). Эта модель соответствует
специальным нормативным документам по обеспечению информационной безопасности,
принятым в Российской Федерации, международному стандарту ISO/IEC 15408
«Информационная технология - методы защиты - критерии оценки информационной
безопасности», стандарту ISO/IEC 17799 «Управление информационной
безопасностью».
Рис. 1 Модель построения корпоративной системы
защиты информации
Представленная модель - это совокупность
объективных внешних и внутренних факторов и их влияние на состояние
информационной безопасности на объекте и на сохранность материальных или
информационных ресурсов.
Рассматриваются следующие объективные факторы:
угрозы информационной безопасности,
характеризующиеся вероятностью возникновения и вероятностью реализации;
уязвимости информационной системы или системы
контрмер (системы информационной безопасности), влияющие на вероятность
реализации угрозы; - риск - фактор, отражающий возможный ущерб организации в
результате реализации угрозы информационной безопасности: утечки информации и
ее неправомерного использования (риск в конечном итоге отражает вероятные
финансовые потери - прямые или косвенные).
Для создания эффективной политики безопасности
предполагается первоначально провести анализ рисков в области информационной
безопасности. Затем определить оптимальный уровень риска для предприятия на
основе заданного критерия. Политику безопасности и соответствующую
корпоративную систему защиты информации предстоит построить таким образом,
чтобы достичь заданного уровня риска.
Предлагаемая методика разработки политики
информационной безопасности современного предприятия позволяет полностью
проанализировать и документально оформить требования, связанные с обеспечением
информационной безопасности, избежать расходов на излишние меры безопасности,
возможные при субъективной оценке рисков, оказать помощь в планировании и
осуществлении защиты на всех стадиях жизненного цикла информационных систем,
обеспечить проведение работ в сжатые сроки, представить обоснование для выбора
мер противодействия, оценить эффективность контрмер, сравнить различные
варианты контрмер.
В ходе работ должны быть установлены границы
исследования. Для этого необходимо выделить ресурсы информационной системы, для
которых в дальнейшем будут получены оценки рисков. При этом предстоит разделить
рассматриваемые ресурсы и внешние элементы, с которыми осуществляется
взаимодействие. Ресурсами могут быть средства вычислительной техники,
программное обеспечение, данные, а также информационные ресурсы - отдельные
документы и отдельные массивы документов, документы и массивы документов в
информационных системах (библиотеках, архивах, фондах, банках данных, других
информационных системах). Примерами внешних элементов являются сети связи,
внешние сервисы и т.п.
При построении модели будут учитываться взаимосвязи
между ресурсами. Например, выход из строя какого-либо оборудования может
привести к потере данных или выходу из строя другого критически важного
элемента системы. Подобные взаимосвязи определяют основу построения модели
организации с точки зрения ИБ.
Эта модель, в соответствии с предлагаемой
методикой, строится следующим образом: для выделенных ресурсов определяется их
ценность, как с точки зрения ассоциированных с ними возможных финансовых
потерь, так и с точки зрения ущерба репутации организации, дезорганизации ее
деятельности, нематериального ущерба от разглашения конфиденциальной информации
и т.д. Затем описываются взаимосвязи ресурсов, определяются угрозы безопасности
и оцениваются вероятности их реализации.
На основе построенной модели можно обоснованно
выбрать систему контрмер, снижающих риски до допустимых уровней и обладающих
наибольшей ценовой эффективностью. Частью системы контрмер будут рекомендации
по проведению регулярных проверок эффективности системы защиты.
Обеспечение повышенных требований к ИБ
предполагает соответствующие мероприятия на всех этапах жизненного цикла
информационных технологий. Планирование этих мероприятий производится по
завершении этапа анализа рисков и выбора контрмер. Обязательной составной
частью этих планов является периодическая проверка соответствия существующего
режима ИБ политике безопасности, сертификация информационной системы
(технологии) на соответствие требованиям определенного стандарта безопасности.
По завершении работ, можно будет определить меру
гарантии безопасности информационной среды, основанную на оценке, с которой
можно доверять информационной среде объекта. Данный подход предполагает, что
большая гарантия следует из применения больших усилий при проведении оценки
безопасности. Адекватность оценки основана на вовлечении в процесс оценки
большего числа элементов информационной среды объекта, глубине, достигаемой за
счет использования при проектировании системы обеспечения безопасности большего
числа проектов и описаний деталей выполнения, строгости, которая заключается в
применении большего числа инструментов поиска и методов, направленных на
обнаружение менее очевидных уязвимостей или на уменьшение вероятности их
наличия.
Важно помнить, что прежде чем внедрять
какие-либо решения по защите информации необходимо разработать политику
безопасности, адекватную целям и задачам современного предприятия. В частности,
политика безопасности должна описывать порядок предоставления и использования
прав доступа пользователей, а также требования отчетности пользователей за свои
действия в вопросах безопасности. Система информационной безопасности (СИБ)
окажется эффективной, если она будет надежно поддерживать выполнение правил
политики безопасности, и наоборот. Этапы построения политики безопасности - это
внесение в описание объекта автоматизации структуры ценности и проведение
анализа риска, и определение правил для любого процесса пользования данным
видом доступа к ресурсам объекта автоматизации, имеющим данную степень
ценности. При этом политику безопасности желательно оформить в виде отдельного
документа и утвердить руководством предприятия.
.4. Постановка задачи
Для достижения поставленной цели необходимо
решить следующие задачи:
· Определить цели и задачи защиты информации в
предприятии.
· Выбрать модель политики безопасности для
данной организации.
· Составить матрицу доступа
· Определить группу требований к АС
· Определить класс защищенности АС и требования
к нему
· Определить основные объекты защиты на
предприятии
· Определить предмет защиты на предприятии
· Выявить возможные угрозы защищаемой информации
в предприятии и их структуру
· Выявить источники, виды и способы
дестабилизирующего воздействия на защищаемую информацию на предприятии
· Выявить каналы и методы несанкционированного
доступа к защищаемой информации на предприятии
· Определить основные направления, методы и
средства защиты информации на предприятии
Целями защиты информации предприятия являются:
· предупреждение хищения, утечки, утраты,
искажения, подделки конфиденциальной информации (коммерческой тайны и
персональных данных);
· предотвращение угроз безопасности личности и
предприятия;
· предотвращение несанкционированных действий по
уничтожению, модификации, искажению, копированию, блокированию конфиденциальной
информации;
· предотвращение других форм незаконного
вмешательства в информационные ресурсы и системы, обеспечение правового режима
документированной информации как объекта собственности;
· защита конституционных прав граждан на
сохранение личной тайны и конфиденциальности персональных данных, имеющихся в
информационных системах;
· сохранение, конфиденциальности
документированной информации в соответствии с законодательством.
К задачам защиты информации на предприятии
относятся:
. Обеспечение управленческой, финансовой и
маркетинговой деятельности предприятия режимным информационным обслуживанием,
то есть снабжением всех служб, подразделений и должностных лиц необходимой
информацией, как засекреченной, так и несекретной.
. Гарантия безопасности информации, ее средств,
предотвращение утечки защищаемой информации и предупреждение любого
несанкционированного доступа к носителям засекреченной информации.
. Отработка механизмов оперативного реагирования
на угрозы, использование юридических, экономических, организационных,
социально-психологических, инженерно-технических средств и методов выявления и
нейтрализации источников угроз безопасности компании.
. Документирование процесса защиты информации,
особенно сведений, составляющих коммерческую тайну.
. Организация специального делопроизводства, исключающего
несанкционированное получение конфиденциальной информации.
Основными объектами защиты в ателье являются:
· персонал (так как эти лица допущены к работе с
охраняемой законом информацией (коммерческая тайна, персональные данные) либо
имеют доступ в помещения, где эта информация обрабатывается)
· объекты информатизации - средства и системы
информатизации, технические средства приема, передачи и обработки информации,
помещения, в которых они установлены,
· информация ограниченного доступа:
коммерческая тайна (сведения о применяемых
оригинальных методах управления предприятием, сведения о подготовке, принятии и
исполнении отдельных решений руководства предприятия по коммерческим,
организационным и др. вопросам; сведения о фактах проведения, целях, предмете и
результатах совещаний и заседаний органов управления организации (управляющих
партнеров и т.д.);
персональные данные работников (фамилия, имя,
отчество, год, месяц, дата и место рождения, адрес, семейное положение,
образование, профессия, уровень квалификации, доход, наличие судимостей и
некоторая другая информация, необходимая работодателю в связи с трудовыми
отношениями и касающаяся конкретного работника).
персональные данные клиентов (фамилия, имя,
отчество, дата рождения, телефон, данные о заказа и о персональных скидках)
· защищаемая от утраты общедоступная информация:
· материальные носители охраняемой законом
информации (личные дела работников, личные дела клиентов, электронные базы
данных работников и клиентов, бумажные носители и электронные варианты
приказов, постановлений, планов, договоров, отчетов, составляющих коммерческую
тайну)
· средства защиты информации (антивирусные
программы, система сигнализации и видеонаблюдения, система противопожарной
охраны.)
· технологические отходы (мусор), образовавшиеся
в результате обработки охраняемой законом информации (личные дела бывших
клиентов и сотрудников)
Предметом защиты информации в ателье являются
носители информации, на которых зафиксированы, отображены защищаемые сведения:
· Личные дела клиентов в бумажном и электронном
(база данных клиентов и работников) виде;
· Приказы, постановления, положения, инструкции,
соглашения и обязательства о неразглашении, распоряжения, договоры, планы,
отчеты, ведомость ознакомления с Положением о конфиденциальной информации и
другие документы, составляющие коммерческую тайну, в бумажном и электронном
виде.
2. Проектная часть
Эффективность современной организации сегодня
всё больше определяется степенью использования информационных технологий в
процессе его функционирования. Происходит непрерывное увеличение как объема
информации, обрабатываемой в электронном виде, так и количества различных
информационных систем. В связи с этим на передний план в задаче обеспечения
безопасности предприятия выходит разработка политики безопасности и защита
информации на предприятии.
Обеспечение защиты информации предусматривает
необходимость защиты нескольких видов тайн: коммерческой и персональных данных.
Наиболее важной представляется защита персональных данных, так как доверие
клиентов в первую очередь основывается на предоставлении своих личных данных, и
соответственно, сохранением их сотрудниками организации.
Поэтому целью обеспечения безопасности в ателье
является разработка политики безопасности и обеспечение надежной защиты
информации на предприятии для его нормального функционирования.
.1 Выбор и обоснование модели защиты информации
Основными объектами защиты в ателье являются:
· персонал (так как эти лица допущены к работе с
охраняемой законом информацией (коммерческая тайна, персональные данные) либо
имеют доступ в помещения, где эта информация обрабатывается)
· объекты информатизации - средства и системы
информатизации, технические средства приема, передачи и обработки информации,
помещения, в которых они установлены,
· информация ограниченного доступа:
коммерческая тайна (сведения о применяемых
оригинальных методах управления предприятием, сведения о подготовке, принятии и
исполнении отдельных решений руководства предприятия по коммерческим, организационным
и др. вопросам; сведения о фактах проведения, целях, предмете и результатах
совещаний и заседаний органов управления организации (управляющих партнеров и
т.д.);
персональные данные работников (фамилия, имя,
отчество, год, месяц, дата и место рождения, адрес, семейное положение,
образование, профессия, уровень квалификации, доход, наличие судимостей и
некоторая другая информация, необходимая работодателю в связи с трудовыми
отношениями и касающаяся конкретного работника).
персональные данные клиентов (фамилия, имя,
отчество, дата рождения, телефон, данные о заказа и о персональных скидках)
· защищаемая от утраты общедоступная информация:
документированная информация, регламентирующая
статус предприятия, права, обязанности и ответственность его работников (Устав,
журнал регистрации, учредительный договор, положение о деятельности, положения
о структурных подразделениях, должностные инструкции работников)
· материальные носители охраняемой законом
информации (личные дела работников, личные дела клиентов, электронные базы
данных работников и клиентов, бумажные носители и электронные варианты
приказов, постановлений, планов, договоров, отчетов, составляющих коммерческую
тайну)
· средства защиты информации (антивирусные
программы, система сигнализации и видеонаблюдения, система противопожарной
охраны.)
· технологические отходы (мусор), образовавшиеся
в результате обработки охраняемой законом информации (личные дела бывших
клиентов и сотрудников)
Предметом защиты информации в ателье являются
носители информации, на которых зафиксированы, отображены защищаемые сведения:
· Личные дела клиентов в бумажном и электронном
(база данных клиентов и работников) виде;
· Приказы, постановления, положения, инструкции,
соглашения и обязательства о неразглашении, распоряжения, договоры, планы,
отчеты, ведомость ознакомления с Положением о конфиденциальной информации и
другие документы, составляющие коммерческую тайну, в бумажном и электронном
виде.
Угрозы защищаемой информации.
Внешние угрозы:
· Конкуренты (частные ателье, являющиеся
конкурентами ателье «Vilden»);
· Административные органы (органы
государственной власти);
· Преступники.
Внутренние угрозы:
· Персонал;
· Администрация предприятия.
Классификация угроз:
. По объектам:
.1. Персонал;
.2. Материальные ценности;
.3. Финансовые ценности.
. По ущербу:
.1. Материальный;
.2. Моральный.
. По величине ущерба:
.1. Предельный (полное разорение);
.2. Значительный (некоторая валового дохода);
.3. Незначительный (потеря прибыли).
. По отношению к объекту:
.1. Внутренние;
.2. Внешние.
. По вероятности возникновения:
.1. Весьма вероятные;
.2. Вероятные;
.3. Маловероятные.
. По характеру воздействия:
.1. Активные;
.2. Пассивные.
. По причине проявления:
.1. Стихийные;
.2. Преднамеренные.
К источникам дестабилизирующего воздействия на информацию
относятся :
люди;
технические средства отображения (фиксации),
хранения, обработки, воспроизведения, передачи информации, средства связи и
системы обеспечения их функционирования;
природные явления.
Виды и способы дестабилизирующего воздействия на
защищаемую информацию дифференцируются по источникам воздействия. Самое большее
количество видов и способов дестабилизирующего воздействия имеет отношение к
людям.
Со стороны людей возможны следующие виды
воздействия, приводящие к уничтожению, искажению и блокированию:
. Непосредственное воздействие на носители
защищаемой информации.
. Несанкционированное распространение
конфиденциальной информации.
. Вывод из строя технических средств
отображения, хранения, обработки, воспроизведения, передачи информации и
средств связи.
. Нарушение режима работы перечисленных средств
и технологии обработки информации.
. Вывод из строя и нарушение режима работы
систем обеспечения функционирования названных средств.
словесной передачи (сообщения) информации;
передачи копий (снимков) носителей информации;
показа носителей информации;
ввода информации в вычислительные сети;
опубликования информации в открытой печати;
использования информации в открытых публичных
выступлениях, в т.ч. по радио, телевидению;
потеря носителей информации.
Способами нарушения режима работы технических
средств отображения, хранения, обработки, воспроизведения, передача информации,
средств связи и технологии обработки информации, приводящими к уничтожению,
искажению и блокированию информации, могут быть:
повреждение отдельных элементов средств;
нарушение правил эксплуатации средств;
внесение изменений в порядок обработки
информации;
заражение программ обработки информации
вредоносными программами;
выдача неправильных программных команд;
превышение расчетного числа запросов;
создание помех в радио эфире с помощью
дополнительного звукового или шумового фона, изменения (наложения) частот
передачи информации;
передача ложных сигналов - подключение
подавляющих фильтров в информационные цепи, цепи питания и заземления;
нарушение (изменение) режима работы систем
обеспечения функционирования средств.
К видам дестабилизирующего воздействия на
защищаемую информацию со стороны технических средств отображения, хранения,
обработки, воспроизведения, передачи информации и средств связи и систем
обеспечения их функционирования относятся выход средств из строя; сбои в работе
средств и создание электромагнитных излучений.
К числу наиболее вероятных каналов утечки
информации можно отнести:
· визуальное наблюдение;
· подслушивание;
· техническое наблюдение;
· прямой опрос, выведывание;
· ознакомление с материалами, документами,
изделиями и т.д.;
· сбор открытых документов и других источников
информации;
· хищение документов и других источников
информации;
· изучение множества источников информации,
содержащих по частям необходимые сведения.
Направления защиты информации.
Правовая защита - специальные правовые правила,
процедуры и мероприятия, создаваемые в целях обеспечения информационной
безопасности предприятия.
Организационная защита - регламентация
производственной деятельности и взаимоотношений исполнителей на
нормативно-правовой основе, использующей нанесение ущерба. Организационную
защиту обеспечивает:
Организация режима охраны, работы с кадрами,
документами;
Использование технических средств безопасности;
Использование информационно-аналитической работы
по выявлению угроз.
Инженерно-техническая защита - использование
различных технических средств для обеспечения защиты конфиденциальной
информации. Инженерно-техническая защита использует такие средства как:
Физические - устройства, инженерные сооружения,
организационные меры, исключающие или затрудняющие проникновение к источникам конфиденциальной
информации (системы ограждения, системы контроля доступа, запирающие устройства
и хранилища);
Аппаратные - устройства, защищающие от утечки,
разглашения и от технических средств промышленного шпионажа
Программные средства.
Методы защиты информации.
Основными методами, используемыми в защите
информации являются следующие:
· реализация разрешительной системы допуска
пользователей (обслуживающего персонала) к информационным ресурсам,
информационной системе и связанным с ее использованием работам, документам;
· разграничение доступа пользователей и
обслуживающего персонала к информационным ресурсам, программным средствам
обработки (передачи) и защиты информации;
· резервирование технических средств,
дублирование массивов и носителей информации;
· использование средств защиты информации,
прошедших в установленном порядке процедуру оценки соответствия;
· организация физической защиты помещений и
собственно технических средств, позволяющих осуществлять обработку персональных
данных;
· предотвращение внедрения в информационные
системы вредоносных программ (программ-вирусов) и программных закладок.
Принципы учета засекреченной информации:
обязательность регистрации всех носителей
защищаемой информации;
однократность регистрации конкретного носителя
такой информации;
указание в учетах адреса, где находится в данное
время данный носитель засекреченной информации ;
единоличная ответственность за сохранность
каждого носителя защищаемой информации и отражение в учетах пользователя данной
информации в настоящее время, а также всех предыдущих пользователей данной
информации.
Средства защиты информации
Средства защиты информации - это совокупность
инженерно-технических, электрических, электронных, оптических и других
устройств и приспособлений, приборов и технических систем, а также иных вещных
элементов, используемых для решения различных задач по защите информации, в том
числе предупреждения утечки и обеспечения безопасности защищаемой информации.
В качестве основания классификации средств
защиты информации используются основные группы задач, решаемые с помощью
технических средств:
создание физических (механических) препятствий
на путях проникновения злоумышленника к носителям информации (решетки, сейфы,
замки и т.д.);
выявление попыток проникновения на объект охраны,
к местам сосредоточения носителей защищаемой информации (электронные и
электронно-оптические сигнализаторы);
предупреждение о возникновении чрезвычайных
ситуаций (пожар, наводнение и т.п.) и ликвидация ЧП (средства пожаротушения и
т.д.);
поддержание связи с различными подразделениями,
помещениями и другими точками объекта охраны;
нейтрализация, поглощение или отражение
излучения эксплуатируемых или испытываемых изделий (экраны, защитные фильтры,
разделительные устройства в сетях электроснабжения и т.п.);
комплексная проверка технического средства
обработки информации и выделенного помещения на соответствие требованиям
безопасности обрабатываемой речевой информации установленным нормам;
комплексная защита информации в
автоматизированных системах обработки данных с помощью фильтров, электронных
замков и ключей в целях предотвращения несанкционированного доступа,
копирования или искажения информации.
Знание возможностей методов и средств защиты
информации позволяет активно и комплексно применять их при рассмотрении и
использовании правовых, организационных и инженерно-технических мер защиты
конфиденциальной информации.
Модель политики безопасности.
В настоящее время лучше всего изучены два вида
политики безопасности: дискреционная и мандатная, основанные, соответственно на
избирательном и полномочном способах управления доступом.
Следует отметить, что средства защиты,
предназначенные для реализации какого-либо из названных способа управления
доступом, только предоставляют возможности надежного управления доступом или
информационными потоками. Определение прав доступа субъектов к объектам и/или
информационным потокам (полномочий субъектов и атрибутов объектов, присвоение
меток критичности и т.д.) входит в компетенцию администрации системы.
Мандатный контроль над доступом (Mandatory
Access Control, MAC) в систему означает независимость доступности информации от
её владельца. Как правило, в подобных случаях контроль за доступом реализуется
исходя из свойств самой информации и свойств желающего получить к ней доступ
согласно независимым от них обоих правилам.
Характерен для моделей, предназначенных для
реализации в военных и государственных системах защиты.
Строго говоря, критерии определения того, к
какому классу относится тот или иной метод контроля над доступом, далеко не
всегда дают определенный результат, но являются весьма точными для большинства
классических моделей политики безопасности.
Основой дискреционной (дискретной) политики
безопасности является дискреционное управление доступом (Discretionary Access Control
-DAC), которое определяется двумя свойствами:
· права доступа субъекта к объекту системы
определяются на основании некоторого внешнего по отношению к системе правила;
· все субъекты и объекты должны быть
идентифицированы.
Дискреционное управление доступом - это метод
ограничения доступа к объектам, который основан на том, что некоторый субъект
(обычно владелец объекта) может по своему усмотрению давать другим субъектам
или отбирать у них права доступа к объекту.
Данная модель реализует дискреционное
(произвольное) управление доступом субъектов к объектам и контроль за
распространением прав доступа.
.2 Выбор и обоснование физических
(некомпьютерных) мер защиты информации
К мерам физической защиты информации относятся:
защита от огня;
защита от воды;
защита от коррозийных газов;
защита от электромагнитного излучения;
защита от воровства и кражи;
защита от взрыва;
защита от падающих обломков;
защита от пыли;
защита от несанкционированного доступа в
помещение.
В первую очередь надо подготовить помещение, где
будет стоять компьютер.
Разумным шагом станет отключение неиспользуемых
дисководов, параллельных и последовательных портов компьютера. Его корпус
желательно опечатать. Все это осложнит кражу или подмену информации даже в том
случае, если злоумышленник каким-то образом проникнет в комнату. Не стоит
пренебрегать и такими тривиальными мерами защиты, как железные решетки и двери,
кодовые замки и камеры видеонаблюдения, которые будут постоянно вести запись
всего, что происходит в ключевых помещениях офиса.
Другая характерная ошибка связана с резервным
копированием. О его необходимости знают все, так же как и о том, что на случай
возгорания нужно иметь огнетушитель. А вот о том, что резервные копии нельзя
хранить в одном помещении с компьютером, почему-то забывают. В результате,
защитившись от информационных атак, фирмы оказываются беззащитными даже перед
небольшим пожаром, в котором предусмотрительно сделанные копии гибнут вместе с
компьютером.
Часто, даже защитив компьютеры, забывают, что в
защите нуждаются и всевозможные провода - кабельная система сети. Причем,
нередко приходится опасаться не злоумышленников, а самых обыкновенных уборщиц,
которые заслуженно считаются самыми страшными врагами локальных сетей. Лучший
вариант защиты кабеля - это короба, но, в принципе, подойдет любой другой
способ, позволяющий скрыть и надежно закрепить провода. Впрочем, не стоит
упускать из вида и возможность подключения к ним извне для перехвата информации
или создания помех, например, посредством разряда тока. Хотя, надо признать,
что этот вариант мало распространен и замечен лишь при нарушениях работы
крупных фирм.
Помимо Интернета, компьютеры включены еще в одну
сеть - обычную электрическую. Именно с ней связана другая группа проблем,
относящихся к физической безопасности компьютеров. Ни для кого не секрет, что
качество современных силовых сетей далеко от идеального. Даже если нет никаких
внешних признаков аномалий, очень часто напряжение в электросети выше или ниже
нормы. При этом большинство людей даже не подозревают, что в их доме или офисе
существуют какие-то проблемы с электропитанием.
Пониженное напряжение является наиболее
распространенной аномалией и составляет около 85% от общего числа различных
неполадок с электропитанием. Его обычная причина - дефицит электроэнергии,
который особенно характерен для зимних месяцев. Повышенное напряжение почти
всегда является следствием какой-либо аварии или повреждения проводки в
помещении. Часто в результате отсоединения общего нулевого провода соседние
фазы оказываются под напряжением 380 В. Бывает также, что высокое напряжение
возникает в сети из-за неправильной коммутации проводов.
Источниками импульсных и высокочастотных помех
могут стать разряды молний, включение или отключение мощных потребителей
электроэнергии, аварии на подстанциях, а также работа некоторых бытовых
электроприборов. Чаще всего такие помехи возникают в крупных городах и в
промышленных зонах. Импульсы напряжения при длительности от наносекунд (10~9 с)
до микросекунд (10~6 с) могут по амплитуде достигать нескольких тысяч вольт.
Наиболее уязвимыми к таким помехам оказываются микропроцессоры и другие
электронные компоненты. Нередко непогашенная импульсная помеха может привести к
перезагрузке компьютера или к ошибке в обработке данных. Встроенный блок
питания компьютера, конечно, частично сглаживает броски напряжения, защищая
электронные компоненты компьютера от выхода из строя, но остаточные помехи все
равно снижают срок службы аппаратуры, а также приводят к росту температуры в
блоке питания компьютера.
Для защиты компьютеров от высокочастотных
импульсных помех служат сетевые фильтры (например, марки Pilot), оберегающие
технику от большинства помех и перепадов напряжения. Кроме того, компьютеры с
важной информацией следует обязательно оснащать источником бесперебойного
питания (UPS). Современные модели UPS не только поддерживают работу компьютера,
когда пропадает питание, но и отсоединяют его от электросети, если параметры электросети
выходят из допустимого диапазона.
.3 Выбор и обоснование аппаратных (компьютерных)
мер защиты информации
Аппаратные средства - это технические средства,
используемые для обработки данных. Сюда относятся: Персональный компьютер
(комплекс технических средств, предназначенных для автоматической обработки
информации в процессе решения вычислительных и информационных задач).
Периферийное оборудование (комплекс внешних
устройств ЭВМ, не находящихся под непосредственным управлением центрального
процессора).
Физические носители машинной информации.
К аппаратным средствам защиты относятся
различные электронные, электронно-механические, электронно-оптические
устройства. К настоящему времени разработано значительное число аппаратных
средств различного назначения, однако наибольшее распространение получают
следующие:
специальные регистры для хранения реквизитов
защиты: паролей, идентифицирующих кодов, грифов или уровней секретности;
генераторы кодов, предназначенные для
автоматического генерирования идентифицирующего кода устройства;
устройства измерения индивидуальных
характеристик человека (голоса, отпечатков) с целью его идентификации;
специальные биты секретности, значение которых
определяет уровень секретности информации, хранимой в ЗУ, которой принадлежат данные
биты;
схемы прерывания передачи информации в линии
связи с целью периодической проверки адреса выдачи данных.Особую и получающую
наибольшее распространение группу аппаратных средств защиты составляют
устройства для шифрования информации (криптографические методы).
Аппаратные средства - основа построения систем
защиты от несанкционированного доступа к информации
В 90-е годы сотрудниками ОКБ САПР была
разработана методология применения аппаратной защиты, признанная необходимой
основой построения систем защиты от НСД к информации. Основные идеи этого
подхода состоят в следующем:
комплексный подход к решению вопросов защиты
информации в автоматизированных системах (АС) от НСД. Признание
мультипликативной парадигмы защиты, и, как следствие, равное внимание
надежности реализации контрольных процедур на всех этапах работы АС ;
«материалистическое» решение «основного вопроса»
информационной безопасности: «что первично -- hard или soft?»;
последовательный отказ от программных методов
контроля как очевидно ненадежных и перенос наиболее критичных контрольных
процедур на аппаратный уровень;
максимально возможное разделение
условно-постоянных и условно-переменных элементов контрольных операций;
построение средств защиты информации от
несанкционированного доступа (СЗИ НСД), максимально независимых от операционных
и файловых систем, применяемых в АС. Это выполнение процедур идентификации /
аутентификации, контроля целостности аппаратных и программных средств АС до
загрузки операционной системы, администрирования и т. д.
Вышеперечисленные принципы аппаратной защиты
были реализованы в программно-аппаратном комплексе средств защиты информации от
несанкционированного доступа -- аппаратном модуле доверенной загрузки --
«Аккорд-АМДЗ». Этот комплекс обеспечивает режим доверенной загрузки в различных
операционных средах: MS DOS, Windows 3.x, Windows 9.x, Windows NT/2000/XP,
OS/2, Unix, Linux .
К аппаратным средствам защиты информации
относятся электронные и электронно-механические устройства, включаемые в состав
технических средств КС и выполняющие (самостоятельно или в едином комплексе с
программными средствами) некоторые функции обеспечения информационной
безопасности. Критерием отнесения устройства к аппаратным, а не к
инженерно-техническим средствам защиты является обязательное включение в состав
технических средств.
К основным аппаратным средствам защиты
информации относятся:
устройства для ввода идентифицирующей
пользователя информации (магнитных и пластиковых карт, отпечатков пальцев и
т.п.);
устройства для шифрования информации;
устройства для воспрепятствования
несанкционированному включению рабочих станций (электронные замки и
блокираторы).
Примеры вспомогательных аппаратных средств
защиты информации:
устройства уничтожения информации на магнитных
носителях;
устройства сигнализации о попытках
несанкционированных действий пользователей компьютера и др.
Аппаратные средства привлекают все большее
внимание специалистов не только потому, что их легче защитить от повреждений и
других случайных или злоумышленных воздействий, но еще и потому, что аппаратная
реализация функций выше по быстродействию, чем программная, а стоимость их
неуклонно снижается.
На рынке аппаратных средств защиты появляются
все новые устройства. Ниже приводится в качестве примера описание электронного
замка.
Электронный замок «Соболь». «Соболь»,
разработанный и поставляемый ЗАО НИП «Информзащита», обеспечивает выполнение
следующих функций защиты:
идентификация и аутентификация пользователей;
контроль целостности файлов и физических
секторов жесткого диска;
блокировка загрузки ОС с дискеты и CD-ROM;
блокировка входа в систему зарегистрированного
пользователя при превышении им заданного количества неудачных попыток входа;
регистрация событий, имеющих отношение к
безопасности системы.
Под аппаратным обеспечением средств защиты
операционной системы традиционно понимается совокупность средств и методов,
используемых для решения следующих задач:
управление оперативной и виртуальной памятью
компьютера;
распределение процессорного времени между
задачами в многозадачной операционной системе;
синхронизация выполнения параллельных задач в
многозадачной операционной системе;
обеспечение совместного доступа задач к ресурсам
операционной системы.
Перечисленные задачи в значительной степени
решаются с помощью аппаратно реализованных функций процессоров и других узлов
компьютера. Однако, как правило, для решения этих задач принимаются и
программные средства, и по этому термины «аппаратное обеспечение защиты» и
«аппаратная защита» не вполне корректны. Тем не менее, поскольку эти термины
фактически общеприняты, мы будем их использовать.
.4 Выбор и обоснование программных мер защиты
информации
Под программными средствами защиты информации
понимают специальные программы, включаемые в состав программного обеспечения
компьютера исключительно для выполнения защитных функций.
К основным программным средствам защиты
информации относятся:
программы идентификации и аутентификации
пользователей компьютера;
программы разграничения доступа пользователей к
ресурсам компьютера;
программы шифрования информации;
программы защиты информационных ресурсов
(системного и прикладного программного обеспечения, баз данных, компьютерных
средств обучения и т. п.) от несанкционированного изменения, использования и
копирования.
Надо понимать, что под идентификацией,
применительно к обеспечению информационной безопасности компьютера, понимают
однозначное распознавание уникального имени субъекта компьютера. Аутентификация
означает подтверждение того, что предъявленное имя соответствует данному
субъекту (подтверждение подлинности субъекта).
Также к программным средствам защиты информации
относятся:
программы аудита (ведения регистрационных
журналов) событий, связанных с безопасностью компьютера, для обеспечения
возможности восстановления и доказательства факта происшествия этих событий;
программы имитации работы с нарушителем
(отвлечения его на получение якобы конфиденциальной информации);
программы тестового контроля защищенности
компьютера и др.
К преимуществам программных средств защиты
информации относятся:
простота тиражирования;
гибкость (возможность настройки на различные
условия применения, учитывающие специфику угроз информационной безопасности
конкретных компьютеров);
простота применения -- одни программные
средства, например шифрования, работают в «прозрачном» (незаметном для
пользователя) режиме, а другие не требуют от пользователя ни каких новых (по
сравнению с другими программами) навыков;
практически неограниченные возможности их
развития путем внесения изменений для учета новых угроз безопасности
информации.
К недостаткам программных средств защиты
информации относятся:
снижение эффективности компьютера за счет
потребления ее ресурсов, требуемых для функционирование программ защиты;
более низкая производительность (по сравнению с
выполняющими аналогичные функции аппаратными средствами защиты, например
шифрования);
пристыкованность многих программных средств
защиты (а не их встроенность в программное обеспечение компьютера, рис. 4 и 5),
что создает для нарушителя принципиальную возможность их обхода;
возможность злоумышленного изменения программных
средств защиты в процессе эксплуатации компьютера.
Специализированные программные средства защиты
информации от несанкционированного доступа обладают в целом лучшими
возможностями и характеристиками, чем встроенные средства сетевых ОС. Кроме
программ шифрования, существует много других доступных внешних средств защиты
информации. Из наиболее часто упоминаемых следует отметить следующие две
системы, позволяющие ограничить информационные потоки.- брандмауэры (дословно
firewall -- огненная стена). Между локальной и глобальной сетями создаются
специальные промежуточные сервера, которые инспектируют и фильтруют весь проходящий
через них трафик сетевого/ транспортного уровней. Это позволяет резко снизить
угрозу несанкционированного доступа извне в корпоративные сети, но не устраняет
эту опасность совсем. Более защищенная разновидность метода - это способ
маскарада (masquerading), когда весь исходящий из локальной сети трафик
посылается от имени firewall-сервера, делая локальную сеть практически
невидимой.servers (proxy - доверенность, доверенное лицо). Весь трафик
сетевого/транспортного уровней между локальной и глобальной сетями запрещается
полностью -- попросту отсутствует маршрутизация как таковая, а обращения из
локальной сети в глобальную происходят через специальные серверы-посредники.
Очевидно, что при этом методе обращения из глобальной сети в локальную
становятся невозможными в принципе. Очевидно также, что этот метод не дает
достаточной защиты против атак на более высоких уровнях - например, на уровне
приложения (вирусы, код Java и JavaScript).
Рассмотрим подробнее работу брандмауэра. Это
метод защиты сети от угроз безопасности, исходящих от других систем и сетей, с
помощью централизации доступа к сети и контроля за ним аппаратно-программными
средствами. Брандмауэр является защитным барьером, состоящим из нескольких
компонентов (например, маршрутизатора или шлюза, на котором работает
программное обеспечение брандмауэра). Брандмауэр конфигурируется в соответствии
с принятой в организации политикой контроля доступа к внутренней сети. Все
входящие и исходящие пакеты должны проходить через брандмауэр, который
пропускает только авторизованные пакеты.
Брандмауэр с фильрацией пакетов
[packet-filtering firewall] - является маршрутизатором или компьютером, на
котором работает программное обеспечение, сконфигурированное таким образом,
чтобы отбраковывать определенные виды входящих и исходящих пакетов. Фильтрация
пакетов осуществляется на основе информации, содержащейся в TCP- и IP-
заголовках пакетов (адреса отправителя и получателя, их номера портов и др.).
Брандмауэр экспертного уровня [stateful
inspecthion firewall] - проверяет содержимое принимаемых пакетов на трех
уровнях модели OSI - сетевом, сеансовом и прикладном. Для выполнения этой
задачи используются специальные алгоритмы фильтрации пакетов, с помощью которых
каждый пакет сравнивается с известным шаблоном авторизованных пакетов.
Создание брандмауера относится к решению задачи
экранирования. Формальная постановка задачи экранирования состоит в следующем.
Пусть имеется два множества информационных систем. Экран - это средство
разграничения доступа клиентов из одного множества к серверам из другого
множества. Экран осуществляет свои функции, контролируя все информационные
потоки между двумя множествами систем (рис. 6). Контроль потоков состоит в их
фильтрации, возможно, с выполнением некоторых преобразований.
Помимо функций разграничения доступа, экраны
осуществляют протоколирование обмена информацией.
Обычно экран не является симметричным, для него
определены понятия "внутри" и "снаружи". При этом задача
экранирования формулируется как защита внутренней области от потенциально
враждебной внешней. Так, межсетевые экраны (МЭ) чаще всего устанавливают для
защиты корпоративной сети организации, имеющей выход в Internet.
Экранирование помогает поддерживать доступность
сервисов внутренней области, уменьшая или вообще ликвидируя нагрузку, вызванную
внешней активностью. Уменьшается уязвимость внутренних сервисов безопасности,
поскольку первоначально злоумышленник должен преодолеть экран, где защитные
механизмы сконфигурированы особенно тщательно. Кроме того, экранирующая
система, в отличие от универсальной, может быть устроена более простым и,
следовательно, более безопасным образом.
Экранирование дает возможность контролировать
также информационные потоки, направленные во внешнюю область, что способствует
поддержанию режима конфиденциальности в ИС организации.
Экранирование может быть частичным, защищающим
определенные информационные сервисы (например, экранирование электронной
почты).
Ограничивающий интерфейс также можно
рассматривать как разновидность экранирования. На невидимый объект трудно
нападать, особенно с помощью фиксированного набора средств. В этом смысле
Web-интерфейс обладает естественной защитой, особенно в том случае, когда
гипертекстовые документы формируются динамически. Каждый пользователь видит
лишь то, что ему положено видеть. Можно провести аналогию между динамически
формируемыми гипертекстовыми документами и представлениями в реляционных базах
данных, с той существенной оговоркой, что в случае Web возможности существенно
шире.
Экранирующая роль Web-сервиса наглядно
проявляется и тогда, когда этот сервис осуществляет посреднические (точнее,
интегрирующие) функции при доступе к другим ресурсам, например таблицам базы
данных. Здесь не только контролируются потоки запросов, но и скрывается
реальная организация данных.
Идентификация пользователей производится по
индивидуальному ключу в виде «таблетки» Touch Memory, имеющей память до 64
Кбайт, а аутентификация -- по паролю длиной до 16 символов.
Контроль целостности предназначен для того,
чтобы убедиться, что программы и файлы пользователя и особенно системные файлы
ОС не были модифицированы злоумышленником или введенной им программной
закладкой. Для этого в первую очередь в работу вступает разборщик файловой
системы ОС: расчет эталонных значений и их контроль при загрузке реализован в
«Соболе» на аппаратном уровне. Построение же списка контроля целостности
объектов выполняется с помощью утилиты ОС, что в принципе дает возможность
программе-перехватчику модифицировать этот список, а ведь хорошо известно, что
общий уровень безопасности системы определяется уровнем защищенности самого
слабого звена.
Зашифрованный диск - это файл-контейнер, внутри
которого могут находиться любые другие файлы или программы (они могут быть
установлены и запущены прямо из этого зашифрованного файла). Этот диск доступен
только после ввода пароля к файлу-контейнеру - тогда на компьютере появляется
еще один диск, опознаваемый системой как логический и работа с которым не
отличается от работы с любым другим диском. После отключения диска логический диск
исчезает, он просто становится «невидимым».
На сегодняшний день наиболее распространенные
программы для создания зашифрованных дисков - DriveCrypt, BestCrypt и PGPdisk.
Каждая из них надежно защищена от удаленного взлома.
Криптография - это наука об обеспечении
безопасности данных. Она занимается поисками решений четырех важных проблем
безопасности - конфиденциальности, аутентификации, целостности и контроля
участников взаимодействия. Шифрование - это преобразование данных в
нечитабельную форму, используя ключи шифрования-расшифровки. Шифрование
позволяет обеспечить конфиденциальность, сохраняя информацию в тайне от того,
кому она не предназначена.
Криптография занимается поиском и исследованием
математических методов преобразования информации.
Основные направления использования
криптографических методов - передача конфиденциальной информации по каналам
связи (например, электронная почта), установление подлинности передаваемых
сообщений, хранение информации (документов, баз данных) на носителях в зашифрованном
виде.
Вирусы могут проникать в машину различными
путями (через глобальную сеть, через зараженную дискету или флешку).
Последствия их проникновения весьма неприятны: от разрушения файла до нарушения
работоспособности всего компьютера. Достаточно всего лишь одного зараженного
файла, чтобы заразить всю имеющуюся на компьютере информацию, а далее заразить
всю корпоративную сеть.
Для антивирусной защиты был выбран пакет Dr.Web
Enterprise Suite. Этот пакет обеспечивает централизованную защиту корпоративной
сети любого масштаба. Современное решение на базе технологий Dr.Web для
корпоративных сетей, представляет собой уникальный технический комплекс со
встроенной системой централизованного управления антивирусной защитой в
масштабе предприятия. Dr.Web Enterprise Suite позволяет администратору,
работающему как внутри сети, так и на удаленном компьютере (через сеть
Internet) осуществлять необходимые административные задачи по управлению
антивирусной защитой организации.
.5 Организационное обеспечение
Недооценка факторов безопасности в повседневной
работе - ахиллесова пята многих организаций. Дорогие средства безопасности
теряют смысл, если они плохо документированы, конфликтуют с другим программным
обеспечением, а пароль системного администратора не менялся с момента
установки.
Можно выделить следующие направления
повседневной деятельности:
поддержка пользователей;
поддержка программного обеспечения;
конфигурационное управление;
резервное копирование;
управление носителями;
документирование;
регламентные работы.
Поддержка пользователей подразумевает прежде
всего консультирование и оказание помощи при решении разного рода проблем.
Иногда в организациях создают для этой цели специальный "справочный
стол", но чаще от пользователей отбивается системный администратор. Очень
важно в потоке вопросов уметь выявлять проблемы, связанные с информационной
безопасностью. Так, многие трудности пользователей, работающих на персональных
компьютерах, могут быть следствием заражения вирусами. Целесообразно
фиксировать вопросы пользователей, чтобы выявлять их типичные ошибки и
выпускать памятки с рекомендациями для распространенных ситуаций.
Поддержка программного обеспечения - одно из
важнейших средств обеспечения целостности информации. Прежде всего, необходимо
следить за тем, какое программное обеспечение установлено на компьютерах. Если
пользователи будут устанавливать программы по своему усмотрению, это может
привести к заражению вирусами, а также появлению утилит, действующих в обход
защитных средств. Вполне вероятно также, что "самодеятельность"
пользователей постепенно приведет к хаосу на их компьютерах, а исправлять
ситуацию придется системному администратору.
Второй аспект поддержки программного обеспечения
- контроль за отсутствием неавторизованного изменения программ и прав доступа к
ним. Сюда же можно отнести поддержку эталонных копий программных систем. Обычно
контроль достигается комбинированием средств физического и логического
управления доступом, а также использованием утилит проверки и обеспечения
целостности.
Конфигурационное управление позволяет
контролировать и фиксировать изменения, вносимые в программную конфигурацию.
Прежде всего, необходимо застраховаться от случайных или непродуманных
модификаций, уметь как минимум возвращаться к прошлой, работающей, версии. Фиксация
изменений позволит легко восстановить текущую версию после аварии.
Лучший способ уменьшить количество ошибок в
рутинной работе - максимально автоматизировать ее. Правы те "ленивые"
программисты и системные администраторы, которые, окинув взглядом море однообразных
задач, говорят: "Я ни за что не буду делать этого; я напишу программу,
которая сделает все за меня". Автоматизация и безопасность зависят друг от
друга; тот, кто заботится в первую очередь об облегчении своей задачи, на самом
деле оптимальным образом формирует режим информационной безопасности.
Резервное копирование необходимо для
восстановления программ и данных после аварий. И здесь целесообразно
автоматизировать работу, как минимум, сформировав компьютерное расписание
создания полных и инкрементальных копий, а как максимум - воспользовавшись
соответствующими программными продуктами (см., например, Jet Info, 2000, 12).
Нужно также наладить размещение копий в безопасном месте, защищенном от
несанкционированного доступа, пожаров, протечек, то есть от всего, что может
привести к краже или повреждению носителей. Целесообразно иметь несколько
экземпляров резервных копий и часть из них хранить вне территории организации,
защищаясь таким образом от крупных аварий и аналогичных инцидентов.
Время от времени в тестовых целях следует
проверять возможность восстановления информации с копий.
Управлять носителями необходимо для обеспечения
физической защиты и учета дискет, лент, печатных выдач и т.п. Управление
носителями должно обеспечивать конфиденциальность, целостность и доступность
информации, хранящейся вне компьютерных систем. Под физической защитой здесь
понимается не только отражение попыток несанкционированного доступа, но и
предохранение от вредных влияний окружающей среды (жары, холода, влаги, магнетизма).
Управление носителями должно охватывать весь жизненный цикл - от закупки до
выведения из эксплуатации.
Заключение
Важнейшая мера защиты информации на этом
направлении - четкая организация и контроль использования носителей информации.
Прогресс подарил человечеству великое множество
достижений, но тот же прогресс породил и массу проблем. Человеческий разум,
разрешая одни проблемы, непременно сталкивается при этом с другими, новыми.
Вечная проблема - защита информации. На различных этапах своего развития
человечество решало эту проблему с присущей для данной эпохи характерностью.
Изобретение компьютера и дальнейшее бурное развитие информационных технологий
во второй половине 20 века сделали проблему защиты информации настолько
актуальной и острой, насколько актуальна сегодня информатизация для всего
общества. Главная тенденция, характеризующая развитие современных
информационных технологий - рост числа компьютерных преступлений и связанных с
ними хищений конфиденциальной и иной информации, а также материальных потерь.
Сегодня, наверное, никто не сможет с
уверенностью назвать точную цифру суммарных потерь от компьютерных
преступлений, связанных с несанкционированных доступом к информации. Это
объясняется, прежде всего, нежеланием пострадавших компаний обнародовать
информацию о своих потерях, а также тем, что не всегда потери от хищения
информации можно точно оценить в денежном эквиваленте.
Причин активизации компьютерных преступлений и
связанных с ними финансовых потерь достаточно много, существенными из них
являются:
переход от традиционной "бумажной"
технологии хранения и передачи сведений на электронную и недостаточное при этом
развитие технологии защиты информации в таких технологиях;
объединение вычислительных систем, создание
глобальных сетей и расширение доступа к информационным ресурсам;
увеличение сложности программных средств и
связанное с этим уменьшение их надежности и увеличением числа уязвимостей.
Компьютерные сети, в силу своей специфики,
просто не смогут нормально функционировать и развиваться, игнорируя проблемы
защиты информации.
Библиографический список
Бармен
С. Разработка правил информационной безопасности. - М.: Издательский дом
"Вильямс", 2002.
Бачило
И. Л., Лопатин В. Н., Федотов М. А. Информационное право.- Спб.: Изд-во «Юридический
центр Пресс», 2001.
Биячуев
Т.А. Безопасность корпоративных сетей. Учебное пособие / под ред.
Л.Г.Осовецкого - СПб.: СПбГУ ИТМО, 2004.
Блэк
У. Интернет: протоколы безопасности. Учебный курс. - СПб.: Питер, 2001.
Бождай
А.С., Финогеев А.Г. Сетевые технологии. Часть 1: Учебное пособие. Пенза: Изд-во
ПГУ, 2005.