Игнатьев В.А. Информационная безопасность современного коммерческого предприятия

Подождите немного. Документ загружается.

1. Определение необходимых руководящих документов и

стандартов в области ИБ, а также основных положений политики

ИБ, включая:

- управление доступом к средствам вычислительной техники

(СВТ), программам и данным;

- антивирусную защиту;

- вопросы резервного копирования;

- проведение ремонтных и восстановительных работ;

- информирование об инцидентах в области ИБ.

2. Определение подходов к управлению рисками: является ли

достаточным базовый уровень защищенности или нужно проводить

полный вариант анализа рисков.

3. Структуризация контрмер по уровням.

4. Порядок сертификации на соответствие стандартам в

области ИБ: график совещаний по тематике ИБ на уровне

руководства, периодичность пересмотра положений политики ИБ, а

также порядок обучения всех категорий пользовате лей

информационной системы в этой области.

Минимальным требованиям к информационной безопас ности

соответствует базовый уровень ИБ, обычно реализу емый в

типовых проектных решениях. В с тандарте определен набор

наиболее вероятных угроз, таких, как вирусы, сбои оборудования,

несанкционированный доступ и т.д. Контрмеры для нейтрализации

этих угроз должны быть приняты обязательно вне зависимости от

вероятности их осуществления и уязвимости ресурсов. Таким

образом, характеристики угроз на базовом уровне рассматривать

не обязательно.

В случаях, когда нарушения режима ИБ чреваты тяже лыми

последствиями, базового уровня требований к безопасности

информации становится недостаточно. Чтобы сформулировать

дополнительные требования, необходимо:

- определить ценность ресурсов;

- к стандартному набору добавить список угроз, актуаль ных

для исследуемой информационной системы;

- оценить вероятность угроз;

- определить уязвимость ресурсов.

Должна быть разработана стратегия управления рисками

разных классов. На практике, после принятия стандартного набора

контрмер, ряд рисков уменьшается, но все же остает ся значимым.

Поэтому необходимо знать остаточную величи ну риска.

Когда этап по определению принимаемых во внимание рисков

завершен, должна быть предложена стратегия управления ими.

Комплекс предлагаемых мер должен быть построен в

соответствии с выбранной стратегией управления рисками и

структурирован по уровням (организационному, программно-

техническому) и отдельным аспектам безопасности. Если

проводится полный вариант анализа рисков, то эффективность

комплекса контрмер оценивается для каж дого риска.

Если к ИБ предъявляются повышенные требования, про-

водится так называемый полный вариант анализа рисков, в рамках

которого в дополнение к базовым рассматриваются:

- модель бизнес-процессов с точки зрения ИБ;

- ресурсы организации и их ценность;

- составление полного списка угроз безопасности - потен-

циальные источники нежелательных событий, которые мо гут

нанести ущерб ресурсам, и оценка их параметров;

- уязвимости - слабые места в защите, которые могу т спро-

воцировать реализацию угрозы.

На основе собранных сведений оцениваются риски для ин -

формационной системы организации, для отдельных ее под систем,

баз данных и элементов данных.

Следующим шагом является выбор контрмер, снижающих

риски до приемлемых и формируется структура системы за щиты

информации.

7.2 Технология построения системы защиты

Используемые меры защиты информации можно разде лить на

четыре уровня [58]:

1. Предотвращение - только авторизованный персонал имеет

доступ к информации и технологии.

2. Обнаружение - обеспечивается раннее обнаружение пре-

ступлений и злоупотреблений, даже если механизмы защиты были

обойдены.

3. Ограничение - уменьшается размер потерь, если пре-

ступление все-таки произошло несмотря на меры по его пре-

дотвращению и обнаружению.

4. Восстановление - обеспечивается эффективное восста-

новление информации при наличии документированных и

проверенных планов по восстановлению.

Общая система информационной безопасности состоит из

технологии и средств еѐ обеспечения.

Технология информационной безопасности функционирования

систем в среде глобальной корпоративной сети разра батывается

для каждого конкретного предприятия. Учиты ваются необходимые

уровни безопасности и особенности системы автоматизации.

Средства обеспечения информационной безопасности под-

разделяются на:

- специальные технические средства и программы для них;

- организационные средства и средства администрирования;

- средства антивирусной защиты;

- системные средства резервного архивирования данных;

- средства оценки уязвимости компьютерных систем;

- средства детектирования попыток взлома и проникновения.

Те, кому уже приходилось на практике заниматься вопросами

обеспечения информационной безопасности в автомати-

зированных системах (АС), единодушно отмечают следующую

особенность - реальный интерес к проблеме защиты инфор мации,

проявляемый менеджерами верхнего уровня на уров не

подразделений, отвечающих за работоспособность автома-

тизированной системы организации сменяется на резкое не-

приятие. Как правило, приводятся следующие аргументы против

проведения работ и принятия мер по обеспечению ин-

формационной безопасности [16]:

- появление дополнительных ограничений д ля конечных

пользователей и специалистов подразделений обеспечения,

затрудняющие использование и эксплуатацию автоматизиро-

ванной системы организации;

- необходимость дополнительных материальных затрат -ник на

проведение таких работ, так и на расширение штата спе циалистов,

занимающихся проблемой информационной безо ьасяостн.

Экономия на информационной безопасности может выражать -

ся в различных формах, крайними из которых являются:

- принятие только организационных мер обеспечения бе-

зопасности информации в АС;

- использование только дополнительных технических средств

защиты информации (ТСЗИ).

В первом случае, как правило, разрабатываются много-

численные инструкции, приказы и положения, призванные в

критическую минуту переложить ответственность с людей,

издающих эти документы на конкретных исполнителей. Ее»

тественно, что требования таких документов (при отсутствии

соответствующей технической поддержки) затрудняют

повседневную деятельность сотрудников организации и, как прави-

ло, не выполняются.

Во втором случае, приобретаются и устанавливаются до -

полнительные ТСЗИ. Применение ТСЗИ без соответствующей

организационной поддержки также неэффективно в связи с тем,

что без установленных правил обработки информации в АС

применение любых ТСЗИ только усиливает существующий

беспорядок.

Как показывает опыт практической работы, для эффективной

защиты автоматизированной системы организации необходимо

решить ряд организационных задач:

- создать специальное подразделение, обеспечивающее раз -

работку правил эксплуатации автоматизированной системы,

определяющее полномочия пользователей по доступу к ресурсам

этой системы, осуществляющее административную поддержку

ТСЗИ (правильную настройку, контроль и оперативное

реагирование на поступающие сигналы о нарушениях

установленных правил доступа, анализ журналов регистра ции

событий безопасности и т.п.);

- разработать технологию обеспечения информационной

безопасности, предусматривающую порядок взаимодействия

подразделений организации по вопросам обеспечения безопас-

ности при эксплуатации автоматизированной системы и мо-

дернизации ее программных и аппаратных средств;

- внедрить данную технологию путем разработки и утвер-

ждения необходимых нормативно-методических и организационно-

распорядительных документов (концепций, положе ний, инструкций

и т.п.).

При создании подразделения информационной безопасности

надо учитывать, что для эксплуатации средств защиты нужен

минимальный штат сотрудников, осуществляющих поддержку

функционирования ТСЗИ. В то же время, разра ботка и внедрение

технологии обеспечения информационной безопасности требует

значительно большего времени, боль ших трудозатрат и

привлечения квалифицированных специ алистов, потребность в

которых после ее внедрения в эксплуатацию отпадает. Кроме того,

разработка и внедрение такой технологии должны проводиться в

сжатые сроки, чтобы не отстать от развития самой

автоматизированной системы организации.

Поэтому, для минимизации расходов на разработку и вне -

дрение технологии обеспечения информационной безопаснос ти

целесообразно привлекать сторонних специалистов, имею щих

опыт в проведении подобного рода работ.

Применение дополнительных средств защиты информации

затрагивает интересы многих с труктурных подразделений

организации. Не столько даже тех, в которых работают ко нечные

пользователи автоматизированной системы, сколько

подразделений, отвечающих за разработку, внедрение и со-

провождение прикладных задач, за обслуживание и эксплуа тацию

средств вычислительной техники. Поэтому разраба тываемая

технология обеспечения информационной безопас ности должна

обеспечивать:

- дифференцированный подход к защите различных АРМ и

подсистем (уровень защищенности должен определяться с позиций

разумной достаточности с учетом важности обраба тываемой

информации и решаемых задач);

- унификацию вариантов применения средств защиты ин-

формации на АРМ с одинаковыми требованиями к защите;

- реализацию разрешительной системы доступа к ресур сам

АС;

- минимизацию, формализацию (в идеале автоматизацию),

реальную выполнимость рутинных операций и согласован ность

действий различных подразделений по реализации тре бований

разработанных положений и инструкций, не созда вая больших

неудобств при решении сотрудниками своих основных задач;

- учет динамики развития автоматизированной системы,

регламентацию не только стационарного процесса эксплуата ции

защищенных подсистем, но и процессов их модернизации,

связанных с многочисленными изменениями аппаратно-

программной конфигурации АРМ;

- минимизацию необходимого числа специалистов отдела

защиты информации.

Надо совершенно четко понимать, что соблюдение необхо -

димых требований по защите информации, препятствующих

осуществлению несанкционированных изменений в системе,

неизбежно приводит к усложнению процедуры правомочной

модификации АС. В этом состоит одно из наиболее остро про-

являющихся противоречий между обеспечением безопасности и

развитием и совершенствованием автоматизированной системы.

Технология обеспечения информационной безопас ности должна

предусматривать особые случаи экстренного внесения изменений в

программно-аппаратные средства защищаемой АС.

При внедрении технологии обеспечения информационной

безопасности на предприятии продумывается система опре-

деления требуемых степеней (категорий) защищенности ресурсов и

готовится пакет документов, необходимых для разработки и

внедрения данной технологии на объекте.

В данный пакет документов входят:

1) Концепция обеспечения информационной безопасности.

Данный документ определяет общую систему взглядов в орга-

низации на проблему защиты информации в АС и пути реше ния

этой проблемы с учетом накопленного опыта и современ ных

тенденций ее развития.

2) Положение о категорировании. Данный документ опре -

деляет порядок категорирования защищаемых ресурсов и

требования по защите ресурсов различных категорий.

3) План защиты АС. Данный документ определяет комп лекс

конкретных организационно-технических мер по защите

информации, а также незаконного вмешательства в процесс

функционирования конкретной АС. План защиты вклю чает

описание технологии обработки данных в защищаемой подсистеме,

анализ угроз и оценку риска нанесения ущерба, правила

эксплуатации системы, необходимый набор инструк ций

должностным лицам (инструкция пользователю АС, инструкция

администратору безопасности АС и т.д.), определяет порядок

взаимодействия подразделений и должностных лиц при внесении

изменений в списки пользователей и программно-аппаратную

конфигурацию АРМ, а также определяет рас пределение

обязанностей и порядок составления, ведения и использования

формуляров защищаемых ресурсов (информа ции, АРМ, задач и

программных средств) в процессе развития АС.

Защита данных в компьютерных сетях становится одной из

самых открытых проблем в современных информацион но-

вычислительных системах. На сегодняшний день сформу лировано

три базовых принципа информационной безопасности, задачей

которой является обеспечение [84]:

- целостности данных - защита от сбоев, ведущих к потере

информации или ее уничтожения;

- конфиденциальности информации;

- доступности информации для авторизованных пользова-

телей.

Рассматривая проблемы, связанные с защитой данных в сети,

возникает вопрос о классификации сбоев и несанкцио-

нированности доступа, что ведет к потере или нежелательно му

изменению данных. Это могут быть сбои оборудования (кабельной

системы, дисковых систем, серверов, рабочих станций и т.д.),

потери информации (из-за инфицирования компь ютерными

вирусами, неправильного хранения архивных данных, нарушений

прав доступа к данным), некорректная работа пользователей и

обслуживающего персонала. Перечисленные нарушения работы в

сети вызвали необходимость созда ния различных видов защиты

информации. Условно их можно разделить на три класса:

- средства физической защиты;

- программные средства (антивирусные программы, сис темы

разграничения полномочий, программные средства кон троля

доступа);

- административные меры защиты (доступ в помещения,

разработка с тратегий безопасности фирмы и т.д.).

7.3 Идентификация и аутентификация пользователей

Задачей систем идентификации и аутентификации является

определение и верификация набора полномочий субъекта при

доступе к информационной системе [78]„

Идентификацией субъекта при доступе к информационной

системе называется процесс сопоставления его с некоторой

хранимой системой характеристикой субъекта - идентификатором.

В дальнейшем, идентификатор субъекта используется для

предоставления субъекту определенного уровня прав и

полномочий при использовании информационной системой.

Аутентификацией субъекта называется процедура верифи-

кации принадлежности идентификатора субъекту. Аутентификация

производится на основании того или иного секретного элемента

(аутентификатора), которым располагают как субъект, так и

информационной система. Обычно информационная система

располагает не самим секретным элементом, но некоторой

информацией о нем, на основании которой принимается решение

об адекватности субъекта идентификатору.

Рассмотрим конкретный пример. Перед началом интерак-

тивного сеанса работы большинство операционных систем

запрашивают у пользователя его имя и пароль. Введенное имя

является идентификатором пользователя, а его пароль -

аутентификатором. Операционная система обычно хранит не сам

пароль, а его хэш-сумму, обеспечивая, тем самым, прак тическую

невозможность восстановления пароля.

Строго говоря, в таких операционных системах как UNIX или

VMS, идентификатором пользователя является число, задаваемое

при создании учетной записи пользователя, а имя пользователя

является лишь уникальным атрибутом учетной записи.

Использование пары «имя пользователя-пароль» для аутен-

тификации субъектов является наиболее распространенным, но не

единственным. Принципиально разных методов аутен тификации,

на самом деле немного. Один класс методов аутентификации

основывается на том, что аутентифицируемый субъект должен

иметь некоторый секретный элемент (пароль, секретный ключ или

специальный аутентификационный то-кен). Другой класс методов

аутентификации применим в основном для аутентификаций людей.

Он основывается на наличии уникальных физических свойствах

самого человека (отпечатки пальцев, форма кисти руки, голос,

радужная оболочка глаза). У каждого класса методов есть как

достоинства, так и недостатки.

Алгоритмически процедура аутентификации представля ется

как последовательная передача одной или нескольких

информационных посылок между субъектом и информационной

системой и промежуточная их обработка обеими сто ронами. В

результате этих действий обе стороны обмена должны

удостоверится, что они являются теми, за кого себя вы дают.

Про аутентификацию секретным элементом мы уже говорили.

Другим распространенным методом аутентификации является

аутентификация с использованием сертификатов открытого ключа.

Разработано и применяется несколько таких алгоритмов. Обычно

аутентификацию с использованием ключей совмещают с

процедурой генерации парного симметричного ключа с целью его

дальнейшего использования для обмена сообщениями. Суть

метода состоит в том, что каждый из участников обмена путем

математических преобразований своего секретного ключа и

открытого ключа своего корреспондента и обмена несекретными

посылками получают независимо друг от друга секретное число.

Поскольку секретный и открытый ключи абонентов связаны

некоторым соотношением, то возможно подобрать преобразования

ключей так, что полученные обоими абонентами числа совпадают.

Полученное секретное число можно использовать в качестве

разделяемого секрета.

Другим, интересным методом аутентификации является

использование аутентификационного токена. Аутентификаци онный

токен представляет собой физическое устройство, обычно

небольших размеров для удобства его ношения с собой. Это может

быть смарт-карта или недавно появившиеся устройства,

подключаемые к порту USB и выполненные в виде брелока,

которые реализуют принцип двухфакторной аутен тификации,

совмещая достаточно надѐжную защиту с удобством

использования (такой USB-ключ можно носить в связке с ключами

от дома или в записной книжке, не боясь его повреждения). Обычно

они используются в качестве замены паролей в операционной

системе Windows или в других приложениях, требующих ввода

пароля. При загрузке ОС вы просто вставляете ключ в USB-порт

своего компьютера, вводите PIN-код и можете работать. Когда же

вы вынимаете этот ключ, компьютер автоматически блокируется,

не давая возможности злоумышленнику произвести какие-либо

действия в системе в ваше отсутствие. И даже если он похитил

ваш USB-ключ, ему потребуется узнать ещѐ и PIN-код, чтобы по-

лучить доступ к вашим данным.

Альтернативой USB-ключам являются смарт-карты, которые

решают ту же задачу, однако значительно менее удобны в

использовании и дороги.

Обычно аутентификационный токен содержит «на борту»

энергонезависимую память и специализированный процессор.

Некоторые устройства дополнительно имеют встроенный ап-

паратный генератор случайных чисел или таймер (часы реального

времени). Процессор токена, в зависимости от мощ ности способен

выполнять самые различные операции. Есть процессоры,

способные выполнять шифрование данных алго ритмом DES или

вычислять хэш-суммы с использованием ключа (HMAC-MD5).

Специализированный токен позволяет производить

криптографические преобразования без извлечения ключа из

памяти токена и передавать между токеном и компьютером и

информационной системой только несекретные или

зашифрованные данные, что дополнительно защищает протокол

аутентификации от перехвата ключей. Обычно программный

доступ к токену возможен только пос ле ввода PIN-кода, известного

только владельцу аутентификационного токена. Дополнительные

возможности токенов позволяют реализовать более надежные

протоколы аутентификации.

Указанные и многие другие методы аутентификации стра дают

одним недостатком - они, на самом деле, аутентифици-руют не

конкретного субъекта, а фиксируют тот факт, что аутентификатор

субъекта соответствует его идентификатору. То есть, все

перечисленные методы не защищены от компро метации

аутентификатора. Биометрические методы идентификации или

аутентификации свободны от этого недостатка. Как уже

отмечалось, биометрические методы основываются на анализе

уникальных характеристик самого человека.

Биометрическая характеристика может являться как иден-

тификатором (как, собственно, дактилоскопия рассматрива ет

отпечаток пальца как идентификатор личности), так и

аутентификатором (пользователь вводит свое имя и подтвер ждает

его, посмотрев в окуляр анализатора радужной обо лочки глаза).

Для некоторых приложений (например, для контроля доступа в

помещения) идентификации оказывается достаточно. Для

некоторых («параноидальных») случаев требуется ввести имя

пользователя, его отпечаток пальца да еще и произнести кодовую

фразу.

Наиболее распространенным методом (и дешевым) биомет-

рической идентификации или аутентификации является ана лиз

отпечатка пальца. При регистрации пользователя, в базу данных

аутентификационного сервера помещается свертка -некоторая

хэш-сумма отсканированного отпечатка пальца. В зависимости от

реализации, длина свертки составляет 200-400 байт.

Но у биометрических методов аутентификации личности есть

один серьезный недостаток (кроме относительно высо кой

стоимости). В случае компрометации аутентификационного токена,

ключа или пароля субъект может отказаться от его использования

и получить новый аутентификатор. В слу чае компрометации

электронного представления биометрического аутентификатора,

человек может просто «выпасть» из процесса аутентификации. В

случае использования биометрической характеристики как

идентификатора личности, угрозы компрометации нет.

Защита компьютеров от НСД со стороны злоумышленни ков

является составной частью комплексного подхода к орга низации

корпоративной информационной безопасности. В России имеется

немало предложений в этой области,, среди которых важное место

занимают рассмотренные электронные системы идентификации и

аутентификации. Решение о необходимости и выборе той или иной

системы (на базе iButton, смарт-карт, радиочастотных

идентификаторов или USB-клю-чей) остается за руководителем

компании.

7.4 Управление доступом

Одним из непременных условий обеспечения безопасности

информационных систем является управление доступом

пользователя к информационным ресурсам. Необходимо кон-

тролировать доступ как к информации в компьютере, так и к

прикладным программам. Необходимо иметь гарантии того, что

только авторизованные пользователи имеют доступ к ин формации

и приложениям.

Для обеспечения надѐжной защиты данных, доступ к ин -

формационным ресурсам компании необходимо строго регла-

ментировать. Для этого сначала следует получить ответы на

следующие вопросы [30]:

1) Кто, кому, при каких условиях, к каким ресурсам и при каких

видах доступа должен обеспечивать доступ к информа ционным

ресурсам?

2) Какие аппаратно-программные комплексы по разграничению

доступа и определению для всех пользователей инфор мационных

и программных ресурсов будут использоваться?

3) Каким образом будет происходить управление процедурой