Садердинов А.А. Информационная безопасность предприятия

Подождите немного. Документ загружается.

УДК 007 ББК 32.81

Рецензенты:

Лазарев И.А., доктор технических наук, профессор, академик

МАН ИПТ, заслуженный деятель науки и техники РФ;

Саблин В.Н., доктор технических наук, профессор, академик МАН

ИПТ, заслуженный деяте ль науки и техники РФ.

Садерд инов А. А., Трайнѐв В. А., Федулов А. А. Инфор-

мациионная безопасность пред приятия: Учебное пособие.-2-е

изд.—М., Издате льско-торговая корпорация «Дашков и К°», 2005.-

336 с.

ISBN 5-94798-558-6

В книге изложен системный подход к построению ком плексной

защиты информационной системы предприятия. Рассмотрены

принципы и предпосылки обеспечения информационной безопас-

ности предприятия; характеристики угроз и анализ уязвимостей

системы; требования к системе защиты.

Впервые отечественными авторами описывается подход к по-

строению комплексной защиты интегрированной информационной

системы предприятия с применением отечествен ных средств за-

щиты, криптографических средств в составе за рубежных ERP-

систем.

Книга предназначена в первую очередь специалистам, про -

ектирующим информационные системы и средства их защи ты, она

также может широко использоваться в качестве учебного пособия

для сту дентов высших и других учебны х заведе ний, в частности,

образовательного стандарта №030100

ББК 32.81

ISBN 5-94798-558-6 Трайнѐв В. А., Федулов А. А., 2004

«Любая система, зависящая от человеческой надеж-

ности, ненадежна»

Второй закон Джилба

Введение [^]

Информационная безопасность предприятия — это защи-

щенность информации, которой располагает предприятие (произ-

водит, передает или получает) от несанкционированно го доступа,

разрушения, модификации, раскрытия и задержек при поступле-

нии. Информационная безопасность включает в себя меры по за-

щите процессов создания данны х, их ввода, обработки и вывода.

Целью комплексной информационной безопасности явля ется

сохранение информационной системы предприятия в це лости и

сохранности, защита и гарантирование полноты и точ ности выда-

ваемой ею информации, минимизация разрушений и модификация

информации, если таковые случаются.

Компьютеризация, развитие телекоммуникаций предостав ляют

сегодня широкие возможности для автоматизированного доступа к

различным конфиденциальным, персональным и др угим важным,

критическим данным в обществе (его граждан, организаций и т. д.).

Естественно, люди осознают появле ние такого ряда новых рисков и

начинают беспокоиться об обеспечении необхо димой безопасности

подобной информации. Так, фирмы, долгое время специализир о-

вавшиеся на о хране людей и объектов, начали выделять в качестве

отдельного направления своей деятельности «компьютерную»

безопасность, а в структуру практически всех компаний, занимаю-

щихся системной интеграцией, были введены специальные под-

разделения, разрабатывающие собственные комплексные меры по

информационной безопасности.

Проблема создания и поддержания защищенной среды ин-

формационного обмена, реализующая определенные правила и по-

литику безопасности современной организации, являе тся весьма

актуальной. Информация давно уже перестала играть эфемерную,

чисто вспомогательную роль, превратившись в весьма важный и

весомый, чуть ли не материальный, фактор со своими стоимостн ы-

ми характеристиками, определяемыми той реальной прибылью ,

которую можно получить от ее (ин формации) использования. В то

же время, вполне возможен сегодня и вариант ущерба, наносимого

владельцу информации (предприятию) путем несанкционирован-

ного проникновения в информационную структуру и воздействия

на ее компоненты.

Из это го очевидно, насколько актуален в наши дни вопрос с за-

щитой информационных систем предприятий В данной книге авто-

ры попытались обобщить соответствующий материал, накоплен-

ный в отечественной и зарубежной практике. В книге изложен сис-

темный подхо д к построению комплекс ной защиты информацион-

ной системы предприятия. Рассмотрены принципы и предпосылки

обеспечения информационной безопасности предприятия; приве-

дены характеристики угроз и анализ уязвимостей системы; а также

требования к си стеме защиты.

Впервые отечественными авторами описывается подход к по-

строению комплексной защиты интегрированной инфор мационной

системы предприятия с применением отечественных средств защи-

ты, а также криптографических средств в со ставе зарубежных ERP-

систем.

Книга предназначена, в первую очередь, для специалистов,

проектирующих информационные системы и средства их защиты,

ее также можно использовать в качестве учебного пособия для сту-

дентов высших и других учебных заведений.

Авторы выражают благодарность В.Н. Саблину и И.А Лаза реву

за рецензирование рукописи и высказанные критические замечания

и предложения по совершенствованию о тдельных глав, а также

А.С. Контаурову, А.З. Лукащову за товарищескую помощь и по д-

держку. Особая благодарность тем, кто принимал непосредствен-

ное участие в проведении работ, связанных с по строением ком-

плексной защиты информационных систем предприятий, и оказал

помощь в подготовке и оформлении рукописи - А. Бондаренко, П.

Грушину и М. Прусову, всем сотрудникам Федерального государ-

ственного унитарного предприятия ГИВЦМЕТ «Центринформ» и

Международной академии наук информации, информационных

процессов и технологий.

Принятые сокращения [^]

АС Автоматизированная система

ИИСУ П Интегрированная информационная система управле-

ния предприятием

ИС Информационная система

КСЗ Комплекс средств защиты

КД Конструкторская документация

ЛВС Локальная вычислительная се ть

МЭ Межсетевой экран

НСД Несанкционированный доступ

ОС Операционная сис тема

ПЗ Подсистема защиты

ПК Персональный компьютер

ПО Программное обеспечение

ППП Пакет прикладных программ

ПРД Правила разграничения доступа

РД Руководящий документ

PC Рабочая станция

СВТ Средства вычислительной техники

СЗИ Сис тема защиты информации

СЗИ НСД Система защиты информации от несанкш&ниро ван-

ного доступа

СЗСИ Система защиты секретной информации

СИБ Служба информационной безопасности

СНТП Специальное научно-техническое подразделение

СРД Система разграничения доступа

СУД Система управления доступом

СУБД Система управления базами данных

ТЗ Техническое задание

УИБ Управление информационной безопасностью

ЭВ М Электронно-вычислительная машина

ЭВТ Электронно-вычислительная техника

1. Основные принципы и предпосылки

обеспечения информационной безопасности

предприятия [^]

1.1. Основные принципы обеспечения информа-

ционной безопасности предприятия [^]

Основными принципами информационной безопасности явля-

ются:

■ обеспечение целостности и со хранности данных, т.е. на-

дежное их хранение в неискаженном виде;

■ соблюдение конфиденциальности информации (ее не-

доступность для тех пользователей, которые не имеют со-

ответствующих прав);

■ доступность информации для всех авторизованных пользова-

телей при условии контроля за всеми процессами использования

ими получаемой информации;

■ беспрепятственный дос туп к информации в любой момент,

когда она может понадобиться предприятию .

Эти принципы невозможно реализовать без особой интег -

рированной системы информационной безопасности, выполняю-

щей следующие функции:

■ выработку политики информационной безопасности;

■ анализ рисков (т.е. ситуаций, в которых может быть на -

рушена нормальная работа информационной системы, а также

утрачены или рассекречены данные);

■ планирование мер по обеспечению информационной безо-

пасности;

■ планирование действий в чрезвычайных ситуациях;

■ выбор технических средств обеспечения информационной

безопасности.

Политика информационной безопасности определяет:

■ какую информацию и от кого (чего) следует защищать;

■ кому и какая информация требуется для выполнения служеб-

ных обязанностей;

■ какая степень защиты необхо дима для каждого вида ин -

формации;

■ чем грозит потеря того или иного вида информации;

■ как организовать работу по защите информации. Обычно р у-

ководители организации решают, какой риск

должен быть исключен, а на какой можно пойти, они же затем о п-

ределяют объем и порядок финансирования работ по обес печению

выбранного уровня информационной безопасности.

Идентификация угроз означает уяснение наступления из-за это-

го возможных негативных воздействий и последствий. Реализация

угрозы может привести к раскрытию, модификации, разрушению

информации или отказу в информационном обслуживании. Среди

долговременных последс твий реализации угрозы могут быть такие,

как по теря бизнеса, на рушение какой-либо важной тайны, граж-

данских прав, адекватности данных, гибель человека и т.п. Вообще

надо сказать, что реализация многих угроз приводит обычно к б о-

лее чем одному воздействию. К последним следует относить: неав-

торизованный дос туп к локальным вычислительным сетям (ЛВС),

несоответствующий доступ к ресурсам ЛВС, неавторизованную

модификацию данных и программ, раскрытие данных, раскрытие

трафика ЛВС, по дмену трафика ЛВС и, наконец, неработоспосо б-

ность ЛВС.

Политика в отношении безопасности должна быть такой, чтобы

как можно реже требовалась ее модификация. В э той связи, может

быть, более разумно просто принять положение о том, что пр о-

граммное обеспечение обнаружения вирусов должно на хо диться на

персональном компьютере (ПК) ЛВС, сервера х и т. д., а админист-

раторы ЛВС должны каждый раз сами опреде лять конкретный ис-

пользуемый информационный продукт.

Все дело в том, что стандар ты и рекомендации статичны, по

крайне мере, в двух аспектах. Во-первых, они не учитывают обыч-

но постоянной перестройки защищаемых систем и их ок ружения.

Во-вторы х, они содержат лишь критические реко мендации по

формированию режима безопасности. Поэтому информационную

безопасность необходимо каждодневно поддерживать, тесно взаи-

модействуя не только и не сколько с компьютером, сколько с

людьми.

Другими словами, стандар ты и рекомендации являю тся лишь

отправной точкой в длинной и сложной цепочке действий по защи-

те информационных систем организаций. Обес печение безопасно-

сти - это комплексная проблема, для реше ния которой требуется

сочетание законодательных, организа ционных и программно-

технических мер. К сожалению, зако нодательная база сегодня от-

стает от потребностей практики, а имеющиеся законы и указы но-

сят в основном теоретический характер. Одновременно следует

учитывать, что в нашей стра не сегодня чаще испо льзуется зару-

бежное аппаратно-программное обеспечение. В условиях жестких

ограничений на импорт подобной продукции и отсутствия межго-

сударственных соглашений о взаимном признании сертификатов,

потребители, желающие оставаться законопослушными, оказыва -

ются по существу в безвыходном положении, так как у них подчас

нет возможности заказать (и получить) современную систему по

информационной безопасности «под ключ» и с сертификатом безо-

пасности.

Следующий уровень этой проблемы после законодательного -

управленческий. Руководство каждой организации до лжно само

определиться с необхо димым ему режимом безопасности и выде-

лить для его обеспечения ресурсы нередко значительные. Г лавное,

надо выработать политику безопасно сти, которая задаст общее на-

правление работ в данной облас ти. Важный момент при выработке

политики безопасности -анализ угроз и выбор адекватных мер про-

тиводействия.

Для поддержания режима информационной безопасности ос о-

бое значение имеют также программно -технические меры, по-

скольку основная угроза компьютерным системам исходит прежде

всего от самих этих систем (сбои оборудования, ошиб ки про-

граммного обеспечения, промахи пользователей и ад-

министраторов и т. п.)

Настоящая книга предлагает определенную логику ком -

плексного решения проблемы информационной безопасности. В

качестве средств защиты данных от попыток несанкциониро-

ванного доступа к ним как с внешней стороны, так и изнутри,

предлагаются современные программно-технические средства. В

комплексы защиты могут входить различные по составу и функ-

циональному назначению системы и средства, применяемые, во-

первых, в соответствии с идеологией, заложенной в основу по-

строения тех или иных систем управления, и, во-вторых, с учетом

принятого уровня информационной безопасности, учитывающего

возможные дестабилизирующие факторы.

Одним из нужных шагов в решении проблемы безопасности

интегрированных систем организационного типа следует считать

необхо димость создания органа, который бы мог за ниматься сер-

тификацией средств и методов защиты информации при работе

именно с такими системами.

В основу книги положена Доктрина информационной бе-

зопасности Российской Федерации, утвержденная Президен том

страны, а также руководящие документы Гостехкомиссии России и

других государственны х органов по защите информации при Пре-

зиденте РФ, в ко торых даны классификация и уровни защищенно-

сти средств вычислительной техники и автоматизированных сис-

тем от несанкционированного доступа к информации и современ-

ные требования по защите.

1.2. Предпосылки и цели обеспечения информацион-

ной безопасности предприятия [^]

Главная цель мер, принимаемых на управленческом уровне, -

сформировать программу работ в области информационной безо-

пасности и обеспечить ее выполнение с выделени ем необходимых

ресурсов и контролем за состоянием дел. Ос новой программы яв-

ляе тся многоуровневая политика безо пасности, отражающая под-

хо д организации к защите своих информационных активов.

Использование информационных систем сопровождается опр е-

деленной совокупностью рисков, которые постоянно должны ана-

лизироваться специальными подразделениями информацио нной

безопасности или системными администраторами (для небольших

организаций).

Одни техно логии по защите системы и обеспечению учета всех

событий могут быть встроены в сам компьютер, вторые -заложены

в программы, третьи рассчитаны на людей и реали зуют указания

руководства, содержащиеся в соответствующих документах.

Защитные меры предпринимаются, ко гда риск неприемлемо ве-

лик. Для контроля эффективности деятельности в обла сти безопас-

ности и учета изменений обстановки необходимо производить пе-

риодически переоценку рисков.

В настоящей монографии излагается система взглядов и прин-

ципов, на которых основана вся защита информации от утечки,

модификации и разрушения, что является в свою очередь частью

общей проблемы безопасности информации.

Концепция книги предназначена для заказчиков, разра ботчиков

и покупателей СВТ и АС, которые используются для обработки,

хранения и передачи информации, требующей защиты.

Концепция является мето дологической базой нормативно -

технических и методических документов, направленных на реше-

ние таких задач, как:

■ выработка требований по защите СВТ и АС от утечки, моди-

фикации и разрушения информации;

■ создание защищенных от утечки, модификации и разрушения

информации СВТ и А С;

■ проведение сертификации защищенных СВТ и АС.

Концепция предусматривает существование двух относи тельно

самостоятельных и, следовательно, отличающихся на правлений в

проблеме защиты информации от утечки, моди фикации и разру-