Вайнштейн Ю.В., Демин С.Л., Кирко И.Н., Кучеров М.М., Сомова М.В. Основы информационной безопасности

Подождите немного. Документ загружается.

эта деятельность стала для них желаемой. Мотивация уже рассматривалась;

далее будут рассмотрены только требования по безопасности для ПК.

7.5. Планирование безопасной работы на персональном компьютере

Необходимо признать, что производственные отношения основывают-

ся на управлении информационными средствами и требуют принятия реше-

ний относительно них. Эти решения по структуре, стоимости и защите ин-

формации составляют основу, на которой строится эффективная программа

по безопасности ПК. Предприятие должно принять решение по стратегиче-

ским целям, приложениям и контролю над сетью, связывающей ПК, и от-

дельными ПК.

Поскольку прикладные задачи перешли от больших компьютеров на

ПК, а современные новые приложения разрабатываются для сетей ПК, руко-

водство должно иметь процесс, гарантирующий продолжение уровня качест-

ва информации. Он включает меры по защите информации. Эти меры долж-

ны выполняться на основе стандартов, как было описано в главе 3.

7.5.1. Стандарты предприятия по использованию ПК

Каждое предприятие должно принять стандарты, которые устанавли-

вают средства контроля за применением ПК. В решение руководства, которое

является предварительным условием принятия стандартов, должно входить

следующее:

1. Анализ риска, определяющий ослабленные позиции, возникающие на

предприятии вследствие использования сетевых ПК, на работе или в домаш-

них условиях. Этот анализ позволит вывести основные требования политики,

т.е. на каких формах производственной деятельности сотрудников следует

настаивать. Ослабленные позиции могут быть разными для различных при-

ложений. Одна из проблем состоит в том, что предприятие может не знать,

кто использует персональные компьютеры, видя только результат их дея-

тельности. Руководящие указания и стандарты, рассматривающие использо-

вание ПК, должны обеспечить механизм контроля, гарантирующий персо-

нальную ответственность пользователя при работе на ПК с информацией

предприятия.

2. Процедура получения, использования и контроля ПК. ПК не должны рас-

сматриваться, как простой элемент информационного оборудования отдела

по нескольким причинам, включающим совместимость с другим оборудова-

нием и информационный контроль. Так как ПК дешевы, сотрудники могут

покупать их произвольным образом, используя деньги, выделяемые на нужды

отдела. Предприятие должно иметь строгие правила относительно того, как

должно приобретаться любое компьютерное оборудование, или, более того,

предприятие должно указать, какие ПК можно использовать, с какими опера-

ционными системами можно работать, а также ограничения, накладываемые

на прикладные программы.

3. Формальное принятие ответственности сотрудниками в случае, когда они

хотят использовать ПК или другое терминальное устройство за пределами

предприятия. С целью защиты интересов производства каждый сотрудник

должен подписать контракт, в котором оговариваются его обязательства пе-

ред предприятием. Контракт должен устанавливать в письменной форме от-

ветственность сотрудника по защите информации предприятия во время ра-

боты с ней, и то, что сотрудник обещает следовать практике предприятия по

безопасности. Нарушение условий контракта может привести к юридической

ответственности сотрудника, что в дальнейшем может повлечь за собой осво-

бождение его от занимаемой должности.

4. Средства контроля, препятствующие случайному доступу к сетям или

большим компьютерам. Конечно, предприятие не может контролировать дея-

тельность каждого сотрудника, но оно может контролировать доступ к пор-

там компьютера, а это – пункт контроля за соединениями ПК с серверами баз

данных или сетями. Одним из способов является применение одной из сис-

тем контроля порта, доступных в настоящее время. Другой – требует от поль-

зователя наличия электронного ключа, который генерирует код в процессе

аутентификации. Такая система гарантирует точную идентификацию вне за-

висимости от того, какое оборудование используется или с какого места за-

прашивается доступ.

5. Опубликованные руководящие указания по использованию ПО из мест

вне предприятия. Это важно для гарантии поддержания контроля, особенно

когда устройства соединены с сетями. Системы так называемых электронных

досок объявлений предлагают бесплатное или условно-бесплатное ПО, кото-

рое пользователя просят оплатить. Применение таких программ является

очень рискованным; предприятие должно четко установить в письменной

форме в контракте с каждым сотрудником обязательство не использовать ПО,

которое не получило официального одобрения.

Программное обеспечение для ПК не только является источником фи-

нансовых расходов, но также может представлять источник беспокойства для

предприятия, если сотрудники нарушат контрактные обязательства, приня-

тые при покупке ПО для производственной деятельности. Все программное

обеспечение для ПК, такое как утилиты для операционных систем или при-

кладные программы (такие как разработанные программистами предприятия

системы анализа смет) должно быть защищено. Слабые стороны программ-

ного обеспечения ПК включают:

- нелегальное копирование или нелегальное применение ПО, которое имеет

авторские права и куплено по лицензии;

- скрытное изменение операционной системы, контроля безопасности или

прикладной программы на диске для обмана или с другими тайными целями;

- потерю ПО, наступившую как вследствие необдуманной перезаписи или

стирания программ, так и кражи диска.

Программы должны быть защищены так же, как данные. Диски долж-

ны иметь маркировку, включая при необходимости соответствующую метку

классификации. Они должны храниться в определенном порядке, так чтобы

мог быть замечен отсутствующий диск. Следует подумать о замыкающихся

кабинетах и выдвижных полках для безопасного хранения неиспользуемых

дисков.

Ряд важных требований по контролю включают следующие требова-

ния:

1. Для выполнения производственных задач следует использовать только те

ПК и такие пакеты программ, которые получили одобрение информационно-

го руководства предприятия. Это согласуется с правилами по безопасности

информации, касающимися получения классифицированных документов и их

защиты вне помещений предприятия. Ограничение ПО только одобренным

предприятием важно для гарантии целостности информации. Ограничение

типов используемых компьютеров увеличивает ценность библиотек ПО и уп-

рощает соединения между компьютерами.

2. ПК предприятия могут использоваться только для производственных це-

лей предприятия. Если сотрудник имеет собственный ПК, то в руководящих

указаниях следует отметить, возможно или нет его использование для произ-

водственных целей, и если так, то как должна контролироваться информация.

Совместное использование ПК работающим сотрудником и членами его се-

мьи не является правильной идеей.

3. Классифицированная информация не должна быть получена или введена с

удаленного терминала. Это правило отражает тот факт, что сложно устано-

вить эффективный контроль над получением информации после аутентифи-

кации пользователя терминала. Для компьютера путь сообщения или файла,

который получает аутентифицированный пользователь не имеет значения,

зато этот путь очень важен с точки зрения безопасности.

4. Классифицированная информация не должна обрабатываться в присутст-

вии посторонних лиц в помещении. Это является более общим правилом, ко-

торое применяется также при работе внутри предприятия. Оно применимо в

каждом случае.

5. Каждый сотрудник несет персональную ответственность за защиту клас-

сифицированной информации и за надлежащее использование специальных

мер безопасности. Индивидуальное понимание и желание использовать на-

дежные инструкции по безопасности являются главными требованиями при

эксплуатации сетей. Сотрудники должны быть обеспечены инструкциями по

безопасности.

6. Каждый пользователь должен получить уникальный идентификатор и ау-

тентификатор перед тем, как войти в сеть. Полномочия не должны использо-

ваться совместно; пароли или другие токены должны оберегаться самим

пользователем.

7. Пароли должны храниться в тайне и периодически меняться согласно

стандартам предприятия. Предприятия, которые заботятся о своих информа-

ционных средствах, считают тайну и защиту паролей или других аутентифи-

кационных токенов вопросом доверия. Нарушение считается тяжелым про-

ступком, часто приводящим к увольнению.

8. Присоединенные ПК должны быть отключены от сети или переведены в

пассивное состояние, если устройство осталось без надзора. Сеть самостоя-

тельно может установить тайм-аут, если отсутствие активности очевидно.

9. Периодически руководство должно заново рассматривать подтверждение

для работы каждого сотрудника на ПК. Владение и использование ПК на ра-

боте должно быть регулярным пунктом ревизий на предприятии. Хорошим

способом проверки использования ПК вне предприятия, возможно, служат

периодические обследования доступов «по вызову» в системных протоколах.

7.5.2. Практические меры безопасности для ПК

Как описано ранее, следует разделять меры безопасности, требуемые

различными уровнями элементов безопасности, на физические, логические и

процедурные меры безопасности.

Физические меры:

Помещения, в которых находятся ПК, должны иметь безопасность со-

гласно степени секретности обрабатываемой информации. За исключением

информации высшего значения, которая может потребовать специальных

усилий, ПК, установленные в отделе, обычно обеспечиваются средней степе-

нью защиты.

Оборудование должно иметь крепеж безопасности для закрепления

устройства на столе или на полу. Отсутствие его допускается в случае, когда

помещение считается безопасным при отсутствии людей в здании. Для лент и

дисков следует предусмотреть безопасное хранилище. Это хранилище долж-

но иметь тот же уровень защиты, как и для документов, имеющих данную

классификацию. В большинстве случаев, информация высшего значения

должна храниться в сейфе или запирающемся кабинете. ПО является дорого-

стоящим и хранится аналогично важным данным.

Ленты и диски, которые были использованы для секретной информа-

ции, не должны возвращаться производителю или продаваться как утиль. Вне

зависимости от того, какие действия были выполнены по стиранию инфор-

мации на дисках, могут быть найдены технические способы ее извлечения.

Большинство команд только вычеркивает заголовки файлов и входы в табли-

це ссылок, а сами данные остаются на диске.

В некоторых случаях требуется блокировка аппаратуры (например, от-

ключение блока питания). Преимущество элементов безопасности различных

уровней в том, что можно разработать простое экономичное решение. Про-

стой замок на ПК или блоке питания диска может служить таким решением,

особенно в охраняемых помещениях.

Программно-аппаратные меры:

Многие операционные системы ПК (такие как Unix) били разработаны

с точки зрения удобства для пользователя, а не безопасности для информа-

ции. Большинство ПК (за исключением последних, более мощных моделей)

не имеет системной организации, которая эффективно приспособлена для

размещения механизмов безопасности. Можно сказать, что большая часть

средств контроля ПК просто не является надежной и не предназначена для

безопасного управления системными ресурсами или данными. Например,

дисковая операционная система ПК имеет указатели статуса файлов, такие

как “только чтение” или “скрытый”. Они обеспечивают некоторый вид кон-

троля (зависящий от личного усмотрения), но, имея минимальные техниче-

ские навыки, можно легко манипулировать флажками операционной систе-

мы, которые контролируют эти состояния. Файлы на персональных компью-

терах, только что полученных от производителей, следует считать доступны-

ми для любого, кто имеет физический доступ к машине.

Чтобы контроль доступа был эффективным, необходимо обеспечить

средства аутентификации каждого пользователя. Конечно, в случае, когда

только одно лицо использует ПК и физически контролирует доступ к нему,

можно обойтись без этого. Но каждый ПК, обрабатывающий классифициро-

ванную информацию, должен быть обеспечен пакетом контроля безопасно-

сти или соответствующей комбинацией аппаратных и программных средств.

Они дадут возможность установить контроль с применением паролей или,

возможно, использовать ручные аутентификационные устройства.

Пакеты программ по безопасности имеют широкий спектр приложений.

Администратор ПК может установить и контролировать различные уровни

привилегий. Он, соответственно, имеет общий доступ и административные

права. Директории с секретными файлами могут быть скрыты, так что слу-

чайный пользователь не сможет увидеть имена файлов. В качестве опции

предлагается шифрование файлов. В таблице 5 проводится сравнение неко-

торых операционных систем ПК и предлагаемых услуг.

При соединении с сетью ПК должны использовать для аутентификации

средства центральной программы безопасности (функция безопасности учет-

ного сервера для ЛВС). В добавление к аутентификации легальных пользова-

телей, пакет по безопасности может применяться для ограничения действий

только теми, которые авторизованы владельцами данных. Некоторые пакеты

контроля безопасности ПК предлагают опции, поддерживающие интерфейс с

системой безопасности большого компьютера.

Системы шифрования, предпочтительно, использующие аутентифика-

цию сообщений, являются важными в случаях, когда ПК используется для

коммуникаций стратегического характера или для обработки производствен-

ной информации, имеющей высшее значение. Шифрование является высшей

степенью защиты, известной до сего времени, но оно требует строгого управ-

ления ключами шифрования. При потере ключей одновременно теряется ин-

формация.

Организационные меры:

Все пользователи ПК, а также владельцы, должны быть идентифициро-

ваны с целью руководящего контроля. Пользователи должны подписать заяв-

ку на аппаратные и программные средства и заявление об ответственности.

Серийный номер и местоположение каждого ПК должны быть записаны и

периодически проверяться.

Сетевые средства контроля и средства контроля центрального компью-

тера должны корректироваться согласно текущим назначениям сотрудников.

Должен действовать процесс, гарантирующий изменение или отмену полно-

мочий при увольнении сотрудника или переводе его на другую работу.

Должны быть разработаны и тщательно проверены планы на случай

форс-мажорных обстоятельств для восстановления необходимой производст-

венной информации в случае, если пожар или другое бедствие выведут из

строя средства ПК. От пользователей необходимо требовать хранения ре-

зервных дисков, процедур, программ и т.п. для гарантии восстановления.

Локально разработанные программы (например, прикладные програм-

мы, разработанные пользователем для выполнения производственной задачи)

должны пройти проверку на качество до начала применения. Такое локальное

ПО обычно не имеет преимуществ формальной сертификации, принятой в

профессиональных группах программистов и разработчиков систем. Текст

может содержать серьезные ошибки, как случайные, так и преднамеренные.

До одобрения руководством выводимых данных и использования их в произ-

водственных целях, следует провести объективную проверку и испытание

этих программ, возможно комиссией вышестоящей организации.

Каждый пользователь ПК должен знать требования по безопасности,

полученные при персональной подготовке или же изложенные в брошюре

или листовке.

7.5.3. Безопасность и соединения

Здесь будет рассмотрена проблема безопасности при работе в глобаль-

ной сети, такой как сеть «Интернет». Фактически сеть «Интернет» соединяет

корпоративную сеть с остальным миром, поэтому проблему безопасности

трудно переоценить.

Безопасность сети «Интернет» обеспечивают системы защиты от не-

санкционированного доступа, т.н. межсетевые экраны, которые способны ус-

тановить разницу между разрешенным трафиком, например, к веб-страницам

и электронной почте, и запрещенным, таким как запросы на чтение файлов

корпоративных файл-серверов или ПК клиентов рабочих групп.

ПК и другие микрокомпьютерные устройства обеспечивают огромный

рост обработки информации и производственных коммуникаций. Но эти уст-

ройства, особенно в случае соединения с сетями, создают серьезную угрозу

для безопасности информации. Необходимо тщательное внимание руково-

дства, чтобы установить стратегические направления использования ПК, ус-

тановить требования безопасности и контроля и убедить сотрудников посту-

пать так, как необходимо.

Таблица 5

Сравнение операционных систем (ОС) ПК и предлагаемых услуг

ОС Плюсы Минусы и примечания

MS-DOS

Большая база ПО

Древовидная структура

директорий

Разумные сообщения

об ошибках

Возможность управления

Задачами

Нет контроля доступа, но может

быть подключен.

Служит стандартом для целей

образования.

UNIX Многопользовательская

Многозадачная

Переносимая: большая/мини/микро

Защита файлов

Контроль доступа

Поддержка реляционных

баз данных

Не очень дружественная

к пользователю оболочка.

Требует значительных

ресурсов ПК.

Недостаточный объем ПО

для сферы бизнеса.

Нет блокировки уровня

записи.

Windows 2000,

Windows XP,

OS/2

Многопользовательская.

Многозадачная.

Защита файлов.

Контроль доступа.

СУБД DB/DC: язык SQL, блокировка

записи.

Требует значительных

ресурсов ПК.

Контрольные вопросы

1. Что должна определять политика безопасности предприятия относитель-

но регистрации пользователей, а также обеспечения и применения микро-

компьютеров и рабочих станций?

2. Должна ли политика предприятия опираться на полный контроль над дея-

тельностью сотрудников предприятия, или необходимы также другие формы

взаимодействия (укажите, какие)?

3. Как довести до сотрудников предприятия сведения, касающиеся защиты

информации, обрабатываемой или хранимой в электронной форме?

4. Как предотвратить случаи мошенничества или неправильного использо-

вания сетевых устройств бывшими сотрудниками, авторизации которых не

были своевременно отменены?

100

5. Что представляет собой порядок идентификации и аутентификации поль-

зователей сетевых и персональных компьютеров?

6. Кто и как осуществляет авторизацию пользователей?

7. Перечислите меры физической безопасности, которые применяются для

персональных компьютеров или рабочих станций?

8. Что вы можете рассказать о контроле магнитных носителей с конфиден-

циальной информацией на них, а также о создании резервных копий дисков,

лент и других списков, важных для производственных операций?

9. Как защитить от НСД к информации классифицированные выдачи прин-

тера и другие документы?

10. Можно ли на предприятии использовать ПО, разработанное внешними

производителями, для обработки классифицированной информации?

11. Как защитить конфиденциальную информацию предприятия от угрозы

перезаписи со стороны недобросовестных сотрудников?