Вайнштейн Ю.В., Демин С.Л., Кирко И.Н., Кучеров М.М., Сомова М.В. Основы информационной безопасности

Подождите немного. Документ загружается.

251

ГЛАВА 14. АНАЛИЗ РИСКОВ

КОРПОРАТИВНЫХ ИНФОРМАЦИОННЫХ СИСТЕМ

14.1. Основные этапы аудита ИБ

− Технологический аудит.

− Аудит системы управления ИБ (ISO 17799).

− Анализ информационных рисков.

Технологический аудит

Применяемые методики:

− NSA Infosec,

− NIST,

− OSSTM.

Модель нарушителя:

Нарушитель – субъект, имеющий физический доступ к корпоративной

информационной системе и не обладающий правами доступа к логическим

информационным ресурсам.

Объекты аудита:

− Сетевая инфраструктура,

− Серверы,

− Рабочие станции.

Аудит системы управления информационной безопасностью (ISO 17799):

− Организационные меры по обеспечению безопасности.

− Классификация и управление ресурсами.

− Безопасность персонала.

− Физическая безопасность.

− Управление коммуникациями и процессами.

− Контроль доступа.

− Разработка и техническая поддержка вычислительных систем.

− Управление непрерывностью бизнеса.

− Соответствие системы основным требованиям.

252

Анализ информационных рисков

Целью анализа информационных рисков является разработка экономи-

чески эффективной и обоснованной системы обеспечения информационной

безопасности.

Задачами являются:

− Комплексная оценка защищенности ИС;

− Оценка стоимости информации (потенциального ущерба);

− Оценка риска (вероятного ущерба);

− Разработка комплексной системы обеспечения ИБ в соответствии с

оценками информационных рисков.

Для чего необходим анализ информационных рисков?

− Определение вероятного ущерба (риска) по существующим видам

ценной информации,

− Сравнение риска с затратами на обеспечение информационной безо-

пасности,

− Оценка эффективности затрат на обеспечение информационной

безопасности.

Информационный риск – это величина, зависящая от уровня защищен-

ности объекта и определяющаяся как:

РИСК = Р (вероятность реализации угрозы) * Стоимость ущерба

Критерии оценки защищенности информационных систем:

− Количественные методы оценки;

− Качественные методы оценки.

Критерии проведения аудита информационной безопасности:

− Общепринятые международные стандарты;

− Внутренние стандарты аудиторских компаний;

− Ведомственные стандарты.

Стандарты безопасности. Международные стандарты:

− ISO 17799

− BSI

− ISO 27001

− Банковский стандарт ЦБ РФ (от 01.01.2006)

253

14.2. Британский стандарт ISO 17799:

− Организационные меры по обеспечению безопасности.

− Классификация и управление ресурсами.

− Безопасность персонала.

− Физическая безопасность.

− Управление коммуникациями и процессами.

− Контроль доступа.

− Разработка и техническая поддержка вычислительных систем.

− Управление непрерывностью бизнеса.

− Соответствие системы основным требованиям.

14.3. Германский стандарт BSI

− Методология управления ИБ.

− Компоненты информационных технологий.

− Каталоги угроз безопасности и контрмер (около 600 наименований в

каждом каталоге).

Методология управления

− организация менеджмента в области ИБ.

− методология руководства.

Компоненты информационных технологий

− Основные компоненты (организационный уровень ИБ, процедурный

уровень, организация защиты данных, планирование действий в

чрезвычайных ситуациях).

− Инфраструктура (здания, помещения, кабельные сети, организация

удаленного доступа).

− Клиентские компоненты различных типов (DOS, Windows, UNIX,

мобильные компоненты, прочие типы).

− Сети различных типов (соединения "точка-точка", сети Novell Net-

Ware, сети с ОС UNIX и Windows, разнородные сети).

− Элементы систем передачи данных (электронная почта, модемы,

межсетевые экраны и т.д.).

254

− Телекоммуникации (факсы, автоответчики, интегрированные систе-

мы на базе ISDN, прочие телекоммуникационные системы).

− Стандартное ПО.

− Базы данных.

Каталоги угроз безопасности и контрмер

Угрозы по классам:

− форс-мажорные обстоятельства;

− недостатки организационных мер;

− ошибки человека;

− технические неисправности;

− преднамеренные действия.

Контрмеры по классам:

− улучшение инфраструктуры;

− административные контрмеры;

− процедурные контрмеры;

− программно-технические контрмеры;

− уменьшение уязвимости коммуникаций;

− планирование действий в чрезвычайных ситуациях.

14.4. Сравнение подходов ISO 17799 и BSI

В британском стандарте декларируются некоторые общие принципы,

которые предлагается конкретизировать применительно к исследуемым ин-

формационным технологиям.

Во второй части основное внимание уделено сертификации информа-

ционной системы на соответствие стандарту, то есть формальной процедуре,

позволяющей убедиться, что декларируемые принципы реализованы. Объем

стандарта сравнительно невелик − менее 120 страниц в обеих частях.

Недостатком британского стандарта являются высокие требования к

квалификации специалистов, осуществляющих проверку на соответствие

требованиям стандарта. Кроме того, в нем недостаточно учитывается специ-

фика современных распределенных систем.

255

В германском стандарте, напротив, рассмотрено много "частных слу-

чаев" − различных элементов информационных технологий. Объем докумен-

та очень велик − несколько тысяч страниц; несомненно, он будет возрастать.

Такой подход имеет свои достоинства и недостатки.

Достоинство − учет специфики различных элементов. В частности, го-

раздо лучше, по сравнению с британским стандартом, рассмотрены особен-

ности обеспечения ИБ в современных сетях.

Другим достоинством является использование гипертекстовой струк-

туры, что позволяет оперативно вносить изменения и корректировать связи

между частями стандарта. Последняя версия стандарта всегда доступна на

Web.

Недостаток − невозможность объять необъятное − все множество эле-

ментов современных информационных технологий на одинаковом уровне де-

тализации. Неизбежно приходится вводить раздел "прочее", в котором в об-

щем виде рассматриваются менее распространенные элементы.

14.5. ISO 27001

− Система управления информационной безопасностью (СУИБ).

− Обязанности руководства компании.

− Внутренний аудит СУИБ.

− Проверки СУИБ руководством компании.

− Совершенствование СУИБ.

Система управления информационной безопасностью:

− Разработка и утверждение СУИБ;

− Внедрение и функционирование СУИБ;

− Мониторинг и пересмотр СУИБ;

− Поддержание и совершенствование СУИБ;

− Документы, необходимые для СУИБ.

Разработка и утверждение СУИБ:

− Определение политики СУИБ;

256

− Определение подходов к оценке рисков компании;

− Определение рисков;

− Анализ и оценка рисков;

− Определение и оценка стратегии управления рисками;

− Выбор мер защиты для снижения рисков;

− Определение уровня приемлемого риска;

− Утверждение СУИБ руководством компании;

− Разработка Положения о Применимости.

Обязанности руководства компании:

− Обязанности руководства компании при разработке, внедрении и

поддержании СУИБ;

− Предоставление необходимых ресурсов;

− Обучение и тренинги сотрудников компании.

Внутренний аудит СУИБ

В ходе аудита проверяется:

− Соответствие требованиям стандарта ISO 27001 и действующего за-

конодательства;

− Соответствие требованиям к информационной безопасности;

− Эффективность внедрения и поддержания СУИБ;

− Выполняются ли процедуры СУИБ на требуемом уровне.

Проверки СУИБ руководством компании

Объекты проверок:

− результаты предыдущих аудитов СУИБ;

− процедуры, используемые для увеличения эффективности СУИБ;

− уязвимости и угрозы, не учтенные при предыдущей оценки рисков;

− результаты оценки эффективности СУИБ;

− действия, выполненные после предыдущих проверок;

− любые изменения, которые могут повлиять на СУИБ;

− рекомендации по совершенствованию СУИБ.

257

Результаты проверок:

− совершенствование эффективности СУИБ;

− обновление планов анализа рисков и управления рисками;

− модификация процедур, влияющих на информационную безопас-

ность;

− оптимизация распределения ресурсов;

− улучшение методов оценки эффективности требований СУИБ.

Совершенствование СУИБ:

− Постоянное совершенствование СУИБ с помощью политики безо-

пасности, результатов аудита, анализа инцидентов;

− Корректирующие действия;

− Превентивные действия.

14.6. Стандарт ЦБ РФ − обеспечение ИБ организаций банковской систе-

мы РФ

1. Область применения.

2. Нормативные ссылки.

3. Термины и определения.

4. Обозначения и сокращения.

5. Исходная концептуальная схема (парадигма) обеспечения информа-

ционной безопасности организаций банковской системы (БС) РФ.

6. Основные принципы обеспечения информационной безопасности ор-

ганизаций БС РФ.

7. Модели угроз и нарушителей информационной безопасности органи-

заций БС РФ.

8. Политика информационной безопасности организаций БС РФ.

9. Система менеджмента информационной безопасности организации

БС РФ.

10. Проверка и оценка информационной безопасности организации БС

РФ.

11. Модель зрелости процессов менеджмента информационной безопас-

ности организации БС РФ.

258

12. Направления развития стандарта.

Основные особенности стандарта:

− Бизнес ориентация стандарта;

− Ориентация на лучшие западные стандарты;

− Конфиденциальность, целостность, доступность;

− Анализ и управление рисками;

− Аудит безопасности;

− Модели зрелости процессов менеджмента ИБ;

− Менеджмент информационной безопасности.

Бизнес ориентация

− Наиболее правильный и эффективный способ добиться минимизации

рисков нарушения ИБ для собственника − разработать на основе точ-

ного прогноза политику ИБ и в соответствии с ней построить систему

управления ИБ.

− Политика ИБ организаций БС РФ разрабатывается на основе прин-

ципов обеспечения ИБ организаций БС РФ, моделей угроз и наруши-

телей, идентификации активов, подлежащих защите, оценки рисков и

с учетом особенностей и интересов конкретного собственника.

− Собственник должен знать, что он должен защищать. Собственник

должен знать и уметь выделять (идентифицировать) наиболее важ-

ный для его бизнеса информационный актив (ресурс).

Ориентация на лучшие западные стандарты

В соответствии с ISO 27001 (BS 7799:2) должны выделяться четыре ос-

новных процесса цикла:

1. Планирование процессов выполнения требований ИБ;

2. Реализация и эксплуатация защитных мер;

3. Проверка процессов выполнения требований ИБ и защитных мер;

4. Совершенствование процессов выполнения требований ИБ и защит-

ных мер.

Модель зрелости процессов менеджмента ИБ

259

Нулевой уровень − полное отсутствие каких-либо процессов менедж-

мента ИБ в рамках деятельности организации. Организация не осознает су-

ществования проблем ИБ.

Первый уровень (“начальный”) − наличие документально зафиксиро-

ванных свидетельств осознания организацией существования проблем обес-

печения ИБ.

Процессы управления ИБ не стандартизованы, применяются эпизоди-

чески и бессистемно. Общий подход не выработан.

Второй уровень (“повторяемый”) – проработанность процессов ме-

неджмента ИБ до уровня, когда их выполнение обеспечивается различными

людьми, решающими одну задачу. Однако отсутствуют регулярное обучение

и тренировки по стандартным процедурам, а ответственность возложена на

исполнителя. Руководство в значительной степени полагается на знания ис-

полнителей, что влечет за собой высокую вероятность возможных ошибок.

Третий уровень (“определенный”) − процессы стандартизованы, доку-

ментированы и доведены до персонала посредством обучения. Однако поря-

док использования данных процессов оставлен на усмотрение самого персо-

нала. Это определяет вероятность отклонений от стандартных процедур, ко-

торые могут быть не выявлены. Применяемые процедуры не оптимальны и

недостаточно современны, но являются отражением практики, используемой

в организации.

Четвертый уровень (“управляемый”) − обеспечиваются мониторинг и

оценка соответствия используемых в организации процессов. При низкой

эффективности реализуемых процессов управления ИБ обеспечивается их

оптимизация. Процессы управления ИБ находятся в стадии непрерывного со-

вершенствования и основываются на хорошей практике. Средства автомати-

зации управления ИБ используются частично и в ограниченном объеме.

Пятый уровень (“оптимизированный”) характеризует проработанность

процессов управления ИБ до уровня лучшей практики, основанной на резуль-

татах непрерывного совершенствования и сравнения уровня зрелости относи-

тельно других организаций. Защитные меры в организации используются

комплексно, обеспечивая основу совершенствования процессов управления

ИБ. Организация способна к быстрой адаптации при изменениях в окружении

и бизнесе.

260

Рекомендуемыми уровнями зрелости процессов менеджмента ИБ для

организаций, способными обеспечить качественное предоставление основно-

го набора банковских услуг, являются уровни не ниже четвертого.

− разработана нормативная и распорядительная документация по ИБ

(политика ИБ, должностные инструкции для персонала и т.п.);

− создана организационная структура управления ИБ. Четко определе-

на ответственность персонала за деятельность, связанную с обеспе-

чением информационной безопасности;

− финансирование ИБ осуществляется по отдельной статье бюджета

организации;

− есть назначенный куратор службы ИБ;

− осуществляется приобретение необходимых средств обеспечения ИБ;

− защитные меры (технические, технологические, организационные)

встроены в АБС и банковские технологические процессы. В процессе

внедрения защитных мер используется анализ затрат и результатов;

− последовательно выполняется анализ ИБ организации и рисков на-

рушения ИБ, а также возможных негативных воздействий;

− краткие занятия с работниками организации по вопросам обеспече-

ния ИБ носят обязательный характер;

− введена аттестация персонала по задачам обеспечения безопасности;

− проверки на возможность вторжения в АБС являются стандартизо-

ванным и формализованным процессом;

− осуществляется оценка соответствия организации требованиям ИБ;

− стандартизованы идентификация, аутентификация и авторизация

пользователей. Защитные меры совершенствуются с учетом накоп-

ленного в организации практического опыта;

− уровень стандартизации и документирования процессов управления

ИБ позволяет проводить аудит ИБ в достаточном объеме;

− процессы обеспечения ИБ координируются со службой безопасности

всей организации;

− деятельность по обеспечению ИБ увязана с целями бизнеса;