Вайнштейн Ю.В., Демин С.Л., Кирко И.Н., Кучеров М.М., Сомова М.В. Основы информационной безопасности

Подождите немного. Документ загружается.

стью? Это – объективный критерий, зависящий от событий или специфика-

ций вне самой информации. Например, если финансовые документы, которые

по закону должны храниться в течение ряда лет, окажутся утраченными,

предприятие может подвергнуться преследованию по закону.

Отдельные элементы информации согласно этой модели попадают в

обе категории. Например, ведомости по персоналу, в которых указаны суммы

компенсации сотрудникам, имеют субъективную и объективную ценность.

3.3.3. Классификационная политика в области информации

Классификационная политика должна указать классификационные

имена и критерии для информации, так чтобы решения по ценности инфор-

мации (согласно списку основных элементов информации) были свободными

от противоречий и достаточно строгими. Далее предлагаются соответствую-

щие спецификации. Замечание: метки конфиденциальности, используемые

здесь, приводятся только в качестве примеров; другие, используемые на

предприятиях, включают «Ограничено производственной сферой», «Для ре-

гистрации», «Приватно». Не следует применять грифы государственной клас-

сификации, такие как «Секретно», «Особой важности» и т.п.

Определения классификаций, приведенные здесь, являются краткими и

приняты только в качестве иллюстрации. Руководство предприятия, несо-

мненно, должно разработать более полные и всеобъемлющие описания для

эффективной деятельности в области классификации.

Однократно разработанный список элементов информации создает ос-

нову для принятия решений по информационной безопасности. Некоторые

элементы (особенно, имеющие метку высокой степени защиты) потребуют

интенсивных усилий со стороны руководства. Другие, согласно списку базо-

вых элементов информации, будут требовать средних усилий по безопасно-

сти; иные могут вообще не засекречиваться, ограничиваясь периодическим

напоминанием сотрудникам о том, что «вся информация предприятия являет-

ся приватной для предприятия».

Таблица 1

Пример классификационной политики в области информации

Метка конфиденциальности

Субъективные

классификации

Для служебного

пользования

Конфиденциальная Персональная

Определение Раскрытие может

нанести в перспек-

тиве ущерб эконо-

мике предприятия

Раскрытие может

нанести серьезный

ущерб экономике

предприятия

Раскрытие может

негативно повлиять

на сотрудников или

претендентов на

должность

Объективные

классификации

На хранении На текущем контроле

Определение Ненадлежащее каче-

ство может привес-

ти в перспективе к

серьезным право-

вым или экономиче-

ским последствиям

Ненадлежащее качество может оказать

влияние на производственную сферу

3.3.4. Организация и ответственность в области управления

информацией

Концептуально, управление информацией есть важная повсеместная

программа внутри предприятия, контролируемая на высших уровнях руково-

дства. Однако на практике программы обычно начинают с более ограничен-

ных усилий. Части программы управления информацией могут быть воспри-

няты и приспособлены к конкретной производственной ситуации. Необходи-

мо следовать важнейшему правилу:

Элемент информации должен быть защищен во всех своих формах, по-

стоянно и на любом месте. Иначе усилия напрасны.

В целом, организация должна иметь три уровня. Отношения отчетности

не важны на данном этапе обсуждения; значение имеют только функции.

Высший уровень – руководитель по информации определяет структуру

основных элементов информации для производства; определяет схему клас-

сификации информации; идентифицирует для каждого элемента информации

его обладателя, который производит засекречивание и принимает решения

относительно авторизованного доступа; выполняет исполнительный контроль

над информационным ресурсом производства.

Средний уровень – администратор данных устанавливает структуру ад-

министративного контроля по управлению основной информационной базой;

через администратора баз данных фиксирует оптимальное размещение дан-

ных на центральных базах данных (чему может способствовать публикация

словаря данных, который описывает создание элементов данных и стандарт-

ные процессы их получения из баз данных).

Администратор безопасности устанавливает требования по защите ин-

формации, применимые для предписанных классификаций информации; кон-

сультирует технических работников информационных систем по методам

безопасности и отдельным элементам в объеме всей информационной систе-

мы предприятия, включая сети; участвует в планировании процессов для се-

тей и систем.

Низший уровень – специалист по информационной безопасности вы-

полняет меры защиты, требуемые для аппаратных и программных средств.

Эта функция может быть реализована в рамках вычислительного центра, в

функциональных подразделениях или совместно.

3.3.5. Меры безопасности, поддерживающие управление информацией

Политика руководства – это краткое утверждение установленных тре-

бований и целей управления. Она требует тщательной мотивировки и изло-

жения, так как должна быть стабильной, длительной директивой, которая в

сжатом виде направляет указания руководства по тому, что следует делать.

Образец приводится далее. Детали применения (как выполнить все это) пуб-

ликуются в стандартных положениях, для краткости, стандартах. Стандарты

доносят политику руководства до всех подчиненных. Убедительное, эффек-

тивное и согласованное применение политики руководства достигается с по-

мощью опубликования и поддержки текущих положений по информационной

безопасности.

Основу функций по организации управления информацией формируют

директивы по безопасности. Реальная защита зависит от индивидуальных со-

трудников на рабочих местах, которые получили расширенный доступ к цен-

ным производственным информационным ресурсам. В главе 6 обсуждается

подготовка и мотивация сотрудников по выполнению правил информацион-

ной безопасности.

3.3.6. Пример руководящих указаний по информационной безопасности

Политика представляет собой фундамент любого усилия по защите ин-

формации. Для того чтобы позволить обращаться к ней в течение длительно-

го периода, она должна быть опубликована в определенной форме, например,

в сборнике стандартов предприятия. Можно сопоставить следующие указа-

ния с программными требованиями, которые только что обсуждались.

Введение

Защита производственной информации предприятия является важней-

шей задачей для дальнейшего роста и эффективной конкуренции.

Определенная производственная и техническая информация классифи-

цируется как «Для служебного пользования», «Конфиденциальная» или

«Персональная». В каждом случае такая информация должна иметь соответ-

ствующую метку. Эта информация должна защищаться от распространения и

утечки на основе четкого представления о ее значении, избегания неосторож-

ных бесед, практики чистых столов, ограничения раскрытия для внешних

сторон и избегания широкого распространения внутри предприятия. Публи-

кация в СМИ, сводки финансовой информации и комментарии по юридиче-

ским вопросам подпадают под приведенные ограничения.

Техническая информация и информация по новой продукции подверга-

ется дополнительным ограничениям, наиболее важное из которых – предва-

рительное одобрение руководства для ее опубликования.

Безопасность электронной информации вследствие уникальных опера-

ционных характеристик и присущего ей внутреннего риска требует дополни-

тельных мер. Они подробно раскрываются в «Положении по сетевой безо-

пасности».

Политика

Данная политика устанавливает ответственность штата предприятия по

безопасности, вертикали руководства и координаторов по безопасности. Под-

робная информация приводится в стандартах по безопасности, которые пуб-

ликуются отдельно. Областью применения являются все операции предпри-

ятия.

1. Адекватные средства будут использованы для защиты следующей

информации:

- производственной и технической информации, являющейся собственно-

стью предприятия;

- персональных данных, касающихся претендентов, сотрудников и бывших

сотрудников;

- принадлежащей предприятию информации о поставщиках по контракт-

ным соглашениям.

2. Операции предприятия:

- Развитие организации по применению политики в области безопасности.

- Разработка, опубликование и применение планов по информационной

безопасности с целью достижения точного соблюдения политики.

- Предложение руководящих указаний, стандартов и процедур, необходи-

мых для выполнения локальных требований и юридических норм.

- Получение обзоров, а также полных и согласованных планов по выполне-

нию мер информационной безопасности от штата предприятия по вопросам

безопасности.

- Проведение оперативных обзоров в подразделениях по согласованию.

- Распознавание и исправление проблемных ситуаций.

- Сообщение о значительных изъянах и компрометациях в области инфор-

мационной безопасности в отдел безопасности предприятия.

- следить за применением правил и программ по информационной безопас-

ности.

3. Координаторы по безопасности:

- полностью владеют политикой и руководствами по безопасности;

- консультируют руководителей подразделений по вопросам безопасности;

- выполняют задачи и программы, предлагаемые в «Руководстве координа-

тора по безопасности» и при необходимости другие специальные поручения.

4. Список публикаций предприятия по информационной безопасности:

- Руководящие указания и стандарты предприятия.

- Руководство координатора по безопасности.

- Руководство для персонала.

- Сборник указаний по работе с информацией.

- Справочник по безопасности предприятия (стандарты).

3.4. Качественное проектирование системы

Руководители и сотрудники обязаны:

- гарантировать приверженность данной политике и вспомогательным про-

цедурам;

- обеспечивать безопасность материалов, классифицированных предпри-

ятием, в согласии с установленными указаниями и процедурами;

- гарантировать, что вся совокупность директив и стандартов по безопасно-

сти будет доведена до сведения сотрудников и персонала, работающего вре-

менно или по контракту;

- назначать в необходимых случаях координаторов по безопасности;

Проектирование системы должно включать в себя как автоматизиро-

ванные, так и ручные процессы. Спонсор функционального приложения (или

обладатель данных) должен определить ценность или схему классификации

обрабатываемой информации. Затем системный аналитик должен обеспечить

контроль, соответствующий прикладной задаче (т.е. когда, где и каким обра-

зом должна использоваться эта информация) и ценности данных. Средства

контроля должны обеспечивать эффективную целостность и точность при

переходе от процесса к процессу, контрольные проверки и средства опера-

тивного наблюдения и управления. Проектирование системы, как в автомати-

зированном, так и в ручном режиме, должно давать уверенность, что выше-

упомянутые характеристики качества информации поддерживаются по всему

циклу ее обработки.

В современной производственной среде, где сети, обычно, представ-

ляют интегральную часть в большинстве приложений, планы по безопасности

должны охватывать все уязвимые участки, включая риск, возникающий при

передаче по линиям связи. В локальных или индивидуально спроектирован-

ных системах разработчик должен учитывать возможные угрозы качеству

данных из-за неправильной адресации (например, использование списков

рассылки, которые могут быть ошибочными) или плохого процесса сбора

информации; от использования недоброкачественного программного обеспе-

чения, которое может содержать случайные или преднамеренные погрешно-

сти; и от ошибок проектирования, которые могут компрометировать досто-

верность информации относительно планируемых целей управления (напри-

мер, два человека могут написать программы, которые дают корректные, но

разные ответы на одном и том же множестве данных).

Проектировщики систем должны понимать значение качества инфор-

мации; исходя из этого, они должны знать ценность информации и вытекаю-

щие из нее требования для предприятия, для конкретного приложения, для

сети и для конечных пользователей.

3.5. Эффективное управление и контроль

Оперативное управление включает заботу о подборе, обучении и моти-

вации сотрудников; тщательное проектирование, испытание и внедрение

приложений и сетевых систем; эффективное наблюдение за сбором инфор-

мации, ее обработкой на вычислительном центре и на рабочем месте и за се-

тевыми операциями (как локальными, для ЛВС, так и более широкими),

включая арендуемые сети; эффективное наблюдение за использованием со-

трудниками сетевых рабочих станций; удаление устаревшей или не относя-

щейся к делу информации, часть которой может быть локализована в элек-

тронных файлах (возможно, на файл-серверах) и оказаться недоступной для

обычных процедур по контролю за хранимыми записями. На большинстве

предприятий не учитывают потенциальные проблемы, обусловленные файло-

вым хранением больших объемов производственной информации, с прису-

щей ему стоимостью и возможным риском раскрытия.

Оперативный контроль включает ряд важных мер, таких как ясную по-

литику и указания руководства в области информации, систематизацию рабо-

ты, проверку новых или модернизированных систем относительно принятых

положений по работе в системах или сетевой среде, правильные указания и

мотивировку со стороны опытного персонала во всех рабочих ситуациях и

периодическую объективную ревизию. При использовании сетевых рабочих

станций руководство не может постоянно считать достаточными контроль-

ные требования. Производственные отношения требуют систематического

наблюдения за информированными сотрудниками, которые могут создавать

или обрабатывать информацию в различное время и в разных местах. Неко-

торые сотрудники, использующие сетевой доступ к информации, являются

профессионалами. Другие – просто регулярно выполняют рутинные опера-

ции, требующие поверхностного надзора. Необходимы постоянные усилия по

обучению и мотивации сотрудников. Эффективный контроль обеспечивается

только в случае, когда сотрудник убежден в необходимости следовать прак-

тике предприятия и считает, что это, в каком-то смысле, в его интересах.

Средства мотивации рассмотрены в главе 7.

3.6. Сети и безопасность рабочих станций

Для поддержания качества информации в случае индивидуальной рабо-

ты сотрудников на сетевых устройствах необходимы дополнительные меры.

Меры безопасности должны соответствовать ценности информации или

классификационной схеме и учитывать конкретную ситуацию, в которой ин-

формация обрабатывается, передается или используется. Меры безопасности

состоят из одного и более элементов безопасности.

Элементы безопасности разделяются на три уровня или группы: физи-

ческие, организационно-правовые и технические. Для правильного обеспече-

ния сетевой информационной безопасности следует сочетать элементы из

всех групп. Успешное проектирование меры безопасности в данной сетевой

ситуации сведет до минимума реальное или предполагаемое вмешательство

или осложнение для производственной операции. Целью является решение

вопроса по сетевой безопасности, с возможной практической и экономиче-

ской точки зрения согласующееся с мерами безопасности для соответствую-

щего грифа секретности, наложенного на информацию в письменной форме.

Безопасность должна рассматриваться по всему циклу проектирования, вне-

дрения и функционирования сетевой системы. Для каждой операции системы

должна быть разработана подходящая мера безопасности, использующая

наилучшую возможную комбинацию элементов безопасности, соответст-

вующих производственной среде.

Контрольные вопросы

1. Поясните, почему руководитель предприятия должен принять обязательства

по управлению информационным ресурсом предприятия?

2. Почему цели и обязательства в области управления информацией должны

определяться в отдельном документе, таком как политика предприятия?

3. Каким образом руководство предприятия может определить основную ин-

формационную базу и установить ценность элементов информации?

4. Что собой представляет классификационная политика на предприятии?

5. Как распространяются на предприятии основы безопасной работы с инфор-

мацией?

6. Что собой представляет общий порядок работы с конфиденциальной инфор-

мацией на предприятии?

7. Почему необходимо назначить руководителей, ответственных за выполнение

мер безопасности?

8. В чем преимущество концепции владельца информации для каждого важно-

го информационного объекта?

9. Кто должен принимать решения по классификации информации?

10. Как должна классифицироваться новая информация или новое сочетание

существующих данных предприятия?

11. Что собой представляет контроль важных элементов информации по всему

циклу их обработки?

12. Как должны выполняться операции в случае форс-мажорных обстоятельств,

повредивших инфраструктуру обработки данных или устройства их хранения?

13. Закончив учебное заведение, вы получаете место директора университетско-

го компьютерного центра, который базируется на большом сервере локальной

сети с операционной системой UNIX. Внезапно поступает сообщение о том, что

какие-то студенты обнаружили алгоритм, которым шифруются пароли, и помес-

тили его в Интернет. Какие будут ваши действия?

14. Должен ли руководитель по безопасности нести ответственность за безопас-

ность информации в любых формах или только за безопасность компьютерной

информации?

15. Доверенное ПО системы поддерживает мандатный контроль и управление

доступом. Необходимо разработать программу – драйвер принтера. Объясните

причины, по которым данная программа должна быть доверенным процессом.

ГЛАВА 4. МЕХАНИЗМЫ РЕАЛИЗАЦИИ БЕЗОПАСНОСТИ

4.1. Источники угроз информационной безопасности

Конечно, политика, разработанная одним человеком, служит в качестве

механизма для другого человека. Неформальная политика доступа из преды-

дущей главы должна быть значительно переработана прежде, чем она может

быть предписана компьютерной системе. Должны быть точно описаны как

массив конфиденциальной информации, так и множество должным образом

авторизованных сотрудников. Можно рассмотреть такие описания как более

детальную политику, или как реализацию неформальной политики.

Фактически, реализация защиты имеет две части: код и настройку (se-

tup). Код – это программы в доверенной вычислительной базе (в комплексе

средств защиты). Настройка – это все данные, которые управляют операция-

ми этих программ: списки контроля доступа, членства группы, пользователь-

ские пароли, ключи шифрования, и т.д.

Задача реализации защиты должна защитить против уязвимостей. Они

встречаются в трех основных формах:

1. Плохие (ошибочные или враждебные) программы.

2. Плохие (небрежные или враждебные) агенты – программы или пользова-

тели, которые дают плохие команды хорошим, но легковерным программам.

3. Плохие агенты, подключающиеся к коммуникациям, или заполняющие их

своими сообщениями.

Случай (2) может каскадироваться, давая несколько уровней легковер-

ных агентов. Ясно, что агенты, которые могли бы получить команды от пло-

хих агентов, должны быть благоразумными, или даже придирчивыми, но не

легковерными.

В общем случае имеются четыре стратегии защиты:

1. Никого не впускать. Это – полная изоляция. Она обеспечивает лучшую

защиту, но препятствует использованию информации или услуг от других, и

передаче их другим. Это непрактично для всех, за исключением, может быть,

очень малого числа приложений.