Вайнштейн Ю.В., Демин С.Л., Кирко И.Н., Кучеров М.М., Сомова М.В. Основы информационной безопасности

Подождите немного. Документ загружается.

Хорошо разработанные стандарты помогают сотрудникам, которые хо-

тят работать безопасным образом, определяя корректные способы защиты

информации. Однако, писать полезные стандарты нелегко. Полезные стан-

дарты не могут быть разработаны в центре или отделе безопасности, скорее,

они могут быть написаны людьми, которые имеют практический опыт в раз-

личных областях производственной активности.

Стандарты по безопасности могут быть подготовлены комиссией,

представляющей различные рабочие группы, подразделения или виды дея-

тельности. Члены комиссии привносят свое знание оперативной практики и

производственных проблем в каждом подразделении или отделе. Они явля-

ются гарантами того, что каждый стандарт будет «вписываться» в оператив-

ную среду конкретного предприятия. Как результат такого подхода, стандар-

ты представляют соглашение или компромисс по различным позициям.

Стандарты, которые на 100 процентов корректны в глазах высшего руково-

дства или вышестоящего персонала, конечно, могут удовлетворять одних, но

из этого не следует, что все им будут следовать автоматически.

Хорошие стандарты обобщают весь положительный опыт, полученный

на предприятии. Например, некоторые руководители могут считать, что па-

роли следует менять каждые 30 дней, но если это требование другие группы

сочтут необоснованным, то лучше принять компромиссное решение – каж-

дые 60 дней, чем правило, которое неизбежно будет игнорироваться некото-

рыми группами.

Полезный стандарт – это такой стандарт, к которому большинство со-

трудников относится как к практическому руководству по работе с информа-

цией, создаваемой в оперативной среде или доступной в ходе обычной про-

изводственной деятельности предприятия. Как будет показано ниже, стан-

дарты по безопасности, доступные в разных формах, позволяют представить

содержание таким образом, чтобы обеспечить действительно полезные инст-

рукции, связанные с текущей работой.

6.1.4. Стандарты должны быть согласованными

Эффективные стандарты по безопасности всегда согласованы с други-

ми руководящими указаниями и практической деятельностью предприятия.

Этот вопрос требует тщательного изучения. Например, на большом произ-

водстве руководящими указаниями установлено, что конфиденциальные до-

кументы не могут оставаться не востребованными на столе более двух часов.

После этого времени документы должны вернуться в хранилище. Когда

впервые были разработаны сетевые стандарты по безопасности, то было ре-

шено, что терминальные устройства, подключенные к сетям, должны авто-

матически отсоединяться от нее после максимального времени в 30 минут.

Это было отмечено, как несогласованность, теми, кто утверждал, что дис-

плей в данных обстоятельствах не отличается от бумаги, лежащей на столе

(хотя дисплей труднее унести). В некоторых случаях время отключения тер-

минала, возможно, и должно быть меньше, но жизненно важно иметь согла-

сие между документами в письменной и электронной форме. В конце концов,

секретная информация доступна из обоих источников. Стандарт для диспле-

ев был изменен с 30 минут до двух часов.

Противоречивые инструкции или правила, которые имеют очевидные

расхождения, способны разрушить всякий интерес. Только согласующиеся

между собой стандарты могут рациональным образом воздействовать на со-

трудников.

6.1.5. Стандарты должны быть актуальными

Хорошо написанные руководящие указания (политика) предприятия не

должны пересматриваться чаще, чем раз в 5 лет. Если они часто пересматри-

ваются, то, возможно, в них присутствует большая примесь процедур или

стандартов. С другой стороны, стандарты должны регулярно пересматри-

ваться и обновляться. Минимальный цикл, основанный на типичных техно-

логических разработках и применениях в сегодняшней производственной

сфере, указывает на пересмотр стандартов каждые два года. Примерами при-

ложений, которые потребовали изменения стандартов, служат использование

ЛВС, загрузка данных в персональный компьютер, радиоволновое излучение

от дисплеев, а также применение САПР. Новые технологии и приложения

почти всегда способствуют критическому обсуждению стандартов по безо-

пасности. Если текущие стандарты по безопасности не обеспечивают соот-

ветствующую степень защищенности, это является серьезным просчетом.

Актуальность стандартов по безопасности означает, что сотрудники

найдут в них ответы на вопросы по современной экономической деятельно-

сти, новым технологиям и установленным приложениям. Когда предлагается

новая сетевая технология или приложение, можно опубликовать временный

или предварительный стандарт до тех пор, пока в очередном цикле не будет

разработан постоянный.

6.1.6. Стандарты должны быть представлены в различных формах

Стандарты по безопасности должны быть опубликованы в отдельной

книге, такой как руководство по безопасности. Копии могут быть помещены

в руководство по операционным системам и в настольную книгу руководите-

ля по безопасности. Но копии стандартов не могут быть эффективными для

среднего сотрудника по двум причинам. Возможно, что ему нет необходимо-

сти просматривать содержание стандартов полностью, и у него не было

удобного случая скопировать интересующие его листы. Кроме того, инфор-

мация вне переплета или электронного файла через некоторое время теряет-

ся.

Следует опубликовать стандарты по безопасности, как буклеты, в

удобном формате, настольном или карманном. Изложение должно быть на-

правлено на конкретную аудиторию, например, папка или листовка, озаглав-

ленная “Руководство по безопасности для пользователей офисных систем”.

Буклеты или листовки могут относиться к особой части оборудования обще-

го применения, например, о том, как использовать факсимильную передачу

согласно требованиям безопасности. Такие буклеты можно вручить вместе с

инсталляцией оборудования.

В большой организации заслуживают внимания периодические публи-

кации, рассматривающие новые разработки по безопасности, темы, пробле-

мы и решения. Они стимулируют готовность и напоминают сотрудникам о

стандартах по безопасности. Плакаты, объявления и канцелярские принад-

лежности (папки со специальными наклейками, линейки с надписями и так

далее) также представляют собой хорошее средство напомнить сотрудникам

о важности защиты информации.

Эффективные стандарты, содержащие важные сообщения, всегда

должны быть представлены в нескольких различных формах, позволяя со-

трудникам выбрать ту, которая наиболее подходит к их работе или ситуации

и будет постоянно напоминать об их обязанностях по защите информации.

6.2. Устная форма

Сеть координаторов по безопасности, описанная ранее, является хоро-

шей средой для распространения материалов из стандартов. Люди слушают

равных себе более внимательно, чем кого-нибудь еще. Координаторы по

безопасности, являясь сотрудниками на рабочем уровне, находятся в превос-

ходном положении для распространения материалов по безопасности, листо-

вок и плакатов, и объяснения сотрудникам, почему так важно их участие. Как

только защита информации становится принятой на практике большинством

сотрудников, наблюдение со стороны окружающих выполняет большую

часть контроля. Например, на предприятии каждый сотрудник знает, что ин-

формация предприятии не должна обсуждаться вне места работы.

Некоторые предприятия имеют даже специальные стенды в стратегиче-

ских точках отдела, предназначенные только для плакатов по безопасности.

Поддержка безопасной работы с информацией всеми сотрудниками в

процессе работы в сети или использовании информационных систем требует

от них подготовки и заинтересованности. Здесь важную роль играют наблю-

дение и стандарты по безопасности. Последние, для того чтобы стать эффек-

тивными, требуют обдумывания, труда и рекламы. Эффективные стандарты

по безопасности обладают рядом свойств, представленных в этой главе. Соз-

дание комиссии является наилучшим способом разработки и периодического

обновления этих стандартов. Хорошие сетевые стандарты помогают почувст-

вовать наличие действительно эффективной безопасности.

Контрольные вопросы

1. Что должна определять политика безопасности предприятия?

2. Как учесть возможность допустимого риска?

3. Должны ли содержать стандарты по защите информации инструкции от-

носительно идентификации, классификации, пометке, обработке и защите

информации во всех ее формах, или достаточно ограничиться только компь-

ютерной информацией?

4. Какими свойствами должны обладать эффективные стандарты предпри-

ятия по безопасности?

5. Какие вопросы должны быть отражены в стандартах по безопасности от-

носительно ресурсов предприятия (использования ресурсов, обязанностей

различных групп сотрудников, связь и обмен информацией с внешними сто-

ронами, использования ресурсов внешними сторонами)?

6. Что к этому можно добавить относительно производства и копирования

документов в подразделениях и центрах копирования?

7. Что представляет собой конфликт интересов и защита ментальной формы

информации?

8. Опишите роль на предприятии координаторов по безопасности.

9. Часто можно встретить следующую инструкцию для восстановления от

вирусной атаки:

а) загрузите зараженную систему;

б) заархивируйте все файлы на внешний носитель;

в) отформатируйте диск программой fdisk;

г) переустановите операционную систему с оригинального CD-ROM;

д) перезагрузите файлы с внешнего носителя.

Назовите две серьезные ошибки данной инструкции.

ГЛАВА 7. РИСК РАБОТЫ НА ПЕРСОНАЛЬНОМ КОМПЬЮТЕРЕ

Персональный компьютер (ПК), возможно, является наиболее значи-

тельным техническим достижением в истории по своему потенциальному

воздействию на экономику. Хотя в предыдущие десятилетия его предшест-

венница, система с разделением времени, позволяла людям использовать на

расстоянии часть мощности универсального компьютера, пользователь был

стеснен ограничениями на ввод и получение данных, накладываемыми про-

стыми терминалами. Теперь ПК, или, более точно, различные формы микро-

компьютеров, позволяют загружать данные (получать файлы из центрального

компьютера), выполнять локальную обработку с помощью разработанных

или купленных программ, хранить их, а затем снова направлять файлы или

элементы данных на центральный процессор. В добавление, современная те-

лекоммуникационная инфраструктура и ряд служб позволяют пользователю

ПК почти с одинаковой легкостью передавать информацию как внутри своего

отдела, так и по всему миру. Все это означает, что следует заново обдумать

концепцию информационной безопасности и тщательно спланировать, когда

и как следует применять персональные компьютеры.

7.1. Определение персонального компьютера

Терминология в информатике всегда была предметом споров. У каждо-

го свое представление о том, что определяет отличие большого компьютера

от миникомпьютера. На микрокомпьютер обычно ссылаются как на персо-

нальный компьютер, однако существует много различных форм микроком-

пьютеров. В данном контексте, термин персональный компьютер (ПК) просто

обозначает все оснащенные устройства, которые направляют вычислитель-

ную мощность конечному пользователю. Такие устройства включают, наряду

с другими:

- персональные компьютеры;

- профессиональные рабочие станции (обычно встречающиеся в инженер-

ном конструировании, издательском деле, юриспруденции и других сложных,

специализированных применениях);

- текстовые процессоры.

7.1.1. Программно-аппаратные средства

Персональный компьютер включает процессор, память для временного

хранения данных в течение обработки, какую-то форму для постоянного хра-

нения данных (обычно диск) и дисплей. ПК также может иметь принтер (ло-

кальный или сетевой), дисковую память большой емкости, накопители на

флоппи-дисках, плоттер, USB – порт и т.п.

ПК имеет операционную систему, которая состоит из программ, по-

ставляемых производителем компьютера или разработчиками программного

обеспечения, и которые содержат команды, управляющие компьютерным

оборудованием для обработки данных. ПК может также иметь специальное

программное обеспечение для управления подключенными устройствами. ПК

работает над выполнением различных прикладных программ или приложе-

ний, которые называются пакетами программ. Они включают почти неогра-

ниченное разнообразие различных задач и применений.

7.2. Мощность персонального компьютера

Вследствие внушительного набора программных и аппаратных средств,

пользователь ПК может сделать большую часть из того, что ранее мог сде-

лать только руководитель вычислительного центра. ПК имеют все уязвимые

места вычислительного центра, за исключением того, что степень защищен-

ности становится еще меньше из-за отсутствия формального контроля и про-

цедурной структуры, как в любой деятельности полностью контролируемой

одним человеком. Пользователь ПК может:

1. Получить данные или файлы из центрального компьютера или из присое-

диненного через ЛВС файл-сервера. Фактически, ПК может использоваться

как удаленный терминал.

2. Обработать эти данные, используя ПО предприятия, купленное, самостоя-

тельно произведенное или свободно распространяемое ПО, полученное через

сеть хакеров. ПО, не произведенное и не проверенное на предприятии со-

гласно процедуре сертификации, должно, в лучшем случае, считаться подоз-

рительным.

3. Направить полученные результаты в центральную информационную сис-

тему, файл-сервер ЛВС, принтер, плоттер или через сеть в любое место зем-

ного шара. Существует повод для беспокойства, вне зависимости от того, бу-

дет ли занесен в журнал этот выводной файл или нет, и будет ли он, фактиче-

ски, получен тем или другим лицом.

4. Комбинировать результаты обработки с другими файлами, которые хра-

нятся локально, или на удаленных файл-серверах ЛВС, или являются файла-

ми баз данных центрального компьютера. Становится еще труднее иденти-

фицировать данные, имеющие скрытые ошибки, поскольку они смешаны с

другой, «хорошей», т.е. официально санкционированной, информацией.

5. Открыть многочисленные файлы, которые являются общими для пользо-

вателей сети или для которых пользователь имеет полномочия, просматри-

вать их, извлекать информацию и составлять коллекции данных. До тех пор,

пока контроль доступа к файлам не будет широко применяться и не станет

эффективным, любопытные лица могут наталкиваться на секретные и, воз-

можно, потенциально опасные сочетания элементов информации (см. При-

ложение А).

6. Не имея авторизованного доступа к файлам, пользователь ПК может ока-

заться способным локально запускать программы, производящие пароли дос-

тупа, и т.о. вторгнуться в контролируемые файлы или процессы. Пользова-

тель ПК может выполнить сложные манипуляции с контролем безопасности

или обмануть авторизованных пользователей, чтобы получить права доступа,

принадлежащие другим.

7. Выполнять все процессы, перечисленные в предыдущих пунктах, одни –

скрытно, другие – явно, в том числе, работая дома (используя удаленный

доступ к сети по телефону), а также во время командировки или путешествия

(в гостинице, через удаленный доступ по телефону, в самолете или в зале

ожидания аэропорта). Наиболее серьезной угрозой для конфиденциальной

информации является доступ к компьютерной системе по телефону.

Рассмотрим, каждый из этих пунктов (перечень не является исчерпы-

вающим) и покажем для каждого случая несколько способов, которыми мо-

гут быть нарушены требования качественной информации предприятия.

7.3. Опасность для информации

Можно указать на ряд главных уязвимых мест для информации, когда

она передается или обрабатывается на сетевых ПК.

Физические угрозы включают кражу данных на носителях или всей

системы целиком; случайное наблюдение секретной информации на дисплее

ПК; кражу напечатанных выведенных документов и незаконное использова-

ние клавиатуры или других устройств ввода для проникновения через сред-

ства контроля безопасности (получая доступ к персональному компьютеру,

его файлам или к сети в целом) или осуществление порчи, потери или рас-

крытия информации, когда ПК оставляется в активном или подключенном к

сети состоянии.

Программно-аппаратные угрозы включают подрыв операционной сис-

темы или ее управления с помощью незаконного (неавторизованного) ис-

пользования клавиатурного ввода; подрыв системы контроля ПК через уда-

ленный доступ или ее обман, используя сетевое соединение; размещение

троянских коней и часовых бомб, поступивших вместе с свободным или при-

обретенным ПО; потерю секретности данных в результате неавторизованного

преднамеренного или случайного просмотра файлов данных, которые могут

находиться на жестком диске ПК или на файл-сервере ЛВС. Разработаны ви-

русные программы, которые могут путешествовать по сети от одного компь-

ютера к другому, попутно разрушая файлы, или получая управление опера-

ционной системой.

Организационные угрозы включают раскрытие данных из-за того, что

пользователь, недооценив значение локально созданной информации, забыл

провести классификацию согласно стандартам предприятия и обеспечить

защиту; вторжение в контролируемые файлы или рабочие области по причи-

не слабых, легко угадываемых паролей или длительного использования ста-

рых паролей, которые уже раскрыты; потерю или обнаружение секретной

информации из-за того, что сетевой принтер недостаточно защищен, или

пользователи ПК не забрали или не защитили напечатанные документы; от-

сутствие инсталляции и использования ПО для безопасности ПК, которое

позволяет защитить файлы с помощью паролей или других средств, а также

служит для защиты файлов, имеющих высокое значение, и каналов посред-

ством шифрования; отсутствие плана на случай форс-мажорных обстоя-

тельств, таких как пожар, кража, потеря данных вследствие технических

ошибок файловой системы.

Новый уровень риска возникает, когда сотрудники работают дома на

ПК, возможно, через сетевое соединение со своим отделом или сервером баз

данных. Порядок в этом случае почти целиком основывается на доброй воле

сотрудников следовать правильной процедуре. Что может остановить со-

трудника от передачи паролей членам семьи или от использования носителей

с данными предприятия для других целей? Только мотивация.

7.4. Сетевая защита персонального компьютера

В настоящее время безопасность большинства вычислительных цен-

тров поддерживается на достаточно высоком уровне. Здесь почти нет исклю-

чений. Установлены многочисленные уровни безопасности, как физической,

так и технической. Штат специалистов по безопасности и вооруженная охра-

на делают очевидным, что защита информации соответствует стандартам

предприятия по безопасности.

С другой стороны, ПК обычно находится в типичной среде отдела. Хо-

тя доступ во многие коммерческие отделы должен контролироваться на ос-

нове пропускной системы или дверей с цифровыми замками, практически

все они свободно посещаются. Однако комплекс персональных компьютеров

отдела, соединенный с ЛВС, которая связана с файл-серверами, коммуника-

ционными серверами и принтерами, является значительно более мощным,

чем средний вычислительный центр. Однако там нет технического штата по

безопасности, нет центральной программной системы безопасности, имею-

щей хорошее сопровождение и содержащей профили авторизованных поль-

зователей, и даже нет закрытых помещений, куда разрешен доступ только

авторизованному персоналу. Вместо этого вся ответственность возлагается

на коллектив группы пользователей. Они сами себе руководители вычисли-

тельного центра и должностные лица по безопасности. Определенно, здесь

можно применить теорию слабого звена.

Эффективная безопасность для ПК в сети требует, чтобы (1) были ус-

тановлены правильные формы производственной деятельности людей, и (2)