- •Министерство образования и науки российской федерации Федеральное агентство по образованию
- •Методические рекомендации
- •Методические рекомендации
- •1. Введение
- •2. Цели курсовой работы.
- •3. Тематика курсовой работы.
- •4. Политика обеспечения информационной безопасности
- •5. Аудит информационной безопасности
- •6. Структура и содержание курсовой работы.
- •7. Оформление курсовой работы.
- •8. Организация выполнения и защиты курсовой работв.
- •9. Рекомендуемая литература.
5. Аудит информационной безопасности
Порядок проведения контроля защищенности ЛВС
АУДИТ - системный процесс получения и оценки объективных данных о текущем состоянии обеспечения безопасности информации на объектах, действиях и событиях, происходящих в проверяемой информационной системе, определяющих уровень их соответствия определенному критерию.
Цель АУДИТА: обследование процессов обеспечения безопасности информации при выполнении информационной системой своего главного предназначения -информационного обеспечения пользователей.
Коммерческие организации: АУДИТ - возможность.
Государственные организации: АУДИТ - необходимость.
Виды АУДИТА:
• первоначальное обследование (первичный аудит);
• предпроектное обследование (технический аудит);
• аттестация объекта;
• плановое обследование (контрольный аудит).
Периоды жизненного цикла обследуемого объекта |
Виды аудита (обследования) | ||||
Первичный |
Технический |
Аттестация |
Сюрвей |
Контрольный | |
Принятие решения о создании корпоративной ИС |
X |
|
|
|
|
Определение требований к создаваемой корпоративной ИС |
|
X |
|
|
|
Проектирование и ввод в эксплуатацию корпоративной ИС |
|
|
X |
X |
|
Штатная эксплуатация средств корпоративной ИС |
|
|
|
|
X |
Ремонт (плановый и внеплановый), устранение неисправностей |
|
|
X |
|
X |
Нештатные ситуации, приводящие к ущербу |
|
|
|
X |
X |
Устранение последствий нештатных ситуаций |
|
|
|
|
X |
Принятие решений о модернизации корпоративной ИС |
X |
X |
X |
|
|
Модернизация корпоративной системы |
|
|
|
X |
|
Эксплуатация модернизированной корпоративной ИС |
|
|
|
|
X |
Вывод из эксплуатации и замена корпоративной ИС |
|
|
|
|
X |
АУДИТ:
внутренний
или внешний?
Что надо делать при аудите?
Оценить информацию:
• Какая информация используется?
• Какая информация особо критична для бизнеса?
• На сколько эта информация влияет на бизнес? Оценить возможные последствия:
• Каковы возможные финансовые потери?
• Возможна ли дезорганизация управления бизнесом?
• Возможен ли ущерб имиджу? Выбрать необходимый уровень БИ:
• Используя типовые профили (требования)
• Создавая собственные профили (требования) Сравнить реальное и требуемое.
Что надо делать при оценке информации?
Какая информация используется:
• Кому информация принадлежит (право собственности)
• Состав тайны (профессиональная, коммерческая, ноу-хау, пр.)
• Подлежит ли обязательной защите по закону) Какая информация критична для бизнеса:
• Финансовая информация
• Управленческая информация •
Насколько эта информация влияет на бизнес:
• Бесконтрольность в обращении с информацией ведет к материальным и моральным потерям
• Своевременность поступления информации влияет на бизнес, а искажение информации часто хуже, чем ее отсутствие
• Бизнес не может полагаться на информацию с негарантированным содержанием и источником
Что надо делать при оценке последствий?
Каковы возможные финансовые потери:
• Невосполнимый ущерб, приводящий к краху бизнеса
• Ущерб отдельным личностям или элементам бизнеса
• Незначительные потери, не влияющие на бизнес в целом Возможна ли дезорганизация бизнеса:
• Управление бизнесом потеряно полностью,
• Невозможность принятия оперативных решений
• Отрицательное влияние на отношения с партнерами Возможен ли ущерб имиджу:
• Негативная реакция государственных органов и международной общественности
• Широкий резонанс и деструктивная критика в СМИ, приводящая к скандалам, проверкам, обсуждениям
Что надо делать при выборе уровня БИ?
Использовать типовые требования (профили)
• Руководящие Документы Гостехкомиссии России
• Регистр типовых Профилей защиты и Заданий по безопасности
Создавать собственные профили (требования)
• На основе анализа угроз безопасности информации и используя методологию стандарта ИСО/МЭК-15408:2000
Внутренний аудит
Преимущества:
• Лучшая осведомленность о специфике КИС и ее компонентах
• Возможность получить необходимую для проведения аудита информацию с минимальными затратами
• Анализируемая информация и данные о результатах аудита остаются внутри предприятия
Недостатки:
• Субъективность оценки
• Наличие текущих задач у сотрудников (недостаток времени)
• Отсутствие необходимого числа сотрудников нужной квалификации
• Необходимость дополнительного обучения персонала
• Отсутствие обширной базы знаний
Внешний аудит
Преимущества:
• Независимость экспертов
• Наличие специалистов необходимой квалификации
• Наличие отработанных методик проведения аудита
• Наличие опыта и обширной базы знаний
Недостатки:
• Высокая стоимость работ
• Информация о КИС и результаты аудита находятся у сторонней организации
• Проблема правильного выбора Исполнителя
Особенности современных информационных систем
• Множество параметров и процессов, которые слабо фиксируются и описываются
• Количество уязвимостей, приводящих к нарушению безопасности информации постоянно возрастает
• Большинство существующих решений учитывают лишь часть проблем обеспечения безопасности
• Методы защиты информации в основном сводятся к применению определенного набора продуктов
АУДИТ: Реалии
Аудит - это ВАЖНО
Аудит - это НУЖНО
Аудит - это ВЫГОДНО
Реалия 1
это ВАЖНО потому, что:
• Экономический ущерб от нарушений режима безопасности информации постоянно растет
• Рынок средств защиты информации и услуг в развивается и не всегда ясно: что же надо?
• Всегда необходим ответ на вопрос: Что такое хорошо и что такое плохо?
Реалия 2
это НУЖНО потому, что:
• Только независимая экспертиза может дать объективную картину состояния безопасности
• Необходимо оценить все аспекты безопасности информации и определить их взаимосвязь
• Нарушения в этой области латентны и лучше их предотвратить, чем устранять последствия
Реалия 3
это ВЫГОДНО потому, что:
• Появляется стратегия развития безопасности информации на основе реальной картины
• Появляется возможность найти баланс между организационной и технической
составляющей
• Затраты на аудит окупаются в дальнейшем за счет оптимизации обеспечения безопасности
АУДИТ: Заблуждения
• Аудит - это стандарт ISO 17799
• Аудит - это стандарт ISO 15408
• Аудит - это сканирование и IDS
Заблуждение 1
Стандарт ISO 17799:
Скорее необходим для оценки уровня менеджмента безопасностью информации, потому что:
• Дает возможность оценки только состояния УПРАВЛЕНИЯ безопасностью информации
• Не дает возможности оценки реального УРОВНЯ защищенности информационной системы
Всегда остается неразрешенный вопрос:
Достаточно ли принятых мер защиты для обеспечения безопасности информации?
Заблуждение 2
Стандарт ISO 15408:
Крайне необходим при выборе требований по безопасности информации и оценке свойств средств защиты, потому что:
• Определяет только МЕТОДОЛОГИЮ формирования требований к безопасности информации для продуктов и технологий
• Требует разработки Профиля защиты и Задания по Безопасности для оценки правильности реализации функций безопасности
Всегда остается неразрешенный вопрос:
Все ли реальные угрозы на проверяемом объекте учтены и могут быть устранены?
Заблуждение 3
Сканирование и IDS:
Скорее необходимо для подтверждения состояния безопасности, но не достаточно для качественного аудита, потому что:
Все сканеры, как правило, ищут только заранее известные уязвимости, которые внесены в базы знаний
При сканировании всегда остается вероятность выведения из строя оборудования
информационной системы
Всегда остается неразрешенный вопрос:
Если при сканировании не выявлены уязвимости, то их нет на самом деле или их не было на момент проверки?
АУДИТ:
как это происходит?
Аудит: стадийность
• Планирование
• Моделирование
• Тестирование
• Анализ
• Разработка предложений
• Документирование
Аудит: этапы проведения
• сбор необходимых исходных данных и их предварительный анализ
• оценка соответствия состояния защищенности ИС предъявляемым требованиям и стандартам
• формулирование рекомендаций по повышению безопасности информации в обследуемой ИС
Аудит: результаты
• Оценка текущего уровня защищенности информационных ресурсов
• Количественная (качественная) оценка рисков и потенциального ущерба
• Рекомендации по устранению найденных недостатков и несоответствий
• Оценка наличия необходимых нормативно-распорядительных документов по ИБ и выполнения их предписаний
• Техническое задание на разработку системы безопасности
Комплект документов, необходимый для сертификации ИС на соответствие требованиям международных стандартов
СКОЛЬКО МОЖНО ТРАТИТЬ НА БЕЗОПАСНОСТЬ ИНФОРМАЦИИ ?
• Столько же сколько при страховании имущества (безопасность информации - та же страховка):
• оценка - 2-5 % от стоимости возможных потерь за год
- оценить возможные потери достаточно сложно, кстати, сколько стоит хороший сейф для ценностей?
СКОЛЬКО МОЖНО ТРАТИТЬ НА БЕЗОПАСНОСТЬ ИНФОРМАЦИИ ?
• Столько сколько показывает опыт других, которые УЖЕ добились безопасности информации:
- оценка - 5-15 % от стоимости оборудования ИС
- оценить достаточно просто, кстати, заранее известно сколько стоит сейф требуемой надежности.