Этапы разработки систем зашиты

При первоначальной разработке и реализации системы защиты ИС обычно выделяют три стадии.

Первая стадия — выработка требований включает:

1. выявление и анализ уязвимых в ИС и ИТ элементов, которые могут подвергнуться угрозам;

2. выявление или прогнозирование угроз, которым могут подвергнуться уязвимые элементы ИС;

3. анализ риска.

Стоимостное выражение вероятного события, ведущего к потерям, называют риском. Оценки степени риска в случае осуществления того или иного варианта угроз, выполняемые по специальным методикам, называют анализом риска.

На второй стадии — определение способов защиты — принимаются решения о том:

1. какие угрозы должны быть устранены, и в какой мере;

2. какие ресурсы ИС должны быть защищаемы, и в какой степени;

3. с помощью, каких средств должна быть реализована защита;

4. каковы должны быть стоимость реализации защиты и затраты на эксплуатацию ИС с учетом защиты от потенциальных угроз.

Вторая стадия предусматривает разработку плана защиты и формирование политики безопасности, которая должна охватывать все особенности процесса обработки информации, определяя поведение системы в различных ситуациях.

План защиты содержит следующие разделы (группы сведений):

1. Текущее состояние системы (как результат работы первой стадии).

2. Рекомендации по реализации системы защиты.

3. Ответственность персонала.

4. Порядок ввода в действие средств защиты.

5. Порядок пересмотра плана и состава защиты.

Политика безопасности представляет собой некоторый набор требований, прошедших соответствующую проверку, реализуемых при помощи организационных мер и программно-технических средств и определяющих архитектуру системы защиты. Для конкретных организаций политика безопасности должна быть индивидуальной, зависимой от конкретной технологии обработки информации, используемых программных и технических средств, расположения организации и т.д.

Третья стадия — построение системы информационной безопасности, т.е. реализация механизмов защиты как комплекса процедур и средств обеспечения безопасности информации. В заключение производится оценка надежности системы защиты, т.е. уровня обеспечиваемой ею безопасности.

Функционирование системы информационной безопасности направлено на реализацию принципа непрерывного развития. Необходимо с определенной периодичностью анализировать текущее состояние системы и вводить в действие новые средства защиты. В этом отношении интересна практика защиты информации в США.

Американский специалист в области безопасности информации А. Патток предлагает концепцию системного подхода к обеспечению защиты конфиденциальной информации, получившую название «метод Opsec» (Operation Security).

Суть метода в том, чтобы пресечь, предотвратить или ограничить утечку той части информации, которая позволит конкуренту определить, что осуществляет или планирует предприятие.

Идентификационные системы

Проблема разграничения доступа к информации в корпоративных системах существовала с самого начала их функционирования.

Самым простым и привычным средством идентификации пользователей на сегодняшний день пока остается парольный доступ к системе. Однако нельзя гарантированно утверждать, что пароль является абсолютно надежной защитой от проникновения злоумышленников в хранилище информации - будь то жесткий диск локального компьютера или сетевые устройства хранения информации. Даже если в организации существует строгая политика по длине пароля и частоте его обновления, подобные организационно-административные меры не исключают случаев компрометации паролей. Причина тому весьма проста - некоторые сотрудники никак не могут запомнить свои пароли. Для выхода из этой ситуации сотрудники организаций, чтобы упростить запоминание паролей, часто задают в качестве пароля какое-нибудь простое слово, набор повторяющихся цифр или символов, собственное имя или что-либо подобное. Такие пароли могут быть "взломаны" за минимальный срок. Существующая статистика показывает, что в стандартном домене операционной системы применение простейшей программы подбора пароля так называемым методом "грубой силы" способно в течение суток предоставить злоумышленнику до 90% всех паролей пользователей. Иногда, чтобы особенно "не напрягаться", пользователи применяют одинаковый пароль ко всем информационным системам, доступ к которым им разрешен. В этом случае, узнав всего один пароль, злоумышленник получит доступ ко всему информационному пространству, в принципе доступному данному пользователю: и в корпоративную сеть, и в систему электронной почты, и в финансовую систему организации.

Таким образом, все попытки защитить важную для организации информацию будут преодолены, а нарушитель получит "зеленый свет" для всех своих неблаговидных начинаний. С этого времени организация может начать "терять" информацию, возможно, неожиданно для себя и, наверное, такую, которой делиться-то и не следовало.