6.4. Принципи організації управління і контролю систем захисту

Налагодження засобів захисту, управління системою захисту і здійснення контролю функціонування інформаційних систем – все це складові однієї задачі – реалізації політики безпеки організації.

Налагодження засобів захисту інформації необхідне для приведення їх у відповідність з розробленим планом. При налагодженні доданих засобів захисту необхідно особливу увагу приділити питанням перевірки їх сумісності з застосовуваними прикладними програмами.

Управління системою захисту полягає у періодичному внесенні змін у базу даних захисту, яка містить відомості про користувачів, допущених до роботи у системі, їх правах доступу до різних об’єктів системи тощо.

Основну увагу при управлінні системою слід звернути на:

- документованість всіх змін у базі даних захисту. Найкраще було б організувати систему заявок від посадових осіб організації на дозвіл доступу тому чи іншому співробітнику організації до якого-небудь ресурсу системи. При цьому відповідальність за допуск співробітника покладається на відповідну особу, яка підписала заявку;

- періодичне резервне копіювання бази даних, щоб уникнути втрати їх актуальної копії при збої (відмові) обладнання.

Контроль за функціонуванням інформаційної системи полягає у стеженні за небезпечними подіями, аналізі причин, які призвели до їх виникнення, і ліквідації наслідків.

Як правило, задачі управління і контролю вирішуються адміністративною групою, особовий і кількісний склад якої залежить від конкретних умов. Звичайно до складу цієї групи входять: адміністратор безпеки, менеджер безпеки і оператор.

Забезпечення і контроль безпеки – це комбінація технічних і адміністративних засобів. За даними зарубіжних джерел у працівників адміністративної групи звичайно третину часу займає технічна робота (управління програмами та іншими засобами контролю доступу, захист портів, криптозахист тощо) і біля двох третин – адміністративна (розроблення документів пов’язаних із захистом інформаційної системи, процедурами перевірки системи захисту тощо). Раціональне сполучення цих заходів допомагає підтримувати адекватний захист ІС і сприяє зменшенню можливості порушень політики безпеки.

6.5. Управління доступом до робочих місць в інформаційній системі

Користувачі повинні знати свої обов’язки щодо забезпечення контролю доступу; особливо – використання паролів. Доступ користувачу до ресурсів ІС повинен надаватися згідно з політикою управління доступом. Зокрема, рекомендується надавати користувачам тільки прямий доступ до серверів, використання яких їм дозволено. Особливу увагу адміністратора безпеки слід приділяти контролю мережевих підключень до конфіденційних чи критично важливих доповнень, а також контролю за роботою користувачів у зонах підвищеного ризику, наприклад, в загальнодоступних місцях чи місцях, що знаходяться за межами організації.

Доступ до робочих місць в ІС слід надавати тільки зареєстрованим користувачам.

Системи управління доступом повинні забезпечувати:

- ідентифікацію і автентифікацію користувачів, а також, за необхідності, термінала і місцезнаходження кожного зареєстрованого користувача;

- ведення журналу обліку спроб доступу (успішних і невдалих) до ІС;

- за необхідності обмежувати підключення користувачів у неурочний час.

Для організації доступу до ІС на етапі підготовчих робіт рекомендується розглянути такі питання:

- реєстрація користувачів;

- управління привілеями;

- управління паролями користувачів;

- перегляд прав доступу користувачів;

- використання паролів;

- обладнання користувачів, залишене без нагляду;

- відстежування часу простою терміналів;

- обмеження періоду підключення.

Для управління доступом до багатокористувацького сервісу повинна бути розроблена процедура реєстрації користувачів. Ця процедура повинна:

- перевіряти, чи наданий користувачеві дозвіл на використання сервісу відповідальним за його використання;

- вести облік усіх зареєстрованих осіб, що використовують інформаційну систему;

- перевіряти чи достатній рівень доступу користувача до системи і чи не суперечить він політиці безпеки, прийнятої в організації, наприклад, чи не компрометує він принцип розподілення обов’язків;

- своєчасно анулювати права доступу у користувачів, які залишили організацію;

- періодично перевіряти і видаляти застарілі ідентифікатори та облікові записи.

У багатокористувацьких ІС повинна існувати система контролю надання привілеїв. При організації такої системи рекомендується:

- ідентифікувати привілеї, пов’язані з кожним програмним продуктом чи сервісом, підтримуваним системою, а також категорії працівників, яким їх необхідно надавати;

- надавати привілеї окремим особам тільки у випадку крайньої потреби і залежно від ситуації, тобто тільки коли привілеї потрібні для виконання працівниками своїх функцій;

- реалізувати автоматичний процес визначення повноважень і вести облік всіх наданих привілеїв;

- за можливістю використовувати системні програми, для яких немає необхідності надавати спеціальні привілеї користувачам;

- надавати інший ідентифікатор для звичайної роботи користувачам, які мають великі привілеї для спеціальних цілей.

Вимоги до системи контролю (управління) паролями користувачів такі:

- зобов’язати користувачів зберігати в секреті персональні паролі та паролі робочих груп;

- коли користувачі повинні самі вибирати свої паролі, видати їм надійні тимчасові паролі. Тимчасові паролі видаються також у випадку, коли користувачі забувають свої паролі;

- передавати тимчасові паролі користувачам надійним способом. Уникати передавання паролів через посередників чи за допомогою незахищених (незашифрованих) повідомлень електронної пошти. Користувач повинен підтвердити отримання паролю.

Перегляд прав доступу користувачів через регулярні проміжки часу проводиться з метою забезпечення ефективного контролю за дотриманням режиму захисту інформації. Процес перегляду повинен забезпечувати:

- перегляд повноважень доступу користувачів через регулярні проміжки часу (6 місяців);

- перегляд дозволу на надання спеціальних привілеїв через більш короткі проміжки часу (3 місяці).

Для підтримання режиму ЗІ при виборі та використанні паролів пропонуються такі рекомендації:

- вибирати паролі, що містять не менше шести символів;

- при цьому не слід використовувати:

а) назви місяців року, днів тижня;

б) прізвища, ініціали, реєстраційні номери автомобілів;

в) назви та ідентифікатори організацій;

г) номери телефонів чи групи символів, що ідуть один за одним;

д) групи символів, що складаються тільки з цифр;

- змінювати паролі через регулярні проміжки часу (місяць) і уникати повторного чи „циклічного” використання старих паролів;

- частіше змінювати паролі для привілейованих системних ресурсів (до системних утилітів);

- змінювати тимчасові паролі при першому вході в систему;

- не включати паролі в процедуру автоматичного входу в систему (макроси, функціональні клавіші);

- не допускати використання одного паролю декількома користувачами;

- забезпечувати зберігання паролів у секреті;

- змінювати паролі, коли є вказівки на можливу компроментацію їх;

- використовувати один надійний пароль, якщо потрібен доступ до декількох серверів, захищених паролями.

Користувачі повинні знати процедури захисту обладнання, залишеного без нагляду, а також свої обов’язки щодо забезпечення такого захисту.

Рекомендується:

- завершувати сеанси зв’язку з закінченням роботи, якщо їх не можна захистити шляхом відповідного блокування;

- використовувати логічне відключення від серверів із закінченням сеансу зв’язку. Не обмежуватись виключенням ПК чи термінала;

- захищати невикористовувані ПК чи термінали шляхом блокування ключем чи іншими засобами контролю доступу.

Для недіючих терміналів у зонах з підвищеним ризиком порушення ЗІ (у загальнодоступних місцях чи за межами досяжності) необхідно встановити допустимий час простою для запобігання доступу незареєстрованих користувачів. З закінченням цього часу екран термінала повинен очищатись, а сеанси зв’язку з додатками і мережевими сервісами завершатися. Допустимий час простою повинен задаватись, виходячи з аналізу ризику несанкціонованого доступу до термінала користувача.

Додатковий захист сервісів від НСД можна забезпечити шляхом обмеження допустимого періоду підключення. Обмеження дозволеного періоду підключення термінала до ІС дозволяє зменшити ймовірність НСД до ресурсів ІС. Можливість застосування такого захисту контролю слід розглядати для ІС з терміналами, встановленими в зонах підвищеного ризику порушення ЗІ.