3.2 Определение

Определение 10

Политика безопасности — это документ, где перечислены конкретные процедуры и мероприятия, которых сотрудники должны придерживаться в целях обеспечения надежной защиты информационных ресурсов своей компании.

Если следовать общепринятому определению политики безопасности (ПБ), приведенному в стандарте "Оранжевая книга" (1985 г.):

Определение 11

Политика безопасности - это набор норм, правил и практических приемов, которые регулируют управление, защиту и распределение ценной информации .

Смысл политики безопасности очень прост - это набор правил управления доступом, она определяет как разрешенные, так и неразрешенные доступы. ПБ по своему определению конструктивна, может быть основой определения некоторого автомата или аппарата для своей реализации

3. Формирование рекомендаций по формированию политики безопасности, необходимое по и оборудования.

Формирование режима информационной безопасности - проблема комплексная. Меры по её решению можно разделить на четыре уровня:

• законодательный (законы, нормативные акты, стандартны и т.п.);

• административный (действия общего характера, предпринимаемые руководством организации);

• процедурный ( конкретные меры безопасности, имеющие дело с конкретными людьми);

• программно-аппаратный ( конкретные технические меры).

Будем рассматривать последний уровень. Обеспечивать информационную безопасность в крупной организации, где используются разнообразные вычислительные платформы, — сложная задача, и решать ее с течением времени становится все труднее: добавляются новые устройства, меняется персонал, модернизируются операционные системы (ОС) и приложения, множатся точки входа в сеть, и новые бреши в системе безопасности появляются каждый день, — короче, изменения происходят настолько быстро, что даже просто поддерживать корпоративную информационную систему в работоспособном состоянии уже достижение. Так например по оценке специалистов компании Internet Security Systems, в любой сети, основанной на протоколе TCP/IP, существует около 135 потенциальных лазеек для хакеров.

В любой организации лицом на плечи которого непосредственно ложится задача по соблюдению требований информационной безопасности в отношении компьютерных систем является системный администратор (СА). Перечислим основные задачи, которые стоят перед системным администратором (СА):

1. СА должен реализовать стратегию защиты (политику безопасности) и периодически проверять, не нарушена ли система защиты. В системах с низким уровнем безопасности это может быть сведено лишь к нескольким текущим проверкам на предмет несанкционированного доступа. В системах с высоким уровнем безопасности это требует много времени и специфических знаний.

2. СА должен вести мониторинг системы, так как существует множество обязательных для исполнения ежедневных операций. Это, например, проверка правильности функционирования электронной почты и телеконференций, просмотр регистрационных файлов на предмет наличия ранних признаков неисправностей, контроль над процессом подключения локальных сетей, контроль за наличием системных ресурсов (в частности, контроль за наличием свободного пространства на диске).

3. Создание и удаление бюджетов пользователей. Процесс включения и удаления пользователей можно автоматизировать, но некоторые решения, от которых зависит работа пользователя (например, права доступа) должен принимать администратор.

4. В случае приобретения новых программно-аппаратных средств перед С А стоит задача не только по корректной их интеграции в уже существующую систему, но и по пересмотру политики безопасности с учетом новых возможностей и задач.

Из данных выше определений, видно, что задачи системного администратора являются подмножеством задач ИБ.

Далее будет проведен детальный обзор некоторых задач системного администратора. Совсем не обязательно, чтобы эти функции выполнял один человек. Во многих случаях подобная работа распределяется среди нескольких администраторов, тем более, если идет речь не о простом администрировании, а об информационной безопасности информационной системы крупной организации в целом. Вполне вероятно, что Вы будете единственным специалистом подобного профиля в организации или являться человеком, на которого возложена обязанность координации работы других более узких специалистов. В любом случае Ваш профессиональный уровень будет оцениваться по тому, насколько Вы правильно будете понимать все поставленные задачи и качественно обеспечивать их выполнение.

При формировании режима информационной безопасности обычно преследуют две цели: защитить корпоративные данные и минимизировать вероятность реализации как внешних, так и внутренних угроз. При этом необходимо придерживаться ряда рекомендаций, которые помогут сформировать исчерпывающую политику безопасности и определить необходимое для этого программное и аппаратное обеспечение:

1. Провести оценку степени риска и ценности информации. Вопрос стоит следующим образом — что защищать и от чего защищать? Внимательно изучив информационные ресурсы организации их относительную важность или ценность, нужно определить потенциальный урон в результате реализации какой-либо угрозы безопасности. Кроме этого в Интернет-системах нужно учитывать следующие обстоятельства:

- какие могут быть новые угрозы по отношению к старым сервисам, вытекающие из возможности пассивного или активного прослушивания сети;

• какие новые угрозы ассоциируются с новыми (сетевыми) сервисами.

2. Разработать политику безопасности. Определившись с тем, какая информация представляет наибольшую ценность, необходимо разработать полноценную политики безопасности вместе с планом защиты. При разработке политики безопасности и проведении в жизнь целесообразно руководствоваться следующими принципами:

• невозможность миновать защитные средства. Т.е. необходимо осознавать, что если у злоумышленника появится возможность миновать защитные средства, он, разумеется, так и сделает. Применительно к межсетевым экранам данный принцип означает, что все информационные потоки в защищаемую сеть и из неё должны проходить через экраны;

• усиление самого слабого звена. Злоумышленник никогда не будет бороться против силы, он будет искать слабые звенья обороны. Часто самым слабым звеном оказывается не аппаратно-программные средства, а человек, и тогда проблема обеспечения ИБ приобретает нетехнический характер;

• невозможность перехода в небезопасное состояние. Т.е. при любых обстоятельствах, в том числе нештатных, защитное средство либо полностью выполняет свои функции, либо полностью блокирует доступ;

• минимизация привилегий, предписывает выделять пользователей и администраторам только те права доступа, которые необходимо им для выполнения служебных обязанностей;

• разделение обязанностей определяет, что один человек не может нарушить критически важный для организации процесс. Это особенно важно, чтобы предотвратить злонамеренные или неквалифицированные действия системного администратора;

• эшелонированность обороны подразумевает, что за средствами физической защиты должны следовать программно-аппаратные средства, за идентификацией и аутентификацией - управление доступом и, как последний рубеж, - протоколирование и аудит;

• разнообразие защитных средств. Данный принцип рекомендует организовывать различные по своему характеру оборонительные рубежи, что бы от потенциального злоумышленника требовалось обладание очень высоким уровнем знаний, разнообразными и по возможности несовместимыми между собой навыками;

• простота и управляемость информационной системы позволяет формально и неформально доказать корректность функционирования ее системы защиты, позволяет проверить согласованность разных компонентов и осуществить централизованное администрирование;

• обеспечение всеобщей поддержки мер безопасности имеет нетехнический характер.

3. Выбрать инструментарий для организации и обеспечения системы защиты. После разработки политики безопасности необходимо выбрать те инструменты и механизмы, с помощью которых вы будете проводить в жизнь эту политику.

Скорее всего, это будут средства нескольких типов:

Операционные системы, концентраторы, межсетевые экраны и средства физического ограничения доступа к рабочим станциям и серверам - основное что будет определять работоспособность и безопасность внутренней части вашей системы.

Сетевое оборудование - маршрутизаторы, коммутаторы, которые не только будут определять топологию вашей системы, возможности управления ею и предоставления современных услуг наподобие гарантированного качества (QoS) или создания частных виртуальных сетей, но и организации защиты по периметру. Ведь многие из данных средств несут в себе встроенные механизмы безопасности. Например, у Cisco существуют возможности конфигурирования маршрутизаторов в качестве файрвэлов и шифрования трафика.

Специальные программные и аппаратные средства управления сетью, анализаторы трафика и безопасности ОС, детекторы сетевых атак, а также средства шифрования и физической защиты.

Программное обеспечение, которое отвечает задачам организации, потребностям пользователей и не нарушающее разработанную политику безопасности.