2. Відкриті та закриті мережі.

Загальні вимоги безпеки, що стоять перед мережевими адміністраторами балансують між двома важливими потребами: підтримувати відкритість мереж для забезпечення бізнес-вимог та забезпечувати захист приватної, особистої та стратегічної бізнес-інформації.

Модель мережевої безпеки змінюється від відкритої, з дозволеними усіма сервісами, які явно не заборонені до закритої, з забороненими за замовчуванням сервісами і доступними лише необхідними. У разі відкритої мережі, ризики безпеки очевидні. У випадку закритої мережі, правила для того, що дозволено, визначені у формі політики безпеки особи або групи в організації.

Найскладнішим є варіант управління безпекою шляхом повного закриття мережі від зовнішнього світу. Закрита мережа забезпечує підключення тільки для довірених сторін. Закрита мережа не дозволяє підключення до мереж загального користування. Оскільки немає зовнішнього зв'язку, мережі такого плану вважаються забезпечними від зовнішніх атак. Проте, внутрішні загрози все ще існують. В закритих мережах, як правило, проводять небагато заходів, щоб запобігти атакам зсередини підприємства.

На практиці, намагаються використовувати баланс між рівнем доступу та рівнем безпеки, оскільки кожен з варіантів, має свої переваги та недоліки:

• відкрита мережа

– дозволено все, що явно не заборонено;

– простіша в адмініструванні;

– легкий доступ користувачів до мережевих ресурсів;

– малі витрати на організацію безпеки мережі;

• обмежена (збалансована) мережа

– поєднання певних заборон та певних дозволів;

– складніша в налаштуванні та адмініструванні;

– ускладнений доступ до мережевих ресурсів;

– більші витрати на організацію безпеки мережі;

• закрита мережа

– заборонено все, що явно не дозволено;

– найскладніша в налаштуванні та адмініструванні;

– найскладніший доступ до мережевих ресурсів;

– значні витрати на організацію безпеки мережі

2. Політика безпеки

   1. Розробка політики безпеки

Першим кроком до захисту корпоративної інформації є розробка політики безпеки. Це набір правил, якими керуються в процесі прийняття рішень. В RFC2196 визначається, що “політика безпеки – це офіційно визначені правила, яких повинні дотримуватись люди, що отримують доступ до корпоративних технологій та інформаційних ресурсів”.

Політика безпеки відповідає таким цілям:

• інформує користувачів, співробітників та керівників про обов'язкові вимоги для захисту технологій та інформаційних ресурсів

• визначає механізми, за допомогою яких ці вимоги можуть бути задоволені

• визначає налаштування та аудит комп'ютерних систем і мереж на предмет відповідності політиці безпеки.

Стандарт ISO / IEC 27002 є керівним документом для розробки корпоративних стандартів безпеки та ефективних методів забезпечення безпеки. Документ складається з 12 розділів:

• оцінка ризиків;

• політики безпеки;

• організація інформаційної безпеки;

• управління активами;

• безпека людських ресурсів;

• фізична та екологічна безпека;

• зв'язок та управління операціями;

• доступність управління;

• інформаційні системи придбання, розробки і супроводу;

• інформаційна безпека управління інцидентами;

• управління неперервністю бізнесу;

• відповідність.

При обговоренні питань мережевої безпеки трьома основними факторами є: вразливості, загрози та атаки.

Вразливість притаманна будь-якій мережі та обладнанню. Сюди входять маршрутизатори, комутатори, комп’ютери, сервери та самі пристрої безпеки.

Загрозою є використання різних інструментів, скриптів та програм для запуску атак на мережі та мережеве обладнання. Є три основних вразливості:

• технологічні

• конфігураційні

• політики безпеки