Многоуровневая модель объектов информационной безопасности
Для организации нет ничего опасней в сфере безопасности, как формальное следование предложениям по использованию тех или иных продуктов и услуг без разработки качественной и адекватной политики безопасности, разработки и внедрения в повседневную практику комплекса организационных, административных и технических мер, а главное без осознания в общем комплексе задач организации роли и места службы безопасности. Затронутые в статье вопросы пока плохо осознаны специалистами в сфере безопасности и административного управления. Однако это не означает, что их не нужно анализировать, а тем более, ставить соответствующие задачи перед фирмами-разработчиками.
Рис. 1. Семиуровневая модель объектов информационной безопасности. Актуальные для разных уровней угрозы, агенты этих угроз, методы защиты, критерии оценки эффективности принципиально различаются |
Эта модель несколько условна. Не во всех случаях наличествуют не все обозначенные уровни, однако в большой организации, владеющей собственной корпоративной сетью, все уровни прослеживаются совершенно определенно.
Как правило, предложения по очень хорошим, эффективным и сертифицированным средствам обеспечения безопасности не выходят за III уровень и защищают от угроз, исходящих от субъекта НСД.
Однако парадокс ситуации заключается в том, что наиболее опасным субъектом угроз в организации является легальный пользователь, допущенный к ее ресурсам. (В частности, это подтверждает статистика по преступлениям в банковской сфере.) Значение субъекта легального доступа резко возрастает от III к VI уровню — именно там, где практически нет специальных средств защиты и вся безопасность базируется на настройках систем управления доступом, аудита, обеспечения целостности программ и штатности выполняемых бизнес-процессов.
На устойчивость обеспечивающих безопасность настроек влияет их доступность большому числу администраторов систем и программистов. Так как степеней свободы у специалистов данной категории много, а мониторинг их деятельности, как правило, весьма слаб, в этой зоне налицо отсутствие «прозрачности» и высокая степень риска. Иными словами, на этих уровнях резко возрастает роль «человеческого фактора», самой нестабильной и изменчивой составляющей во всей совокупности проблем, влияющих на безопасность.
Еще тяжелее ситуация на VII уровне. Здесь царит так называемый «пользователь», т. е. тот самый «субъект легального доступа», о котором так много говорилось в этой статье. Для него компьютер — не более чем вспомогательный инструмент на его рабочем столе, со средствами НСД он сталкивается только при наборе пароля на вход и при его замене, в чужие каталоги не лазает, о проблемах настроек маршрутизаторов сети и сетевой безопасности понятия не имеет. Кроме того, как правило, он располагает разнообразными средствами коммуникаций (факс, телефон, электронную почту, Internet) и, само собой, может скопировать данные на отчуждаемый носитель. ИТ-служба постоянно заботится о том, чтобы предоставить ему еще больше услуг, больше удобств. Совсем иная картина в сфере безопасности. Подразделение безопасность информационных систем доступные ему инструменты уже применило; все остальное, как правило, формально не подпадает под его компетенцию. В компетенцию какой службы попадает проблема злоупотребления легальным доступом? Тут нет готовых решений. К сожалению, тут можно дать рекомендации лишь общего характера.
В организации должна существовать детальная административная политика в отношении персонала. Эта политика должна подробно регламентировать и минимизировать права доступа сотрудников к информации, цели этого доступа, требования по регламенту использования доступной информации.
Административная политика должна подкрепляться не менее детальным аудитом действий пользователя с доверенной ему информацией. Таким аудитом должны быть охвачены не одни пользователи, но все, кто имеет легальные права доступа к информации, настройкам оборудования, базам данных, операционным системам и т.д.
Расхождение административной политики и аудита означает наличие "конфликта интересов" организации и ее сотрудника.
Необходимо соблюдение принципа "прозрачности": сотрудник должен внятно объяснить все свои действия с информацией, выявленные системой аудита.
Должен существовать свод корпоративных морально-этических требований, четко регламентирующих правила поведения сотрудника, позволяющих выявить "конфликт интересов" и дающих возможность руководству применить, в случае необходимости, административные меры взыскания.
С персоналом должна проводиться воспитательная работа, целью которой является выработка у людей этики корпоративного поведения и отношения к ресурсам организации.
Для организации нет ничего опасней в сфере безопасности, как формальное следование предложениям по использованию тех или иных продуктов и услуг без разработки качественной и адекватной политики безопасности, разработки и внедрения в повседневную практику комплекса организационных, административных и технических мер, а главное без осознания в общем комплексе задач организации роли и места службы безопасности. Затронутые в статье вопросы пока плохо осознаны специалистами в сфере безопасности и административного управления. Однако это не означает, что их не нужно анализировать, а тем более, ставить соответствующие задачи перед фирмами-разработчиками.