5.2 Политика безопасности при работе в Internet

Хотя подключение к Интернету и предоставляет огромные выгоды из-за доступа к колос­сальному объему информации, оно же является опасным для сайтов с низким уровнем безопасности. Интернет страдает от серьезных проблем с безопасностью, которые, если их игнорировать, могут привести к катастрофе для неподготовленных сайтов. Ошибки при проектировании TCP/IP, сложность администрирования хостов, уязвимые места в программах и ряд других факторов в со­вокупности делают незащищенные сайты уязвимыми к действиям злоумышленников.

Цель политики безопасности для Интернета - принять решение о том, как организация соби­рается защищаться. Политика обычно состоит из двух частей - общих принципов и конкретных правил работы. Общие принципы определяют подход к безопасности в Интернете.

Интернет - это важный ресурс, который изменил стиль деятельности многих людей и орга­низаций. Тем не менее, Интернет страдает от серьезных и широко распространенных проблем с безопасностью. В некоторых случаях организации были вынуждены временно отключится от Ин­тернета, и потратили значительные средства на устранение проблем с конфигурациями хостов и сетей. Сайты, которые не осведомлены или игнорируют эти проблемы, подвергают себя риску се­тевой атаки злоумышленниками. Фундаментальная проблема состоит в том, что Интернет при проектировании и не задумывался как защищенная сеть.

При принятии решений администраторы сталкиваются с проблемой совершения выбора на основе учета принципов деятельности организации, соотношения важности целей, и наличия ре­сурсов. Эти решения включают определение того, как будут защищаться технические и информа­ционные ресурсы, а также как должны вести себя служащие в тех или иных ситуациях.

Необходимым элементом политики является принятие решения в отношении данного вопро­са. Оно задает направление деятельности организации. Для того чтобы политика была успешной, важно, чтобы было обоснованно выбрано одно направление из нескольких возможных.

Задача зашиты информации, хранимой в компьютерных системах, от несанкционированного доступа, является весьма актуальной. Для решения" этой задачи используется целый комплекс средств, включающий в себя технические, программно-аппаратные средства и административные меры защиты информации.

Построение надежной защиты компьютерной системы невозможно без предварительного анализа возможных угроз безопасности системы. Этот анализ должен включать в себя:

• Оценку ценности информации, хранящейся в системе;

• Оценку затрат времени и средств на вскрытие системы, допустимых для злоумышленников;

• Оценку характера хранящейся в системе информации, выделение наиболее опасных угроз (несанкционированное чтение, несанкционированное изменение и т.д.);

Построение модели злоумышленника — другими словами, оценка того, от кого нужно защищаться - от постороннего лица, пользователя системы, администратора и т.д.;

Оценку допустимых затрат времени, средств и ресурсов системы на организацию ее защиты.

Определение прав доступа

Администраторы - круг лиц, определяющих общие вопросы функционирования системы: список проектов, список пользователей системы, набор возможных атрибутов и т.д. Администра­торы имеют неограниченные права для доступа ко всей информации.

Операторы - круг лиц, осуществляющих ведение серийных проектов, они имеют неограни­ченные права к проектируемым и серийным элементам, но не могут определять привилегии для обычных пользователей.

Обычные пользователи - это конструкторы, технологии, работники вспомогательных служб, т.е. непосредственные исполнители работ по проектированию и сопровождению изделий. Они имеют права, определенные администратором и обычными пользователями, имеющими пра­во администрирования элемента.