Многоуровневый подход к обеспечению информационной безопасности кис
При разработке архитектуры комплексной системы защиты информации (КСЗИ) необходимо учитывать следующие общие требования:
информационная безопасность (ИБ) должна быть обеспечена на всех уровнях информационной системы: на организационно-управленческом, технологическом и техническом;
ИБ должна быть обеспечена на всех стадиях жизненного цикла информационных систем;
архитектура КСЗИ должна иметь распределенную и многоуровневую структуру, соответствующую структуре информационной системы;
решения, образующие КСЗИ, должны выбираться с учетом масштабируемости и модульного принципа построения, обеспечивающих наращивание и модернизацию подсистем по мере изменения требований к обеспечению ИБ, возникновения новых угроз, создания новых средств защиты и их модернизации;
внедрение мер безопасности должно осуществляться в рамках всей инфраструктуры (а не только на критичных ресурсах);
КСЗИ должна охватывать все этапы обработки информации (создание, сбор, обработку, накопление, хранение, поиск, распространение и использование) и не накладывать жестких ограничений на используемые технологии построения информационных систем;
КСЗИ должна быть интегрирована со встроенными средствами защиты информации прикладных систем, операционных систем и информационных сервисов.
Многоуровневая система защиты информации основана на совместном применении следующих мер и средств защиты:
централизованное управление компонентами КСЗИ и мониторинг сетевой активности;
использование пакетных фильтров и межсетевого экранирования уровня приложений для разграничения доступа пользователей к ресурсам Интернета и защиты внутренних ресурсов КИС от НСД из Интернета;
применение разрешительного порядка предоставления пользователям привилегий доступа к ресурсам Интернета;
обнаружение вторжений на сетевом и прикладном уровнях с соответствующей динамической реакцией на эти атаки, например путем автоматического переконфигурирования межсетевых экранов и обрыва межсетевых соединений;
обеспечение антивирусной проверки и удаления вирусов в проходящем через Интернет трафике электронной почты, FTP- и НТТР-трафике;
гибкая организация демилитаризованных зон и возможности дополнительной защиты критических демилитаризованных зон;
обеспечение отказоустойчивости и надежности корпоративной сети благодаря:
дублированию каналов доступа в Интернет и каналов КИС;
разнесению точек выхода из Интернета по различным траекториям;
использованию протоколов динамического изменения топологии сети, прозрачному для пользователей;
дублированию средств управления КСЗИ;
эшелонирование защиты:
последовательное размещение пакетных фильтров и межсетевых экранов уровня приложений, использование дополнительных межсетевых экранов для защиты критичных ресурсов;
многоуровневое размещение средств обнаружения вторжений для контроля несанкционированной активности как перед межсетевыми экранами, так и за ними, а также обнаружение атак на межсетевые экраны изнутри КИС;
централизованный аудит и формирование отчетов о сетевой активности и несанкционированных действиях;
обеспечение целостности ресурсов КСЗИ и управляющего трафика КСЗИ с помощью штатных средств компонентов КСЗИ;
обеспечение централизованного контроля за уязвимостью компонентов подсистем защиты.
Многоуровневая комплексная система защиты информации представляет собой целостный и достаточный набор средств защиты от актуальных угроз ИБ, который интегрируется в защищаемую информационную систему.
Общая структура комплексной системы защиты информации КИС показана на рис. 4.7.
Рис. 4.7. Общая структура многоуровневой комплексной системы защиты информации КИС
В состав КСЗИ обычно входят следующие подсистемы информационной безопасности:
криптографическая защита и PKI;
управление идентификацией, аутентификацией и доступом;
обеспечение безопасности коммутируемой инфраструктуры и беспроводных сетей;
управление средствами защиты информации;
контроль использования информационных ресурсов;
межсетевое экранирование;
обнаружение и предотвращение вторжений;
защита от вредоносного кода и нежелательной корреспонденции;
контроль эффективности защиты информации;
мониторинг и управление инцидентами ИБ;
обеспечение непрерывности функционирования средств защиты.