3 Разработка классификации угроз безопасности информации в органах государственной власти

3.1 Анализ состояния современной системы защиты в органах государственной власти рф.

Все больше в прошлое уходит бесполезное нагромождение различных средств защиты, которое стало «модным» в результате реакции на первую волну страха перед компьютерными преступлениями. К тому, что защита информации должна носить комплексный характер, все начинают постепенно привыкать. При этом компании-заказчики больше не хотят выбрасывать деньги на ветер, они хотят приобретать только то, что им действительно необходимо для построения надежной системы защиты информации. Но организация обеспечения безопасности информации должна не просто носить комплексный характер, а еще и основываться на глубоком анализе возможных негативных последствий. При этом важно не упустить какие-либо существенные аспекты.

Принятый в настоящее время курс на вступление России в ВТО и другие влиятельные международные организации заметно способствует формированию положительного образа нашей страны на международной арене. Однако этот процесс требует и гармонизации стандартов в различных областях деятельности, в том числе и в области информационной безопасности. Таки образом, признание на территории России наиболее распространенных в мире стандартов в области информационных технологий, в области защиты информации – это естественный и обязательный шаг на пути продвижения в избранном направлении.

Процесс признания в России международных стандартов по защите информации не является обособленным исключительным решением, а становится естественной составной частью реформирования всей системы стандартизации. В настоящее время в России наряду с отечественной нормативной базой широко используются около 140 международных стандартов в области информационных технологий, из них около 30 затрагивают вопросы защиты информации.

Одним из наиболее значимых является стандарт ИСО/МЭК 15408–99 «Критерии оценки безопасности информационных технологий», более известный как «Общие критерии». Этот стандарт дает новую методологию формирования требований по безопасности информационных технологий, отвечающих современному уровню их развития, и методологию оценки безопасности продуктов и систем информационных технологий.

Но вся идеология этого стандарта построена на необходимости глубокого изучения и анализа существующей обстановки и, особенно, выявлении актуальных угроз информационной безопасности. При этом должны быть оценены все угрозы, с которыми можно столкнуться, и выбраны только те, которые могут повлиять на безопасность информации. Стандарт предполагает, что при описании угроз должны быть идентифицированы источники этих угроз, методы воздействия, уязвимости, присущие объекту и многое другое.

Именно поэтому выбор правильной методологии оценки возможных угроз информационной безопасности является одним из основных направлений при переходе к международным требованиям.

Оценивать опасность можно по-разному. Можно, например, ждать каких-либо проявлений угроз, оценивать эти проявления, определять пути ликвидации и ждать следующего проявления. Однако, этот вариант дорог и, по всей вероятности, вряд ли вызовет энтузиазм у собственников защищаемой информации. Можно попробовать учиться на чужих ошибках, но, из-за большой латентности нарушений компьютерной безопасности, этот вариант не всегда сможет дать объективную картину.

Самым разумным остается сначала представить все возможные варианты угроз, а затем отобрать наиболее применимые к конкретному случаю. Здесь существует альтернатива: либо использовать накопленный банк данных уже случившихся вариантов проявлений угроз, либо попытаться создать методологический инструмент формирования поля возможных проявлений угроз, основанный на изучении всех влияющих факторов и позволяющий рассмотреть все возможные, даже самые маловероятные варианты.

Такая методология анализа и оценки возможностей реализации угроз информационной безопасности должна быть основана на построении модели угроз, классификации, анализе и оценки источников угроз, уязвимостей (факторов) и методов реализации.

Рассмотрим текущую ситуацию с защитой информации в российских госучреждениях. В первую очередь российские федеральные органы государственной власти обеспечивают информационную безопасность своих ресурсов, проводя различные административные мероприятия и “внедряя в жизнь” организационно-распорядительные документы. Однако несмотря на существование различных государственных и отраслевых документов, регламентирующих данную сферу, деятельность федеральных органов государственной власти зачастую является бессистемной. Обеспечение же информационной безопасности невозможно без знания имеющихся в ведомстве ресурсов, их настроек именно с точки зрения ИБ и грозящих им опасностей. Аудит ИБ и анализ рисков в соответствии с рекомендациями Федеральную службу по техническому и экспортному контролю или международного стандарта ISO 17799 проводится в очень редких случаях. В абсолютном большинстве федеральных органов государственной власти эти работы попросту не проводятся.

Только малая часть определяют:

а) перечни информации, подлежащей защите;

б) потенциальные каналы утечки информации и пути ее предотвращения;

в) списки лиц, имеющих доступ к защищаемым ресурсам;

г) перечень лиц, допущенных к работе со средствами международного информационного обмена.

В свою очередь такие перечни, показывая, кто, куда и каким образом может получать доступ к информационным ресурсам, позволяют четко спланировать все дальнейшие мероприятия по защите информации, которые находят свое отражение в концепции информационной безопасности. Но лишь в ряде ведомств разработан этот основополагающий документ, определяющий направления деятельности федерального органа государственной власти в области защиты своих информационных ресурсов. Единицы учреждений, которые пошли дальше, разработав целый пакет организационно-распорядительных документов, регламентирующих деятельность по защите информации. К таким документам можно отнести:

1) инструкцию по работе с информацией ограниченного доступа;

2) положение об администраторе ИБ и ответственном за ее обеспечение;

3) регламенты и инструкции по защите информации в локальных сетях, работе в интернете и т.п.

Практически все министерства и ведомства проводили и продолжают проводить бесконтрольную "собственную политику информатизации", направленную исключительно на решение внутриведомственных технологических задач, без учета общенациональных интересов, без анализа уже имеющихся наработок и отечественного опыта создания аналогичных систем, создавая не только "угрозу развитию отечественной индустрии информации", но и вступая в противоречие с Концепцией национальной безопасности и Доктриной информационной безопасности.

В настоящее время созданы различные Комиссии и Координационные советы, наработаны рекомендации и т.д. Однако, на практике эффективность и результативность всех этих программ и комиссий близка к нулевой. Среди объективных условий, способствующих такому положению, можно отметить:

1. возможность практически бесконтрольного осуществления закупок органами исполнительной власти дорогостоящих импортных программно-технических средств при создании информационных систем;

2. отсутствие заинтересованности у руководства федеральных органов в сокращении бюджетного финансирования на информатизацию;

3. несоблюдение принципа “разумной достаточности”;

4. нежелание предоставлять доступ внешним пользователям к создаваемым информационным ресурсам;

5. несовершенная технология выполнения государственных и муниципальных контрактов на информатизацию и т.д.

Помимо создания угроз развитию отечественной индустрии информации, "стихийная информатизация" министерств и ведомств имеет целый перечень серьезных отрицательных последствий:

- значительное дублирование разработок;

- информационные системы создаются с использованием различных технологий и архитектур, на основе различных операционных систем, систем управления базами данных и т.д.;

- используются несогласованные словари, справочники, кодификаторы и классификаторы;

- министерства и ведомства арендуют различные телекоммуникационные каналы связи, не используя существующий государственный ресурс;

- информационное взаимодействие ("интеграция информационных ресурсов") банков данных различных министерств и ведомств становится практически невозможной, что приводит к значительным затратам бюджетных средств на их развитие, эксплуатацию и интеграцию.

Основным барьером в сфере обеспечения информационной безопасности федеральных органов государственной власти является неполнота и противоречивость нормативной базы в этой области. Например, в отсутствие единой классификации информации существует огромное количество видов тайн, ссылки на которые разбросаны по сотням законодательных актов; при этом всяческие ограничения на использование международных стандартов в области информационной безопасности (в частности, у нас до сих пор не приняты “Общие критерии”) сдерживают развитие информационных систем в организациях, мешая их взаимодействию, в том числе и в сфере противодействия терроризму.

Еще одним серьезным барьером на пути защиты информационных ресурсов федеральных органов государственной власти является низкая квалификация рядовых пользователей и отсутствие их обучения правилам и основам информационной безопасности.

Во многих ведомствах считается, что основная угроза исходит из внешних сетей (скажем, интернета), а опасность внутренней угрозы недооценивается. Это и приводит зачастую к краже и разглашению конфиденциальной информации, и о чем свидетельствуют последние примеры с утечкой данных из Банка России, ФНС, Госкомстата и т.п.

Для федеральных органов государственной власти обеспечение информационной безопасности нередко не является приоритетной задачей. А зачастую вопрос защиты информации при создании автоматизированных и прикладных систем не ставится вообще.

В результате практически во всех ведомствах отмечается отсутствие в достаточном объеме:

- единой политики обеспечения ИБ;

- специальных подразделений и квалифицированных сотрудников, ответственных за эту сферу;

- финансирования в данной области;

- программных, программно-аппаратных и других технических средств защиты информации.

Не останавливаясь на социальных, правовых и экономических причинах систематизируем технические и информационные предпосылки нарушения информационной безопасности в современных вычислительных системах (ВС).

Для того чтобы получить информацию о каком-либо объекте системы, вовсе не обязательно искать пути несанкционированного доступа к нему. Можно получать информацию, наблюдая за работой системы и, в частности, за поведением интересующего объекта. Иными словами, искать каналы утечки информации или каналы скрытого влияния на объект. Эти каналы реализуются с помощью специальных программ, т.н. разрушающих программных средств (РПС). С их помощью можно получать информацию не только о содержимом объекта, его состоянии, атрибутах и др. и, даже влиять на его поведение - в зависимости от особенностей системы и установленной защиты объектов. Таким образом, возможно осуществление действий, не нарушающих политику безопасности, но несущих угрозу безопасности и целостности системы.

Особенности современных информационных технологий порождают причины нарушения безопасности, которые могут быть условно объединены в следующие группы:

1. Трудности определения и обоснования требований к системам документооборота, особенно при попытке сформулировать их в виде политики безопасности. Можно сказать, что инфраструктура современного общества и организация документооборота отстают от возможностей информационных систем и систем телекоммуникаций.

2. Особенности современных аппаратных средств, операционных систем и прикладного программного обеспечения, которые с учетом специфики электронного документооборота приводят к нарушению информационной безопасности.

3. Существующая правовая база не дает должных оснований для создания унифицированных корпоративных политик безопасности. Строго говоря защите подлежит только информация, относящаяся к гостайне. Экономические соображения приводят к минимизации затрат на обеспечение защиты конфиденциальной информации, что в конечном счете не может не сказаться на общем уровне безопасности общества.

4. Особенности требований, предъявляемых к каналам обмена информацией и недостатки средств защиты, применяемых при передачи данных (особенно это касается семейства протоколов TCP/IP). Следует отметить, что существующие нормативные документы в области требований к системам защиты во многих случаях неадекватны современному характеру угроз.

Персональные компьютеры превратились в необходимый элемент бизнеса и в настоящее время обеспечивают все необходимые потребности.

Анализ основных тенденций развития рынка персональных компьютеров (с процессором типа 1х86) позволяет сделать следующие выводы:

1. Рост спроса на компьютеры резко замедляется и, хотя их общее количество в России достигло примерно 100 млн. штук, трудно представить, что потребность в них будет возрастать после того как практически весь мелкий бизнес обеспечен РС классом не менее i486, со всеми параметрами, необходимыми для использования программной поддержки задач бизнеса.

2. Рост производительности бизнес - РС так же близок к насыщению (хотя бы потому, что достигнута производительность полностью обеспечивающая потребности среднего бизнеса (компьютер класса Р11 - 400 имеет производительность превосходящую характеристику мейнфреймов 70-х годов). Немаловажным обстоятельством является и резкое возрастание стоимости разработки нового поколения РС и соответствующего ПО и увеличения периода новых разработок.

3. При общем увеличении надежности компьютеров, изменилась структура затрат на их обслуживание. Появились две новые статьи расхода, имеющие тенденцию к повышению:

1. Расходы на сертификацию нового (как правило импортного ПО) и на меры поддержания безопасности системы;

2. Расходы на администрирование сети включая правила корпоративного обмена и администрацию безопасности. Последние расходы весьма велики и, даже если являются постоянными на каждый РС, продолжают расти по мере развития корпоративных сетей.

4. Следствием изложенного является возрастание стоимости разработки нового ПО, которое развивается не по пути расширения функциональности (которая уже насыщена), а по пути обеспечения задачи автоматизации управления и администрирования корпоративными сетями.

Все это приводит к сегментации рынка РС в соответствии с их назначением, показанной на рисунке 3.1, из которого следует, что при уменьшении стоимости простейших РС (Home computers), стоимость рабочих станций и серверов (с учетом эксплуатационных затрат) возрастает.

Рисунок 3.1

Для того, чтобы проанализировать влияние указанных тенденций на развитие средств защиты информации, необходимо учесть, что современные технологии обработки информации появились в, основном, 15-20 лет назад. Действительно, Internet основанный на TCP/IP - появился в 70-х годах, JAVA, как язык сценариев, приблизительно 75 год, графические интерфейсы - в 80-х годах. Конечно, эти технологии развиваются, однако можно ожидать некоторого технологического взрыва и радикального изменения механизмов обработки информации. В 21 веке нас ждет:

- Распределенным по Internet системам (включая распределенные и виртуальные экономические системы)

- Тотальное мультимедиа

- Резкому изменению технологий программирования

- Изменению транспортной среды передачи данных и т.д.

- Появлению первых экземпляров новых схем вычислительных устройств, направленных прежде всего на обеспечение средств искусственного интеллекта.

Все это необходимо учитывать при определении основных направлений развития средств обеспечения информационной безопасности.

Приведенный выше анализ основных тенденций развития РС позволяет разделить используемые средства обеспечения информационной безопасности по типам ВС так, как это показано в таблице 3.1.

Таблица 3.1 - Cредства обеспечения информационной безопасности

Типы ВС Задачи обеспечения безопасности	Бизнес компьютер автономные РС с выходом в Internet	Mainframe	Корпоративная сеть	Распределенная гетерогенная сеть
Разграничения доступа (доступность)	нет	Внедрение РД на основе политики безопасности Специальные ОС	Профиль защиты, средства управления безопасности и администрирования (DSOM, DCOM,CORBA, безопасные Intranet)	Процессоры безопасности, мониторы безопасности, шлюзы
Обеспечение конфиденциальности	Шифрования данных на диске	Авторизация доступа, средства аутентификации, шифрование каналов связи	Проходное шифрование, смарт карты	Специальные протоколы обмена, Cerberus и т.д.

Продолжение таблицы 3.1

Обеспечение целостности	Антивирусы, динамический контроль, цифровая подпись	Стандартные средства, Специальные ОС	Сохранение адресов, баз данных создания TCB	Шлюзы, ТСВ, средства мониторинга и сканирования
Обеспечение бесперебойного обслуживания	Надежность	Отказоустойчивые системы	Специальные средства управления конф. сети, анализаторы, процессоры безопасности
Защита среды передачи данных			Специальные протоколы, средства контроля контроля

Основные выводы, которые позволяют сделать такое представление состоят в следующем:

1. Безопасность систем мелкого бизнеса, применяющих РС в автономном режиме,

определяется в основном следующими факторами:

- Надежность шифрования данных на диске и качество организационных мер, исключающих доступ нарушителя к компьютеру;

- Безопасность коммуникации возможна лишь в случае передачи с использованием шифрования;

- Подключение к Internet такого компьютера нежелательно, ввиду большой стоимости мер по обеспечению безопасности.

В целом подобного рода системы не должны удовлетворять высоким требованиям и их безопасность может быть обеспечена. Достаточно полное решение этой задачи обеспечивается появлением специализированных рабочих мест для среднего бизнеса, снабженных необходимым инструментарием, и не имеющим средств доступа к управлению ресурсами РС.

2. Наименее защищенными оказываются мощные рабочие станции и специализированные компьютеры (майнфреймы) решающие задачи моделирования, и использующие соответствующие программное обеспечение. На первом месте здесь выступают средства идентификации и аутентификации, средства поддержания политики безопасности. Именно для этого класса компьютеров наиболее рациональна разработка "профилей защиты" и "проектов защиты", как средств реализации доказуемой политики безопасности. Средствами решения поставленных проблем, наряду с применяемыми в настоящее время системами аутентификации, разграничения доступа, электронно-цифровой подписи, аудита и т. д., становятся специализированные защищенные ОС, гарантировано реализующие политику безопасности.

3. Для корпоративных глобальных распределенных гетерогенных сетей в соответствии с тенденцией возрастания угроз в следствии неправильного администрирования, преимущественную роль играют средства управления и контроля безопасности (различные сканеры, системы мониторинга, контроля проникновения и т. д.). Кроме известных типов межсетевых экранов (Firewall), используемых как для защиты при подключении к Internet, так и для создания защищенных сегментов, появляются новые средства. Основными типами этих средств являются:

- Средства мониторинга безопасности, перерастающие от сканеров к специализированным процессорам безопасности с широким набором функций;

- Средства обнаружения вторжения в виде различных систем динамического контроля поведения пользователей для обнаружения аномальных действий.

Традиционно ведущая роль остается здесь за средствами криптографии, которые используются в специальных шифрованных протоколах. Появилось понятие типовой архитектуры узла связи с Internet, средства защиты которого включают:

- Средства аутентификации

- Шифрование

- Распознавание вторжений

- Средства управления безопасностью

- Firewall

- Процессоры безопасности (шлюзы между сетями, в которых циркулирует информация разной степени секретности).

Новым в этой области является необходимость защиты от массовых запросов, атак на DNS и других специфических воздействий со стороны Internet, отражение которых зависит от архитектуры сети, администрирования и средств контроля и управления безопасностью.

Таким образом, анализ современных угроз в ВС, тенденции развития информационных технологий позволяют с известной вероятностью прогнозировать следующие направления развития средств защиты:

1. Неукоснительно будет возрастать роль криптографических методов как средств аутентификации в распределенных системах, защиты данных в открытых транспортных средах, средств контроля целостности (ЭЦП).

2. К новым системам защиты следует отнести создание специализированных защищенных ОС с встроенными функциями безопасности в виде систем разграничения доступом, аутентификации, защиты данных. При этом ОС отвечает за выполнение функций безопасности как в защищаемой АС, так и за безопасность функционирования в корпоративной сети или Internet. Уровень безопасности защищаемой АС определяется уровнем безопасности отечественной ОС. Данный подход обладает следующими преимуществами:

- Обеспечение единого уровня безопасности защищаемой АС равного уровню безопасности ОС.

- Возможность безопасной работы с Internet на основании отечественных средств анализа и контроля безопасности.

- Возможность построения виртуальных сетей со средой передачи данных Internet и уровнем безопасности равным уровню безопасности ОС.

3. В части распределенных систем стремление снижения расходов на администрирование сетей вызывает необходимость совершенствования сетевых экранов, создания процессоров безопасности, систем мониторинга и контроля проникновения.

4. Существенно должны измениться требования к подсистемам защиты и процессу их сертификационных испытаний.

Первое проявляется в постепенном внедрении понятий "профиль" и "проект защиты", а второе в автоматизации испытаний с включением в нормативные документы базы тестовых воздействий для различных подсистем защиты, исходя из типовых угроз.

Все эти направления в той или иной степени отражены в работах Санкт-Петербургского специализированного центра защиты информации.