3. Структура построения политика информационной безопасности объекта защиты.

В основе безопасности организации и в первую очередь безопасности ее информационной системы (ИС) лежит политика информационной безопасности (далее – Политика) [15-17]. В широком смысле политика безопасности определяется как система документированных управленческих решений по обеспечению информационной безопасности организации, в узком — как локальный нормативный документ, определяющий требования безопасности, систему мер либо порядок действий, а также ответственность сотрудников и механизмы контроля для определенной области обеспечения информационной безопасности.

Под политикой информационной безопасности понимается формальная спецификация правил и рекомендаций, требований и руководящих принципов в области ИБ, которыми руководствуются хозяйствующие субъекты организации в своей деятельности и на основе которых пользователи ИС используют, накапливают и распоряжаются информационными ресурсами и технологическими ценностями. Политика ИС организации является основополагающим документом, определяющим систему приоритетов, принципов и методов достижения целей обеспечения защищенности активов ИС организации в условиях наличия угроз.

Основные этапы построения политики информационной безопасности ИС включают в себя:

– описание объекта защиты;

– определение основных приоритетов информационной безопасности;

–разработка модели нарушителя ИБ и модели угроз ИБ;

– определение перечня требований ИБ ИС;

– разработка организационно-технических предложений по методам и механизмам защиты ИС организации;

– разработка организационно-технических требований по мониторингу и контролю эффективности ИБ организации.

4. Описание объекта защиты. Определение основных приоритетов информационной безопасности.

Корпоративная ИС представляет собой совокупность территориально разнесенных объектов, между которыми осуществляется информационный обмен.

ИС предназначена для обеспечения работоспособности информационной инфраструктуры организации, предоставления сотрудникам структурных подразделений различных видов информационных сервисов, автоматизации финансовой и производственной деятельности, а также бизнес-процессов. Перечислим основные особенности распределенной ИС:

– территориальная разнесенность компонентов системы и наличие интенсивного обмена информацией между ними;

– широкий спектр используемых способов представления, хранения и передачи информации;

– интеграция данных различного назначения, принадлежащих различным субъектам, в рамках единых баз данных и наоборот – размещение необходимых некоторым субъектам данных в различных удаленных узлах сети;

– абстрагирование владельцев данных от физических структур и места размещения данных;

– использование режимов распределенной обработки данных;

– участие в процессе автоматизированной обработки информации большого количества пользователей и персонала различных категорий;

– непосредственный и одновременный доступ к ресурсам (в том числе и информационным) большого числа пользователей (субъектов) различных категорий;

– высокая степень разнородности используемых средств вычислительной техники и связи, а также их программного обеспечения.

Определение основных приоритетов ИБ ИС

Базовые услуги безопасности

Стандарт [6] определяет пять базовых услуг для обеспечения безопасности (защиты) компьютерных систем и сетей, входящие в архитектуру защиты ЭМ: конфиденциальность (Confidentiality), аутентификацию (Authentication), целостность (Integrity), контроль доступа (Access Control), причастность (Nonrepudiation). Стандарт определяет и механизмы, обеспечивающие функциониро­вание этих услуг для обеспечения безопасности на уровнях коммуникации (с установлением соединения и без него), пакетов или отдельных полей. Этот набор услуг не является единственно возможным, однако он является общепринятым. Ниже описаны услуги и варианты их реализации, а также их отношения между собой и к модели взаимодействия открытых систем (ВОС).

Конфиденциальность. В указанном стандарте конфиденциальность определена как «свойство, которое гарантирует, что информация не может быть доступна или раскрыта для неавторизованных (неуполномоченных) личностей, объектов или процессов». Для этой услуги определяется четыре версии: для систем с установлением связи; для систем без установления связи; защита отдельных информационных полей; защита от контроля трафика.

Аутентификация. В указанном стандарте определяются два типа услуг аутентификации: достоверность происхождения (источника) данных и достоверность собственно источника соединения или объекта коммуникации (peer-entity).

Целостность. Согласно стандарту, целостность имеет две базовые реализации: для сетей с установлением связи и без установления связи, каждая из которых может применяться для избранных групп информационных полей. Однако услуги защиты целостности в сетях с установлением связи могут дополнительно включать функции восстановления данных в случае, если нарушена их целостность.

Контроль доступа. Согласно стандарту, контроль доступа определен как «предотвращение неавторизованного использования ресурсов, включая предотвращение использования ресурсов недопустимым способом», т. е. данная услуга не только обеспечивает доступ авторизованных пользователей (и процессов), но и гарантирует указанные права доступа для авторизованных пользователей. Таким образом, эта услуга предотвращает неавторизованный доступ как «внутренних», так и «внешних» пользователей.

Контроль доступа часто ассоциируется с аутентификацией и конфиденциальностью, но на самом деле эта услуга предоставляет более широкие возможности, например, для установления политики контроля/ограничения доступа. Политика контроля доступа (или авторизации) устанавливается в двух измерениях: критерии для принятия решения о доступе и средства, при помощи которых регулируется контроль. Два типа политики доступа в зависимости от используемых критериев принятия решения могут быть основаны на идентичности явлений и объектов (identity-based) или на правилах (последовательности) доступа (rule-based). Первый тип политики контроля доступа основан на использовании услуги аутентификации для проверки идентичности субъекта доступа (пользователя, процесса, промежуточной или конечной системы, или сети) прежде, чем предоставить им доступ к ресурсам. Форма идентичности зависит от различия и типа аутентификации для различных уровней, на которых эта услуга обеспечивается. Так, например, пользователь и процесс являются объектом контроля доступа на прикладном, но не на сетевом уровне.

Политика, использующая регламентированные правила доступа, предполагает принятие решения о доступе на основе последовательности правил, которые соотносят аутентификацию с точностью. Например, правила могут быть выражены в терминах времени и даты доступа или «благонадежности», которую имеет данный пользователь.

Причастность («неотпирательство»). В стандарте причастность определяется, как «предотвращение возможности отказа одним из реальных корреспондентов коммуникаций от факта его полного или частичного участия в передаче данных». Определены две формы причастности: причастность к посылке сообщения и подтверждение (доказательство) получения сообщения. Обе формы являются более мощными по сравнению с аутентификацией происхождения данных. Отличием здесь является то, что получатель или отправитель данных может доказать третьей стороне факт посылки (получения) данных и невмешательства посторонних.

Доступность. Доступность может быть определена как дополнительная услуга обеспечения защищенности сетей и стать поводом для атаки с целью сделать ресурсы или сервисы компьютерной системы недоступными (или сделать их «качество» неудовлетворительным) для пользователя. Доступность может быть характеристикой качества данного ресурса или услуги, или, частично, определяться услугой контроля доступа.