книги / Основы информационной безопасности

ционных систем подсистемы различных типов, имеющих стандартные интерфейсы взаимодействия.

Комплексная система защиты информации должна быть дружественной по отношению к пользователям и обслуживающему персоналу

имаксимально автоматизированной. Вместе с тем она не должна требовать выполнения пользователем трудоемких операций, а также создавать для него ограничения в реализации установленных функциональных обязанностей.

Сучетомвышеизложенногорассмотримвкачествепримерапроблему комплексной защиты информации в вычислительном центре (ВЦ).

Одним из важнейших этапов комплексного подхода к обеспечению безопасности является разработка необходимых средств, методов и мероприятий, обеспечивающих защиту информации, с учетом большого количества различных факторов.

Надежная система должна обеспечивать защиту помещений и поддерживающей инфраструктуры, аппаратуры, программ, данных и персонала. К таким системам можно сформулировать требования, которые следуетвыполнятьпутемосуществлениясоответствующихтехнических

иорганизационных мероприятий, исключающие:

–неправомочный доступ к аппаратуре обработки информации путем контроля доступа в производственные помещения;

–неправомочный вынос носителей информации персоналом, занимающимся обработкой данных, посредством выходного контроля в соответствующих производственных помещениях;

–несанкционированное введение данных в память, изменение или стирание информации, хранящейся в памяти;

–неправомочное пользование системами обработки информации и незаконное получение в результате этого данных;

–доступ в системы обработки информации посредством самодельных устройств и незаконное получение данных;

–возможность неправомочной передачи данных через ВЦ;

–бесконтрольный ввод данных в систему;

–обработку данных заказчика без соответствующего указания последнего;

311

–неправомочное считывание, изменение или стирание данных в процессе их передачи или транспортировки носителей инфор-

мации.

Анализ перечисленных требований показывает, что они сводятся к исключению возможности неправомочного доступа к устройствам обработки и передачи информации, похищения носителей информации и проведения актов саботажа.

Информация, являясь предметом защиты, может быть представлена на различных технических носителях. В качестве ее носителей могут быть люди из числа пользователей и обслуживающего персонала. Информация может подвергаться обработке в компьютерных системах, передаваться по каналам связи и отображаться различными устройствами. Она может различаться по своей ценности. Объектами, подлежащими защите, где может находиться информация, являются не только ВЦ, но и компьютеры, каналы связи, помещения, здания и прилегающая территория. Существенно различной может быть квалификация нарушителей, а также используемые способы и каналы несанкционированного доступа к информации.

Для учета и анализа всех этих факторов обычно используют некоторую замкнутую оболочку, называемую преградой, в которую помещается предмет защиты (рис. 9.1). Прочность защиты при этом ставят в соответствие свойствам преграды и определяют способность преграды противостоять попыткам преодоления ее нарушителем.

Привлекательность информации как предмета защиты заключается в ее цене. Это свойство информации часто используется при оценке прочности защиты. При этом

312

и теряет свою ценность, то есть время ее жизни ограничено. Тогда за условие достаточной защищенности можно принять превышение затрат времени на преодоление преграды нарушителем tн над временем жизни tж информации, то есть tн > tж.

Рассмотренный идеализированный вариант одноуровневой элементарной защиты информации на практике обычно не применяется. В реальных ситуациях, особенно тогда, когда предъявляются повышенные требования к защите информации, используется многоуровневая защита (рис. 9.2). Для того чтобы добраться до закрытой информации, нарушитель должен в этом случае преодолеть («взломать») несколько уровней защиты.

Применительноккомпьютернымсистемамможно, например, выделить следующие уровни защиты:

–охрана по периметру территории объекта;

–охрана по периметру здания;

–охрана помещения;

–защита аппаратных средств;

–защита программных средств;

–непосредственная защита информации.

На практике в ряде случаев защитный контур любого уровня может состоять из нескольких «соединенных» между собой преград с различ-

Рис. 9.2. Обобщенная структура многоуровневой защиты информации

313

ной прочностью. Структура такой многозвенной защиты представлена на рис. 9.3.

Примером такого вида защиты может служить помещение, в котором размещена аппаратура ВЦ. В качестве преград с различной прочностью здесь могут служить стены, потолок, пол, окна, двери с замками. Названные инженерно-технические средства, дополненные системой контроля доступа в помещение, образуют на первый взгляд замкнутый контур по периметру данного помещения.

Однако замкнутость этого контура весьма относительна, поскольку зависит от предмета защиты. Контур защиты не будет замкнутым до тех пор, пока существует какая-либо возможность несанкционированного доступа к одному и тому же предмету защиты. В данном случае имеет место замкнутая преграда, ограничивающая лишь физический доступ в помещение тех или иных лиц.

Если же в качестве предмета защиты рассматриваются технические ипрограммныесредстваВЦ, компьютернойсистемыилитемболеесама информация, хранящаяся и обрабатываемая в ней, то контур защиты должен включать еще и другие звенья, обеспечивающие контроль доступа, вскрытия аппаратуры, защиту от подслушивания, дистанционно-

го видеонаблюдения через окна, перехвата побочного электромагнитного излуче-

доступа к данному предмету защиты. В этом случае между звеньями не образуются так называемые «щели», позволяющие осуществлять «обход» соответствующих преград.

314

Данные требования могут быть выполнены путем осуществления комплекса мероприятий службой безопасности, администрацией ВЦ и специальными уполномоченными по охране информации.

Разработку концепции защиты рекомендуется проводить в три этапа. На первом этапе должна быть четко определена целевая установка защиты, то есть установлено, какие реальные ценности, производственные процессы, программы, массивы данных необходимо защищать. На этом этапе целесообразно проводить дифференциацию по значимости отдельных объектов, требующих защиты. На втором этапе должен бытьпроведенанализвидовпреступныхдействий, которыепотенциально могут быть совершены в отношении ВЦ. Важно определить степень реальной опасности таких наиболее широко распространенных категорий преступлений, как экономический шпионаж, терроризм, саботаж, кражи со взломом.

Затем необходимо проанализировать наиболее вероятные действия злоумышленников в отношении основных объектов ВЦ, нуждающихся в защите.

Главной задачей третьего этапа является анализ обстановки в ВЦ, в том числе местных специфических условий, производственных процессов, уже установленных в ВЦ технических средств защиты. Собственно концепция защиты должна содержать перечень организационных, техническихидругихзащитныхмер, которыеобеспечиваютмаксимальную безопасность при заданном остаточном риске и при минимальных затратах на практическое осуществление этих мероприятий.

По уровню физической защиты все зоны и производственные помещения современных ВЦ могут быть подразделены на три группы:

–тщательно контролируемые зоны с защитой высокого уровня;

–защищенные зоны;

–слабо защищенные зоны.

Кпервой группе относятся, как правило, машинный зал (серверные комнаты), помещения с сетевым и связным оборудованием, архив программ и данных.

Ко второй группе относятся помещения, в которых расположены рабочие места администраторов, контролирующих работу ВЦ, а также периферийное оборудование ограниченного пользования.

315

В третью группу входят помещения, в которых оборудованы рабочие места пользователей иустановлено периферийное оборудование общего пользования.

Учитывая, что нарушитель, стремящийся проникнуть к предмету защиты, обычно выбирает слабейшее звено, экономически целесообразно применять в многозвенном контуре равнопрочные преграды.

9.2. Требования к информационной безопасности организации (учреждения)

9.2.1.Информационная безопасность организации (учреждения)

Под безопасностью автоматизированной информационной системы организации (учреждения) понимается ее защищенность от случайного или преднамеренного вмешательства в нормальный процесс функционирования, а также от попыток хищения, модификации или разрушения ее компонентов.

Безопасность системы достигается обеспечением конфиденциальности обрабатываемой ею информации, а также целостности и доступности компонентов и ресурсов системы.

Конфиденциальность компьютерной информации – это свойство информации быть известной только допущенным и прошедшим проверку (авторизацию) субъектам системы (пользователям, программам, процессам и т. д.).

Целостность компонента (ресурса) системы – свойство компонента (ресурса) быть неизменным (в семантическом смысле) при функционировании системы.

Доступность компонента (ресурса) системы – свойство компонента (ресурса) быть доступным для использования авторизованными субъектами системы в любое время.

Безопасность системы обеспечивается комплексом технологических и административных мер, применяемых в отношении аппаратных средств, программ, данных и служб с целью обеспечения доступности, целостности и конфиденциальности связанных с компьютерами ресурсов; сюда же относятся и процедуры проверки выполнения системой

316

определенных функций в строгом соответствии с их запланированным порядком работы.

Систему обеспечения безопасности системы можно разбить на следующие подсистемы:

–компьютерную безопасность;

–безопасность данных;

–безопасное программное обеспечение;

–безопасность коммуникаций.

Компьютерная безопасность обеспечивается комплексом технологических и административных мер, применяемых в отношении аппаратных средств компьютера с целью обеспечения доступности, целостности и конфиденциальности связанных с ним ресурсов.

Безопасность данных достигается защитой данных от неавторизованных, случайных, умышленных или возникших по халатности модификаций, разрушений или разглашения.

Безопасное программное обеспечение представляет собой общецелевые и прикладные программы и средства, осуществляющие безопасную обработку данных в системе и безопасно использующие ресурсы системы.

Безопасность коммуникаций обеспечивается посредством аутентификации телекоммуникаций за счет принятия мер по предотвращению предоставления неавторизованным лицам критичной информации, которая может быть выдана системой в ответ на телекоммуникационный запрос.

К объектам информационной безопасности на предприятии (фирме) относят:

–информационные ресурсы, содержащие сведения, отнесенные к коммерческой тайне, и конфиденциальную информацию, представленную в виде документированных информационных массивов и баз данных;

–средства и системы информатизации – средства вычислительной

иорганизационной техники, сети и системы, общесистемное

иприкладное программное обеспечение, автоматизированные системы управления предприятиями (офисами), системы связи

ипередачи данных, технические средства сбора, регистрации,

317

передачи, обработки и отображения информации, а также их информативные физические поля.

В современном мире информационные ресурсы стали одним из мощных рычагов экономического развития предприятий (фирм), играющих важную роль в предпринимательской деятельности. Более того, отсутствие в сфере отечественного бизнеса эффективных компьютерных и современных информационных технологий, являющихся основой функционирования «быстрых» экономик, существенно тормозит переход на новые формы хозяйствования.

В информационных и автоматизированных системах управления предприятием (фирмой) на первый план выступает обеспечение эффективного решения задач маркетингового управления, то есть задач учета и анализа контрактов и контактов предприятия (фирмы), поиска бизнеспартнеров, организации рекламных кампаний продвижения товаров, оказания посреднических услуг, разработки стратегии проникновения на рынки и т. п.

9.2.2. Требования к системе безопасности организации (учреждения)

Существует три основных группы требований к системе безопасности в любой организации.

Первая группа требований – это уникальный набор рисков нарушениябезопасности, состоящий изугроз, которым подвергаются информационные ресурсы, и их слабостей, и возможное воздействие этих рисков на работу организации. Большинство из этих рисков описаны в настоящихправилах, иимможноуспешнопротивостоять, есливоспользоваться приведенными здесь рекомендациями. Однако существуют риски, требующие специального обращения, и их необходимо рассматривать с учетом их оценки в каждой конкретной организации или для каждого конкретного компонента системы.

Вторая группа требований – это набор правовых и договорных требований, которым должна соответствовать организация, ее торговые партнеры, подрядчики и поставщики услуг; при этом возрастает необходимость стандартизации по мере распространения электронного обмена информацией по сетям между организациями. Данные

318

практическиеправиламогутслужитьнадежнойосновойдлязаданияобщих требований этого типа.

Третья группа требований – это уникальный набор принципов, целей и требований к обработке информации, который разработан организациейдляпроизводственныхцелей. Важно(например, дляобеспечения конкурентоспособности), чтобы в политике безопасности были отраженыэтитребования, ижизненноважно, чтобыреализацияилиотсутствие средств управления безопасностью в информационной инфраструктуре не мешали производственной деятельности организации.

Привлечение надлежащих средств контроля и требуемая гибкость с самого начала процесса планирования информационных систем являются необходимыми условиями для успешного завершения работы.

Расходы на систему защиты информации необходимо сопоставить

ипривести в соответствие с ценностью защищаемой информации и других информационных ресурсов, подвергающихся риску, а также с ущербом, который может быть нанесен организации из-за сбоев в системе защиты.

Обычно методики анализа рисков применяются к полным информационным системам и сервисам, но этими же методиками можно воспользоваться и для отдельных компонентов системы или сервисов, если это целесообразно и практично. Для оценки рисков необходимо систематически рассматривать следующие аспекты: ущерб, который может нанести деятельности организации серьезное нарушение информационной безопасности, с учетом возможных последствий нарушения конфиденциальности, целостности и доступности информации; реальная вероятность такого нарушения защиты в свете превалирующих угроз

исредств контроля.

Результаты этой оценки необходимы для разработки основной линиииопределениянадлежащихдействийиприоритетовдляуправления рисками нарушения информационной безопасности, а также для реализациисредств контроля, рекомендуемых внастоящих практических правилах. Оценкаэтихдвухаспектоврисказависитотследующихфакторов: характера производственной информации и систем; производственной цели, для которой информация используется; среды, в которой система используется и управляется; защиты, обеспечиваемой существующими средствами контроля.

319

Оценка рисков может выявить исключительно высокий риск нарушения информационной безопасности организации, требующий реализации дополнительных, более сильных средств контроля, чем те, которые рекомендуются в настоящих правилах. Использование таких средств контроля необходимо обосновать исходя из выводов, полученных в результате оценки рисков.

Опыт показывает, что факторы, необходимые для успеха, перечисленные ниже, часто являются определяющими для успешной реализации системы информационной безопасности в организации:

–цели безопасности и ее обеспечение должны основываться на производственных целях и требованиях; функции управления безопасностью должно взять на себя руководство организации;

–явная поддержка и приверженность к поддержанию режима безопасности высшего руководства;

–хорошее понимание рисков нарушения безопасности (как угроз, так и слабостей), которым подвергаются ресурсы организации, и уровня их защищенности в организации, который должен основываться на ценности и важности этих ресурсов;

–ознакомление с системой безопасности всех руководителей и рядовых сотрудников организации;

–предоставление исчерпывающего пособия по политике и стандартам информационной безопасности всем сотрудникам и под-

рядчикам.

Также необходимо отметить, что не существует единой оптимальной структуры защиты информации. Каждая категория пользователей илиспециалистовпоинформационнымтехнологиям, работающихвконкретной среде, может иметь свой собственный, отличающийся от других набор требований, проблем и приоритетов, в зависимости от функций конкретной организации и производственной или вычислительной среды. Многие организации решают эту проблему, разрабатывая набор отдельныхруководящихпринциповдлясоответствующихгруппсотрудников, чтобы обеспечить более эффективное распространение знаний в области защиты информации. Организациям, решившим принять другую структуру (или даже разработать свои рекомендации), желательно ввести перекрестные ссылки на текст настоящих правил, чтобы их будущие деловые партнеры или аудиторы могли установить прямые связи

320