Добавил:

ivanov666 Опубликованный материал нарушает ваши авторские права? Сообщите нам.

Вуз:

Башкирский Государственный Аграрный Университет

Предмет:

[НЕСОРТИРОВАННОЕ]

Файл:

Системы защиты информации в ведущих зарубежных странах. Учебное пособие для вузов

.pdf

Скачиваний:

Добавлен:

08.09.2026

Размер:

2 Мб

Скачать

☆

<<< < Предыдущая 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 1718 / 2318 19 20 21 22 23 > Следующая >>>

171

Подписание договорной и

исходно

разрешительной

документации

Сбор

информации

Анализ

Выработка

рекомендаций

Контроль за

выполнением

рекомендаций

Подписание отчета,

актов приемки работ

Определение сроков

последующих

проверок

Разработка

дополнительной

документации

Получение

дополнительных

данных

Проверка выполнимости рекомендаций

Плановое проведение аудита

Анализ

COBIT

Объекты

контроля

COBIT

Долгосрочный план

развития ИС

Краткосрочные планы

План – график

Методология цикла

работы и доездка ИС

План восстановления

ИС в ЧС

Порядок действия в

случае

нарушения

защиты

Концепция

построения политики

безопасности

Рекомендации

COBIT

Форма отчета

COBIT

Отчет о текущем

состоянии ИС

Техническое задание на

внесение изменений

Отчет о проведенном

аудите

Договор

Техническое задание

(определяющее

границы проведения

аудита)

Ответственные

лица и

контакты

COBIT

Глобальный уровень

Подгруппы (34)

Объекты контроля (302)

Детальный

уровень

СКС

ЛВС

WAN

Собеседование, бланки, шаблоны и т.д.

руппы (4)

План- график

проведения

последующих

проверок

Рис. 7.3. Общая последовательность проведения аудита ИБ

172

Далее проводится сбор информации о текущем состоянии ИС с применением стандарта COBIT, объекты контроля которого получают информацию обо всех нюансах функционирования ИС как в двоичной форме (Да/Нет), так и форме развернутых отчетов. Детальность информации определяется на этапе разработки исходноразрешительной документации. Существует определенный оптимум между затратами (временными, стоимостными и т.д.) на получение информации и ее важностью и актуальностью.

Проведение анализа – наиболее ответственная часть проведения аудита ИС. Использование при анализе недостоверных, устаревших данных недопустимо, поэтому необходимо уточнение данных, углубленный сбор информации. Требования к проведению анализа определяются на этапе сбора информации. Методики анализа информации существуют в стандарте COBIT, но если их не хватает не возбраняется использовать разрешенные ISACA разработки других компаний.

Результаты проведенного анализа являются базой для выработки рекомендаций, которые после предварительного согласования с заказчиком должны быть проверены на выполнимость и актуальность с учетом рисков внедрения.

Контроль выполнения рекомендаций – немаловажный этап, требующий непрерывного отслеживания представителями консалтинговой компании хода выполнения рекомендаций.

На этапе разработки дополнительной документации проводится работа, направленная на создание документов, отсутствие или недочеты в которых могут вызвать сбои в работе ИС, например отдельное углубленное рассмотрение вопросов обеспечения безопасности ИС.

Постоянное проведение аудита гарантирует стабильность функционирования ИС, поэтому создание плана-графика проведения последующих проверок является одним из результатов профессионального аудита.

173

Контрольные вопросы:

1. С какой целью разрабатывались международные стандарты ИБ?

2. Назовите основные международные стандарты ИБ.

3. Какие критерии определяют степень доверия в стандарте

«Оранжевая книга»?

4. Определите назначения и виды классов безопасности в

«Оранжевой книге».

5. Как определяются составляющие ИБ в гармозированных

критериях Европейских стран.

6. Назовите составляющие германского стандарта BSI.

7. Почему Британский стандарт BS 7799 используется

наиболее часто?

8. В чем отличие применения международных стандартов ISO

15408 и ISO 17799?

9. Назовите основные этапы проведения аудита ИБ при

использовании стандарта CoBiT.

174

Предотвра-

щение

Минимизация

последствий

Защита

Риск

Анализ

рисков

Политика

безопаснос-

ти

План действий

в чрезвычай-

ных ситуациях

Остаточные

риски

ГЛАВА 8

СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ В ВЕДУЩИХ

МИРОВЫХ КОМПАНИЯХ

8.1. Практика компании IBM в области защиты информации

8.2. Практика компании Cisco Systems в разработке сетевой политики безопасности

8.3. Практика компании Microsoft в области информационной безопасности

8.1. Практика компании IBM в области защиты информации

В компании IBM считается что, разработка корпоративных

руководящих документов в области безопасности должна начинаться с создания политики информационной безопасности компании. При этом рекомендуется использовать международный стандарт ISO 17799:2005 и рассматривать политику безопасности компании как составную часть процесса управления информационными рисками (рис. 8.1). Считается, что разработка политики безопасности относится к стратегическим задачам ТОР-менеджмента компании, который способен адекватно оценить стоимость информационных активов компании и принять обоснованные решения по защите информации с учетом целей и задач бизнеса [12].

политики безопасности:

Рис. 8.1. Процесс разработки политики безопасности компании

Компания IBM выделяет следующие основные этапы разработки

175

1. Определение информационных рисков компании, способных

нанести максимальный ущерб для разработки в дальнейшем процедур и мер по предупреждению их возникновения,

2. Разработка политики безопасности, которая описывает меры

защиты информационных актинов, адекватных целям и задачам бизнеса.

3. Выработка планов действий в чрезвычайных ситуациях и в

случаях, когда выбранные меры защиты не смогли предотвратить инциденты в области безопасности.

4. Оценка остаточных информационных рисков и принятие

решения о дополнительных инвестициях в средства и меры безопасности. Решение принимает руководство на основе анализа остаточных рисков.

Структура документов безопасности

По мнению специалистов IBM, политика безопасности компании

должна содержать явный ответ на вопрос: «Что требуется защитить?». Только после этого можно приступать к созданию эффективной политики информационной безопасности. При этом политика безопасности является первым стратегическим документом, который необходимо создать, и содержит минимум технических деталей, являясь настолько статичным (неизменяемым) актом, насколько это возможно. Предполагается, что политика безопасности компании будет содержать:

 определение информационной безопасности с описанием позиции и

намерений руководства компании по ее обеспечению;

 описание требований по безопасности, которые включают:

 соответствие требованиям законодательства и

контрактных обязательств;

 обучение вопросам информационной безопасности;  предупреждение и обнаружение вирусных атак;  планирование непрерывности бизнеса;  определение ролей и обязанностей по различным

аспектам общей программы информационной безопасности;

 описание требований и процесса отчетности по инциден-

там, связанным с информационной безопасностью;

 описание процесса поддержки политики безопасности,

176

Процедуры

Стандарты

Корпоративная

политика

безопасности

Статичность

Технические детали

Специалисты по информационной безопасности компании IBM

выделяют следующие основные этапы разработки политики безопасности компании:

 анализ бизнес-стратегии компании и связанные с этим требования

по информационной безопасности;

 анализ ИТ-стратегии, текущие проблемы информационной

безопасности и требования по информационной безопасности, которые появятся в будущем;

 создание политики безопасности, взаимно увязанной с бизнес - и

ИТ-стратегиями.

Рекомендуемая структура руководящих документов по обеспече-

нию информационной безопасности компании представлена на рис. 8.2.

Рис. 8.2. Структура руководящих документов безопасности

После корпоративной политики создаѐтся серия стандартов, под

которыми в компании IBM понимают документы, описывающие порядок применения корпоративной политики безопасности в терминах аутентификации, авторизации, идентификации, контроля доступа и т. д. Стандарты могут быть часто изменяющимися документами, так как на них оказывают влияние текущие угрозы и уязвимости информационных технологий.

В представлении IВМ, политики и стандарты безопасности служат

для:

 создания правил и норм безопасности уровня компании;  анализа информационных рисков и способов их уменьшения;

177

 формализации способов защиты, которые должны быть

реализованы;

 определения ожиданий со стороны компании и сотрудников;  четкого определения процедур безопасности, которым нужно

следовать;

 обеспечения юридической поддержки в случае возникновения

проблем в области безопасности.

Стандарты реализуются с помощью практик и/или процедур. Пер-

вые являются практической реализацией стандартов в операционных системах, приложениях и информационных системах. В них детализируются сервисы, устанавливаемые на операционных системах, порядок создания учетных записей и т. д. Вторые документируют процессы запроса и подтверждения доступа к определенным сервисам, например VPN.

Рассмотрим особенности предлагаемого подхода к построению

системы безопасности в компании IВМ на конкретном примере.

1. Проблемная ситуация: сотрудники загружают программное

обеспечение из Интернета, что приводит к заражению вирусами, а в конечном счете к уменьшению производительности их работы.

2. В политику безопасности добавляется строка «информацион-

ные ресурсы компании могут быть использованы только для выполнения служебных обязанностей». Политика безопасности доступна для ознакомления всем сотрудникам компании.

3. Создается стандарт безопасности, в котором описывается,

какие сервисы и программное обеспечение разрешены для использования сотрудниками.

4. Практика безопасности описывает способы настройки

операционной системы в соответствии с требованиями стандарта безопасности.

5. Процедура безопасности описывает процесс запроса и

получения разрешения на использование дополнительных сервисов или установку дополнительного программного обеспечения сотрудниками.

6. Устанавливаются дополнительные сервисы для контроля

выполнения требований политики безопасности.

178

8.2. Практика компании Cisco Systems в разработке сетевой

политики безопасности

По мнению специалистов по информационной безопасности

компании Cisco, отсутствие сетевой политики безопасности может привести к серьезным инцидентам. Ее разработку рекомендуется начинать с оценки рисков сети и создания рабочей группы по реагированию на инциденты.

В компании Cisco рекомендуют создавать политики использования,

которые описывают роли и обязанности сотрудников компании для надлежащей защиты корпоративной конфиденциальной информации. Начать можно с разработки главной политики безопасности, в которой четко нужно прописать общие цели и задачи организации режима информационной безопасности компании.

Следующий шаг - создание политики допустимого использования

для партнеров, чтобы проинформировать их о доступной им информации. При этом следует четко изложить любые действия, которые будут восприниматься как враждебные, а также описать возможные способы реагирования при обнаружении таких действий.

В заключение необходимо создать политику допустимого

использования для администраторов, где будут описаны процедуры администрирования учетных записей сотрудников, внедрения политики и проверки привилегий. Также, если в компании существуют определенные политики использования паролей или категорирования информации, они должны быть здесь упомянуты. Далее необходимо проверить названные политики на непротиворечивость и полноту, а также убедиться в том, что сформулированные требования к администраторам нашли свое отображение в планах по обучению.

Проведение анализа рисков информационной безопасности.

Назначение анализа рисков состоит в том, чтобы категорировать информационные активы компании, определить наиболее значимые угрозы и уязвимости активов и обоснованно выбрать соответствующие контрмеры безопасности. Подразумевается, что это позволит найти и поддерживать приемлемый баланс между безопасностью и требуемым уровнем доступа к сети. Различают следующие уровни информационных рисков [12]:

 Низкий уровень риска. Скомпрометированные информационные

179

системы и данные (доступные для изучения неавторизованными лицами, поврежденные или утерянные) не приведут к серьезному ущербу, финансовым проблемам или к проблемам с правоохранительными органами.

 Средний уровень риска. Скомпрометированные информационные

системы и данные приведут к умеренному ущербу или к небольшим проблемам с правоохранительными органами, или к умеренным финансовым проблемам, а также к получению дальнейшего доступа к другим системам. Затронутые системы и информация требуют умеренных усилий по восстановлению.

 Высокий уровень риска. Скомпрометированные информационные

системы и данные приведут к значительному ущербу или к серьезным проблемам с правоохранительными органами, или к финансовым проблемам, нанесению ущерба здоровью и безопасности сотрудников. Затронутые системы и информация требуют существенных усилий по восстановлению.

Рекомендуется определить уровень риска для каждого из перечисленных устройств: сетевых устройств, устройств мониторинга сети, серверов аутентификации, почтовых серверов, файловых серверов, серверов сетевых приложений (DNS и DHCP), сервера баз данных (Oracle, MS SQL Server), персональных компьютеров и других устройств.

При этом считается, что сетевое оборудование, такое как коммутаторы, маршрутизаторы, DNS- и DHCP-серверы в случае компрометации могут быть использованы для дальнейшего проникновения в сеть и поэтому должны относиться к группе среднего или высокого уровней рисков. Возможное повреждение этих устройств может привести к прекращению работы всей сети. Такие инциденты могут нанести серьезный ущерб компании.

После определения уровней риска необходимо определить роли пользователей этих систем. Рекомендуется выделять пять наиболее общих типов пользователей.

Администраторы. Внутренние пользователи, отвечающие за сетевые ресурсы.

Привилегированные пользователи. Внутренние пользователи с необходимостью высокого уровня доступа.

Рядовые пользователи. Внутренние пользователи с обычным уровнем доступа.

180

Система

Описание

Уровень

риска

Типы пользователей

ATM-коммутаторы

Основные сетевые

устройства

Высокий