8.1. Превентивные: Административные
Для обеспечения управления доступом и защиты компании в целом применяются следующие механизмы:
Политикиипроцедуры
Эффективная практика приема персонала на работу
Проведение проверок кандидатов перед приемом на работу
Управляемый процесс увольнения
Классификация и маркирование данных
Повышение осведомленности по вопросам безопасности
ПРИМЕЧАНИЕ. Очень хорошея практикой является требование от сотрудников подписание соглашения о неразглашении информации и порядке использования ресурсов, к которым им будет предоставлен доступ. Это соглашение может использоваться как некая гарантия неразглашения информации компании после увольнения сотрудника, либо как основание для привлечения сотрудника к ответственности за ненадлежащее использование ресурсов компании, либо разглашение информации. Именно неправильное управление доступом является причиной большинства случаев несанкционированного доступа.
8.2. Превентивные: Физические
Следующие механизмы могут физически ограничивать доступ в здание, отдельные помещения или к компьютерным системам.
Бейджи, магнитные карты
Охрана, собаки
Ограждения, замки, шлюзы
8.3. Превентивные: Технические
Следующие механизмы являются логическими мерами и могут быть реализованы, как часть операционной системы, в виде приложений третьих фирм или в виде аппаратных устройств.
Пароли,биометрия,смарт-карты
Шифрование, протоколы, системы обратного вызова, представления баз данных, ограниченные пользовательские интерфейсы
Антивирусное программное обеспечение, ACL, межсетевые экраны, маршрутизаторы, уровни отсечения (clipping level).
Таблица 3 показывает, как эти категории механизмов управления доступом выполняют различные функции безопасности. Однако следует отметить, что таблица 3 не покрывает все их возможности. Например, ограждения могут обеспечивать как превентивные, так и сдерживающие меры, усложняя злоумышленникам доступ в здание, но они также могут быть и компенсирующей мерой. Если компания не может себе позволить нанять охрану, она может установить ограждения в качестве компенсирующей физической меры. Каждая защитная мера может использоваться шире, чем это указано в таблице. Таблица 2-3 – это только пример, показывающий взаимоотношения между различными защитными мерами и атрибутами безопасности, которые они предоставляют.
Таблица 3. Функциональность защитных мер
ПРИМЕЧАНИЕ. Замки обычно считают задерживающими механизмами, поскольку они только задерживают злоумышленника на некоторое время. Их цель – задержать злоумышленника на время, достаточное для реакции на инцидент правоохранительным органам или охране.
Любые меры могут, в конечном счете, быть компенсирующими. Компания может выбрать компенсирующие меры, если другие меры слишком дороги, но защита все-таки необходима. Например, компания не может себе позволить нанять охрану, поэтому она устанавливает ограждения, которые будут являться компенсирующей мерой. Другой причиной использовать компенсирующие меры являются потребности бизнеса. Если специалисты по безопасности рекомендуют закрыть определенный порт на межсетевом экране, но бизнес требует доступности для внешних пользователей сервиса, который работает через этот порт, в этом случае могут быть внедрены компенсирующие меры в виде системы обнаружения вторжений (IDS), которая будет отслеживать весь трафик, поступающий на этот порт. Существует несколько видов механизмов безопасности, которые должны работать совместно. Однако сложность защитных мер и окружения, в котором они находятся, может привести к тому, что некоторые меры будут противоречить друг другу, либо оставлять «дыры» в системе безопасности. Это, в свою очередь, может привести к появлению неожиданных недостатков в системе безопасности компании, которые не были выявлены или не были полностью поняты специалистами, внедрявшими защитные механизмы. Компания может иметь очень стойкие технические меры управления доступом, а также все необходимые административные меры, но если любой человек сможет получить физический доступ к любой системе в здании, возникнет реальная угроза безопасности всей среды. Все эти защитные меры должны работать в гармонии для обеспечения здорового, безопасного и продуктивного окружения.