6.4.1. Защита информации
Формирование режима информационной безопасности — проблема комплексная, при реализации которой следует учитывать современное состояние ИТ. Почти все организации ждут от информационных систем в первую очередь полезной функциональности. Компьютерные системы создаются не ради защиты данных, а наоборот, защита данных строится ради выгодного с экономической точки зрения использования компьютерных систем. Поэтому для получения полезной функциональности весьма естественно обратиться к наиболее современным решениям в области информационных технологий, к опыту как специалистов поставщиков решений по безопасности, так и руководителей департаментов компаний, ежедневно сталкивающихся с проблемой построения систем защиты информации.
Понятие «защиты информации». Прежде всего необходимо четко сформулировать основную тему — «защищенная система». Распространенным заблуждением остается мнение, что защищенная система — это система, в которую установлены некоторые средства защиты информации, например антивирусы и межсетевые экраны. Однако А. Сабанов, коммерческий директор компании Aladdin R.D., определяет понятие защищенной автоматизированной системы (обработки, передачи и хранения) информации как системы, которая обеспечивает безопасность (целостность, конфиденциальность и, одновременно доступность для всех авторизованных пользователей) обрабатываемой информации и поддерживает свою работоспособность («живучесть» и восстанавливаемость) в условиях воздействия на нее заданного множества угроз.
В общих чертах для обеспечения безопасности и ее качественного определения необходимо ответить на следующие вопросы: какая информация нуждается в защите, какие пользователи и в какой степени имеют к ней доступ.
Ответив на эти вопросы и руководствуясь принципом: «Запрещено все, что не разрешено», можно выработать политику информационной безопасности, а собственно безопасность можно будет оценить выполненностью положений политики безопасности. Такое «расставление галочек» скрывается за термином «аудит системы безопасности».
Постоянно растущая зависимость современных организаций от информационных технологий (ИТ), ключевого персонала, качества сервиса поставщиков услуг, а также лояльности клиентов приводит к тому, что обеспечение непрерывности деятельности, а также минимизация негативных последствий, обусловленных какого-либо рода прерываниями или воздействиями, являются одними из ключевых задач, стоящих перед руководством любой компании. Риски, дополнительно привносимые современной действительностью, в частности угрозами террористической активности, вирусными и хакерскими атаками, только повышают актуальность данных вопросов.
Одной из наиболее острых проблем в настоящее время является плачевно низкий уровень безопасности большинства систем, подключенных к глобальной сети. Среди факторов, напрямую влияющих на уровень безопасности компьютерной системы, особое место занимает коммерческое ПО, для которого большое количество опций и быстрый вывод продукта на рынок зачастую имеет большее значение, чем безопасность продукта. Разработчиками, взломщиками и независимыми исследовательскими группами постоянно выявляются ошибки в таком ПО. Распространение коммерческих продуктов в глобальном масштабе означает, что как только обнаружена уязвимость, взломщик может многократно использовать ее на сотнях тысяч или даже миллионах систем, на которых установлен недоработанный в плане безопасности продукт.
Низкий уровень подготовки пользователя в области компьютерной безопасности зачастую приводит к тому, что он не может самостоятельно установить обновление, устраняющее уязвимость в системе. В результате система с неустраненной уязвимостью может легко подвергнуться взлому со стороны хакера, который впоследствии будет использовать ее в качестве стартовых позиций для концентрации атак на более защищенные системы или же он просто может с их помощью маскировать свой путь, используя машины жертв.