Обеспечение безопасности КИС

 

 

 

2.2. Концепция информационной  безопасности КИС

Любая КИС создается с учетом уже имеющейся или планируемой информационной инфраструктуры, включающей как телекоммуникационную составляющую, так и информационную часть, что вместе составляет инфокоммуникационную среду для будущей системы. Зачастую никто, даже сам заказчик - владелец ресурса, не имеет полного представления о том, чем же он владеет. Поэтому первым этапом на пути разработки Концепции является обследование объекта защиты или аудит, который проводится специалистами по информационной безопасности на всех или на выделенных типовых объектах заказчика. Смысл этой непростой и довольно длительной работы заключается в выявлении состава информационной инфраструктуры, на которую и будет опираться (или уже опирается) система.

Дальнейшие действия заказчика просты: необходимо определить, "что защищаем" и "от чего", т.е. составить реестр защищаемых ресурсов (серверов, файлов, папок, данных и пр.) и определить, какого класса защита должна быть установлена и настроена в информационной системе. Например, сегодня наиболее актуальна защита персональных данных. С правовой точки зрения эти вопросы освещены в федеральных законах, подзаконных актах, приказах и разъяснениях федеральных органов, содержащих требования и рекомендации по составу средств защиты информации (СЗИ), которые должны быть включены в подсистему информационной безопасности. Этим и нужно руководствоваться при разработке Концепции.

Результатом дальнейшего развития подходов к созданию Концепции информационной безопасности является формирование раздела ТЗ, в котором будут изложены требования к защите информации в КИС, либо будет сформировано частное техническое задание (ЧТЗ) на подсистему защиты информации:

• определение защищаемых ресурсов системы;
• исключение или существенное затруднение получения доступа к защищаемой информации злоумышленником не только о системе, но и об обрабатываемой в ней или являющейся ее продукцией;
• исключение или существенное затруднение несанкционированного и/или непреднамеренного воздействия на защищаемую информацию и ее носители.

Основные принципы и положения по созданию и функционированию защищенных систем изложены в требованиях ГОСТ 29339, ГОСТ Р 50543, ГОСТ Р 50739-95, ГОСТ Р 50972, ГОСТ Р 51275, ГОСТ РВ 50797 и других нормативных документах. Здесь имеется также ряд ограничений, сужающий круг предприятий, имеющих возможность работать в них. Кооперация исполнителей или единственный проектный интегратор должен иметь лицензии на осуществление работ в области защиты информации и использование средств защиты информации (СЗИ) в своей деятельности.

Работы по созданию, производству и эксплуатации информационной системы с использованием криптографических (шифровальных) средств для защиты информации ограниченного доступа ведутся согласно положениям нормативных актов Российской Федерации, определяющих порядок разработки, изготовления и обеспечения эксплуатации шифровальных средств на основании соответствующих лицензий ФСБ России. Если в системе обрабатывается информация, относящаяся к государственной тайне Российской Федерации, то необходимо наличие лицензии, подтверждающей возможность работы предприятия с этими сведениями.

Кроме того, ограничения касаются выбора разнообразных технических средств. Для создания КИС могут применяться как серийно выпускаемые, так и вновь разработанные программные, программно-аппаратные, технические, криптографические СЗИ, которые должны иметь сертификаты соответствия требованиям по защите информации, полученные в соответствующих системах сертификации по требованиям безопасности информации (ФСТЭК России, ФСБ России, Минобороны России). Именно эти средства и должны обсуждаться в Концепции информационной безопасности. Существенной частью в этом документе является также сформированная для конкретной системы модель нарушителя (угроз), которой должна быть противопоставлена модель защиты, а также проведено формальное доказательство ее полноты и непротиворечивости. Часто к Концепции предъявляются дополнительные требования по согласованию ее с органами, осуществляющими контроль в этой области.

Таким образом, вопросы информационной безопасности находятся под постоянным контролем и регулированием как со стороны государства, так и со стороны структур управления предприятий. Нормативно-методологической базой для решения вопросов безопасности в информационных системах являются в первую очередь требования российского законодательства, определяющие обязательность защиты информации ограниченного доступа, в том числе и персональных данных граждан, всеми субъектами информационных отношений на всей территории Российской Федерации. Эти требования определяются в законах, детализируются и уточняются в руководящих документах Федеральной службы по техническому и экспортному контролю Российской Федерации, ФСБ России и других государственных учреждений, имеющих отношение к обеспечению безопасности информации и безопасному использованию информационных технологий. Они определяют мероприятия и виды технических и программных средств базового уровня безопасности, обязательного для безоговорочного выполнения всеми субъектами информационных отношений, которые используют информационные системы, обрабатывающие соответствующие виды информации ограниченного доступа.

Ответственность за несоблюдение указанных требований несет прежде всего руководитель распределенной структуры. Она определена в таких российских законодательных актах, как Конституция Российской Федерации, Гражданский кодекс Российской Федерации, Уголовный кодекс Российской Федерации, Федеральные законы "О безопасности", "О государственной тайне", "Об информации, информатизации и защите информации", "О коммерческой тайне", "О связи", "Об участии в международном информационном обмене", "О техническом регулировании", "Об электронной цифровой подписи", "Об информации, информационных технологиях и о защите информации", указы Президента Российской Федерации, постановления Правительства Российской Федерации, Доктрина информационной безопасности Российской Федерации, международные договоры и соглашения, заключенные или признанные Российской Федерацией, а также в других нормативных правовых актах.[3]

 

2.3. Подсистемы, входящие  в систему комплексной защиты  информации КИС

Исходя из общих соображений можно определить ряд подсистем, которые должны входить в систему комплексной защиты информации КИС и практически обязательны к проектированию.

Подсистема авторизации. Данная подсистема обеспечивает доступ пользователя информационной системы (в том числе удаленного) к защищаемым ресурсам на основе анализа предъявляемых им своих учетных данных с использованием средств идентификации и аутентификации. Она строится на принципах реализации мандатного и дискреционного методов доступа, имеет возможность отказать пользователю в доступе, если его данные будут признаны неподлинными, сигнализировать об этом администратору безопасности и зарегистрировать неудачную попытку доступа для проведения расследования коллизий информационной безопасности.

Подсистема контроля целостности. Эта подсистема обеспечивает надлежащее функционирование прикладных процессов в информационной системе и неизменность программной среды на основе контроля за идентичностью необходимых файлов операционных систем, функционального и специального программного обеспечения. Кроме того, она позволяет контролировать целостность данных при их передаче по каналам связи посредством применения криптографических СЗИ (симметричное и несимметричное шифрование).

Подсистема межсетевого экранирования. С помощью этой подсистемы можно осуществлять защиту объектов от несанкционированного доступа и сетевых воздействий (атак) с целью вывода из строя отдельных функций защиты информации, узлов сети или нарушения функционирования информационной системы в целом. Она используется также для разграничения доступа по сети к защищаемой информации системы как на уровне адресов отдельных узлов, так и на уровне приложений.

Подсистема антивирусной защиты. Данная подсистема осуществляет защиту информационной системы при взаимодействии со смежными информационными комплексами и системами от вредоносных программ (вирусов, троянских коней, spyware и пр.).

Подсистема контентного анализа и защиты от нежелательной почты (спама). В подсистеме предусмотрена защита информационной системы при взаимодействии со смежными информационными комплексами и системами от нежелательной (рекламной) информации.

Подсистема обнаружения вторжений. Эта подсистема позволяет производить анализ сетевого трафика и передавать сообщения о возможном нападении на централизованную консоль управления, а также уведомлять администратора безопасности о несанкционированной сетевой активности, регистрировать эти сведения и блокировать доступ нежелательных источников к защищаемой информации в информационной системе.

Подсистема мониторинга уязвимостей и аудита информационной безопасности. Подсистема обеспечивает анализ настроек и оценку эффективности функционирования СЗИ, предоставляя администратору безопасности информацию о сбоях в работе СЗИ и наличии узких мест, которые могут быть использованы потенциальным злоумышленником для получения несанкционированного доступа к данным.

Подсистема управления информационной безопасностью. Подсистема предоставляет возможность централизованного управления конфигурацией всех служб и сервисов комплексной системы защиты КИС. Управление конфигурацией СЗИ позволяет администратору безопасности получать полный доступ к настройкам средств безопасности серверов, рабочих мест, баз данных и средств межсетевого экранирования с использованием защищенных протоколов передачи данных, методами, устойчивыми к пассивному и активному прослушиванию. Кроме того, система обеспечивает обнаружение и устранение причин неисправностей и ошибок авторизации и доступа к данным.

В любом случае интегратору и заказчику необходимо сформировать и утвердить обоснованную, интегрированную систему взглядов на вопросы обеспечения информационной безопасности на этапах проектирования, создания, ввода в действие, промышленной эксплуатации и модернизации КИС для реализации единой политики в этой области и выработки взаимосвязанных и согласованных мер организационного и инженерно-технического характера по созданию инфраструктуры информационной безопасности системы. Тогда можно говорить о создании защищенной информационной системы, когда в основе принятого технологического решения лежит полное и непротиворечивое решение всех вопросов информационной безопасности, которая является ее неотъемлемой функцией.

Вопросы реализации информационной безопасности в КИС станут неотъемлемыми ее частями, если будет решен главный вопрос - об архитектуре системы, т.е. о выборе того или иного технологического решения для ее построения. Разнородные СЗИ очень плохо сопрягаемы, управлять ими сложно, их эксплуатация связана с высокими издержками, поэтому внедрение комплексной защиты информации как в организационном, так и в техническом смысле считается распределенной по времени задачей, когда подсистемы могут внедряться постепенно - от насущных (антивирусная защита, межсетевое экранирование) к менее важным - аудит, спам и пр.

Для функционального обеспечения КИС особое значение имеет решение о единой архитектуре, в которую указанные подсистемы уже встроены. Практическая деятельность в течение многих лет доказательно убеждает, что только трехуровневая архитектура построения информационной системы с применением продуктов класса middleware в состоянии решить комплексную задачу информационной безопасности в описываемом здесь понимании. На наш взгляд, сегодня такой архитектурный подход является наиболее перспективным, обеспечивающим совместное функционирование разнородных подсистем, в том числе с точки зрения защиты информации. Он может явиться основой для построения КИС произвольной функциональной направленности, которая позволяет использовать в процессе ее создания различные сертифицированные средства, в том числе зарубежного производства. Используя технологию интеграции для любого общего, прикладного программного обеспечения и СЗИ, появляется возможность "правильного построения" защищенной информационной системы для решения задач информационной безопасности на произвольной территориально распределенной инфраструктуре заказчика. [1]

 

 

 

 

 

 

 

 

 

 

 

Заключение

Выбор КИС для внедрения является сложным и ответственным процессом, требующим тщательного анализа как текущих потребностей и финансовых возможностей предприятия, так и перспективных планов его развития. Правильный выбор компании - разработчика КИС, которая должна стать на долгие годы надежным партнером предприятия (в деле повышения эффективности его управления), является основой успеха внедрения КИС. Наибольший эффект от внедрения КИС достигается при ее комплексном развертывании и максимальной заинтересованности руководства предприятия в успехе всего проекта.

В данной работе были рассмотрены: что из себя представляет КИС и обеспечение безопасности КИС.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Список литературы

1. http://www.crmdaily.ru/450-postroenie-yeffektivnoj-sistemy-informacionnoj-bezopasnosti.html
2. Гусева Н.И. / Дис. канд. экон. наук : 08.00.13 : Москва, 2002 144 c.
3. Автоматизированные информационные технологии в экономике: Учебник/ Под      ред. проф. Г.А.Титоренко. – М.: Компьютер, ЮНИТИ, 2005. – 400с.
4. Гагарский В.А. Проблемы внедрения корпоративных информационных систем // «Дело» – №12.–2006г.
5. Смирнова Г.Н., Сорокин А.А., Тельнов Ю.Ф. Проектирование экономических информационных систем, 2002г.
6. Филипенко И.А. Выбор ПО для автоматизации управления //“Корпоративные системы” –№3. – 2001г.
7. Информационные системы в экономике / Под ред. В.В. Дика. - М.: Финансы и статистика, 2006г.