Основа стратегической безопасности

Посторонние лица, которые могут быть нарушителями:

• клиенты (представители организаций, граждане);
• посетители (приглашенные по какому-либо поводу);
• представители организаций, взаимодействующих по вопросам обеспечения жизнедеятельности организации (энерго - , водо - , теплоснабжения и т.п.);
• представители конкурирующих организаций (иностранных спецслужб) или лица, действующие по их заданию;
• лица, случайно или умышленно нарушившие пропускной режим (без цели нарушить безопасность АС);
• любые лица за пределами контролируемой территории.

Можно выделить три основных мотива нарушений:

• безответственность,
• самоутверждение,
• корыстный интерес.

При нарушениях, вызванных  безответственностью, пользователь целенаправленно или случайно производит какие-либо разрушающие действия, не связанные, тем не менее со злым умыслом. В большинстве случаев это следствие некомпетентности или небрежности.

Некоторые пользователи считают получение доступа к  системным наборам данных крупным успехом, затевая своего рода игру «пользователь - против системы» ради самоутверждения либо в собственных глазах, либо в глазах коллег.

Нарушение безопасности АС может быть вызвано и корыстным  интересом пользователя системы. В этом случае он будет целенаправленно пытаться преодолеть систему защиты для доступа к хранимой, передаваемой и обрабатываемой в АС информации. Даже если АС имеет средства, делающие такое проникновение чрезвычайно сложным, полностью защитить ее от проникновения практически невозможно.

Всех нарушителей можно  классифицировать следующим образом :

По уровню знаний об АС:

• знает функциональные особенности АС, основные закономерности формирования в ней массивов данных и потоков запросов к ним, умеет пользоваться штатными средствами;
• обладает высоким уровнем знаний и опытом работы с техническими средствами системы и их обслуживания;
• обладает высоким уровнем знаний в области программирования и вычислительной техники, проектирования и эксплуатации автоматизированных информационных систем;
• знает структуру, функции и механизм действия средств защиты, их сильные и слабые стороны.

По уровню возможностей (используемым методам и средствам):

• применяющий чисто агентурные методы получения сведений;
• применяющий пассивные средства (технические средства перехвата без модификации компонентов системы);
• использующий только штатные средства и недостатки систем защиты для ее преодоления (несанкционированные действия с использованием разрешенных средств), а также компактные магнитные носители информации, которые могут быть скрытно пронесены через посты охраны;
• применяющий методы и средства активного воздействия (модификация и подключение дополнительных технических средств, подключение к каналам передачи данных, внедрение программных закладок и использование специальных инструментальных и технологических программ).

По времени действия:

• в процессе функционирования АС (во время работы компонентов системы);
• в период неактивности компонентов системы (в нерабочее время, во время плановых перерывов в ее работе, перерывов для обслуживания и ремонта и т.п.);
• как в процессе функционирования АС, так и в период неактивности компонентов системы.

По месту действия:

• без доступа на контролируемую территорию организации;
• с контролируемой территории без доступа в здания и сооружения;
• внутри помещений, но без доступа к техническим средствам АС;
• с рабочих мест конечных пользователей (операторов) АС;
• с доступом в зону данных (баз данных, архивов и т.п.);
• с доступом в зону управления средствами обеспечения безопасности АС.

Таким образом, имеется  широчайший спектр вариантов путей  преднамеренного или случайного несанкционированного доступа к данным и вмешательства в процессы обработки и обмена информацией (в том числе, управляющей согласованным функционированием различных компонентов сети и разграничением ответственности за преобразование и дальнейшую передачу информации).

Правильно построенная (адекватная реальности) модель нарушителя, в которой отражаются его практические и теоретические возможности, априорные знания, время и место действия и т.п. характеристики – важная составляющая успешного проведения анализа риска и определения требований к составу и характеристикам системы защиты.

§ 2. Создание политики информационной безопасности

 

Вопросы обеспечения  информационной безопасности (ИБ) исследуются  в разных странах достаточно давно. Можно констатировать, что к настоящему времени сложилась общепринятая точка зрения на концептуальные основы ИБ. Суть ее заключается в том, что подход к обеспечению ИБ должен быть комплексным, сочетающим меры следующих уровней:

• законодательного (законы, нормативные акты, стандарты);
• административного (действия общего характера, предпринимаемые руководством организации);
• процедурного (меры безопасности, реализуемые персоналом);
• программно-технического (конкретные технические меры).

При обеспечении ИБ существуют два аспекта: формальный — определение критериев, которым должны соответствовать защищенные информационные технологии, и практический — определение конкретного комплекса мер безопасности применительно к рассматриваемой информационной технологии.

Методика создания политики безопасности предприятия состоит из:

• учета основных (наиболее опасных) рисков информационных атак,
• современной ситуации,
• генеральной стоимости проекта.

Политика информационной безопасности – это комплекс превентивных мер по защите конфиденциальных данных и информационных процессов на предприятии. Политика безопасности включает в себя требования в адрес персонала, менеджеров и технических служб.

Основные направления  разработки политики информационной безопасности:

• определение, какие данные и насколько серьезно необходимо защищать,
• определение кто и какой ущерб может нанести фирме в информационном аспекте,
• вычисление рисков и определение схемы уменьшения их до приемлемой величины.

Существуют две системы  оценки текущей ситуации в области информационной безопасности на предприятии. Они получили образные названия «исследование снизу вверх» и «исследование сверху вниз». Первый метод достаточно прост, требует намного меньших капитальных вложений, но и обладает меньшими возможностями. Он основан на известной схеме: «Вы –  злоумышленник. Ваши действия?». То есть служба информационной безопасности, основываясь на данных об известных видах атак, пытается применить их на практике с целью проверки возможности такой атаки со стороны реального злоумышленника.

Метод «сверху вниз»  представляет собой, наоборот, детальный  анализ всей существующей схемы хранения и обработки информации.

Первым этапом этого  метода является, определение, какие  информационные объекты и потоки необходимо защищать. Далее следует изучение текущего состояния системы информационной безопасности с целью определения, что из классических методик защиты информации уже реализовано, в каком объеме, и на каком уровне. На третьем этап производится классификация всех информационных объектов на классы в соответствии с ее конфиденциальностью, требованиями к доступности и целостности (неизменности). На четвертом выясняется, насколько серьезный ущерб может принести фирме раскрытие или иная атака на каждый конкретный информационный объект. Этот этап носит название «анализ рисков». Необходимо отметить, что классификацию ущерба, наносимого атакой, должен оценивать владелец информации, или работающий с нею персонал, а оценку вероятности появления атаки – технический персонал.

На пятом этапе составляется таблица рисков предприятия (табл.1).

 

Таблица 1

Описание атаки	Ущерб	Вероятность(%)	Риск = Ущерб * Вероятность
Переполнение почтового ящика	144	0,09	12,96
Копирование жесткого диска  из центрального офиса	313	0.02	6,26
Итого:			19,22

 

На этапе анализа таблицы рисков задаются некоторым максимально допустимым риском, например значением 7. Сначала проверяется каждая строка таблицы на превышение риска этого значения. Если такое превышение имеет место, значит, данная строка – это одна из первоочередных целей разработки политики безопасности.

Затем производится сравнение  удвоенного значения (в нашем случае 6,26*2=12,52) с интегральным риском (ячейка «Итого»). Если интегральный риск превышает  допустимое значение, значит, в системе  набирается множество мелких погрешностей в системе безопасности, которые в сумме не дадут предприятию эффективно работать. В этом случае из строк выбираются те, которые дает самый значительный вклад в значение интегрального риска и производится попытка их уменьшить или устранить полностью.

На самом ответственном  этапе производится собственно разработка политики безопасности предприятия, которая обеспечит надлежащие уровни, как отдельных рисков, так и интегрального риска. При ее разработке необходимо, однако, учитывать объективные проблемы, которые могут встать на пути реализации политики безопасности. Такими проблемами могут стать законы страны и международного сообщества, внутренние требования корпорации, этические нормы общества.

После описания всех технических  и административных мер, планируемых к реализации, производится расчет экономической стоимости данной программы. В том случае, когда финансовые вложения в программу безопасности являются экономически невыгодными по сравнению с потенциальным ущербом от атак, производится возврат на уровень, где мы задавались максимально допустимым риском 7 и увеличение его на один или два пункта.

Завершается разработка политики безопасности ее утверждением у руководства фирмы и детальным документированием. За этим должна следовать активная реализация всех указанных в плане компонентов. Перерасчет таблицы рисков и, как следствие, модификация политики безопасности фирмы чаще всего производится раз в два года.

Критерии, которым должны соответствовать защищенные информационные технологии, являются объектом стандартизации более пятнадцати лет. Стандарты в области информационной безопасности исторически делятся на две группы: нормативные и функциональные.

Нормативные стандарты безопасности описывают набор требований, предъявляемых к защищенным информационным системам. Они предоставляют возможность формализации описания защищенных систем и средств защиты, анализа защищенности системы. К нормативным стандартам относятся знаменитые стандарты книг «Радужной серии», большинство действующих руководящих документов Гостехкомиссии РФ, разработанных на основе исследований и практической деятельности в этой области и с учетом международного стандарта ISO 15408-99 «Критерии оценки безопасности информационных технологий», а также находящийся сегодня на согласовании стандарт ГОСТ/ ISO15408.

Однако, поскольку нормативные  стандарты указывают только набор  требований к уже построенной  системе, причем преимущественно в терминологии программно-технических средств, не раскрывая путей построения защищенной системы, в практической деятельности они дополняются функциональными стандартами. Функциональные стандарты описывают набор мероприятий, осуществляемых в защищенной информационной системе и процедур, обеспечивающих выполнение режима информационной безопасности. К стандартам этой группы относятся международные стандарты BSI, BS7799, отечественные нормативы, описывающие процесс построения систем в защищенном исполнении (ГОСТ Рxx.xxx - 2000).

Попытки стандартизации практических аспектов безопасности начались сравнительно недавно. Первой удачной попыткой в этой области стал британский стандарт BS 7799 «Практические правила управления информационной безопасностью», изданный в 1995 году, в котором обобщен опыт обеспечения режима ИБ в информационных системах (ИС) разного профиля. Впоследствии было опубликовано несколько аналогичных документов: стандарты различных организаций и ведомств, например,  германский стандарт BSI. Содержание этих документов в основном относится к этапу анализа рисков, на котором определяются угрозы безопасности и уязвимости информационных ресурсов, уточняются требования к режиму ИБ.

Целью анализа рисков, связанных с эксплуатацией информационных систем (ИС), является оценка угроз (т. е. условий и факторов, которые могут стать причиной нарушения целостности системы, ее конфиденциальности, а также облегчить несанкционированный доступ к ней) и уязвимостей (слабых мест в защите, которые делают возможной реализацию угрозы), а также определение комплекса контрмер, обеспечивающего достаточный уровень защищенности ИС. Определение набора адекватных контрмер осуществляется в ходе управления рисками. Риск определяется вероятностью причинения ущерба и величиной ущерба, наносимого ресурсам ИС, в случае осуществления угрозы безопасности.