ВУЗ: Не указан
Категория: Не указан
Дисциплина: Не указана
Добавлен: 04.05.2024
Просмотров: 32
Скачиваний: 0
Інформаційна безпека Процедурний рівень інформаційної безпеки План
1 Основні класи заходів процедурного рівня
2 Управління персоналом
3 Фізичний захист
4 Підтримка працездатності
5 Реагування на порушення режиму безпеки
6 Планування відновних робіт
1 Основні класи заходів процедурного рівня
Ми приступаємо до розгляду заходів безпеки, які орієнтовані на людей, а не на технічні засоби. Саме люди формують режим інформаційної безпеки, і вони ж виявляються головною загрозою, тому "людський чинник" заслуговує особливої уваги.
В російських компаніях накопичений багатий досвід регламентації і реалізації процедурних (організаційних) заходів, проте річ у тому, що вони прийшли з "докомпьютерного" минулого, тому вимагають переоцінки.
Слід усвідомити той ступінь залежності від комп’ютерної обробки даних, в яку потрапило сучасне суспільство. Без жодного перебільшення можна сказати, що необхідна інформаційна цивільна оборона. Спокійно, без нагнітання пристрастей, потрібно роз’яснювати суспільству не тільки переваги, але і небезпеки, зв’язані з використанням інформаційних технологій. Акцент слід робити не на військовій або кримінальній стороні справи, а на цивільних аспектах, пов’язаних з підтримкою нормального функціонування апаратного і програмного забезпечення, тобто концентруватися на питаннях доступності і цілісності даних.
На процедурному рівні можна виділити наступні класи заходів:
-
управління персоналом;
-
фізичний захист;
-
підтримка працездатності;
-
реагування на порушення режиму безпеки;
-
планування відновних робіт.
2 Управління персоналом
Управління персоналом починається з прийому нового співробітника на роботу і навіть раніше - з складання опису посади. Вже на даному етапі бажано підключити до роботи фахівця по інформаційній безпеці для визначення комп’ютерних привілеїв, асоційованих з посадою. Існує два загальні принципи, які слід мати у вигляді:
-
розділення обов’язків;
-
мінімізація привілеїв.
Принцип розділення обов’язків наказує так розподіляти ролі і відповідальність, щоб одна людина не могла порушити критично важливий для організації процес. Наприклад, небажана ситуація, коли крупні платежі від імені організації виконує одна людина. Надійніше доручити одному співробітнику оформлення заявок на подібні платежі, а іншому - завіряти ці заявки. Інший приклад - процедурні обмеження дій суперкористувача. Можна штучно "розщепнути" пароль суперкористувача, повідомивши першу його частину одному співробітнику, а другу - іншому. Тоді критично важливі дії по адмініструванню ІС вони зможуть виконати тільки удвох, що знижує вірогідність помилок і зловживань.
Принцип мінімізації привілеїв наказує виділяти користувачам тільки ті права доступу, які необхідні їм для виконання службових обов’язків. Призначення цього принципу очевидне - зменшити збиток від випадкових або умисних некоректних дій.
Попереднє складання опису посади дозволяє оцінити її критичність і спланувати процедуру перевірки і відбору кандидатів. Ніж ответственнее посада, тим ретельніше потрібно перевіряти кандидатів: навести про них довідки, мабуть, поговорити з колишніми товаришами по службі і т.д. Подібна процедура може бути тривалою і дорогою, тому немає значення додатково ускладнювати її. В той же час, безрозсудно і зовсім відмовлятися від попередньої перевірки, щоб випадково не прийняти на роботу людини з кримінальним минулим або психічним захворюванням.
Коли кандидат визначений, він, ймовірно, повинен пройти навчання; принаймні, його слід детально ознайомити із службовими обов’язками, а також з нормами і процедурами інформаційної безпеки. Бажано, щоб заходи безпеки були їм засвоєні до вступу до посади і до закладу його системного рахунку з вхідним ім’ям, паролем і привілеями.
З моменту закладу системного рахунку починається його адміністрування, а також протоколювання і аналіз дій користувача. Поступово змінюється оточення, в якому працює користувач, його службові обов’язки і т.п. Все це вимагає відповідної зміни привілеїв. Технічну складність представляють тимчасові переміщення користувача, виконання ним обов’язків замість співробітника, що пішов у відпустку, і інші обставини, коли повноваження потрібно спочатку надати, а через деякий час узяти назад. В такі періоди профіль активності користувача різко міняється, що створює труднощі при виявленні підозрілих ситуацій. Певну акуратність слід дотримувати і при видачі нових постійних повноважень, не забуваючи ліквідовувати старі права доступу.
Ліквідація системного рахунку користувача, особливо у разі конфлікту між співробітником і організацією, повинна проводитися максимально оперативно (в ідеалі - одночасно із сповіщенням про покарання або звільнення). Можливе і фізичне обмеження доступу до робочого місця. Зрозуміло, якщо співробітник звільняється, у нього потрібно прийняти все його комп’ютерне господарство і, зокрема, криптографічні ключі, якщо використовувалися засоби шифрування.
До управління співробітниками примикає адміністрування осіб, що працюють за контрактом (наприклад, фахівців фірми-постачальника, що допомагають запустити нову систему). Відповідно до принципу мінімізації привілеїв, їм потрібно виділити рівно стільки прав, скільки необхідно, і вилучити ці права відразу після закінчення контракту. Проблема, проте, полягає в тому, що на початковому етапі упровадження "зовнішні" співробітники адмініструватимуть "місцевих", а не навпаки. Тут на перший план виходить кваліфікація персоналу організації, його здатність швидко навчатися, а також оперативне проведення учбових курсів. Важливі і принципи вибору ділових партнерів.
Іноді зовнішні організації приймають на обслуговування і адміністрування відповідальні компоненти комп’ютерної системи, наприклад, мережне устаткування. Нерідко адміністрування виконується у видаленому режимі. Взагалі кажучи, це створює в системі додаткові вразливі місця, які необхідно компенсувати посиленим контролем засобів видаленого доступу або, знову-таки, навчанням власних співробітників.
Ми бачимо, що проблема навчання - одна з основних з погляду інформаційної безпеки. Якщо співробітник не знайомий з політикою безпеки своєї організації, він не може прагнути досягнення сформульованих в ній цілей. Не знаючи заходів безпеки, він не зможе їх дотримувати. Навпаки, якщо співробітник знає, що його дії протоколюються, він, можливо, утримається від порушень.
3 Фізичний захист
Безпека інформаційної системи залежить від оточення, в якому вона функціонує. Необхідно вжити заходів для захисту будівель і прилеглої території, підтримуючої інфраструктури, обчислювальної техніки, носіїв даних.
Основний принцип фізичного захисту, дотримання якого слід постійно контролювати, формулюється як "безперервність захисту у просторі та часі". Раніше ми розглядали поняття вікна небезпеки. Для фізичного захисту таких вікон бути не повинно.
Ми стисло розглянемо наступні напрями фізичного захисту:
-
фізичне управління доступом;
-
протипожежні заходи;
-
захист підтримуючої інфраструктури;
-
захист від перехоплення даних;
-
захист мобільних систем.
Заходи фізичного управління доступом дозволяють контролювати і при необхідності обмежувати вхід і вихід співробітників і відвідувачів. Контролюватися може вся будівля організації, а також окремі приміщення, наприклад, ті, де розташовані сервери, комунікаційна апаратура і т.п.
При проектуванні і реалізації заходів фізичного управління доступом доцільно застосовувати об’єктний підхід. По-перше, визначається периметр безпеки, що обмежує контрольовану територію. На цьому рівні деталізації важливо продумати зовнішній інтерфейс організації - порядок входу/виходу штатних співробітників і відвідувачів, внесення/винесення техніки. Все, що не входить в зовнішній інтерфейс, повинно бути інкапсульовано, тобто захищено від нелегальних проникнень.
По-друге, проводиться декомпозиція контрольованої території, виділяються (під) об’єкти і зв’язки (проходи) між ними. При такій, більш глибокій деталізації слід виділити серед підоб’єктів найкритичніші з погляду безпеки і забезпечити ним підвищену увагу. Декомпозиція повинна бути семантичний виправданою, забезпечуючою розмежування різнорідних єств, таких як устаткування різних власників або персонал, що працює з даними різного ступеня критичності. Важливо зробити так, щоб відвідувачі, по можливості, не мали безпосереднього доступу до комп’ютерів або, в крайньому випадку, поклопотатися про те, щоб від вікон і дверей не були видимими екрани моніторів і принтери. Необхідно, щоб відвідувачів на вигляд можна було відрізнити від співробітників. Якщо відмінність полягає в тому, що відвідувачам видаються ідентифікаційні картки, а співробітники ходять "без пізнавальних знаків", зловмиснику достатньо зняти картку, щоб його вважали "своїм". Очевидно, відповідні картки потрібно видавати всім.
Засоби фізичного управління доступом відомі давно. Це охорона, двері із замками, перегородки, телекамери, датчики руху і багато що інше. Для вибору оптимального (по критерію вартість/ефективність) засобу доцільно провести аналіз ризиків (до цього ми ще повернемося). Крім того, є значення періодично відстежувати появу технічних новинок в даній області, прагнучи максимально автоматизувати фізичний захист.
Більш детально дана тема розглянута в статті В. Барсукова "Фізичний захист інформаційних систем" (Jet Info, 1997, 1).
Професія пожежника - одна з якнайдавніших, але пожежі як і раніше трапляються і завдають великого збитку. Ми не збираємося цитувати параграфи протипожежних інструкцій або винаходити нові методи боротьби з вогнем - на це є професіонали. Відзначимо лише необхідність установки протипожежної сигналізації і автоматичних засобів пожежогасінні. Звернемо також увагу на те, що захисні заходи можуть створювати нові слабкі місця. Якщо на роботу узятий новий охоронець, це, ймовірно, покращує фізичне управління доступом. Якщо ж він ночами палить і п’є, то зважаючи на підвищену пожароопасности подібна міра захисту може тільки нашкодити.
До підтримуючої інфраструктури можна віднести системи электро-, водо- і теплопостачання, кондиціонери і засоби комунікацій. У принципі, до них застосовні ті ж вимоги цілісності і доступності, що і до інформаційних систем. Для забезпечення цілісності потрібно захищати устаткування від крадіжок і пошкоджень. Для підтримки доступності слід вибирати устаткування з максимальним часом напрацювання на відмову, дублювати відповідальні вузли і завжди мати під рукою запчастини.
Окрему проблему складають аварії водопроводу. Вони відбуваються нечасто, але можуть завдати величезного збитку. При розміщенні комп’ютерів необхідно взяти до уваги той, що розташовує водопровідних і каналізаційних труб і постаратися триматися від них подалі. Співробітники повинні знати, куди слід звертатися при виявленні протечек.
Перехоплення даних (про що ми вже писали) може здійснюватися самими різними способами. Зловмисник може підглядати за екраном монітора, читати пакети, передавані по мережі, проводити аналіз побічних електромагнітних випромінювань і наведень (ПЕМІН) і т.д. Залишається сподіватися на повсюдне використовування криптографії (що, втім, зв’язано у нас в країні з безліччю технічних і законодавчих проблем), прагнути максимально розширити контрольовану територію, розмістившися в тихому особнячку, оддалік від інших будинків, намагатися тримати під контролем лінії зв’язку (наприклад, укладати їх в надувну оболонку з виявленням проколювання), але найрозумніше, ймовірно, - постаратися усвідомити, що для комерційних систем забезпечення конфіденційності є все-таки не головною задачею.