Информационная безопасность

Много говорят и  пишут и о программных вирусах. Причем в последнее время говорят  уже о вирусах, воздействующих не только на программы и данные, но и на пользователей. Так, в свое время появилось сообщение о жутком вирусе 666, который, выводя каждую секунду на монитор некий 25-й кадр, вызывает у пользователей кровоизлияние в мозг и смерть (впоследствии это сообщение не подтвердилось).

Однако, говоря о "вирусной" угрозе, обратим внимание на следующий  факт. Как показали проведенные в  США в 1993 году исследования, несмотря на экспоненциальный рост числа известных  вирусов, аналогичного роста количества инцидентов, вызванных вирусами, не зарегистрировано. Соблюдение несложных  правил компьютерной гигиены сводит риск заражения практически к  нулю. Там где работают, а не играют в компьютерные игры (именно это  явление приводит к использованию  непроверенных на наличие вирусов  программ), число зараженных компьютеров  составляет лишь доли процента.

Таковы основные угрозы, на долю которых приходится львиная доля урона, наносимого информационным системам. Рассмотрим теперь иерархию защитных мероприятий, способных противостоять  угрозам.  

УПРАВЛЕНЧЕСКИЕ МЕРЫ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

Главная цель мер, предпринимаемых  на управленческом уровне, - формирование программы работ в области  информационной безопасности и обеспечение  ее выполнения. В задачу управления входит выделение необходимых ресурсов и контроль состояния дел. Основой  программы является многоуровневая политика безопасности, отражающая подход организации к защите своих информационных активов.

Использование информационных систем связано с определенной совокупностью  рисков. Когда риск неприемлемо велик, необходимо предпринять защитные меры. Периодическая переоценка рисков необходима для контроля эффективности деятельности в области безопасности и для  учета изменений обстановки.  

ПОЛИТИКА БЕЗОПАСНОСТИ

В реальной жизни  термин "политика безопасности" трактуется гораздо шире, чем в "Оранжевой  книге". Под политикой безопасности понимается совокупность документированных  управленческих решений, направленных на защиту информации и ассоциированных  с ней ресурсов.

С практической точки  зрения политику безопасности целесообразно  разделить на три уровня. К верхнему уровню можно отнести решения, затрагивающие  организацию в целом. Они носят  весьма общий характер и, как правило, исходят от руководства организации. Примерный список подобных решений  может включать в себя следующие  элементы:

- формирование или  пересмотр комплексной программы  обеспечения информационной безопасности, определение ответственных за продвижение программы;

- формулировка целей,  которые преследует организация  в области информационной безопасности, определение общих направлений  в достижении этих целей; 

- обеспечение базы  для соблюдения законов и правил;

- формулировка управленческих  решений по тем вопросам реализации  программы безопасности, которые  должны рассматриваться на уровне  организации в целом.  

Для политики уровня руководства организации цели в  области информационной безопасности формулируются в терминах целостности, доступности и конфиденциальности. Если организация отвечает за поддержание  критически важных баз данных, на первом плане может стоять уменьшение случаев  потерь, повреждений или искажений  данных. Для организации, занимающейся продажами, вероятно, важна актуальность информации о предоставляемых услугах  и ценах, а также ее доступность  максимальному числу потенциальных  покупателей. Режимная организация  в первую очередь заботится о  защите от несанкционированного доступа - конфиденциальности.

На верхний уровень  выносится управление защитными  ресурсами и координация использования  этих ресурсов, выделение специального персонала для защиты критически важных систем, поддержание контактов с другими организациями, обеспечивающими или контролирующими режим безопасности.

Политика верхнего уровня должна четко очерчивать сферу  своего влияния. Возможно, это будут  все компьютерные системы организации  или даже больше, если политика регламентирует некоторые аспекты использования  сотрудниками своих домашних компьютеров. Возможна, однако, и такая ситуация, когда в сферу влияния включаются лишь наиболее важные системы.

В политике должны быть определены обязанности должностных  лиц по выработке программы безопасности и по проведению ее в жизнь. В этом смысле политика является основой подотчетности  персонала.

Политика верхнего уровня имеет дело с тремя аспектами  законопослушности и исполнительской  дисциплины. Во-первых, организация  должна соблюдать существующие законы. Во-вторых, следует контролировать действия лиц, ответственных за выработку  программы безопасности. Наконец, необходимо обеспечить определенную степень послушания персонала, а для этого нужно  выработать систему поощрений и  наказаний. Вообще говоря, на верхний  уровень следует выносить минимум  вопросов. Подобное вынесение целесообразно, когда оно сулит значительную экономию средств или когда иначе  поступить просто невозможно.

К среднему уровню можно  отнести вопросы, касающиеся отдельных  аспектов информационной безопасности, но важные для различных систем, эксплуатируемых организацией. Примеры  таких вопросов - отношение к передовым, но еще недостаточно проверенным  технологиям: доступ к Internet (как сочетать свободу получения информации с защитой от внешних угроз?), использование домашних компьютеров, применение пользователями неофициального программного обеспечения и т.д.

Политика обеспечения  информационной безопасности на среднем  уровне должна освещать следующие темы:

- Область применения. Следует специфицировать, где,  когда, как, по отношению к  кому и чему применяется данная  политика безопасности. Например, касается  ли организаций-субподрядчиков политика  отношения к неофициальному программному  обеспечению? Затрагивает ли она  работников, пользующихся портативными  и домашними компьютерами и  вынужденных переносить информацию  на производственные машины?

- Позиция организации.  Продолжая пример с неофициальным  программным обеспечением, можно  представить себе позиции полного  запрета, выработки процедуры  приемки подобного обеспечения  и т.п. Позиция может быть  сформулирована и в гораздо  более общем виде, как набор  целей, которые преследует организация  в данном аспекте. Вообще, стиль  документов по политике безопасности, как и перечень этих документов, может быть существенно различным для разных организаций.

- Роли и обязанности.  В "политический" документ необходимо  включить информацию о должностных  лицах, отвечающих за проведение  политики безопасности в жизнь.  Например, если для использования  работником неофициального программного  обеспечения нужно официальное  разрешение, то должно быть известно, у кого и как его следует получать. Если должны проверяться дискеты, принесенные с других компьютеров, необходимо описать процедуру проверки. Если неофициальное программное обеспечение использовать нельзя, следует знать, кто следит за выполнением данного правила.

- Законопослушность.  Политика должна содержать общее  описание запрещенных действий  и наказаний за них. 

- Точки контакта. Должно быть известно, куда следует  обращаться за разъяснениями,  помощью и дополнительной информацией.  Обычно "точкой контакта" является  должностное лицо, и это не  зависит от того, какой конкретный  человек занимает в данный  момент данный пост.  

Политика безопасности нижнего уровня относится к конкретным сервисам. Она включает в себя два  аспекта - цели и правила их достижения, поэтому ее порой трудно отделить от вопросов реализации. В отличие  от двух верхних уровней, рассматриваемая  политика должна быть гораздо детальнее. Есть много вещей, специфичных для  отдельных сервисов, которые нельзя единым образом регламентировать в  рамках всей организации. В то же время  эти вещи настолько важны для  обеспечения режима безопасности, что  решения, относящиеся к ним, должны приниматься на управленческом, а  не техническом уровне. Приведем несколько  примеров вопросов, на которые следует  дать ответ при следовании политике безопасности нижнего уровня:

- кто имеет право  доступа к объектам, поддерживаемым  сервисом?

- при каких условиях  можно читать и модифицировать  данные?

- как организован  удаленный доступ к сервису?  

При формулировке целей  политика нижнего уровня может исходить из соображений целостности, доступности  и конфиденциальности, но она не должна на них останавливаться. Ее цели должны быть конкретнее. Например, если речь идет о системе расчета заработной платы, можно поставить цель, чтобы  только работникам отдела кадров и  бухгалтерии позволялось вводить  и модифицировать информацию. В более  общем случае цели должны связывать  между собой объекты сервиса  и осмысленные действия с ними.

Из целей выводятся  правила безопасности, описывающие, кто, что и при каких условиях может делать. Чем детальнее правила, чем более формально они изложены, тем проще поддержать их выполнение программно-техническими мерами. С  другой стороны, слишком жесткие  правила могут мешать работе пользователей, вероятно, их придется часто пересматривать. Руководству придется найти разумный компромисс, когда за приемлемую цену будет обеспечен приемлемый уровень  безопасности, а работники не окажутся чрезмерно скованы. Обычно ввиду особой важности данного вопроса наиболее формально задаются права доступа к объектам.  
 

ПОЛИТИКА БЕЗОПАСНОСТИ ГИПОТЕТИЧЕСКОЙ ОРГАНИЗАЦИИ

Чтобы сделать изложение  более конкретным, рассмотрим политику обеспечения информационной безопасности гипотетической локальной сети, которой  владеет организация.  

Область применения.

В сферу действия политики обеспечения информационной безопасности попадают все аппаратные, программные и информационные ресурсы, входящие в локальную сеть предприятия. Политика ориентирована также на людей, работающих с сетью, в том  числе на пользователей, субподрядчиков и поставщиков.  

Позиция организации.

Целью организации  является обеспечение целостности, доступности и конфиденциальности данных, а также их полноты и  актуальности. Более частными целями являются:  

- обеспечение уровня  безопасности, соответствующего требованиям  нормативных документов;

- исследование экономической  целесообразности в выборе защитных  мер (расходы на защиту не  должны превосходить предполагаемый  ущерб от нарушения информационной  безопасности);

- обеспечение безопасности  в каждой функциональной области  локальной сети;

- обеспечение подотчетности  всех действий пользователей  с информацией и ресурсами;

- обеспечение анализа  регистрационной информации;

- предоставление  пользователям достаточной информации  для сознательного поддержания  режима безопасности;

- выработка планов  восстановления после аварий  и иных критических ситуаций  для всех функциональных областей  с целью обеспечения непрерывности  работы сети;

- обеспечение соответствия  с имеющимися законами и общеорганизационной  политикой безопасности. 
 

Распределение ролей  и обязанностей.

Перечисленные ниже группы людей отвечают за реализацию сформулированных ранее целей.

- руководитель организации  отвечает за выработку соответствующей  политики обеспечения информационной  безопасности и проведение ее  в жизнь;

- руководители подразделений  отвечают за доведение положений  политики обеспечения информационной  безопасности до пользователей  и за контакты с ними.

- администраторы  сети обеспечивают непрерывное  функционирование сети и отвечают  за реализацию технических мер,  необходимых для проведения в  жизнь политики обеспечения информационной  безопасности.

- пользователи обязаны  работать с локальной сетью  в соответствии с политикой  безопасности, подчиняться распоряжениям  лиц, отвечающих за отдельные  аспекты безопасности, ставить в  известность руководство обо  всех подозрительных ситуациях.  

Законопослушность.

Нарушение политики обеспечения информационной безопасности может подвергнуть локальную  сеть и циркулирующую в ней  информацию недопустимому риску. Поскольку  наиболее уязвимым звеном любой информационной системы является человек, особое значение приобретает воспитание законопослушности  сотрудников по отношению к законам  и правилам информационной безопасности. Случаи нарушения этих законов и  правил со стороны персонала должны рассматриваться руководством для  принятия мер вплоть до увольнения.