Основы информационной безопасности

      В третьем варианте предполагается применение брандмауэров. Данный способ применяется, как правило, при организации взаимодействия между сегментами через сеть Internet, когда уже установлены брандмауэры, предназначенные для контроля за потоками информации между информационной системой и сетью Internet.

      Защита критичных ресурсов АИС

      Наиболее  критичными ресурсами корпоративной  сети являются серверы, а основным способом вмешательства в нормальный процесс  их функционирования является проведение атак с использованием уязвимых мест в аппаратном и программном обеспечении. Атака может быть реализована как из внешней сети, так и из внутренней. Основная задача заключается не столько в своевременном обнаружении и регистрации атаки, сколько в противодействии ей.

      Наиболее  мощными инструментами защиты, предназначенными для оперативного реагирования на подобные нападения, являются специальные системы, наподобие системы RealSecure, производимой американской корпорацией Internet Security Systems, Inc., которые позволяют своевременно обнаружить и предотвратить наиболее известные атаки, проводимые по сети.

      Защита  рабочих мест и  ресурсов от НСД

      До  настоящего времени большинство  автоматизированных систем ориентируется  только на встроенные защитные механизмы сетевых операционных систем. При правильном администрировании такие механизмы обеспечивают достаточную защиту информации на серверах корпоративной сети.

      Однако  обработка информации, подлежащей защите, производится рабочих станциях, подавляющее  большинство которых (более 90%) работает под управлением MS DOS или Windows'95 и  не имеет средств обеспечения безопасности, так как эти операционные системы не содержат встроенных механизмов защиты. Как следствие, на незащищенном рабочем месте может обрабатываться критичная информация, доступ к которой ничем не ограничен. Для рабочих станций рекомендуется применять дополнительные средства защиты, часть из которых описана в предыдущем разделе.

      Криптографическая защита информационных ресурсов

      Шифрование  является одним из самых надежных способов защиты данных от несанкционированного ознакомления. Особенностью применения подобных средств в России является жесткая законодательная регламентация. Для защиты конфиденциальной информации разрешается применять только сертифицированные ФАПСИ продукты. В настоящее время в корпоративных сетях они устанавливаются только на тех рабочих местах, где хранится информация, имеющая очень высокую степень важности.

      Этапы построения политики безопасности

      По  окончании работ первого этапа – обследования информационной системы – необходимо иметь полное представление о том, в каком состоянии находится корпоративная сеть и о том, что нужно сделать, чтобы обеспечить в ней защиту информации.

      На  основе данных обследования можно перейти  ко второму этапу – выбору, приобретению, установке, настройке и эксплуатации систем защиты в соответствии с разработанными рекомендациями.

      Любое средство защиты создает дополнительные неудобства в работе пользователя, при этом препятствий тем больше, чем меньше времени уделяется  настройке систем защиты. Администратор  безопасности должен ежедневно обрабатывать данные регистрации, чтобы своевременно корректировать настройки, обеспечивающие адаптацию к изменениям в технологии обработки информации. Без этого любая система защиты, какой бы хорошей она ни была, обречена на медленное вымирание.

      Третий этап – обучение администраторов безопасности работе со средствами защиты. В процессе обучения администратор получает базовые знания о технологии обеспечения информационной безопасности, об имеющихся в операционных системах подсистемах безопасности и о возможностях систем защиты, о технологических приемах, используемых при их настройке и эксплуатации.

      Четвертый этап – информационное обслуживание по вопросам безопасности. Наличие своевременной информации об уязвимых местах и способах защиты способствует принятию адекватных мер обесеспечения безопасности. Источники подобных сведений – книги, журналы, Web-серверы и т.п. Однако администратор безопасности не всегда имеет достаточное количество времени для поиска необходимых сведений в этом море информации. Поэтому при выборе системы защиты необходимо учитывать  возможности обеспечения последующей информационной поддержки.

      Пятый этап – периодический аудит системы информационной безопасности. Корпоративная сеть является постоянно изменяющейся структурой: появляются новые серверы и рабочие станции, меняется программное обеспечение и его настройки, состав  информации, персонал, работающий в организации, и т.д. Все это приводит к тому, что степень защищенности системы постоянно изменяется и, что наиболее опасно, снижается.

      Чтобы адаптировать систему информационной безопасности к новым условиям работы, необходимо отслеживать изменения  и своевременно реагировать на них. Многие работы по анализу состояния  защищенности корпоративной сети могут  быть выполнены при помощи специальных программных средств, например Internet Scanner и System Security Scanner из семейства SAFESUITE корпорации Internet Security Systems Inc. Такие программные средства существенно облегчают работу администратора безопасности по поиску ошибок в настройках и выявлению критичного программного обеспечения, а также позволяют в автоматизированном режиме отслеживать состояние корпоративной сети, своевременно обнаруживать и устранять возможные источники проблем.

      Составной частью работ пятого этапа является корректировка Плана защиты в соответствии с реальным состоянием корпоративной сети, поскольку самая совершенная схема рано или поздно устаревает и становится препятствием на пути совершенствования технологии обработки данных.

      Следует помнить, что не существует стандартных решений, одинаково хорошо работающих в разных условиях. Всегда возможны и необходимы дополнения к рассмотренному общему плану организации защиты корпоративной сети, учитывающие особые условия той или иной организации. Однако реализация комплекса рассмотренных мероприятий с учетом возможных дополнений способна обеспечить достаточный уровень защищенности информации в корпоративной сети.