Защита информации

     Содержание 
 
 
 

 

1. Типовые политики безопасности на основе анализа угроз  системе

 

     Политика  безопасности организации может  состоять из принципов безопасности и директив для организации в  целом. Политика безопасности организации должна отражать более широкий круг аспектов политики организации, включая аспекты, которые касаются прав личности, законодательных требований и стандартов.

     Политика  информационной безопасности может  содержать принципы и директивы, специфичные для защиты чувствительной и ценной или иной важной для организации информации. Содержащиеся в ней принципы строятся на основе принципов политики безопасности и, таким образом, согласованы с ними.

     Политика  безопасности ИТТ организации должна отражать существенные принципы безопасности ИТТ и директивы, применимые к политике безопасности и политике информационной безопасности, и порядок использования ИТТ в организации.

     Политика  безопасности ИТТ должна отражать принципы безопасности и директивы, содержащиеся в политике безопасности ИТТ организации. Она должна также содержать детали особых требований безопасности и защитных мер, подлежащих реализации, и процедуры правильного использования защитных мер для обеспечения адекватной безопасности. Во всех случаях важно, чтобы принятый подход был эффективен в отношении потребностей бизнеса организации.

     В некоторых случаях политика безопасности ИТТ может быть включена в состав технической и управленческой политики организации, которые вместе составляют основу политики ИТТ. Эта политика должна содержать несколько убедительных положений важности безопасности, если она необходима для соблюдения данной политики. Пример иерархических отношений, которые могут возникать между политиками, показан на рисунке 3. Вне зависимости от организационной структуры или документации, принятой в организации, важно, чтобы учитывались различные стороны политики и поддерживалась их согласованность.

     

     Рисунок 1. Иерархия политик

     Другие  более детальные политики безопасности требуются для специфических  систем и услуг или групп ИТТ  и услуг. Эти политики обычно известны как политики безопасности ИТТ. С  позиций управления очень важно, чтобы их предмет и границы были ясны и базировались одновременно на бизнес-требованиях и технических требованиях.

 

2. Организационные требования к системам защиты информации

 

     Организационные требования к системе зашиты предусматривают  реализацию совокупности административных и процедурных мероприятий.

   Требования  по обеспечению сохранности должны выполняться прежде всего на административном уровне. Организационные мероприятия, проводимые с целью повышения эффективности защиты информации, должны предусматривать следующие процедуры:

• ограничение несопровождаемого доступа к вычислительной системе (регистрация и сопровождение посетителей);
• осуществление контроля за изменением в системе программного обеспечения;
• выполнение тестирования и верификации изменений в системе программного обеспечения и программах зашиты;
• организацию и поддержку взаимного контроля за выполнением правил защиты данных;
• ограничение привилегии персонала, обслуживающего ИС;
• осуществление записи протокола о доступе к системе;
• гарантию компетентности обслуживающего персонала;
• разработку последовательного подхода к обеспечению сохранности информации для всей организации;
• организацию четкой работы службы ленточной и дисковой библиотек;
• комплектование основного персонала на базе интегральных оценок и твердых знаний;
• организацию системы обучения и повышения квалификации обслуживающего персонала.

  С точки зрения обеспечения доступа  к ИС необходимо выполнить следующие процедурные мероприятия:

• разработать и утвердить письменные инструкции на загрузку и остановку работы операционной системы;
• контролировать использование магнитных лент, дисков, карт, листингов, порядок изменения программного обеспечения и доведение этих изменений до пользователя;
• разработать процедуру восстановления системы при отказах;
• установить политику ограничений при разрешенных визитах в вычислительный центр и определить объем выдаваемой информации;
• разработать систему протоколирования использования ЭВМ, ввода данных и вывода результатов;
• обеспечить проведение периодической чистки архивов и хранилищ носителей информации для исключения и ликвидации неиспользуемых;

     • поддерживать документацию вычислительного центра в соответствии с установленными стандартами. 
 

 

3. Принципы  организации и  контроля системы  защиты

 

     Настройка средств защиты, управление системой защиты и осуществление контроля функционирования ИС — все это составляющие одной задачи — реализации политики безопасности.

     Управление  средствами защиты включает в себя несколько задач, и их правильное решение способствует успешному  функционированию ИС в целом. При этом, как правило, ни одна из крайностей — тотальная защита или полное ее отсутствие — не способствует оптимальной работе.

     Настройка средств защиты информации необходима для приведения их в соответствие с разработанным планом. При настройке  добавленных средств защиты необходимо особое внимание уделить вопросам проверки их совместимости с используемыми прикладными программами.

     Управление  системой защиты состоит в периодическом  внесении изменений в базу данных защиты, содержащую сведения о пользователях, допущенных к работе в системе, их правах доступа к различным объектам системы и др.

     Особое  внимание при управлении системой защиты необходимо обратить на:

     — документированность всех изменений  в базе данных защиты. Лучше всего  организовать систему заявок от должностных лиц организации на разрешение доступа тому или иному сотруднику организации к какому-либо ресурсу системы. При этом ответственность за допуск сотрудника возлагается на соответствующее лицо, подписавшее заявку;

     — периодическое резервное копирование базы данных защиты во избежание утраты их актуальной копии в случае сбоя (отказа) оборудования.

     Контроль  над функционированием ИС заключается  в слежении за опасными событиями, анализе  причин, которые привели к их возникновению, и устранении последствий.

     Как правило, задачи управления и контроля решаются административной группой, личный и количественный состав которой  зависит от конкретных условий. Обычно в эту группу входят: администратор  безопасности, менеджер безопасности и операторы. Далее мы более подробно рассмотрим характеристики этой административной группы и функциональные обязанности входящих в нее сотрудников.

     Обеспечение и контроль безопасности представляют собой комбинацию технических и  административных мер. По данным, взятым из зарубежных источников, у сотрудников административной группы обычно 1/3 времени занимает техническая работа (управление программами и другими средствами контроля доступа, защита портов, криптозащита и т. д.) и около 2/3 — административная (разработка документов, связанных с защитой ИС, процедур проверки системы защиты и т. д.).

     Рациональное  сочетание этих мер помогает поддерживать адекватную защиту ИС и способствует уменьшению вероятности нарушений  политики безопасности.

     Администратор безопасности среднего и крупного банка на техническую работу тратит более 60% своего времени, а оставшиеся 40% уходят на решение административных задач. Это объясняется тем, что:

     — количество сотрудников, входящих в  административную группу, недостаточно для выполнения всех возложенных  на группу обязанностей. Такое положение дел следует из недооценки руководящим составом организации роли и места обеспечения безопасности собственной ИС;

     — производятся частые изменения программных  средств, предназначенных для обработки  информации (до 3–5 раз за одну неделю). Это связано с тем, что, как правило, крупные коммерческие банки содержат собственный штат программистов. А программисты находят и устраняют ошибки в программном обеспечении или дорабатывают программы в соответствии с требованиями аналитиков банка и затем обновляют программы;

     — периодически изменяется штатно-должностное  расписание (приходят новые сотрудники, уходят старые). Это приводит к тому, что иногда приходится за неделю добавлять (удалять) в систему (из системы)

     5–7  пользователей. Если система невелика — все не так сложно, а если ежедневно в ней работает одновременно более 100 человек с более чем 200 программными модулями, половина из которых обновляется, задача становится неимоверно тяжелой;

     — отсутствуют программные средства, облегчающие деятельность администратора, поэтому администраторам приходится либо мириться с такой ситуацией, либо разрабатывать необходимые программные средства.

 

4. Электронные цифровые подписи

 

     Электронная цифровая подпись (ЭЦП) – это набор методов, которые позволяют перенести свойства рукописной подписи под документом в область электронного документооборота. Реальная подпись обладает следующими свойствами:

1. достоверностью, утверждающей, что пользователь сознательно подписал документ;
2. неподдельностью, доказывающей, что конкретный пользователь, а никто другой за него подписал документ;
3. невозможностью повторного использования подписи под одним документом для подписи другого;
4. неизменностью подписанного документа;
5. материальностью подписи, не дающей возможности подписавшему впоследствии отказаться от нее и от документа.

     Электронная цифровая подпись, построенная  на алгоритме RSA (рис.2).

     

     Рис.2. Цифровая подпись, построенная на алгоритме RSA 

     В отличие от алгоритма шифрования, отправителем здесь является владелец пары закрытый/открытый ключ. Процедура формирования электронной подписи sign под сообщением схожа с шифрованием документа, но в степень закрытого ключа d по вычету n возводится не само сообщение или его части, а дайджест сообщения h. Неотъемлемой частью алгоритмов ЭЦП является хэширование информации, на рисунке оно обозначено через H(), и это может быть любой из алгоритмов хэширования.

     Сообщение m с подписью sign будет однозначно аутентифицировано. Злоумышленник не сможет подменить сообщение m (точнее,ему будет очень трудно это сделать), поскольку ему необходимо вместо сообщения m подставить другое сообщение m’, удовлетворяющее его и имеющее такое же значение хэш-функции, что и у m, что является на сегодня вычислительно трудной задачей. По этой же причине злоумышленник не сможет применить перехваченную подпись sign для подписи другого документа, поскольку для другого документа будет получено иное значение хэш-функции h,а оно лежит в основе подписи.

     Таким образом, все необходимые свойства подписи описанным алгоритмом обеспечиваются, что же касается криптостойкости метода ЭЦП, то онаопределяется криптостойкостью используемого асимметричного криптографического метода и функции однонаправленного шифрования. Необходимо отметить также, что само сообщение m передается в открытом виде. Для того, чтобы обеспечить конфиденциальность передаваемой в нем информации, требуется использование дополнительного шифрования по симметричной или асимметричной схеме (при этом шифрование на ключе d конфиденциальности не обеспечит, поскольку сообщение может быть расшифровано открытым ключом e).