Этапы построения системы безопасности ИС

Концепция информационной безопасности определяет этапы по­строения системы информационной безопасности в соответствии со стандартизованным жизненным циклом ИС. Рассмотрим кратко содержание отдельных этапов.

1) Аудит безопасности. Аудит безопасности может включать в себя, по крайней мере, четыре различных группы работ.

К первой группе относятся так называемые тестовые взломы ИС. Эти тесты применяются, как правило, на начальных стадиях обследо­вания защищенности ИС.

Вторая группа — экспресс-обследование. В рамках этой, обычно непродолжительной работы оценивается общее состояние механизмов безопасности в обследуемой ИС на основе стандартизованных прове­рок. Ос­нову для экспресс-обследования составляют списки контрольных вопросов, заполняемые в результате как интервьюирования, так и тестовой работы автомати­зированных сканеров защищенности.

Третья группа работ по аудиту — аттестация систем на соответ­ствие требованиям защищенности информационных ресурсов. При этом происходит формальная проверка набора требований как орга­низационного, так и технического аспектов, рассматриваются полно­та и достаточность реализации механизмов безопасности. Тестирование может производиться вручную или с использо­ванием специализированных программных средств. Один из современных и быстро развивающихся методов автомати­зации процессов анализа и контроля защищенности распределенных компьютерных систем — использование технологии интеллектуальных программных агентов. На каждую из контролируемых систем устанав­ливается программный агент, который выполняет соответствующие настройки ПО, проверяет их правильность, контролирует целостность файлов, своевременность установки обновлений, а также решает дру­гие задачи по контролю защищенности ИС.

Четвертая группа — предпроектное обследование — самый трудо­емкий вариант аудита. Такой аудит предполагает анализ организаци­онной структуры предприятия в приложении к ИБ, правила доступа сотрудников к тем или иным приложениям. Затем выполняется ана­лиз самих приложений. После этого должны учитываться конкретные службы доступа с одного уровня на другой, а также службы, необхо­димые для информационного обмена. Затем картина дополняется встроенными механизмами безопасности, что в сочетании с оценками потерь в случае нарушения ИБ дает основания для ранжирования рис­ков, существующих в ИС, и выработки адекватных контрмер.

2) Проектирование системы. В настоящее время сложились два под­хода к построению системы ИБ: продуктовый и проектный. В рамках продуктового подхода выбирается набор средств физической, техни­ческой и программной защиты (готовое решение), анализируются их функции, а на основе анализа функций определяется политика досту­па в рабочие и технологические помещения, к информационным ре­сурсам. Можно поступать наоборот: вначале прорабатывается поли­тика доступа, на основе которой определяются функции, необходимые для ее реализации, и производится выбор средств и продуктов, обес­печивающих выполнение этих функций. Выбор методов зависит от конкретных условий деятельности организации, ее местонахождения, расположения помещений, состава подсистем ИС, совокупности ре­шаемых задач, требований к системе защиты и т.д. Продуктовый под­ход более дешев с точки зрения затрат на проектирование. Кроме того, в некоторых случаях он является единственно возможным в условиях дефицита решений или жестких требований нормативных докумен­тов на государственном уровне (например, для криптографической защиты в сетях специального назначения и правительственных теле­фонных сетях применяется только такой подход).

Проектный подход заведомо более полон, и решения, построенные на его основе, более оптимизированы и проще аттестуемы. Он предпочтительнее и при со­здании больших распределенных систем, поскольку в отличие от продуктового подхода не связан изначально с той или иной платформой. Кроме того, он обеспечивает более «долгоживущие» ре­шения, поскольку допускает проведение замены продуктов и решений без изменения политики доступа. Это, в свою очередь, обеспечивает хороший показатель возврата инвестиций (ROI) при развитии ИС и системы ИБ.

3) Проектирование архитектуры системы безопасности. При проектировании архитектуры си­стемы информационной безопасности применяются объектный, при­кладной или смешанный подходы.

Объектный подход строит защиту информации на основании фи­зической структуры того или иного объекта (здания, подразделения, предприятия). Применение объектного подхода предполагает исполь­зование набора универсальных решений для обеспечения механизмов безопасности, поддерживающих однородный набор организационных мер. К его недостаткам от­носятся очевидная неполнота универсальных механизмов, особенно для организаций с большим набором сложно связанных между собой приложений.

Прикладной подход «привязывает» механизмы безопасности к кон­кретному приложению. Пример такого подхода — защита подсистемы либо отдельных зон автоматизации (бухгалтерия, склад, кадры, про­ектное бюро, аналитический отдел, отделы маркетинга и продаж и т.д.). При большей полноте защитных мер такого подхода у него имеются и недостатки, а именно: необходимо увязывать различные по функцио­нальным возможностям средства безопасности для минимизации зат­рат на администрирование и эксплуатацию, а также задействовать уже существующие средства защиты информации для сохранения инвес­тиций.

Возможна комбинация двух описанных подходов. В смешанном подходе ИС представляется как совокупность объектов, для каждого из которых применен объектный подход, а для совокупности взаимо­связанных объектов — прикладной. Такая методика оказывается бо­лее трудоемкой на стадии проектирования, однако часто дает хорошую экономию средств при внедрении, эксплуатации и сопровождении системы защиты информации.

4) Создание служб и механизмов безопасности. Стратегию защиты можно ре­ализовать двумя методами: ресурсным и сервисным. Первый метод рассматривает ИС как набор ресурсов, которые «привязываются» к конкретным компонентам системы ИБ. Этот метод хорош для неболь­ших ИС с ограниченным набором задач. При расширении круга задач и разрастании ИС приходится во многом дублировать элементы за­щиты для однотипных ресурсов, что часто приводит к неоправданным затратам. Сервисный подход трактует ИС как набор служб, программных и телекоммуникационных сервисов для оказания услуг пользова­телям. В этом случае один и тот же элемент защиты можно использо­вать для различных сервисов, построенных на одном и том же ПО или техническом устройстве. Сегодня сервисный подход представляется предпочтительным, поскольку он предполагает строгий функциональ­ный анализ существующих многочисленных служб, обеспечивающих функционирование ИС, и позволяет исключить широкий класс угроз при помощи отказа от «лишних» служб и оптимизации работы остав­шихся, делая структуру системы ИБ логически обоснованной.

5) Внедрение и аттестация. Этап внедрения включает в себя комп­лекс последовательно проводимых мероприятий, в том числе установку и конфигурирование средств защиты, обучение персонала работе со средствами защиты, проведение предварительных испытаний и сдачу в опытную эксплуатацию. Опытная эксплуатация позволяет выявить и устранить возможные недостатки функционирования подсистемы информационной безопасности, прежде чем запустить систему в «бо­евой» режим. Если в процессе опытной эксплуатации выявлены фак­ты некорректной работы компонентов, проводят корректировку на­строек средств защиты, режимов их функционирования и т.п. Далее следу­ет проведение приемо-сдаточных испытаний, ввод в штатную эксплу­атацию и оказание технической поддержки и сопровождения.

Подтверждение функциональной полноты системы безопасности и обеспечения требуемого уровня защищенности ИС обеспечивается проведением аттестации системы ИБ соответствующим аккредитован­ным центром Гостехкомиссии России или зарубежной независимой лабораторией. Аттестация предусматривает комплексную проверку защищаемого объекта в реальных условиях эксплуатации для оценки соответствия применяемого комплекса мер и средств защиты требуе­мому уровню безопасности. По результатам проверки готовится отчетная документация, про­водится оценка результатов испытаний и выдается аттестат соответ­ствия установленного образца. Его наличие дает право обработки ин­формации со степенью конфиденциальности и на период времени, ус­тановленными в аттестате.

6) Техническая поддержка и сопровождение. Для поддержания ра­ботоспособности подсистемы информационной безопасности и беспе­ребойного выполнения ей своих функций необходимо предусмотреть комплекс мероприятий по технической поддержке и сопровождению программного и аппаратного обеспечения подсистемы информацион­ной безопасности, включая текущее администрирование, работы, про­водимые в экстренных случаях, а также периодически проводимые про­филактические работы. Техническая поддержка и сопровождение системы информацион­ной безопасности требует наличия у обслуживающего персонала оп­ределенных знаний и навыков и может осуществляться как штатными сотрудниками организации — владельца ИС, ответственными за ин­формационную безопасность, так и сотрудниками специализирован­ных организаций.

1. [1] Информационные технологии и технологии в экономике и управлении: учебник. Под ред.В.В.Трофимова.-М.: Высшее образование, 2006
2. Козырев А.А. Информационные технологии в экономике и управлении. Учебник СПб. Изд-во Михайлова В.А., 2000.