304 Глава 5

Перечень необходимых мер защиты конфиденциальной информации

должен определяться дифференцированно в зависимости от

конкретного объекта защиты информации и условий его расположения.

Компания Ernst&Young рекомендует комплекс мероприятий по

обеспечению информационной безопасности организации:

• подписание договора о неразглашении служащими, поставщиками

и нанятыми по контракту работниками;

• регулярное создание резервных копий информации, хранящейся

на мобильных компьютерах;

• регламентацию правил зафузки информации в мобильные

компьютеры и правил использования информации;

• запрещение пользователям оставлять на рабочих местах памятки,

содержащие идентификаторы и пароли доступа в корпоративную

сеть;

• запрещение оставлять на корпусах мобильных компьютеров

памятки, содержащие идентификаторы и пароли, применяемые для

удаленного доступа;

• запрещение использовать доступ к Интернету в личных целях;

• обязательное применение пароля на загрузку компьютеров;

• создание классификации всех данных по категориям важности

и усиление контроля над ограничением доступа в соответствии с ней;

• предотвращение доступа ко всем компьютерным системам по

окончании рабочего дня;

• введение правил использования паролей доступа к файлам, содержащим

информацию ограниченного доступа.

В результате созданная система обеспечения информационной

безопасности должна обеспечить:

• пресечение попыток несанкционированного получения информации

и доступа к управлению автоматизированной системой;

• пресечение и выявление попыток несанкционированной модификации

информации;

• пресечение и выявление попыток уничтожения или подмены

(фальсификации) информации;

• пресечение и выявление попыток несанкционированного распространения

или нарушения информационной безопасности;

• ликвидацию последствий успешной реализации угроз информационной

безопасности;

Информационная безопасность

• выявление и нейтрализацию проявившихся и потенциально

возможных дестабилизирующих факторов и каналов утечки информации;

• определение лиц, виновных в проявлении дестабилизирующих

факторов и возникновении каналов утечки информации, и привлечение

их к ответственности определенного вида (уголовной или административной).

5.4. Идентификационные системы

Проблема разграничения доступа к информации в корпоративных

системах существовала с самого начала их функционирования.

Самым простым и привычным средством идентификации пользователей

на сегодняшний день пока остается парольный доступ к системе.

Однако нельзя гарантированно утверждать, что пароль является

абсолютно надежной защитой от проникновения злоумышленников в

хранилище информации - будь то жесткий диск локального компьютера

или сетевые устройства хранения информации. Даже если в организации

существует строгая политика по длине пароля и частоте

его обновления, подобные организационно-административные меры

не исключают случаев компрометации паролей. Причина тому весьма

проста - некоторые сотрудники никак не могут запомнить свои

пароли. Для выхода из этой ситуации сотрудники организаций, чтобы

упростить запоминание паролей, часто задают в качестве пароля

какое-нибудь простое слово, набор повторяющихся цифр или символов,

собственное имя или что-либо подобное. Такие пароли могут

быть "взломаны" за минимальный срок. Существующая статистика

показывает, что в стандартном домене операционной системы применение

простейшей программы подбора пароля так называемым

методом "грубой силы" способно в течение суток предоставить злоумышленнику

до 90% всех паролей пользователей. Иногда, чтобы

особенно "не напрягаться", пользователи применяют одинаковый

пароль ко всем информационным системам, доступ к которым им

разрешен. В этом случае, узнав всего один пароль, злоумышленник

получит доступ ко всему информационному пространству, в принципе

доступному данному пользователю: и в корпоративную сеть, и в

систему электронной почты, и в финансовую систему организации.