Создание инфраструктуры информационной безопасности

Основой для создания инфраструктуры информационной безопасности служит разработка политики в области информационной безопасности и свода организационно-распорядительных документов. Эти документы, основанные на международном законодательстве, законах и нормативных актах государства, дают необходимую правовую базу службам безопасности и отделам защиты информации для проведения всего спектра защитных мероприятий, взаимодействия с внешними организациями, привлечения к ответственности нарушителей и т. п.

Формирование политики информационной безопасности должно сводиться к следующим практическим шагам.

1. Определение и разработка руководящих документов и стандартов в области информационной безопасности, а также основных положений политики информационной безопасности, включая:

• принципы администрирования системы информационной безопасности и управление доступом к вычислительным и телекоммуникационным средствам, программам и информационным ресурсам, а также доступом в помещения, где они располагаются;

• принципы контроля состояния систем защиты информации, способы информирования об инцидентах в области информационной безопасности и выработку корректирующих мер, направленных на устранение угроз;

• принципы использования информационных ресурсов персоналом компании и внешними пользователями;

• организацию антивирусной защиты и защиты против несанкционированного доступа и действий хакеров;

• вопросы резервного копирования данных и информации;

• порядок проведения профилактических, ремонтных и восстановительных работ;

• программу обучения и повышения квалификации персонала.

2. Разработка методологии выявления и оценки угроз и рисков их осуществления, определение подходов к управлению рисками: является ли достаточным базовый уровень защищенности или требуется проводить полный вариант анализа рисков.

3. Структуризация контрмер по уровням требований к безопасности.

4. Порядок сертификации на соответствие стандартам в области информационной безопасности. Должна быть определена периодичность проведения совещаний по тематике информационной безопасности на уровне руководства, включая периодический пересмотр положений политики информационной безопасности, а также порядок обучения всех категорий пользователей информационной системы по вопросам информационной безопасности.

Средства защиты информации

Условно можно выделить три категории средств защиты – традиционные средства, новые технологии и средства криптографической защиты информации. Криптографические средства вынесены в отдельную категорию, потому что они являют собой совершенно особый класс защитных средств, который не может быть отнесен к какому-либо другому классу.

1. К традиционным средствам защиты можно отнести системы разграничения доступа и межсетевые экраны (брандмауэры).

Первые средства реализуют разграничение доступа конкретных пользователей к ресурсам конкретного компьютера или всей сети, а вторые - разграничивают доступ между двумя участками сети с различными требованиями по безопасности.

2. Новые технологии и различные механизмы защиты были разработаны для устранения недостатков и особенностей традиционных средств защиты. Широкое распространение среди новых технологий получили анализ защищенности и обнаружение атак.

Анализ защищенности заключается в поиске в вычислительной системе и ее компонентах различных уязвимых мест, которые могут стать мишенью для реализации атак и возможности несанкционированного проникновения в компьютерные сети и системы.

Обнаружение атак – это новая технология, которая получила распространение в последние годы. Ее отличительная особенность состоит в обнаружении любых атак, в том числе исходящих и от авторизованных пользователей, и пропускаемых межсетевыми экранами и средствами разграничения доступа.

3. Криптографические средства предназначены для защиты критически важных данных от несанкционированного прочтения и/или модификации. Криптография – это совокупность технических, математических, алгоритмических и программных методов преобразования данных (шифрование данных), которая делает их бесполезными для любого пользователя, у которого нет ключа для расшифровки.

Криптографические преобразования обеспечивают решение следующих базовых задач защиты – конфиденциальности (невозможности прочитать данные и извлечь полезную информацию) и целостности (невозможности модифицировать данные для изменения смысла или внесения ложной информации).

Технологии криптографии позволяют реализовать следующие процессы информационной защиты:

• идентификация (отождествление) объекта или субъекта сети или информационной системы;

• аутентификация (проверка подлинности) объекта или субъекта сети;

• контроль/разграничение доступа к ресурсам локальной сети или внесетевым сервисам;

• обеспечение и контроль целостности данных.

Эти средства обеспечивают достаточно высокий уровень защищенности информации, однако существует специфика их использования, связанная с действиями государственных органов и не позволяющая широко применять их в коммерческом секторе.