2.3.6 Базовые стандарты обеспечения информационной безопасности.

Во многих информационных системах требования к безопасности не являются жесткими: недоступность системы может составлять несколько десятков часов в год, степень конфиденциальности сведений не очень высока. Примерами таких систем являются практически все офисные системы коммерческих структур, системы поддержки принятия решений для приложений, где не требуется высокая оперативность. Такого рода системы используются повсеместно. Практические правила обеспечения режима безопасности в таких системах обычно основываются концепции базового уровня информационной безопасности.

Базовый уровень обеспечивается совокупностью проверенных практикой правил обеспечения безопасности на всех этапах жизненного цикла информационной технологии. Эти правила носят комплексный характер, т.е. охватывает правовой, административный, процедурный, инженерный и программно-технический уровень и все этапы жизненного цикла объекта / технологии. Ориентация на проверенные стандартные решения обеспечивает низкую трудоемкость организации безопасности. Однако при этом не всегда удается получить оценку параметров, характеризующих используемый режим безопасности, и возможна потеря из вида специфических для конкретной информационной системы угроз. Требования к базовому уровню безопасности информационных технологий определяются с помощью специальных нормативных документов.

Первой удачной попыткой в этой области стал британский стандарт В8 7799 «Практические правила управления информационной безопасностью», в котором обобщен опыт обеспечения режима безопасности в информационных системах. Впоследствии было опубликовано несколько аналогичных нормативных документов различных организаций и ведомств, таких например как немецкий стандарт В81, ведомственный стандарт КА8А «Безопасность информационных технологий», «Федеральные критерии безопасных информационных технологий» США, нормативные документы гостехкомиссии России, «Канадские критерии оценки безопасности компьютерных продуктов» и т.п. Практика подготовки и использования таких документов обобщена в международном стандарте ИСО/МЭК - 15408 под названием «Критерии оценки безопасности информационных технологий», более известном как «общие критерии». Принципы обеспечения базового уровня информационной безопасности удобнее рассмотреть на примере стандарта В8 7799, поскольку в нем они представлены наиболее удачно для очень большого класса систем, не требующих повышенных мер безопасности.

Документ В8 7799 «Управление информационной безопасностью» состоит из двух частей, которые рассматриваются параллельно и идентифицируются метками «часть 1» и «часть 2».

В части 1 «Практические рекомендации» (1995г.) определяются и рассматриваются следующие аспекты безопасности:

• политика безопасности;

• организация защиты;

• классификация и управление информационными ресурсами;

• управление персоналом;

• физическая безопасность;

• администрирование компьютерных систем и сетей;

• управление доступом к системам;

• разработка и сопровождение систем;

• планирование бесперебойной работы организации;

• проверка системы на соответствие требованиям безопасности.

В части 2 «Спецификация системы» (1998г.) рассматриваются эти же аспекты точки зрения сертификации информационной системы на соответствие требованиям стандарта.

Рассмотрим более подробно содержание стандарта и его частей.

1. Политика безопасности

Цель первого раздела состоит в формулировке цели и обеспечении поддержки мер в области безопасности со стороны руководства организации.

В части 1 указывается, что высшее руководство должно поставить четкую цель и показать свою поддержку и заинтересованность в вопросах безопасности, распространении политики безопасности среди сотрудников организации.

Документ, в котором изложена политика безопасности, должен быть доступен всем сотрудникам, ответственным за обеспечение режима безопасности, В документе должно присутствовать определение безопасности, причины по которым безопасность имеет большое значение для организации, цели и задачи безопасности, допускающие возможность измерения.

В части 2 формальных требований к политике безопасности не предъявляется.

2. Организация защиты

Инфраструктура безопасности. Цель в управлении безопасностью организации.

В части 1 указывается на необходимость создания соответствующей структуры управления, целесообразность регулярного проведения совещаний, распределения обязанностей по обеспечению защиты и координации действий по поддержанию режима безопасности. Рекомендуется также привлекать в случае необходимости консультантов и наладить контакты с аналогичными специалистами других организаций,

В части 2 обращается внимание на требования проведения независимого тестирования.

Обеспечение безопасности при доступе сторонних пользователей и организации. Цель в обеспечении безопасности информационных ресурсов организации, к которым имеют доступ посторонние.

В части 1 указывается не целесообразность проведения анализа рисков нарушения защиты и определить требования к средствам контроля. Эти средства согласуются и определяются в договоре, заключенном со сторонней организацией.

В части 2 обращается внимание на необходимость анализа договорных требований и проверки их выполнения.

3. Классификация ресурсов и их контроль.

Ответственность за ресурсы. Цель в обеспечении надлежащей защиты ресурсов организации.

В части 1 указывается на необходимость учета всех основных информационных ресурсов и закреплении за ними ответственных, а также назначение ответственных за реализацию защитных мер.

В части 2 предписывается при проведении аудита проверить список ресурсов, где должны быть проставлены - тип ресурса; серийный номер; ответственный; уровень конфиденциальности; местонахождение; носители данных; дата ввода и контрольной проверки.

Классификация информации. Цель в обеспечении надлежащей защиты ресурсов организации.

В части 1 обращается внимание на задание приоритетов путем классификации информации по категориям критичности, которые позволят определить уровни ее защиты и уведомить пользователей о необходимости специального обращения с критичной информацией.

В части 2 содержится указание убедиться при аудите, что классификация по категориям критичности является четкой и полной, соответствует политике безопасности, понимается сотрудниками и периодически пересматривается.

4. Управление персоналом

Вопросы безопасности в должностных инструкциях ло доступу к ресурсам. Цель в уменьшении риска ошибок персонала, краж, мошенничества или незаконного использования ресурсов.

В части 1 содержатся напоминания о необходимости учета аспектов безопасности при наборе персонала, включении их в должностные инструкции и договоры и контроле в течении времени работы сотрудника.

Руководители должны убедиться, что в должностных инструкциях отражена вся присущая данной должности ответственность за безопасность. Следует проверить принимаемых на работу лиц, особенно если они будут работать с критической информацией. Весь персонал организации и пользователь информационных ресурсов сторонних организаций должны подписать обязательство о конфиденциальности (неразглашении).

В части 2 подтверждается для аудита необходимость проверки должностных инструкций персонала и отбора кандидатов на должности, связанные с доступом к критически важной информации.

Обучение пользователей. Цель - убедиться, что пользователи осведомлены об угрозах нарушения режима безопасности и понимают значение защиты, имеют навыки выполнения процедур обеспечения безопасности.

В части 1 указывается, что пользователи должны быть обучены процедурам защиты и правильному обращению с информационными ресурсами, и что необходимо в письменной форме утвердить права и ограничения пользователей на доступ к информации.

В части 2 содержатся требования проверки указаний части 1.

Реагирование на события, таящие угрозу безопасности. Цель -минимизация ущерба от нарушения режима безопасности и недопущение повторных инцидентов.

В части 1 предписывается правило о немедленном сообщении по административным каналам о нарушениях режима безопасности в форме, установленной для данной организации.

Должна быть предусмотрена процедура дисциплинарных взысканий на сотрудников, нарушающих режим безопасности.

В части 2 содержится напоминание аудиторам о проверке наличия определения факта нарушения безопасности и ознакомления с этим определением персонала.

5. Физическая безопасность

Зоны безопасности. Цель в предотвращении несанкционированного доступа к вычислительным ресурсам, их повреждения и вмешательства в работу.

В части 1 уточняется, что все критически важные или уязвимые сервисы организации - должны размещаться в защищенных местах. Рекомендуется также подготовить правила использования документации на рабочем месте для уменьшения риска несанкционированного доступа или повреждения документации.

В части 2 для аудиторов содержится напоминание о контроле размещения критически важных ресурсов в зонах безопасности с соответствующим пропускным режимом.

Защита оборудования. Цель в предотвращении потери повреждения оборудования и ресурсов, а также перебоев в работе организации.

В части 1 говориться о физической защите основного и вспомогательного оборудования, от несанкционированного доступа и других угроз, В части 2 обращается внимание аудиторов на проверку физической защиты основного и вспомогательного оборудования внутри и вне здания организации.

6. Администрирование информационных систем

Правила эксплуатации и ответственные за их соблюдение. Цель в обеспечении правильной и надежной работы информационных систем.

В части 1 указывается на необходимость определения обязанностей и процедур по администрированию и обеспечению функционирования компьютеров и сетей. Они фиксируются в инструкциях и процедурах реагирования на инциденты. Для уменьшения риска некорректных или несанкционированных действий следует использовать принципы разделения обязанностей.

В части 2 аудиторам предписывается проверка правил эксплуатации, разработки, сопровождения и тестирования и должного порядка их документирования.

Проектирование информационных систем и их приемка. Цель в сведении риска отказов информационных систем к минимуму.

В части 1 указывается на то, что для уменьшения риска перегрузки систем, следует планировать их загрузку, должным образом документировать эксплуатационные требования и предусматривать требования перехода к аварийному режиму сервисов, поддерживающих несколько приложений.

В части 2 для аудиторов предписывается проверка критериев приемки информационных систем, оценка их производительности, а также планов восстановительных работ.

Защита от вредоносного программного обеспечения. Цель в обеспечении целостности программ.

В части 1 рекомендуется принятие соответствующих мер предосторожности для предотвращения и выявления случаев вредоносного программного обеспечения.

В части 2 для аудиторов содержится напоминание по контролю должного документирования и принятия мер предосторожности и регистрации случаев заражения.

Обслуживание систем. Цель в обеспечении целостности и доступности информационных сервисов.

В части 1 рекомендуется для поддержания целостности и доступности сервисов формировать стандартные процедуры резервного копирования, регистрация событий и сбоев, контроль условий функционирования оборудования.

В части 2 аудиторов призывают убеждаться в соответствии процедур резервного копирования требованиям безопасности организации.

Сетевое администрирование. Цель в обеспечении защищенности информации в сети.

В части 1 заостряется внимание на управлении безопасностью сетей, отдельные фрагменты которых находятся за пределами организации, и могут потребовать специальных мер.

В части 2 аудиторов призывают к проверке защитных мер, применяемых в организации.

Защита носителей информации. Цель в предотвращении повреждений информационных ресурсов и перебоев в работе организации.

В части 1 содержится требование контроля носителей информации и обеспечения их физической защиты, путем определения процедур защиты носителей информации, входных/выходных данных и системной документации от повреждения, хищения и несанкционированного доступа.

В части 2 обращается внимание аудиторов на проверку процедур контроля и режима хранения носителей информации.

Обмен данными и программным обеспечением. Цель в предотвращении потерь, модификации и несанкционированного использования данных.

В части 1 указывается на необходимость осуществления обмена данными и программами между организациями на основе формальных соглашений, установленных процедур и стандартов электронного обмена данными.

В части 2 для аудиторов приводится требование проверки существующих мер защиты электронного обмена данными, мер безопасности внутреннего электронного документооборота.

7. Управление доступом.

Управление доступом к служебной информации. Цель в обеспечении контроля доступа к информации. В части 1 рекомендуется принятие правил распространения информации и разграничения доступа.

В части 2 аудиторам предписывается осуществление соответствия контроля правил доступа к информации существующей производственной необходимости.

Управление доступом пользователей. Цель в предотвращении несанкционированного доступа к информационной системе.

В части 1 обращается внимание на установление формальных процедур, включающих в себя все жизненные циклы управления доступа пользователей - от начальной регистрации до удаления учетных записей пользователей, для которых доступ закрывается. Особое внимание рекомендуется уделить «суперпользовательским» правам, позволяющим обойти средства системного контроля.

В части 2 аудиторам рекомендуется контролировать процедуры регистрации на предмет соответствия установленным, особо для использования особых полномочий.

Обязанности пользователей. Цель в предотвращении несанкционированного доступа пользователей.

В части 1 рекомендуется оказывать помощь зарегистрированным пользователям в части использования паролей и защиты пользовательского оборудования при должном исполнении ими своих обязанностей и физического их выполнения.

Управление доступом к сети. Цель в предотвращении несанкционированного доступа к сервисам, включенным в сеть.

В части 1 указывается на необходимость контроля интерфейсов между сетевыми сервисами, механизмов аутентификации удаленных пользователей и оборудования, доступа пользователей к информационным системам.

В части 2 для аудиторов содержится предложение проверки доступа пользователей только к тем сервисам, которые им необходимы.

Управление доступом к компьютерам. Цель в предотвращении несанкционированного доступа к компьютерам.

В части 1 акцентируется, что доступ следует предоставлять только зарегистрированным пользователям. Многопользовательские системы должны:

• идентифицировать и проверять подлинность пользователей, а при необходимости устанавливать терминал и/или местонахождение пользователей;

• фиксировать удачные и неудачные попытки входа;

• предоставлять систему управления паролями, которая обеспечивает выбор надежных паролей;

• при необходимости ограничивать длительность сеансов работы.

В части 2 указывается аудиторам проверять использование парольной защиты, идентификацию терминалов, систем сигнализации несанкционированного доступа.

Управление доступом к приложениям. Цель в предотвращении несанкционированного доступа к информации, хранимой в информационных системах.

В части 1 предписывается для управления доступа к прикладным системам использовать средства логического контроля доступа. Прикладные системы должны:

• контролировать доступ пользователей к данным и приложениям в соответствии с политикой безопасности организации;

• обеспечивать защиту от несанкционированного доступа утилит, способных обойти средства системного контроля;

• не нарушать защиту систем, имеющих общие информационные ресурсы.

В части 2 аудиторам рекомендуется проверять существующие ограничения на доступ.

Слежение за доступом к системам и их использованием. Цель в выявлении несанкционированных действий. В части 1 должна проводиться проверка управления доступом в режиме текущего контроля. В части 2 содержится предписание о проверке соответствия управления доступом существующей практике.

8. Разработка и сопровождение информационных систем

Требования к безопасности систем. Цель - обеспечение встраивания средств защиты в охраняемые системы.

В части 1 упоминается, что требования к безопасности должны быть определены и согласованы до разработки информационных систем. Средства защиты оказываются более дешевыми и эффективными, если они предусмотрены на стадиях задания требований и проектирования. Все требования к безопасности, включая аварийный режим, следует определять на стадии подготовки требований к проекту, обосновывать, согласовывать и документировать в рамках общего плана по созданию информационной системы.

В части 2 указывается, что аудиторы должны убедиться, что на стадии проектирования был проведен анализ вопросов безопасности.

Средства обеспечения безопасности в прикладных системах. Цель - предотвратить потерю, модификацию и несанкционированное использование данных в прикладных системах.

В части 1 содержатся рекомендации по использованию стандартов базового уровня защищенности при проектировании и эксплуатации систем. Для систем, поддерживающих исключительно важные ресурсы.

возможно принятие дополнительных мер безопасности после идентификации угроз и возможных последствий их реализации,

В части 2 для аудиторов рекомендуется убедиться в обеспечении базового уровня безопасности, в использовании шифровки и механизмов проверки подлинности сообщений для особо ценной информации.

Защита файлов. Цель в обеспечении информационной безопасности при разработке и поддержке в охраняемых системах. В части 1 указывается на необходимость контроля доступа к системным файлам. Поддержание целостности прикладных систем должно стать обязанностью пользователя или группы разработки.

В части 2 аудиторам предписывается выяснить, как устанавливаются и тестируются новые версии, регистрируются изменения, хранятся рабочие версии программного обеспечения.

Безопасность в среде разработки и эксплуатационной среде. Цель в обеспечении информационной безопасности прикладного программного обеспечения и данных.

В части 1 есть напоминание о необходимости жесткого контроля среди разработки и эксплуатации, чтобы те нововведения не нарушали безопасность среди разработки и эксплуатации

В части 2 аудиторов призывают к проверке процедур контроля на всех этапах жизненного цикла.

9. Планирование бесперебойной работы организации

Вопросы планирования бесперебойной работы организации. Цель в составлении планов предотвращения перебоев в работе организации.

В части 1 говорится о том, что для защиты критически важных производственных процессов от последствий крупных аварий и катастроф необходимо иметь планы обеспечения бесперебойной работы организации, быстрое восстановление критически важных производственных процессов и сервисов. Планирование бесперебойной работы должна включать меры по идентификации и уменьшению рисков, ликвидации последствий реализации угроз и быстрому восстановлению основных процессов и сервисов.

В части 2 аудиторам предписывается проверка общих принципов имеющихся планов бесперебойной работы организации и практики их использования.

10. Проверка системы на соответствие требования безопасности.

Выполнение требований законодательства. Цель в исключении нарушений договорных обязательств.

В части 1 указывается на необходимость учета правовых и договорных обязательств по безопасности при сопровождении и использовании информационных систем. Требования должны определяться и документироваться. Требуется определить и документировать выбранные средства контроля.

В части 2 аудиторам предписывается проверка соблюдения норм действующего законодательства, а также мер по защите важных документов и личной информации.

Проверка режима безопасности на соответствие политике безопасности. Цель в установлении соответствия режима безопасности политике и стандартам безопасности организации.

В части 1 указывается на необходимость регулярной проверки состояния безопасности и соответствие режима декларированной политике безопасности и принятым стандартам.

В части 2 аудиторам напоминается о регулярном контроле всех стх>рон деятельности, имеющих отношение к безопасности, и степени их соответствия политике безопасности.

Меры безопасности при тестировании. Цель в минимизации вмешательства в процесс тестирования и воздействие тестирования на штатную работу.

В части 1 обращается внимание на необходимость подготовки средств для защиты рабочих и тестируемых систем. В части 2 аудиторов ориентируют на проверку наличия планов тестирования и организации доступа к инструментальным средствам тестирования. Особенностью описанного подхода является декларация некоторых общих принципов, которые следует конкретизировать применительно к исследуемым объектам/ технологиям, и проведение сертификации на соответствие объекта/технологии стандарту. Объем стандарта сравнительно невелик (около 120 страниц). Для выполнения работ по стандартам требуется высокая квалификация специалистов, осуществляющих проверку на соответствие требованиям стандарта. В стандарте недостаточно учитывается специфика современных распределенных систем.

Несколько другой подход реализуется германским стандартом ВSI «Руководство по защите информационных технологий для базового уровня» (1998г.) В структуру стандартов входят следующие блоки:

• Методология управления ИБ (организации менеджмента в области ИБ, методология использования Руководства).

• Компоненты информационных технологий:

• Каталоги угроз безопасности и контрмер (около 600 наименований в каждом каталоге). Каталоги структурированы следующим образом. Угрозы по классам:

• форс-мажорные обстоятельства; недостатки организационных мер;

• ошибки человека; технические неисправности; преднамеренные действия.

• Контрмеры по классам:

• улучшение инфраструктуры; административные контрмеры; процедурные контрмеры;

• программно-технические контрмеры; уменьшение уязвимости коммуникаций;

• планирование действий в чрезвычайных ситуациях.

Все компоненты рассматриваются по следующему плану: общее описание, возможные сценарии угроз безопасности (перечисляются применимые к данной компоненте угрозы из каталога безопасности), возможные контрмеры (перечисляются возможные контрмеры из каталога контрмер). В стандарте акцентируется внимание на рассмотрении «частных случаев» - различных элементов информационных технологий с учетом специфики различных элементов» особенно современных технологий. Документ выполнен в формате гипертекстовой структуры, что позволяет оперативно вносить изменения и корректировать связи между частями стандарта. Однако все множество включенных в стандарт элементов

современных технологий, представлено на разном уровне детализации. Это заставляет вводить неучтенные новые разделы как «прочее», в которых в общем виде рассматриваются менее распространенные элементы.

Нормативные документы, регламентирующие порядок оценки и рекомендаций по ИБ предприятия. Международные стандарты ISO 17 799 (BSS 7799) международный “Управление информационной безопасностью – Информационные технологии. - Information technology- Information security management”

ISO 15408, ISO 9001:9002, BSI (Германия).