5.2. Аж мен ат басқаруда ақпараттарды қорғау түрлері, әдістері мен құралдары

5.2.1. АЖ қауіпсіздігіне баға

Пайдалану жағдайында ААТ қауіпсіздігі деп ішкі және сыртқы АЖ қорғалу жағдайы түсініледі.

АЖ қорғанысының көрсеткіштері – қорғаныс жіктеріне байланысты тереңдігі мен деңгейі бойынша түрлендірілген, анықталған талаптар тобымен сипатталатын және қорғанысына әсер ететін құралдар жүйесінің сипаттамасы.

АЖ қауіпсіздігі жағдайын шынайы бағалау үшін әр түрлі өлшемдер қолданылуы мүмкін. Отандық және шет елдік тәжірибе талдауы түрлі елдердегі АЖ қауіпсіздігі жағдайын анықтауда жалпы бірдей анықталған көзқарастар бар екенін көрсетті. Пайдаланушыға бағалау мүмкіндігін ұсыну үшін кейбір көрсеткіштер жүйесі ендіріледі және қауіпсіздік жіктерінің иерархия тәртібі беріледі. Әрбір жікке міндетті қызметтердің анықталған жиынтығы сәйкес келеді. Іріктелген өлшемдердің жүзеге асу дәрежесі қауіпсіздіктің ағымдағы жағдайын көрсетеді. Кейінгі әрекеттер шынайы қауіптердің шынайы қауіпсіздік жағдайымен салыстырылуына алып келеді.

Егер шынайы жағдай толық көлемде қауіптерді жабатын болса, онда қауіпсіздік жүйесі сенімді деп есептеледі және қосымша шараларды талап етпейді. Мұндай жүйені қауіптер мен ақпараттардың ағынының арналарын толық жабулы жүйелердің жіктеріне жатқызуға болады. Қарсы жағдайда қауіпсіздік жүйесі қорғаныстың қосымша шараларына мұқтаж болады.

Қауіпсіздік саясаты – бұл негізінде басқару, қорғаныс және құпия ақпараттарды бөлу құрылатын заңдардың, ережелердің және практикалық тәжірибелердің жиынтығы.

Қауіпсіздік жіктеріне талдау ол жоғарылаған сайын оның жүйеге талаптары қатаң болатынын көрсетеді.

Ақпараттарды қорғау аумағындағы басқарушы құжаттарды Қазақстан Республикасының Президенті жанындағы Мемлекеттік техникалық комиссия әзірлеген. Бұл құжаттардың талаптары мемлекеттік сектор ұйымдарына не мемлекеттік құпияны мазмұндайтын ақпараттарды өңдейтін коммерциялық ұйымдарға орындауға міндетті болып табылады.

5.2.2. Ақпараттық қауіпсіздік жүйесін (ақж) құру құралдары мен әдістері. Ақж құрылымы

АЖ мен АТ ақпараттың қауіпсіздік жүйесін құру мына тұжырымдарға негізделеді (2-тарауды қара): жүйелік тәсіл,жүйенің үздіксіз даму тұжырымы, өкілеттіліктерді бөлу және шағындау,бақылаудың толықтығы және әрекетті тіркеу, қорғаныс жүйелерінің сенімділігін қамтамасыз ету, қорғаныс жүйесінің қызметіне бақылауды қамтамасыз ету, зияндары бар программалармен күрестің барлық құралдарын қамтамасыз ету, экономикалық мақсаттылықты қамтамасыз ету.

Ақпараттардың қауіпсіздігі мәселелерін шешу нәтижесінде қазіргі заманғы АЖ мен АТ мынадай негізгі белгілерді иеленуі тиіс:

• әр түрлі дәрежедегі құпия ақпараттардың болуын;

• мәліметтерді беруде әр түрлі дәрежедегі құпия ақпараттарды криптографиялық (шартты белгілермен жазылған) қорғауды қамтамасыз ету;

• АЖ мен АТ компоненттеріне және программаларға қолжетімділіктің өкілетті субьектілерінің иерархиялылығы (файл-серверлерге, байланыс арналарына және т.б.);

• оқшауланған желілерде де, сондай-ақ байланыс арналары бойынша алыс қашықтыққа ақпарат ағындарын міндетті басқару;

• АЖ оқиғаларды және басылып шығатын құжаттарға санкцияланбаған қолжетімділігі әрекеттерінің есебі және тіркеу тетігінің болуы;

• АТ ақпараттардың және программалық қамтамасыз етудің міндетті тұтастығы;

• ақпаратты қорғау жүйесін орнына келтіру құралдарының болуы;

• магнитті жеткізушілердің міндетті есебі;

• есептеу техникасы құралдары мен магнитті жеткізушілер құралдарының нақтылы күзетінің болуы;

• ақпараттық қауіпсіздік жүйесінің арнайы қызметінің болуы.

АҚЖ құрылымын қарастыруда дәстүрлі тәсіл – қамтамасыз етуші қосымша жүйелердің бөлінуі мүмкін. Ақпараттық қауіпсіздік жүйесінде, кез келген АЖ сияқты, өзінің мақсатты міндетін орындауға қабілетті, тіреу болатын өзіндік қамтамасыз етудің анықталған түрлері болуы тиіс. АҚЖ осы есептен мынадай қамтамасыз ету түрлері болуы тиіс (2-тарауды қара): заңдық, ұйымдастырушылық, ақпаратты, техникалық (аппараттық), программалық, математикалық, лингвистикалық, нормативті-әдістемелік.

Нормативті-әдістемелік қамтамасыз ету заңдықпен бірігуі мүмкін, оған қызметтер, құралдар, ақпаратты қорғау міндетін жүзеге асырушы органдар қызметінің кестелері мен нормалары; құпияны сақтаудың қатаң талаптары жағдайында өзінің жұмысын орындауда пайдаланушылардың қызметін қамтамасыз ететін түрлі текті әдістер енеді.

Қазіргі уақытта қорғаныс шараларының барлық түрінен ұйымдастырушылық шаралар жетекші рөл атқарады. Сондықтан қауіпсіздіктің ұйымдастыру мәселесін бөліп көрсеткен жөн. Қауіпсіздік саясатын жүзеге асыру АТ қызметінің бақылауын жүзеге асыруда жәнеқорғаныс жүйесін басқаруда, қорғаныс құралдарын күйге келтіруді талап етеді. Әдетте, басқару міндеттері мен бақылауды нақтылы шаралар байланысты болатын әкімшілік тобы, құрамы және көлемі шешеді. Осы топқа көбінесе қауіпсіздік әкімгері, қауіпсіздік менеджері және операторлар кіреді.

Қауіпсіздікті қамтамасыз ету мен бақылау техникалық және әкімшілік шаралардың қосындысын ұсынады. Шет ел негіздерінің мәліметтеріне сүйенсек, әкімшілік топтың қызметкерлерінің 1/3 уақытын және әкімшіліктің 2/3-уақытын (АТ қорғанысымен байланыст ы құжаттарды әзірлеу, қорғаныс жүйесін тексеру үдерістері және т.б.) техникалық жұмыс алады. Бұл шаралардың саналы үйлесуі қауіпсіздік саясатын бұзудың ықтималдығын азайтуға әсер етеді.

Әкімшілік топты кейде ақпараттық қауіпсіздік тобы деп те атайды. Бұл топ ішкі машиналық ақпараттық қамтамасыз етуді қамту бөлімімен, яғни ДБн әкімгермен тұтасып ұйымдастырылуы мүмкін. Бірақ көбінесе, ол АЖ өзін басқарумен айналысатын барлық бөлімдер немесе топтардан, мүмкін болатын мүдделер тоғысуынан қашу үшін жүйеге басқа міндеттермен қатысатын және программаланумен ерекшеленеді.

Ақпараттарды қорғау бойынша нормативтер мен стандарттар ақпараттық жүйенің өзі қамтитын қосымша жүйелерге дәстүрлі енетін, компоненттердің қатарын құратын талаптарды, яғни АЖ мен АҚЖ қосымша жүйелері қамтитын бірігуге ұмтылыстың болуы туралы айтуға болады.

Оның жарқын мысалы ПҚ АЖ жүйелік негіздері – операциялық жүйелердің пайдалану қызметі болуы мүмкін. Әр түрлі елдерде АЖ қорғаныс ақауларын жіктейтін және талдайтын көптеген зерттеулер орындалуда. АЖқорғанысының негізгі кемшіліктері операциялық жүйелерге (ОЖ) бағытталғаны, айқындалуда. Қорғалған ОЖ пайдалану қазіргі заманның АЖ құрудың маңызды шарттарының бірі болып табылады. Әсіресе, оқшауланған және жаһанданған желілермен бағдарланған жұмыстарда, ОЖ талаптары аса маңызды.Интернеттің дамуы ОЖ қорғауын әзірлеуге ерекше күшті әсер етті. Желілік технологияның дамуы желілік компоненттердің көп сандарының пайда болуына алып келді. Желілік программалануды қамтамасыз етуге талаптардың есебінсіз сертификация өткен жүйелер қазіргі уақытта желілік айналымда жиі қолданылады және Интернетке қосылады. Бұл қорғалған есептеу жүйелерінің сетификациялануы кезінде байқалмаған ақаулардың пайда болуына алып келіп, ОЖ үздіксіз жетілдірілуін талап етеді.

ААЖ-дегі ақпараттардың қауіпсіздігін сақтауды қамтамасыз етудің әдістері мен құралдары жалпыланған және жеңілдетілген түрде 5.1-суретінде бейнеленген.

Кедергілер – қорғалатын ақпаратқа (аппаратураға, ақпаратты жеткізушілерге және т.б.) қаскүнемнің жолдарын нақтылы бөгеу әдістері.

Қолжетімділікті басқару – АЖ мен АТ барлық ресурстарының пайдаланылуын реттеумен ақпаратты қорғау әдістері. Бұл әдістер ақпаратқа санкцияланбаған қолжетімділіктің барлық мүмкін жолдарына қарсы тұруы тиіс. Бұдан басқа, қолжетімділікті басқаруға мынадай қорғаныс қызметтері енеді:

• жүйе ресурстары мен қызметкерлердің, пайдаланушылардың идентификациясы (әрбір обьектіге жеке идентификатор меншіктеу);

• оларға ұсынылған идентификатор бойынша пайдаланушының түпнұсқалығын бекіту, тану үшін аутентификация (түпнұсқалық теңестіру);

• өкілеттіліктерді тексеру (аптаның күнінің, тәуліктің уақытының сәйкестігін тексеру, сұралатын ресурстар мен бекітілген тәртіптемеге сәйкес келуі);

• бекітілген тәртіптемелер шегінде жұмыс жағдайларын құру және рұқсат алу;

• қорғалатын ресурстарға айналымдарды тіркеу (хаттамалау);

• санкцияланбаған әрекеттер кезінде керісінше жауап қайтару (дабыл қою, алып тастау, жұмыстарды кешіктіру, сұранысынан бас тарту және т.б.).

Қазіргі уақытта компьютерлік желіге авторланбаған енулерді болдырмау үшін қиыстырылған тәсіл қолданыла бастады: пароль+ пайдаланушының жеке кілті бойынша идентификация. Кілт пластикалық карта (магнитті немесе құрастырылған шағын сызбалы – смарт-карта) немесе биометрикалық ақпараттар – көздің сыртқы мөлдір қабығы, саусақ беджерлері, қолдың білезігінің мөлшері және т.б. бойынша тұлғаның идентификациялары үшін әр түрлі құрылғылар. Смарт-карталарды оқитын және арнайы программалық қамтамасыз ету құрылғылармен жарақтандырылған серверлер және желілік жұмыс станциялары санкцияланбаған қолжетімділіктен қорғаныс дәрежесін маңызды жоғарылатады.

Шифрлау – ақпараттарды криптографиялық жабу. Қорғаныстың бұл әдістері көбінесе магнитті жеткізушілердегі ақпараттарды сақтауда да, өңдеуде де жиі қолданылады. Ақпараттарды көп қашықтықты байланыс арналары бойынша бергенде осы әдіс қана нақтылы сенімді болып табылады.

Зиянды программалардың шабуылдарына қарсы әрекет – антивирусты программаны пайдалану бойынша және ұйымдастырушылық сипатты әр түрлі шаралардың кешені. Қабылданатын шаралардың мақсаттары: ААЖ зақымдану ықтималдығын азайту; жүйенің зақымдану фактілерін айқындау; ақпараттық инфекциялардың салдарын азайту; вирустарды оқшаулау немесе жою; АЖ ақпараттарды қалпына келтіру.Ұйымдастырушылық шараларының және программалық қорғаныс құралдарының пайдаланылуының мүмкін тізімдемесінің көптігі соншалдықты, осы шаралар мен құралдарды меңгеру арнайы әдебиеттермен танысуды талап етеді. [3;8].

Тәртіп белгілеу – көп дәрежеде қорғаныс бойынша орындалатын стандарттар мен нормаларда қорғалатын ақпараттарды беру және сақтау, автоматты өңдеу жағдайларын құру.

Лажсыздық – қорғаныстың мұндай әдісінде АЖ пайдаланушысы мен қызметкерлері өңдеу, беру және қорғалатын ақпараттарды пайдалану ережелерін материалдық, әкімшілік немесе қылмыстық жауапкершілік қаупінен сақтауға мәжбүр болады.

Талаптану – қорғаныстың осындай әдісі АЖ қызметкерлері мен пайдаланушыларын қалыптасқан моралдық және этикалық нормаларды сақтау есебінен бекітілген тәртіпті бұзбауға талаптандырады.

Барлық техникалық құралдардың жиынтығы аппараттық және физикалық деп екіге бөлінеді.

Аппараттық құралдар – стандарттық интерфейс бойынша онымен ілесетін құрылғылар немесе есептеу техникасына құрастырылатын құрылғылар.

Физикалық құралдарға заңға қарсы әрекеттерден ақпараттарды қаржыларды және материалдық құралдарды, қызметкерлердің (жеке қауіпсіздік құралдары) қорғанысын жүзеге асыратын және қорғаныс обьектісіне қасмкүнемдердің нақтылы енуіне кедергі жасайтын түрлі ғимараттар мен инженерлік құрылғылар. Физикалық құралдардың мысалдары мыналар: есіктегі кілт, терезелердегі торлар, электронды күзеттің дабылдық құралдары және т.б.

Программалық құралдар – АЖ ақпаратты қорғауға арналған бағдарламалық кешендер мен арнайы программалар.

ПҚ қорғаныс жүйесі құралдарынан тағы да шифрлау (криптографиялық) тетіктерді жүзеге асыратын программалық құралдарды бөліп көрсетеміз. Криптография – бұл берілетін хабарламалардың аутентиялығын (түпнұсқалығын) және/немесе құпиялығын қамтамасыз ету туралы ғылым.

Ұйымдастырушылық құралдары АЖ өндірістік қызметіне тәртіп беліглеуде және нормативті-құқықтық негізде орындаушылардың өзара қатынасында өзінің кешенін жүзеге асырады, сөйтіп, құпия ақпаратты жариялау, ағыны және санкцияланбаған қолжетімділік ұйымдастырушылық шараларының жүргізілуі есебінен мүмкін болмайды немесе қиындатылады. Бұл шаралардың кешені ақпараттық қауіпсіздік тобымен жүзеге асырылады, бірақ ол ұйымның басшысының бақылауында болуы тиіс.

Қорғаныстың заңдық құралдары осы ережелерді бұзуға жауапты шараларды бекітумен және ақпаратты беруге шектелген қолжетімділікке және өңдеу, пайдалану ережелеріне тәртіп белгілейтінелдің заңдық актілерімен анықталады.

Қорғаныстың моралды-этикалық құралдарына АЖ мен АТ елде және әлемде немесе арнайы әзірленген таралу шаралары бойынша қатпарланады, ертеректе дәстүрлі қалыптасқан барлық мүмкін болатын тәртіп нормалары ендіріледі. Моралды-этикалық нормалар, жазылмаған (мысалы, әділдік) не ережелер немесе ұйғарымдар жинағында (жарғыда) ресімделген болуы мүмкін. Бұл нормалар, әдетте, заңдық бекітілген болып табылмайды, бірақ олдарды сақтамау ұйымның абыройының түсуіне алып келетіндіктен, олар орындау үшін міндетті болып табылады. Мұндай ұйғарымдардың жарқын мысалы «АҚШ ЭЕМ Пайдаланушылар ассоциациясының мүшелерінің кәсіби мінез-құлқының Кодексі» болып табылады.