Тема 11 Безпека інформаційних систем

10.1 Інформаційна політика

Те, що інформація має цінність, люди усвідомили давно. Інформацію продукують, зберігають, транспортують, купують, продають, а отже, фальшують і крадуть. Саме тому інформацію потрібно захищати.

На нинішній час захист інформації - достатньо розвинута галузь науки і техніки, що пропонує на ринку широкий спектр різноманітних засобів для захисту даних. Проте жоден з них окремо взятий не в змозі гарантувати адекватну безпеку інформаційної системи. Надійний захист можливий лише за умови проведення комплексу взаємодоповнюючих заходів. Можна виділити три основні складові такого комплексу:

• нормативно-правові засоби;

• адміністративні заходи;

• спеціальне обладнання та програмне забезпечення.

Слід завважити, що безпеку інформаційних систем не можна купити, її треба постійно підтримувати: контролювати, модернізувати та оновлювати. Займатися цими питаннями в першу чергу повинні керівники підприємств, відділи інформаційної безпеки, ІТ-менеджери або принаймні системні адміністратори.

Незважаючи на те, що політика безпеки повинна розроблятись індивідуально для кожної конкретної інформаційної системи, існує ряд рекомендацій, які можна вважати загальними і керуватися ними, організуючи захист будь-яких інформаційних систем. Ці рекомендації опубліковані в документі RFC 2196 „Site Security Handbook " (Інструкція з безпеки Систем), що є складовою частиною документів RFC (Request for Comment), які визначають стандарти і процедури для Internet.

RFC 2196 дає таке визначення політики безпеки: Політика безпеки - це формальний виклад правил, яких повинні дотримуватися особи, що одержують доступ до корпоративних технологій та інформації.

Відповідно до RFC 2196 можна виділити такі чотири етапи побудови політики безпеки:

• реєстрація всіх ресурсів, які повинні бути захищені;

• аналіз та створення списків можливих загроз для кожного ресурсу;

• оцінка ймовірності появи кожної загрози;

• прийняття рішень, які дозволять економічно ефективно захистити інформаційну систему.

Далі розглянемо кожен з цих етапів.

Перелік об'єктів, що можуть підлягати захисту включає:

• апаратне забезпечення: сервери різних служб, маршрутизатори, комутатори концентратори, канали зв'язку, термінали, робочі станції, персональні комп'ютери, принтери, дисководи, CD/CD-RW приводи;

• програмне забезпечення: прикладне програмне забезпечення, різні системні утиліти, „дірки" в операційних системах і комунікаційному програмному забезпеченні, лістінги коду програм, що використовуються;

• дані: збережені в реальному режимі, резервні копії і архіви, системні записи і аудит („логи"), бази даних, паролі та записи обліку користувачів (user accounts);

• персонал: користувачі, системні адміністратори, техніки;

• документація: інструкції до різного обладнання, журнали системних адміністраторів, контракти, угоди, технічні завдання;

• витратні матеріали: папір, друковані бланки, магнітні та оптичні носії інформації.

Другим кроком при розробці політики безпеки є визначення переліку потенційних загроз, від яких треба захищати об'єкти. Нижче наводиться список класичних загроз:

• несанкціонований доступ до ресурсів і/або інформації;

• ненавмисне розкриття інформації (наприклад, випадкове ознайомлення з паролем);

• відмова в обслуговуванні користувачів інформаційної системи тими чи іншими видами сервісу - мережевими, WWW, e-mail та іншими;

• різні види атак, що дозволяють проникнути в мережу або перехопити управління мережею;

• комп’ютерні віруси, і тому числі - мережеві хробаки, що модифікують і знищують інформацію або блокують роботу обчислювальних систем;

• логічні бомби - набори команд, що записуються в програму і спрацьовують за певних умов, наприклад, через визначений інтервал часу;

• „троянські коні" - програми, що виконують певні дії без відома власника зараженої системи, наприклад, відсилають через Інтернет із зараженого комп'ютера різну інформацію, включаючи паролі зареєстрованих користувачів;

• засоби пригальмовування обміну даними в мережах;

• природні катаклізми.

Крім того, потрібно пам'ятати, що методи та засоби вторгнень в інформаційні системи постійно розвиваються. В результаті можна стверджувати, що стовідсотковий захист від усіх типів загроз забезпечити неможливо.

Далі потрібно оцінити ймовірність появи кожної загрози та можливі втрати (збитки) за її появи. В результаті такого аналізу всі можливі загрози можна класифікувати як незначні, небезпечні та критичні для цієї інформаційної системи.

Сама собою система безпеки інформаційної системи не приносить прибутку, проте її відсутність може бути причиною великих збитків. Прикладами можливих збитків є:

• втрата конфіденційності (несанкціонований доступ);

• втрата даних (спотворення або знищення файлів);

• відмова в обслуговуванні користувачів системою;

• втрата репутації.

Останнє може призвести до відмови користувачів бути клієнтами цієї інформаційної системи. Найважче оцінити фінансові збитки від того, що якась кількість клієнтів після злому покинуть компанію, а потенційні клієнти не оберуть її. В результаті компанії рідко повідомляють про вторгнення в їхні інформаційні системи та крадіжки даних.

На останньому етапі здійснюється вибір загроз, від яких буде реалізовуватись захист, обсягів та черговості робіт. Визначаючи загрози, для яких буде створюватись захист, необхідно брати до уваги і затрати на його реалізацію. Серед них, наприклад, матеріальні затрати на купівлю обладнання та програмного забезпечення, затрати на шифрування й дешифрування. Витрати на захист від кожної загрози мають бути адекватні можливим наслідкам цієї загрози з врахуванням ймовірності їх появи.

Вартість засобів захисту від певного виду загроз не повинна перевищувати втрат, до яких може спричинити ця загроза, в тому числі і втрат на відновлення інформаційної системи.

Тільки реалізуючи повною мірою необхідний внесок у захист на кожному перерахованому вище етапі, можна впевнено почувати себе при роботі з інформаційними ресурсами.