2.2. Умовний кошторис проведення робіт по забезпеченню режиму інформаційної безпеки.

Кошторис складемо в умовних витратних одиницях (УВО).

Технічні засоби і заходи:

- придбання контейнерів типа Mobil rack , 2-3 шт. по 10-15 УВО;

- виготовлення нестандартних роз’ємів зовнішніх інтерфейсів (LPT) і ключів до них, 7-9 УВО за комплект;

- придбання комп’ютера-маршрутизатора і мережних апаратних засобів до нього, 700-1000 УВО;

- придбання зовнішнього накопичувача з інтерфейсом LPT, 140-175 УВО.

- відключення накопичувачів на змінних носіях, зовнішніх інтерфейсних роз’єднувачів, за потребою;

- виготовлення і установка обладнання для опечатання корпусів комп'ютерів, контейнерів з вінчестерами, виготовлення (закупівля) пеналів для зберігання ключів роз’ємів LPT, за потребою;

- установка на вікнах в приміщеннях з комп'ютерами захисних жалюзі, за потребою;

- органолептичний контроль наявності сторонніх закладок на робочих станціях мережі, 2-4 УВО на робоче місце.

Програмні засоби:

- установка і конфігурація програмного забезпечення маршрутизатора і брандмауера, 200 УВО;

- розробка, установка, конфігурація засобів об’єктивного контролю робочих місць мережі, 4 УВО на робоче місце;

- установка і конфігурація POP/SMTP і HTTP серверів і засобів об’єктивного контролю на них, 100 УВО;

- конфігурація системи розмежування доступу користувачів, 50 УВО;

- установка і конфігурація системи типу расket sniffer для роботи в режимі сканування мережі, 150 УВО;

- установка системи моніторингу руху пакетів в корпоративній мережі і доступу до критичної інформації, 60 УВО;

- придбання антивіруса AVP з річною підпискою, 100 УВО

- придбання антивіруса DoctorWEB, за потребою

- установка і конфігурація засобів шифрування даних, за потребою.

Далі перейдемо до розгляду процедур проектування системи інформаційної безпеки центрів обробки викликів та контакт-центрів.

2.3. Комплексна система інформаційної безпеки центрів обробки викликів

Модель безпеки центра обробки викликів. Мета захисту ЦОВ полягає у виконанні норм, заходів та дій, спрямованих на запобігання шкоди і/або збитків у разі реалізації загрози чи у разі атаки на інформаційну безпеку. Захист здійснюється комплексною системою захисту (КСЗ) ЦОВ, яка складається з правового, організаційно-методичного, технічного, програмного, інформаційного та математичного забезпечень, що запобігають або суттєво утруднюють завдання шкоди функціонуванню ЦОВ.

Політика безпеки ЦОВ або стандартний функціональний профіль захищеності оброблюваної інформації [28] повинні визначатись відповідно до чинної нормативно-правової бази та відповідати категоріям за ознакою режиму доступу інформації, яка обробляється у ЦОВ. У ЦОВ обробляється: інформація споживачів і множина даних телекомунікаційних та інформаційних послуг; технологічна інформація та інформація, необхідна для керування ЦОВ; інформація, необхідна для захисту ЦОВ. Підрозділи оператора зв’язку отримують та обробляють сотні й тисячі звернень клієнтів, генерують великий обсяг службової інформації.

Головним об’єктом загроз у ЦОВ є телекомунікаційні й інформаційні послуги, інформація споживачів, технологічна інформація КСЗ та технологічна інформація щодо адміністрування та керування обчислювальною системою ЦОВ і засобами обробки інформації – дані про мережні адреси, імена, персональні ідентифікатори та паролі користувачів (тут і далі користувачі – це персонал ЦОВ, на відміну від споживачів послуг ЦОВ), їхні повноваження та права доступу до об’єктів, інформація журналів реєстрації дій користувачів, інша інформація баз даних захисту, встановлені робочі параметри окремих механізмів або засобів захисту, інформація про профілі обладнання та режими його функціонування, робочі параметри функціонального ПЗ тощо. Технологічна інформація призначена для використання тільки уповноваженими користувачами: співробітниками служби безпеки ЦОВ та персоналом, що забезпечує його функціонування.

КСЗ має забезпечувати реалізацію вимог із захисту цілісності та доступності загальнодоступної інформації, що, циркулює в ЦОВ, телекомунікаційних та інформаційних послуг. Одночасно, має забезпечуватись конфіденційність та цілісність технологічної інформації, інформації керування та захисту ЦОВ. Забезпечення цілісності інформації полягає у забезпеченні її повноти, точності та достовірності. Забезпечення доступності полягає у наданні доступу до інформації за наявності відповідних повноважень. Забезпечення конфіденційності полягає у запобіганні несанкціонованому розпорядженню та використанню інформаційних ресурсів ЦОВ.

Технологія оброблення інформації має відповідати вимогам політики безпеки інформації, визначеної для ЦОВ. Вимоги щодо забезпечення цілісності загальнодоступної інформації ЦОВ та конфіденційності й цілісності технологічної інформації вимагають застосування технологій, що забезпечують реалізацію контрольованого і санкціонованого доступу до інформації та заборону неконтрольованої й несанкціонованої її модифікації. Технологія оброблення інформації має бути здатною реалізовувати можливість виявлення спроб несанкціонованого доступу до інформації ЦОВ та процесів, які з цією інформацією пов’язані, а також забезпечити реєстрацію в системному журналі визначених політикою відповідної послуги безпеки подій – як НСД, так і авторизованих звернень. Технологічними процесами має бути реалізована можливість створення резервних копій інформації WEB-сторінки та процедури їх відновлення з використанням резервних копій. Технологія оброблення інформації має передбачати можливість аналізу використання користувачами і процесами обчислювальних ресурсів автоматизованої системи і забезпечувати керування ресурсами.

Технічне, програмне, інформаційне забезпечення комплексної системи захисту ЦОВ повинні вирішувати дві основні задачі технічного захисту інформації ЦОВ: захист фізичного середовища ЦОВ; захист обчислювальної мережі ЦОВ. Загроза безпеці обчислювальної мережі ЦОВ визначається як потенційна можливість порушення безпеки функціональних та інформаційних об’єктів та ресурсів ЦОВ. Джерела загроз безпеці ЦОВ є: споживачі послуг ЦОВ; адміністратори ЦОВ; сторонні особи; спряжена телефонна мережа загального користування; програмні та технічні засоби, які реалізують функціональні об’єкти ЦОВ; техногенні аварії; стихійні лиха. Програмно-апаратні засоби захисту, що входять до складу КСЗ ЦОВ, повинні мати належним чином оформлені документи – експертні висновки, сертифікати, які засвідчують відповідність цих засобів вимогам нормативних документів системи ТЗІ.

З урахуванням типових характеристик середовищ функціонування та особливостей технологічних процесів оброблення інформації мінімально необхідний функціональний профіль можна вибрати по аналогії з нормативним документом [29]: КА-2, ЦА-1, ЦО-1, ДВ-1, ДР-1, НР-2, НИ-2, НК-1, НО-1, НЦ-1, НТ-1. Функціональний профіль захисту обирається відповідно до вимог рівня захищеності інформації.

Організаційно-методичні заходи та норми в ЦОВ мають забезпечити проведення визначеної в ЦОВ політики безпеки. Проведення політики безпеки полягає у безперервності процесу оцінювання ризику від реалізації загроз ЦОВ та мінімізації можливої або заподіяної шкоди з прийнятним рівнем витрат.

Інфраструктура ЦОВ складає окремий від телекомунікаційної мережі – домен безпеки, де під доменом безпеки розуміються об’єкти та учасники, що є суб’єктами однієї політики безпеки і однієї адміністрації безпеки. До рівня безпеки ЦОВ ставляться більш високі вимоги, ніж до цифрових телекомунікаційних мереж.

Характерними загрозами для ЦОВ є: перехоплення, ознайомлення зі змістом несанкціонованим споживачем і/або користувачем локально або віддалено; вилучення інформації, послуги або її частини, внесення невиявлених перекручень; маскараду – намагання особи відіграти роль іншої особи, приміром, при платних послугах; порушення зв’язку, недопущення взаємодії з ЦОВ або затримка інформації послуги; відмова від функціонування, випадкове або зловмисне використання об’єкта в нештатних режимах, повторний розиграш. Крім того, телекомунікаційне середовище оператора зв’язку підтримується популярними, але часто слабо захищеними, протоколами та інтерфейсами взаємодії – TCP/IP, FTAM, CMIP, SNMP, FTP, HTTP, SMTP, X25, RS232 тощо.

З боку телефонної мережі загального користування та мереж інших операторів загрозами (групами загроз) для ЦОВ можуть бути такі [30]:

маскування під логічний об’єкт;

спотворення або модифікація даних (споживача, користувача, з оплати, маршрутизації);

перехоплення даних, приміром для отримання інформації споживача;

відмова оператора зв’язку від того, що функціональний об’єкт передав чи отримав дані щодо оплати або іншу інформацію;

маскування, при якому зловмисник отримує несанкціонований доступ до послуг, а його рахунки сплачує інший споживач;

відмова у наданні послуги;

відмова абонента від з’єднання та інших виконаних ним дій;

неправильні дані з оплати; неправильні дані щодо взаєморозрахунків тощо.

Крім того, групу загроз обумовлюють невиконання вимог до безпеки проведення оперативно-розшукових заходів (закон України “Про телекомунікації”, стаття 39, п. 4) та моніторингу телекомунікацій. Для всіх дій моніторингу мають бути забезпечені конфіденційність, цілісність та готовність [31]. При цьому, конфіденційність передбачає не тільки захист від розкриття зашифрованої інформації, але й приховання факту моніторингу. Всі функціональні об’єкти та інтерфейси, що відносяться до моніторингу, мають бути захищені від несанкціонованого доступу, розкриття та модифікації даних, що зберігаються та передаються.

Наслідками впливу загроз можуть бути: збитки внаслідок шахрайства, відтік клієнтів внаслідок втрати довіри до служби з боку споживачів, втрати внаслідок порушення персональних даних, втрати конфіденційності, штрафи за порушення законів, втрати споживачів у оплаті тощо.

Модель захисту інформаційних ресурсів ЦОВ розробляється на стадії технічного проектування. Вибір моделі захисту являє собою рішення задачі з мінімізації ресурсів захисту при забезпеченні наведеного в технічному завданні рівня захищеності інформаційних ресурсів ЦОВ. У результаті рішення визначається сукупність функціональних послуг захисту (ФПЗ) для реалізації КСЗ ТЗІ.

Матеріальну основу КСЗ ЦОВ повинна становити комп’ютерна база захисту, яку складають програмні та технічні засоби захисту, а також елементи функціональних об’єктів, які необхідно контролювати та якими необхідно керувати для реалізації політики безпеки.