10 Расширенное применение услуг для совместного использования

10.1 Исходные данные

Этот сценарий должны рассматривать организации, которые используют услуги, касающиеся многих сотрудников. Примерами таких услуг являются: - программное средство коллективного пользования; - файловые серверы; - список адресов для рассылки по электронной почте; - услуги, базирующиеся на Интернет-технологиях. Расширенное применение услуг для совместного использования, объединяющих различные средства связи и возможности совместного использования документов, является важным аспектом среды бизнеса. Такое расширенное применение услуг для совместного использования обычно объединяет видео-телефонию, голосовую связь с чат-каналов, системы электронной почты, а также совместное использование документов и совместное использование оборудования в режиме онлайн. Существуют два основных способа использования таких услуг для организаций: - использование их только в качестве внутренних услуг, но недостатком этого способа является то, что услуги не могут быть использованы при работе с внешними партнерами и т.д.; - использовать их в качестве внутренних услуг и услуг, внешних по отношению к организации. Такое использование услуг более выгодно, но имеет больше связанных с ними рисков безопасности по сравнению с использованием услуг только для внутреннего пользования. Что касается реализации, услуги могут быть: - реализованы внутри; или - третьей стороной. Если услуги должны быть использованы внутри и вне организации, то более подходящим решением может быть покупка услуг для совместного использования у третьих сторон. В следующих пунктах описаны угрозы безопасности и рекомендации по методам проектирования безопасности, а также меры и средства контроля и управления безопасности для уменьшения сопутствующих рисков, как только для внутреннего, так и для внутреннего и внешнего использования. Меры и средства контроля и управления безопасности применяются к управлению, передаче сигналов и трафику пользователя.

10.2 Угрозы безопасности

К угрозам безопасности, связанным с расширенным применением услуг для совместного использования, относятся: - неавторизованный доступ, ведущий к раскрытию конфиденциальной информации: - злоупотребление совместным использованием инструментальных средств, чтобы незаконно воспользоваться материалами, охраняемыми авторским правом, получать конфиденциальные данные и навязывать пользователям нежелательную или пропагандистскую информацию, - нарушение непрозрачности посредством мониторинга использования шаблонов, спаминга и других идентичных атак; - вирусные атаки и внедрение вредоносных программ: - распределение и выполнение вредоносных программ путем использования общих ресурсов; - снижение доступности сети связи: - перегрузка сети с легитимным трафиком, - уязвимости эксплуатируемого протокола, используемые в услугах для совместного использования.

10.3 Методы проектирования безопасности и меры и средства контроля и управления

Методы проектирования информационной безопасности и меры и средства контроля и управления, относящиеся к расширенному применению услуг для совместного использования, приведены в таблице 6. Таблица 6 - Меры и средства контроля и управления безопасности для расширенного применения услуг для совместного использования

Применяемые свойства безопасности для идентифицированных угроз	Реализуемые проекты и методы
Неавторизованный доступ, ведущий к раскрытию конфиденциальной информации
- Управление доступом - Аутентификация - Конфиденциальность - Безопасность связи - Неотказуемость	- Доступ, основанный на ролях, для приложений, сетей и запоминающих устройств. - Назначение пользователей на разные роли с различными правами доступа для различных сетей VLAN. - Политики, основанные на ролях, касающиеся использования прав и доступа к ресурсам, таким как приложения, которые пользователь может запускать. - Списки управления доступом. - Строгая аутентификация и авторизация. - Сети VLAN для сетевой виртуализации. - IDSs, основанные на хосте. - Шифрование данных.
Вирусные атаки и введение вредоносной программы
- Целостность	- Использование программ передачи изображения экранов, таких как терминальные серверы, чтобы свести к минимуму ввод в корпоративную среду данных и возможных вредоносных программ.
Снижение доступности сети связи
- Доступность	- Использование виртуальной архитектуры "сервер-хранилище данных" для повышения доступности и безопасности хранящихся данных. - Предотвращение извлечения информации путем использования программных инструментальных средств, чтобы предотвратить копирование/вставку информации, блокирование попытки записи на съемный носитель или печати. - Мониторинг программных средств для обнаружения нарушений политики - таких, как нарушения прав доступа к приложениям и другим сетевым ресурсам.