Теоретические основы методов защиты информационных систем.

Политики безопасности.

-совокупность норм и правил регламентирующих процесс обработки информации, выполнение которых обеспечивает защиту от определенного множества угроз и составляет необходимое а иногда и достаточное условие безопасности системы. Формальное выражение политики безопасности называется моделью политики безопасности. Модель безопасности позволяет обосновать жизнеспособность системы, определяет базовые принципы ее архитектуры и используемые при ее построении технологические решения. Основная цель создания политики безопасности и ее описания - определение условий которым должно подчинятся поведение системы, выработка критерия безопасности и приведение формального доказательства соответствия системы этому критерию при соблюдении установленных правил и ограничений.

Пользователи систем безопасности и эксперты квалифицирующие систему по определенным критериям.

Общие принципы построения моделей политики безопасности.

1. Система является совокупностью взаимодействующих субъектов и объектов, объекты- содержатели информации. а под субъектами активные сущности которые что то делают с объектами.

2. Все взаимодействия в системе моделируются между объектами и субъектами при этом множество типов отношений определяется набором операций конкретной политики

3. Все операции контролируются монитором взаимодействия и соответственно разрешаются или запрещаются с настройкой политики.

4. Совокупность множеств объектов субъектов и их отношения определяет состояние системы, при этом каждое состояние считается безопасным или не безопасниым в соответствии с критериями безопасности.

5. Основной элемент модели безопасности это доказательство утверждения или теоремы том что система, находясь в безопасном состоянии не можетп ерейти не в безопасное состояние при соблюдении всех установленных правил и ограничений

Два базовых класса политик

1. Дискреционные (произвольные, избирательные)

2. Мандатные (нормативные, полномочные)

Дискреционные ( произвольные, или избирательные), мандатные( нормативные, полномочные).

Дискреционная модель Харрисона-Рузо-Ульмана

Система обработки информации представляется в виде активных субъектов, пассивных объектов и некоего конечного множества прав доступа которые могут существовать в системе. Для того чтобы вкл в область действия модели взаимодействия между субъектами предполагает что множество субъектов входит в множество объектов.

S

0

R = {r1, r2, r2, r3}

S c O

OxSxR

Q = (S, O, M)

Пространсто …

Поведение системы моделируется с помощью состояния при этом состояния образуются декартовым произведением множеств субъектов, объектов и прав доступа.

Текущее состояние системы определяется как зависимость объектов и субъектов и матрица прав доступа, где строки этой матрицы- субъекты, столбца-объекты, а внутри лежат наборы прав доступа из возможного набора.

Поведение системы во времени моделируется переходами между различными состояниями. В классической дискреционной модели существует понятие элементарной операции

1. Добавление субъекту права к объекту

2. Удаление

3. Создание субъекта

4. Создание объекта

5. Удаление субъекта

6. Удаление объекта.

Те операции в которых идет добавление чего либо называются монотонными, там где не удаление- не монотонными.

Формальное описание системы выглядит слкедующим образом

R Конечный набор субъектов и объектов

исходная матрица доступа

Конечный набор команд каждая из которых состоит из условий выполнения а терминах некоторых определенных операций

ФОС-формальное описание системы фото. Это надо обязательно тк будет.

Фотка фос

Комменда в системе

Command

If ri in M[xs1, … x01]

And (условие)

If r2i in M[xs2, … x02]

And(y)

Then op;

Критерии безопасности модели.

Для заданной системы начальное состояние Q0 = (S0, O0, M0) является безопасным относительно пава r, если не существует последовательности команд, в результате которых право будет занесено в ячейку матрицы если оно там отсутствовало в нулевом состоянии.

Плюсы и минусы политики:

+ все просто

- размерность матрицы

Мандатные модели

Белла-Ла-Падула

Реализует полномочную политику управления доступом.

Мандатные модели основаны на правилах секретного документооборота.

На правилах секретного ДО

1. Всем субъектам и объектам присваются метки идентификации

2. К каждому объету метка критичночти определяющая ценности инфы

3. Субъекту- уровень прозрачночти определяющий максимальную метку критичнсти к которым субъект имеет доступ.

4. Чем важнее объект или субъект тем выше метка критичности,

При этом контроль доступа осуществляется в зависимости от двух сторон на основании двух правил:

1. Субъект имеет право читать только те документы уровень безопасности которых не превышает его собственный.

2. Субъект имеет право заносить информацию только в те объекты уровень безопасности которых не ниже его собственного.

Самая важная проблема- нет разделения между одноранговыми субъектами. И всего два права доступа – чтение и запись

Уровни безопасности задаются с помощью функции безопасности, которая ставит в сообтветствие каждому объекту и субъекту некий уровень безопасности принадлежащий множеству уровней безопасности L над которым определена решетка безопасности.

F:Suo->L

F(A)<=f(B)

Формальная модель класический мандатный.

Множество состояний системы V представляктся в виде набора упорядоченнх пар F M, где M матрица доступа при этом набор апрв ограничен. Функция безопасности вместе с решеткой уровней определяет все допустимые значения доступа мд сущностей системы.

Модель системы

состоит из функции перехода T, множества состояний R, и нач усл vo, при этом Т переводит из одного состояния в другое состояние запроса.

Критерий безопасности.

Система безопасна только тогда когда ее начальное состояние Vo безопасно и все состояния достижимые из Vo путем применения конечной последовательности запросов из R тоже безопасны. При этом существуют понятия безопасен по чтению и безопасен по записи. Состояние полностью безопасно когда оно безопасно и по чтению и по записи.

Ролевые политики безопасности.

Субъект заменяется понятием пользователь и роль, при этом пользователь – человек работающий системой, а роль- некая абстрактная сущность с которой связан набор полномочий и ограничений.

Пользователь может иметь несколько ролей и несколько пользователей могут иметь одну роль, соответственно наш пользователь ходя в систему в некотором сеансе работы может иметь разные роли, при этом правление доступом осуществляется в две стадии:

В каждой роли определяется набор полномочий, при этом полномочия назначаются с принципом наименьших привилегий.

Каждому пользователю назначается список доступных ролей.

Примеры особенностей:

• Взаимоисключающие роли -есть подмножества ролей которые являются взаимоисключающим, этот вопрос решается на стадии разделения родей, и такая политика называется со статическим разделением обязанностей.

• У одного пользователя есть роли из несовместимых подмножеств, но от сам выбирает какими ролями пользоваться в этом сеансеи тогда это политика с динамическим разделением.

+гибкость. –нет доказательной базы по обеспечению безопасности.

Таксономия – наука о систематизации, классификации сложноорганизованных объектов, имеющих иерархическое строение. При этом, если классификация устанавливает связи и отношения между объектами по иерархии снизу-вверх, то таксономия основана на декомпозиции явлений и свойств с их последовательным уточнением.

27.11.15

Таксономия-наука о систематизации и классификации сложно организованных объектов, имеющих иерархическое строение, при этом если классификация устанавливает связи отношений между объектами по классификации снизу вверх то таксономия основана на декомпозиции и свойств с их поэтапным уточнением.

Файл обзор стандартов

Пункт 1.1

1 абзац- всё про исо и мэк короче почитать

Специализированную систему всемирной стандартизации формируют две международные организации: ИСО – Международная Организация по Стандартизации и МЭК – Международная Электротехническая Комиссия. Эти организации формируют. Государственные органы, являющиеся членами ISO или IEC, которые участвуют в разработке Международных Стандартов через технические комитеты, созданные для стандартизации отдельных областей технической деятельности. В области информационных технологий организован совместный технический комитет – ISO/IEC JTC 1, основной задачей которого является подготовка Международных Стандартов.

Среди концептуальных стандартов в области ИБ следует в первую очередь выделить стандарты серий ISO/IEC 27001, ISO/IEC 13335 и ISO/IEC 17799. Эти серии стандартов взаимно дополняют друг друга. Международные стандарты, как правило, основываются на национальных стандартах. Так, международный стандарт ISO/IEC 17799 без сколько-нибудь существенных изменений повторяет британский стандарт BS 7799 "Управление информационной безопасностью. Практические правила". В настоящее время для многих международных стандартах существуют их русифицированные версии ГОСТ Р.

Концептуальные стандарты описывают важнейшие, с точки зрения информационной безопасности, понятия, играя роль организационных и архитектурных требований. К стандартам этого вида относятся также стандарты Министерства обороны США "Критерии оценки доверенных компьютерных систем" и его интерпретации для сетевых конфигураций, "Гармонизированные критерии Европейских стран", международный стандарт "Критерии оценки безопасности информационных технологий". К этой группе следует отнести и некоторые документы Гостехкомиссии России. Другой группой стандартов являются технические спецификации, которые определяют, как выполнять оценочные стандарты. Ядром технических спецификаций служат документы по безопасности на IP-уровне, на транспортном уровне и на уровне приложений. Так, например, в вопросах сетевой безопасности важную роль играет спецификация X.800 –

"Архитектура безопасности для взаимодействия открытых систем", X.500 – "Служба директорий: обзор концепций, моделей и сервисов", X.509 – "Служба директорий: каркасы сертификатов открытых ключей и атрибутов" и другие. Эта группа стандартов в настоящем обзоре не расссматривается. 1

Стандарт представляет собой руководство по управлению безопасностью информационных и телекоммуникационных технологий (ИТТ), устанавливает концепцию и модели, лежащие в основе базового понимания безопасности. Приведенные в стандарте положения применимы к различным методам управления и организациям. Стандарт разработан так, что позволяет приспосабливать его положения к потребностям организации и свойственному ей стилю управления. Целью стандарта является определение общих понятий и моделей управления безопасностью ИТТ. Приведенные в нем положения носят общий характер и применимы к различным методам управления и организациям. Стандарт введен в действие 1 июня 2007 года.

В стандарте представлена общая модель взаимосвязи основных компонентов ИБ

(рис.1).

Рис. 1 – Модель взаимосвязи основных компонентов информационной безопасности Модель взаимосвязи основных компонентов ИБ включает: – угрозы окружающей среды (T); – уязвимости, присущие данным активам (V); – защитные меры (S); – приемлемые для организации остаточные риски (RR). Представленная модель носит предполагает конкретизацию и уточнение для условий, в которых она будет применяться.

Первым шагом в процессе управления безопасностью является определение того, какой уровень риска является приемлемым для данной организации. Правильно выбранный уровень приемлемого риска и, соответственно, допустимый уровень безопасности являются ключевыми моментами успешного управления безопасностью. Допустимый общий уровень безопасности определяется целями, которые ставит перед собой организация при создании системы обеспечения безопасности информационных технологий. В рассматриваемом стандарте обоснована концепция обеспечения приемлемого уровня риска, представленная на рисунке 2.

Рис. 2 – Концепция обеспечения приемлемого уровня риска

Как показано на рисунке, реализация защитных мер снижает уровень риска до приемлемого уровня. Оценка приемлемого уровня риска является первым шагом по управлению безопасностью. Для обоснования приемлемого уровня риска должны быть сформулированы цели и определена стратегия безопасности. Для того, чтобы оценить и сформулировать такие цели, необходимо изучить имеющиеся активы и определить, насколько ценными они являются для данной организации. Критерием в этом случае является то, насколько важную роль играют информационные технологии в процессе проведения организацией своей деловой деятельности, при этом стоимость самих информационных технологий составляет лишь малую часть общих затрат. При рассмотрении вопроса о том, насколько важны для функционирования организации информационные технологии, необходимо ответить на следующие вопросы: − какие важные элементы деловой практики предприятия не могут осуществляться без привлечения информационных технологий; − какие вопросы могут решаться исключительно с помощью использования информационных технологий; − принятие каких решений зависит от достоверности, целостности или доступности информации, обрабатываемой с использованием информационных технологий, или от своевременного получения такой информации; − какие виды конфиденциальной информации, обрабатываемой с использованием информационных технологий, подлежат защите;

− какие последствия могут наступить для организации после появления нежелательных инцидентов в системе обеспечения безопасности? Ответы на поставленные вопросы помогут сформулировать цели создания системы безопасности в организации. Если, например, какие-то важные элементы деятельности предприятия зависят от достоверности или своевременности полученной информации, то одной из целей создания системы безопасности должна стать необходимость обеспечения целостности и оперативности информации.

Иерархия политик организации

В рамках отдельной организации важно обеспечить согласованность различных политик, принятых в этой организации. Возможность такого согласования иллюстрирует универсальная схема иерархии политик безопасности, представленная в стандарте ИСО/МЭК 13335-1. Схема иерархии политик представлена на рисунке 3.

Порядок разработки политик безопасности

В стандарте затронуты общие вопросы, связанные с порядком разработки политик ИБ. В частности указано, что в разработке политики безопасности должны принимать участие специалисты, связанные с различными направлениями деятельности, включая аудит, право, финансы, коммунальные и другие службы. Организация должна оценить свои требования, окружающую среду и уровень развития и определить проблемы безопасности. Эти проблемы включают в себя: − требования безопасности ИТТ, например, требования конфиденциальности, целостности, доступности, неотказуемости, аутентичности и достоверности, особенно с учетом мнений владельцев активов; − организационную инфраструктуру и распределение обязанностей; − определение методов и уровней классификации информации; − стратегию управления рисками; − планирование непрерывности бизнеса; − вопросы, связанные с персоналом; − осведомленность и обучение персонала; − управление инцидентами информационной безопасности.

Для обеспечения адекватной поддержки всех связанных с безопасностью мер политика безопасности ИТТ должна быть одобрена руководством организации. На основе политики безопасности ИТТ должны быть подготовлены директивные указания, обязательные для всех руководителей и сотрудников организации. Это может потребовать подписания каждым сотрудником документа, подтверждающего его обязанности в рамках безопасности данной организации. Далее следует развивать и осуществлять программу осведомленности о безопасности, разъясняющую эти обязанности. Должен быть назначен ответственный за политику безопасности ИТТ, который должен обеспечивать соответствие политики требованиям и статусу данной организации. Обычно им является сотрудник службы безопасности, который несет ответственность за следующие действия: проверку соответствия безопасности, ревизию, аудит, обработку инцидентов, выявление слабых мест в безопасности и внесение изменений в политику безопасности ИТТ. Для разработки политики безопасности должны быть сформулированы цели и стратегия безопасности организации. Они содействуют деятельности организации и обеспечивают согласованность всех защитных мер. Для того, чтобы обеспечить подобную согласованность, особенно важно, чтобы цели, стратегия и политика безопасности были интегрированы в программы обучения и повышения квалификации в области безопасности.

Цели, стратегии (способы достижения цели), политика (правила, которые следует соблюдать при реализации стратегий) и процедуры (методы осуществления политики) могут быть определены и раскрыты в соответствующих подразделениях и на соответствующих уровнях организации. Руководящие документы должны отражать организационные требования и учитывать организационные ограничения. Важна согласованность между всеми документами. Общие цели, стратегии и политика должны быть отражены и уточнены в детальных и специфических целях, в политике и во всех сферах интереса организации, таких, как управление финансами, персоналом и безопасностью. Иерархия документации должна поддерживаться и актуализироваться по результатам периодического анализа безопасности (например, по результатам оценки рисков, внешнего и внутреннего аудита безопасности) и в связи с изменениями целей деятельности организации. Цели, стратегии, политика и методы безопасности ИТТ должны отображать то, что ожидается от ИТТ в сфере безопасности. Как правило, их излагают на общепринятом языке, однако в некоторых случаях может возникнуть и потребность изложить их более формально с использованием специфической терминологии. Цели, стратегия, политика определяют уровень безопасности для организации и уровень приемлемого риска. После установления целей безопасности должна быть разработана стратегия безопасности, являющаяся фундаментом развития политики безопасности. Важно, чтобы политика безопасности учитывала цели и особенности данной организации. Для решения задач обеспечения безопасности нужно идентифицировать активы организации и провести оценку их ценности. При идентификации и оценке ценности активов необходимо учитывать роль, которую они играют в поддержании деятельности организации. Чтобы оценить, в какой мере бизнес организации зависит от ИТТ, необходимо рассмотреть следующие вопросы: − какие важные составляющие бизнеса не могут осуществляться без ИТТ; − какие задачи могут быть решены только при помощи ИТТ; − какие важные решения зависят от конфиденциальности, целостности, доступности и аутентичности информации, хранимой или обрабатываемой ИТТ, или от того, насколько эта информация актуальна; − какая хранимая или обрабатываемая информация должна защищаться; − каковы для организации последствия инцидента безопасности. Ответы на эти вопросы позволят установить задачи информационной безопасности организации. Если, например, некоторые важные составляющие деятельности организации зависят от актуальности информации, то одной из задач безопасности организации может стать обеспечение доступности и своевременной обновляемости информации. Определяя задачи безопасности, необходимо рассмотреть задачи бизнеса и их связь с безопасностью. Необходимо разработать стратегию достижения целей безопасности. Выбранная стратегия должна соответствовать ценности защищаемых активов. Если, например, ответ на один или более вопросов, рассмотренных выше, выявляет сильную зависимость от

ИТТ, то организация, скорее всего, должна предъявлять высокие требования к безопасности ИТТ. При этом необходимо выбирать стратегию, достаточную для выполнения этих требований.

Основные положения стратегии безопасности ИТТ сводятся к тому, как организация будет достигать своих целей в области безопасности ИТТ. Вопросы, к которым должна обращаться стратегия, будут зависеть от числа, вида и важности этих целей, например: − стратегия оценки риска; − комплексная политика безопасности ИТТ для каждой системы; − организационные методы безопасности для каждой системы; − схема классификации ИТТ систем; − осознание необходимости безопасности и повышение квалификации в области безопасности; − условия безопасности соединений, которые должны выполняться и проверяться перед осуществлением соединения с другими устройствами; − стандартные схемы управления инцидентами информационной безопасности в рамках всей организации. После определения стратегия безопасности все ее составляющие должны быть включены в политику безопасности ИТТ организации.

Рис. 5 - Схема управления безопасностью информационных технологий Управление безопасностью информационных технологий начинается с определения целей и стратегии, которые устанавливает для себя организация в целях обеспечения безопасности и разработки политики безопасности информационных технологий. На этом этапе определяются основные варианты стратегии анализа риска, которые определяют стратегию управления информационной безопасности. Возможны следующие варианты стратегии анализа риска:

1. Базовый подход.

2. Неформальный подход.

3. Детальный анализ риска.

4. Комбинированный подход.

ПОМКТИТЬ ПЛЮСЫ И МИНУСЫ

Используя указанные стратегии, риск поддерживается на приемлемом уровне. Для этого выявляются системы и технологии с высоким уровнем риска, для которых определяются защитные меры, понижающие риск до приемлемого уровня. После этого остаточный риск принимается. Для реализации выбранных мер разрабатывается план безопасности. Рассматриваемые ниже варианты стратегии представляют собой четыре разных подхода к анализу риска. Основное различие между ними состоит в степени глубины проводимого анализа. Поскольку обычно проведение детального анализа риска для всех систем информационных технологий сопряжено со слишком большими затратами, тогда как поверхностное рассмотрение проблем, связанных с серьезным риском, не дает нужного эффекта. На практике необходимо найти баланс между рассматриваемыми ниже вариантами.

1.2.2.2 Базовый подход к управлению информационной безопасностью

Цель обеспечения безопасности с помощью базового подхода состоит в том, чтобы подобрать для организации минимальный набор защитных мер для защиты всех или отдельных систем информационных технологий. Использование базового подхода позволяет снизить инвестиции организации на исследование результатов анализа риска. Если все используемые в организации системы информационных технологий характеризуются низким уровнем требований к обеспечению безопасности, то базовый уровень безопасности должен выбираться так, чтобы он соответствовал уровню защиты, необходимому для большинства систем информационных технологий. Для большинства организаций существует необходимость использования некоторого стандартного уровня для соответствия законодательным требованиям. Однако в случаях, если отдельные системы организации характеризуются различной степенью чувствительности, разными объемами и сложностью деловой информации, использование общих стандартов применительно ко всем системам будет логически неверным, экономически неоправданным. Удовлетворительная защита с помощью базового подхода может быть обеспечена путем использования справочных материалов (каталогов) по защитным мерам безопасности, где можно подобрать набор средств для защиты системы информационных технологий от наиболее часто встречающихся угроз. Базовый уровень безопасности может быть установлен в соответствии с потребностями организации, при этом в проведении детальной оценки угроз, рисков и уязвимостей систем не будет необходимости. Все, что нужно сделать, применяя базовый подход, - выбрать из справочных материалов (каталогов) по защитным мерам безопасности соответствующие пункты, которые подходят для рассматриваемой системы информационных технологий. Защитные меры, которые отсутствуют в системе, но могут быть в ней использованы, должны быть реализованы. Справочные материалы (каталоги) по защитным мерам безопасности могут содержать, во-первых, подробное описание рекомендуемых защитных мер, во-вторых, рекомендации с набором требований по обеспечению безопасности, которыми можно воспользоваться при выборе рекомендуемых мер для данной системы. Оба варианта имеют свои преимущества. Справочные материалы для обоих вариантов можно найти в приложениях к стандарту

ИСО/МЭК ТО 13335-4. Одной из целей базового подхода является согласование защитных мер в масштабе всей организации, что может быть достигнуто при использовании каждого из указанных выше вариантов. В настоящее время существует несколько справочников, содержащих перечни базовых защитных мер. Кроме того, в ряде случаев среди компаний, занятых в одной отрасли производства, можно найти компании со схожими условиями ведения деловой деятельности. После изучения их основных потребностей может оказаться, что справочники с перечнем базовых мер безопасности могут быть использованы несколькими различными организациями. Любая организация может выработать свой базовый уровень безопасности в соответствии с собственными условиями деловой деятельности и деловыми целями. Преимущества базового подхода: − возможность обойтись минимальным количеством ресурсов при проведении анализа и контроля риска для каждого случая принятия защитных мер и, соответственно, потратить меньше времени и усилий на выбор этих мер; − можно принять экономически эффективное решение, поскольку те же или схожие базовые защитные меры безопасности могут быть без особых проблем применены во многих системах, если большое число систем в рамках организации функционирует в одних и тех же условиях и предъявляемые к обеспечению безопасности требования соизмеримы. В то же время этот вариант оценки риска имеет следующие недостатки: − если принимается слишком высокий базовый уровень, то для ряда систем информационных технологий уровень обеспечения безопасности будет завышен; − если базовый уровень будет принят слишком низким, то для ряда систем информационных технологий уровень обеспечения безопасности будет недостаточен, что увеличит риск ее нарушения; − могут возникнуть трудности при внесении изменений, затрагивающих вопросы обеспечения безопасности. Так, если была проведена модернизация системы, то могут возникнуть сложности при оценке способностей первоначально примененных базовых защитных мер безопасности и далее оставаться достаточно эффективными.

1.2.2.3 Неформальный подход к управлению информационной безопасностью

Неформальный подход к управлению информационной безопасностью предусматривает проведение неформального анализа риска, основанного на практическом опыте конкретного эксперта. Этот подход предполагает использование знаний и практического опыта экспертов. Этот подход не требует использования значительных средств или времени. При его использовании эксперт не должен приобретать дополнительные знания по своей специальности, а затраты времени на анализ риска при этом меньше, чем при проведении детального анализа риска. Недостатки этого подхода заключаются в возможности пропуска ряда важных деталей, например, отсутствие важных элементов из базового перечня операций. Могут возникнуть трудности при обосновании необходимости реализации защитных мер, определенных по результатам анализа риска, проведенного подобным подходом. Для экспертов, не обладающих значительным опытом работы в области анализа риска, не существует готовых рекомендаций, которые могли бы облегчить их работу. Метод не гарантирует, что будут проанализированы угрозы, способные использовать имеющиеся уязвимости. Результаты проведения анализа в большой степени носят субъективный характер. Могут возникнуть проблемы в случае, если специалист, который проводил неформальный анализ, покидает организацию.

1.2.2.4 Детальный анализ рисков

Детальный анализ рисков предполагает подробную идентификацию и оценку активов, оценку возможных угроз, которым могут подвергнуться эти активы, а также оценку уровня их уязвимости. Схема управления информационной безопасностью на основе детального анализа рисков представлена на рисунке 6. Как показано на рисунке, управление ИБ на основе анализа рисков начинается с установления границ анализируемой системы. Далее выполняется собственно анализ рисков. Детальный анализ рисков включает: − идентификацию активов; − оценку активов; − оценку угроз; − оценку уязвимостей; − идентификацию существующих мер безопасности; − вычисление рисков. Далее, как и при других подходах к анализу рисков, выполняется анализ приемлемости рисков, выбор защитных мер, разработка политики и плана безопасности. Подход на основе детального анализа рисков имеет следующие преимущества: − весьма вероятно, что для каждой из систем будут определены адекватные защитные меры обеспечения безопасности; − результаты могут быть использованы при управлении изменениями в системе обеспечения безопасности.

В то же время этот подход требует больших затрат средств, времени и квалифицированного труда.

1.2.2.5 Комбинированный подход

При комбинированном подходе детальный анализ рисков (рис. 6) проводится только для критических систем, которые связаны с высоким потенциальным ущербом. Для остальных систем используется базовый подход. Комбинированный подход при минимуме времени и усилий, обеспечивает необходимую защиту систем с высоким уровнем риска. Комбинированный подход обеспечивает наиболее эффективное вложение ресурсов, поскольку вложения направлены туда, где они принесут максимальный эффект. Недостаток данного варианта подхода состоит в следующем: поскольку предварительный анализ риска проводят исходя из предположения о его возможном высоком уровне, отдельные системы могут быть ошибочно отнесены к системам, не требующим проведения детального анализа риска. К этим системам в дальнейшем будут применены базовые методы обеспечения безопасности. Использование комбинированного подхода в сочетании с базовым подходом и (если необходимо) детальным анализом риска обеспечивает большинству организаций наиболее эффективное решение проблем.

1.2.3 ГОСТ Р ИСО/МЭК ТО 13335-4-2007

ГОСТ Р ИСО/МЭК ТО 13335-4-2007 «Информационная технология. Методы и средства обеспечения безопасности. Часть 4. Выбор мер защиты» является руководством по выбору защитных мер. Стандарт устанавливает способы достижения необходимого уровня

Материалы к курсу «Защита компьютерной информации» Кузнецова Г.В.

24

безопасности на основе базового уровня безопасности. Цель данного стандарта – дать руководство по выбору защитных мер. В рассмотрены различные пути выбора защитных мер, которые могут быть использованы для достижения базового уровня обеспечения безопасности и в качестве дополнительной информации к методам, описанным в ИСО/МЭК ТО 13335-3. Стандарт содержит обзор общепринятых защитных мер, которые могут быть выбраны, исходя из упомянутых выше подходов. Стандарт содержит ссылки на руководства по базовой безопасности с более подробным описанием защитных мер. В нем также приведено описание различных путей разработки базовой безопасности организации, преимущества и недостатки различных подходов по обеспечению безопасности. Стандарт может применяться любыми организациями малого и крупного бизнеса, выбирающих защитные меры для своих систем информационных технологий. Обычно применяются следующие первоочередные базовые категории защитных мер: − политика и управление безопасностью ИТ; − проверка соответствия безопасности установленным требованиям; − обработка инцидента; − управление персоналом; − эксплуатационные вопросы; − планирование непрерывности бизнеса; − физическая безопасность; Защитные меры этих категорий формируют основу для успешного управления безопасностью ИТ. В этом смысле их не следует недооценивать. Важно также обеспечить рабочее взаимодействие этих защитных мер с технической защитой, рассмотренной ниже. Деятельность организации в этой области зависит от ее потребностей обеспечения безопасности и выделенных ресурсов. Организация может применять и другие категории защитных мер, но способ их реализации зависит от конкретных условий (например защитные меры, обеспечивающие управление доступом к сети, отличаются от управления доступом к автономной рабочей станции). При выборе защитных мер должны учитываться размер организации и потребности в обеспечении ее безопасности, так как они могут повлиять на степень реализации защитных мер. Например, у небольшой организации не существует ни потребности, ни необходимого персонала для создания группы по обеспечению безопасности ИТ. Тем не менее, в организации должен быть назначен ответственный за выполнение этих функций. В дополнение к обычно применяемым защитным мерам, должны быть выбраны специальные защитные меры для каждого типа компонента системы. Алгоритм выбора специальных защитных мер системы ИТ приведен в качестве примера в таблице П-1. В этом примере знак " " обозначает защитные меры, которые должны быть применены в нормальных условиях, а "( )" - защитные меры, которые могут потребоваться в особых случаях.

Материалы к курсу «Защита компьютерной информации» Кузнецова Г.В.

25

Таблица П-1. Алгоритм выбора специальных защитных мер системы ИТ

Для выбора дополнительных защитных мер должен быть применен более детальный их анализ. Если защитные меры выбирают по разным критериям (базовые защитные меры и дополнительная защита), то окончательный пакет защитных мер должен быть согласован.

После анализа нескольких систем ИТ должна быть рассмотрена возможность развертывания базовой безопасности в масштабе всей организации. Выбор защитных мер в соответствии с проблемами и угрозами безопасности может быть использован следующим образом: − на первом этапе должна быть проведена идентификация и оценка проблем безопасности. Организация должна рассмотреть требования по обеспечению конфиденциальности, целостности, доступности, подотчетности, аутентичности и достоверности. Прочность защиты и число выбранных защитных мер должны соответствовать оценкам проблем обеспечения безопасности; − на втором этапе для каждой из выявленных проблем безопасности должны быть перечислены типичные угрозы и для каждой угрозы в зависимости от рассматриваемой системы ИТ должны быть предложены соответствующие защитные меры. В случае, если организация принимает решение о применении базовой безопасности ко всей организации или к ее части, то должны быть рассмотрены следующие вопросы: − на какой уровень обеспечения безопасности должна быть нацелена базовая безопасность; − как могут быть определены защитные меры, образующие базовую безопасность; − какие части организации или систем могут быть защищены на одном и том же базовом уровне, а какие требуют разного уровня безопасности, или должен ли применяться один и тот же базовый уровень для всей организации. Схема различных базовых уровней обеспечения безопасности представлена на рисунке П-4.

Рисунок 4 - Различные базовые уровни

Преимущество применения различных уровней базовой безопасности в организации заключается в том, что большинство систем будут соответствующим образом защищены, т.е. им будет обеспечен не слишком низкий и не слишком высокий уровень безопасности (например для систем ИТ 1, 2, 6 и 8 с уровнем базовой безопасности 1 и для систем ИТ 3, 4 и 5 с уровнем базовой безопасности 2 (рис. 4). Если системы ИТ с различными требованиями безопасности действительно отличаются (большинство требуемых защитных мер различны для каждой системы ИТ), тогда для данной организации рекомендуется применять различные базовые уровни безопасности. Если единственным различием между различными базовыми уровнями безопасности является потребность в некоторых дополнительных защитных мерах для повышения базового уровня безопасности, то возможно отсутствует необходимость во внедрении нескольких различных базовых уровней. Если реализуется только один базовый уровень безопасности, то непроизводительные издержки организации могут быть значительно снижены, и персонал организации может ориентироваться на один и тот же существующий уровень обеспечения безопасности.