4. Информационнаябезопасность

Информационная безопасность – это защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации и поддерживающей инфраструктуры. Информационная безопасность не сводится исключительно к защите информации. Субъект информационных отношений может пострадать (понести убытки) не только от несанкционированного доступа, но и от поломки системы, вызвавшей перерыв в обслуживании клиентов. Более того, для многих открытых организаций (например, учебных) собственно защита информации не стоит на первомместе.

Для того чтобы освоить основы обеспечения информационной безопасности, необходимо владеть понятийным аппаратом. Раскрытие некоторых ключевых терминов не самоцель, важно формирование начальных представлений о целях и задачах защиты информации.

Под безопасностью информации понимается такое ее состояние, при котором исключается возможность просмотра, изменения или уничтожения информации лицами, не имеющими на это права, а также утечки информации за счетпобочных

175

электромагнитных излучений и наводок, специальных устройств перехвата (уничтожения) при передаче между объектами вычислительнойтехники.

Защитаинформации – это совокупность мероприятий, направленных на обеспечение конфиденциальности и целостности обрабатываемой информации, а также доступности информации дляпользователей.

Конфиденциальность –сохранение в секрете критичной информации, доступ к которой ограничен узким кругом пользователей (отдельных лиц илиорганизаций).

Целостность– свойство, при наличии которого информация сохраняет заранее определенные вид икачество.

Доступность –такое состояние информации, когда она находится в том виде, месте и времени, которые необходимы пользователю, и в то время, когда она емунеобходима.

Цель защиты информацииявляется сведение к минимуму потерь в управлении, вызванных нарушением целостности данных, их конфиденциальности или недоступности информации дляпотребителей.

Приведенная совокупность определений достаточна для формирования общего, пока еще абстрактного, взгляда на построение системы информационной безопасности. Для уменьшения степени абстракции и формирования более детального замысла необходимо знание основных принципов организации системы информационнойбезопасности.

Принципы построения системы информационной безопасности.Современный опыт решения проблем информационной безопасности показывает, что для достижения наибольшего эффекта при организации защиты информации необходимо руководствоваться рядомпринципов.

Наиболее важным являетсяпринцип непрерывности совершенствования и развития системы информационной безопасности. Суть его заключается в постоянном контроле функционирования системы, в выявлении ее слабых мест, возможных каналов утечки информации и несанкционированного доступа, обновлении и дополнении механизмов защиты в зависимости от изменения характера внутренних и внешних угроз, обосновании и реализации на этой основе наиболее рациональных методов, способов и путей защиты информации. Таким образом, обеспечение информационной безопасности не может быть разовыммероприятием.

Не менее значимпринцип комплексного использования всего арсенала имеющихся средств защиты во всех структурных элементах производства и на всех этапах технологического цикла обработки информации. Комплексный характер защиты информации обусловлен действиями злоумышленников. Здесь правомерно утверждение, что оружие защиты должно быть адекватно оружиюнападения.

Кроме того, наибольший эффект достигается в том случае, когда все используемые средства, методы и мероприятия объединяются в целостный механизм –систему информационной безопасности. Только в этом случае появляются системные свойства, не присущие ни одному из отдельных элементов системы защиты, а также возможность управлять системой, перераспределять ее ресурсы и применять современные методы повышения эффективности еефункционирования.

Можно определить систему информационной безопасности какорганизованную совокупность органов, средств, методов и мероприятий, обеспечивающих защиту информации от разглашения, утечки и несанкционированногодоступа.

Важнейшими условиями обеспечения безопасности являются законность, достаточность, соблюдение баланса интересов личности и организации, высокий профессионализм представителей службы информационной безопасности, подготовка пользователей и соблюдение ими всех установленных правил сохранения конфиденциальности, взаимная ответственность персонала и руководства, взаимодействие с государственными правоохранительнымиорганами.

176

Без соблюдения этих условий никакая система информационной безопасности не может обеспечить требуемого уровня защиты. С позиций системного подхода для реализации приведенных принципов процесс и сама система защиты информации должны отвечать некоторой совокупноститребований.

Защита информации должнабыть:

• централизованной: необходимо иметь в виду, что процесс управления всегда централизован, в то время как структура системы, реализующей этот процесс, должна соответствовать структуре защищаемогообъекта;

• плановой: планирование осуществляется для создания взаимодействия всех подразделений организаций в интересах реализации принятой политики безопасности; каждая служба, отдел, направление разрабатывают детальные планы защиты информации в сфере своей компетенции с учетом общей целиорганизации;

• конкретной и целенаправленной: защите подлежат абсолютно конкретные информационные ресурсы, представляющие интерес дляконкурентов;

• активной: защищать информацию необходимо с достаточной степенью настойчивости и целеустремленности. Это требование предполагает наличие в составе системы информационной безопасности средств прогнозирования, экспертных систем и других инструментов, позволяющих реализовать наряду с принципом «обнаружить и устранить» принцип «предвидеть ипредотвратить»;

• надежной и универсальной, охватывать весь технологический комплекс информационной деятельности объекта: методы и средства защиты должны надежно перекрывать все возможные каналы утечки информации и противодействовать способам несанкционированного доступа независимо от формы представления информации, языка ее выражения и вида носителя, на котором оназакреплена;

• нестандартной(по сравнению с другими организациями), разнообразнойпоиспользуемымсредствам;

• открытойдля изменения и дополнения мер обеспечения безопасности информации;

• экономически эффективной: затраты на систему защиты не должны превышать размеры возможногоущерба.

Наряду с основными требованиями существует ряд устоявшихся рекомендаций, которые будут полезны создателям систем информационнойбезопасности:

• средства защиты должны быть просты для технического обслуживания и

«прозрачны» дляпользователей;

каждый пользователь должен иметь минимальный набор привилегий, необходимых дляработы;

• возможность отключения защиты в особых случаях, например, когда механизмы зашиты реально мешают выполнениюработ;

• независимость системы защитыотсубъектовзащиты;

• разработчики должны учитывать враждебность окружения (то есть предполагать, что пользователи имеют наихудшие намерения, будут совершать серьезные ошибки и искать пути обхода механизмовзащиты);

• в организации не должно быть излишней информации о существовании механизмовзащиты.

Все перечисленные позиции следует положить в основу формирования системы защитыинформации.

Теперь, владея основными концептуальными положениями, необходимо освоить механизм выработки детальных предложений по формированию политики и построению системы информационнойбезопасности.

Последовательность действий при разработке системы обеспечения информационной безопасности объекта.Прежде чем приступать к разработкесистемы

177

информационной безопасности, необходимо определить, что же для организации (физического лица) является интеллектуальнойсобственностью.

С точки зрения делового человека, интеллектуальной собственностью являются информационные ресурсы, знания, которые помогают ему эффективно разрабатывать и изготавливать новую продукцию, выгодно продавать товар или каким-то другим образом увеличивать свою прибыль. Способ управления производством, технологический процесс, список клиентов, профиль научных исследований, анализ конкурентоспособности – вот лишь некоторыепримеры.

Незнание того, что составляет интеллектуальную собственность, есть уже шаг к потерям финансовым, моральным и материальным. Именно с этого надо начинать создание системы защиты информации. Затем, вне зависимости от размеров организации и специфики ее информационной системы,необходимо:

• определить границы управления информационной безопасностьюобъекта;

• провести анализуязвимости;

• выбрать контрмеры, обеспечивающие информационнуюбезопасность;

• определить политику информационнойбезопасности;

• проверить системузащиты;

□составить планзащиты;

• реализовать план защиты (управление системойзащиты).

Определение границ управления информационной безопасностью объекта.Целью этого этапа является определение всех возможных «болевых точек» объекта, которые могут доставить неприятности с точки зрения безопасности информационных ресурсов, представляющих для организации определеннуюценность.

Для работ на данном этапе должны быть собраны следующиесведения:

1. Перечень сведений, составляющих коммерческую или служебнуютайну.

2. Организационно-штатная структураорганизации.

3. Характеристика и план объекта, размещение средств вычислительной техники и поддерживающей инфраструктуры. На плане объекта указывается порядок расположения административных зданий, производственных и вспомогательных помещений, различных строений, площадок, складов, стендов и подъездных путей с учетом масштаба изображения.

Дополнительно дается структура и состав автоматизированной системы, помещения, в которых имеются технические средства обработки критичной информации с учетом их расположения. Указываются также контуры вероятного установления информационного контакта с источником излучений по видам технических средств наблюдения с учетом условий среды, по времени иместу.

4. Перечень и характеристика используемых автоматизированных рабочих мест, серверов, носителейинформации.

5. Описание информационных потоков, технология обработки информации и решаемые задачи, порядок хранения информации. Для решаемых задач должны быть построены модели обработки информации в терминахресурсов.

6. Используемые средства связи (цифровая, голосовая и т. д.). Знание элементов системы дает возможность выделить критичные ресурсы и определить степень детализации будущего обследования. Инвентаризация информационных ресурсов должна производиться исходя из последующего анализа их уязвимости. Чем качественнее будут проведены работы на этом этапе, тем выше будет достоверность оценок наследующем.

В результате должен быть составлен документ, в котором зафиксированы границы системы, перечислены ресурсы, подлежащие защите, дана система критериев для оценки их ценности. В идеале такой документ должен включать информационно-логическую модель объекта, иллюстрирующую технологию обработки критичной информации с выделением вероятных точек уязвимости, по каждой из которых необходимоиметь

178

полную характеристику. Такая модель является базой, а ее полнота – залогом успеха на следующем этапе построения системы информационнойбезопасности.

Анализ уязвимости – самый главный этап во всей работе. От того, насколько полно и правильно будет проанализировано состояние защищенности информационных ресурсов, зависит эффективность всех последующихмероприятий.

Необходимо рассмотреть все возможные угрозы и оценить размеры возможного ущерба.

Под угрозой (риском) следует понимать реальные или возможные действия или условия, приводящие к хищению, искажению, изменению или уничтожению информации в информационной системе, а также приводящие к прямым материальным убыткам за счет воздействия на материальныересурсы.

Анализируемые виды угроз следует выбирать из соображений здравого смысла, но в пределах выбранных видов необходимо провести максимально полноеисследование.

Оценивая вероятность осуществления угроз, целесообразно учитывать не только среднестатистические данные, но и специфику конкретных информационныхсистем.

Для проведения анализа уязвимости исследователю целесообразно иметь в своем распоряжении модели каналов утечки информации и несанкционированного доступа, методики определения вероятности информационного контакта, модель нарушителя, перечень возможностей информационных инфекций, способы применения и тактико- технические возможности технических средств ведения разведки, методику оценки информационнойбезопасности.

Анализ уязвимости начинается с выбора анализируемых объектов и определения степени детальности ихрассмотрения.

Здесь большую помощь может оказать разработанная инфологическая структура объекта.

Для определения объектов защиты удобно рассматривать АСУ как четырехуровневуюсистему.

Внешний уровень характеризуется информационными, главным образом сетевыми, сервисами, предоставляемыми данной системой, и аналогичными сервисами, запрашиваемыми другими подсистемами. На этом уровне должны отсекаться как попытки внешнего несанкционированного доступа к ресурсам подсистемы, так и попытки обслуживающего персонала АСУ несанкционированно переслать информацию в каналы связи.

Сетевой уровень связан с доступом к информационным ресурсам внутри локальных сетей. Безопасность информации на этом уровне обеспечивается средствами проверки подлинности пользователей и разграничением доступа к ресурсам локальной сети (идентификация, аутентификация иавторизация).

Защите системных ресурсов должно уделяться особое внимание, поскольку несанкционированный доступ к ним может сделать бессмысленными прочие меры безопасности.

На каждом уровне определяются уязвимые элементы. Уязвимым является каждый компонент информационной системы. Но в сферу анализа невозможно включить каждый байт. Приходится останавливаться на некотором уровне детализации, отдавая себе отчет в приближенности оценки. Для новых систем предпочтителен детальный анализ. Старая система, подвергшаяся небольшим модификациям, может быть проанализирована только с точки зрения оценки влияния новых элементов на безопасность всейсистемы.

Следующим шагом на пути анализа уязвимости является моделирование каналов утечки информации и несанкционированного доступа к ней(НСД).

Любые технические средства по своей природе потенциально обладают каналами утечки информации. Под каналом утечки информации принято понимать физический путь от источника конфиденциальной информации, по которому возможна утечкаохраняемых

179

сведений, к злоумышленнику. Для возникновения (образования, установления) канала утечки информации необходимы определенные пространственные, энергетические и временные условия, а также соответствующие средства приема и фиксации информации на сторонезлоумышленника.

Применительно к практике каналы утечки информации можно разделить на следующиегруппы:

• визуально-оптические;

• акустические (включая иакустико-преобразовательные);

• электромагнитные (включая магнитные иэлектрические);

• материально-вещественные (бумага, фото-, магнитные носители, производственные отходы различноговида).

Основное требование к модели – адекватность, то есть степень соответствия разработанной модели реально протекающим процессам. Любая модель канала утечки информации должна показывать не только сам путь, но и возможность (вероятность) установления информационного контакта. Вероятность установления информационного контакта – численная величина, определяемая пространственными, временными и энергетическими условиями и характеристиками средства наблюдения. Условия установления информационного контакта можно представить в виде обобщенноймодели.

Разнообразие источников конфиденциальной информации, способов несанкционированного доступа к ним и средств реализации НСД в конкретных условиях требует разработки частных моделей каждого варианта информационного контакта и оценки вероятности его возникновения. Имея определенные методики, можно рассчитать возможность такого контакта в конкретныхусловиях.

Главная ценность подобных методик заключается в возможности варьировать аргументами функции (мощность излучения, высота и коэффициент концентрации антенны и т. п.) в интересах достижения минимальных значений вероятности установления информационного контакта, а значит, и в поиске совокупности способов снижения ее значений. Для анализа уязвимости информационных ресурсов необходимо выявить каналы утечки информации, хорошо представлять облик нарушителя и вероятные способы его действий, намерения, а также возможности технических средств получения информации по различным каналам. Только совокупность этих знаний позволит адекватно среагировать на возможные угрозы и, в конце концов, выбрать соответствующие средства защиты.

Сами же действия нарушителя во многом определяются надежностью системы защиты информации, так как для достижения своих целей он должен приложить некоторые усилия, затратить определенные ресурсы. Если система защиты достаточно надежна, его затраты будут чрезмерно высоки и он откажетсяотсвоегозамысла.

Основные контуры модели нарушителя определены в руководящем документе Гостехкомиссии России «Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа кинформации».

Кроме уровня знаний нарушителя, его квалификации, подготовленности к реализации своих замыслов, для формирования наиболее полной модели нарушителя необходимо определить:

• категорию лиц, к которой может принадлежатьнарушитель;

• мотивы действий нарушителя (преследуемые нарушителемцели);

• техническую оснащенность и используемые для совершения нарушения методы и средства;

• предполагаемые место и время осуществления незаконных действийнарушителя;

• ограничения и предположения о характере возможныхдействий.

Результаты исследований причин нарушений (по данным Datapro Information Services Group и других организаций) говорят об одном: главный источник нарушений –внутри

180

самой автоматизированной системы: 75–85 % нарушений совершаются самими служащими организации, имеющими доступ к ее системе, и только 15–25 % нарушений совершаются лицами состороны.

Внутренниминарушителями могут быть пользователи (операторы) системы; персонал, обслуживающий технические средства (инженеры, техники и т. п.); сотрудники отделов разработки и сопровождения программного обеспечения (прикладные и системные программисты); технический персонал, обслуживающий здания и имеющий доступ в помещения; руководители различныхуровней.

Внешниенарушители – это клиенты (представители сторонних организаций, граждане); представители организаций, с которыми осуществляется взаимодействие; лица, случайно или умышленно нарушившие пропускной режим; любые лица за пределами контролируемойзоны.

При формировании модели нарушителя и оценке риска от действий персонала необходимо дифференцировать всех сотрудников по возможности доступа к системе и, следовательно, по потенциальному ущербу от каждой категории пользователей. Например, оператор или программист автоматизированной банковской системы может нанести несравненно больший ущерб, чем обычный пользователь, тем болеенепрофессионал.

При формировании модели нарушителя следует уделять особое внимание личности нарушителя. Это поможет разобраться в побудительных мотивах и принять соответствующие меры для уменьшения вероятности совершениянарушений.

По технической оснащенности и используемым методам и средствам нарушители подразделяются:

• на применяющих пассивные средства (средства перехвата без модификации компонентовсистемы);

• на использующих только штатные средства и недостатки системы защиты для ее преодоления (несанкционированные действия с использованием разрешенныхсредств);

• на применяющих методы и средства активного воздействия (модификация и подключение дополнительных технических средств, подключение к каналам передачи данных, внедрение программных закладок и использование специальных инструментальных и технологическихпрограмм).

Приведенная классификация предусматривает постоянное обновление информации о характеристиках технических и программных средств ведения разведки и обеспечения доступа кинформации.

Незаконные действия нарушитель может осуществлять в разное время (в процессе функционирования, во время работы компонентов системы, во время плановых перерывов в работе, в нерабочее время, в перерывы для обслуживания и ремонта и т. п.); с разных мест (из-за пределов контролируемой зоны; внутри контролируемой зоны, но без доступа в выделенные для размещения компонентов помещения; внутри выделенных помещений, но без доступа к техническим средствам; с доступом к техническим средствам и с рабочих мест конечных пользователей; с доступом в зону данных, архивов и т. п.; с доступом в зону управления средствами обеспечениябезопасности).

Учет места и времени действий злоумышленника также позволит конкретизировать его возможности и учесть их для повышения качества системы защитыинформации.

Определение значений возможных потерь (возможного ущерба) должно быть количественно. Для оценки потерь могут быть использованы как точные методы современной математики, так и методы экспертных оценок, которые весьма широко используются при решении подобныхзадач.

Оценивая тяжесть ущерба, необходимо иметь в виду: непосредственные расходы на замену оборудования, анализ и исследование причин и величины ущерба, восстановление информацииифункцийАСпоееобработке;косвенныепотери,связанныесоснижением

181

банковского доверия, потерей клиентуры, подрывом репутации, ослаблением позиций на рынке.

Естественно, информационные потери требуют расходов на их восстановление, что приводит к временным задержкам, вызывающим соответствующие претензии пользователей, потерю интересов, а иногда и финансовыесанкции.

Для оценки потерь необходимо описать сценарий действий трех сторон:нарушителя

• по использованию добытой информации, службы информационной безопасности – по предотвращению последствий и восстановлению нормального функционирования системы и третьейстороны.

Оценив потери по каждой из вероятных угроз, необходимо определить стратегию управления рисками. При этом возможно несколькоподходов:

• уменьшение риска (многие риски могут быть существенно уменьшены путем использования весьма простых и дешевыхконтрмер);

• уклонение от риска (от некоторых классов рисков можно уклониться; например, вынесение Web-сервера организации за пределы локальной сети позволяет избежать риска несанкционированного доступа в локальную сеть со стороныWeb-клиентов);

• изменение характера риска (можно принять некоторые меры, например страхование отдельныхрисков);

• принятие риска (не все риски могут быть уменьшены до пренебрежимо малой величины). Возможна ситуация, когда для уменьшения риска не существует эффективных и приемлемых по цене мер. В этом случае приходится поднимать планку приемлемого риска и переносить центр тяжести на смягчение последствий и выработку планов восстановления после аварий, стихийных бедствий и иныхпроисшествий.

На практике, после принятия стандартного набора контрмер, ряд рисков уменьшается, но остается все еще значимым. Необходимо знать остаточную величину риска. Если какие-либо риски оказались недопустимо высокими, необходимо реализовать дополнительные защитныемеры.

Проведение анализа рисков и оценки потерь требует глубоких системных знаний и аналитического мышления во многих смежных областях зашиты информации. Без таких знаний невозможно будет впоследствии построить надежную систему информационной безопасности на выделенные средства и в заданныесроки.

По результатам работ на этапе анализа уязвимости должно быть подготовлено экспертное заключение о защищенности информационных ресурсов на объекте, включающее всебя:

• модели каналов утечки информации и несанкционированногодоступа;

• методики определения вероятностей установления информационного контакта для внешнихнарушителей;

• сценарии возможных действий нарушителя по каждому из видов угроз, учитывающие модель нарушителя, возможности системы защиты информации и технических средств разведки, а также действия нарушителя после ознакомления с информацией, ее искажения илиуничтожения.

Руководство предприятия или организации, как правило, ожидает точной количественной оценки защищенности информационных ресурсов на объекте. Не всегда удается получить такие оценки, однако можно вычленить наиболее уязвимые участки и сделать прогноз о возможных проявлениях описанных в отчетеугроз.

182