5. Защита информационных ресурсов и повышение информационнойбезопасности

Предпринимаемые меры защиты должны быть адекватны вероятности осуществления данного типа угрозы и потенциальному ущербу, который может быть нанесен в том случае, если угроза осуществится (включая затраты на защиту отнее).

Необходимо иметь в виду, что многие меры защиты требуют достаточно больших вычислительных ресурсов, что в свою очередь существенно влияет на процесс обработки информации. Поэтому современный подход к решению этой проблемы заключается в применении в АСУ принципов ситуационного управления защищенностью информационных ресурсов. Суть такого подхода заключается в том, что требуемый уровень безопасности информации устанавливается в соответствии с ситуацией, определяющей соотношение между ценностью перерабатываемой информации, затратами (снижением производительности АСУ, дополнительным расходом оперативной памяти и др.), которые необходимы для достижения этого уровня, и возможными суммарными потерями (материальными, моральными и др.) от искажения и несанкционированного использованияинформации.

Необходимые характеристики защиты информационных ресурсов определяются в ходе ситуационного планирования при непосредственной подготовке технологического процесса защищенной обработки информации с учетом сложившейся ситуации, а также (в сокращенном объеме) во время процесса обработки. Выбирая защитные меры, приходится учитывать не только прямые расходы на закупку оборудования и программ, но и расходы на внедрение новинки, на обучение и переподготовку персонала. Важным обстоятельством является совместимость нового средства со сложившейся аппаратно-программной структуройобъекта.

Зарубежный опыт в области защиты интеллектуальной собственности и отечественный опыт по защите государственных секретов показывают, что эффективной может быть только комплексная защита, сочетающая в себе такие направления защиты, как правовое, организационное иинженерно-техническое.

Правовое направлениепредусматривает формирование совокупности законодательных актов, нормативно-правовых документов, положений, инструкций, руководств, требования которых являются обязательными в рамках сферы их деятельности в системе защитыинформации.

Организационное направление– это регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе таким образом, что разглашение, утечка и несанкционированный доступ к конфиденциальной информации становятся невозможными или существенно затрудняются за счет проведения организационныхмероприятий.

По мнению специалистов, организационные мероприятия играют большую роль в создании надежного механизма защиты информации, так как возможности несанкционированного использования конфиденциальных сведений в значительной мере обусловлены не техническими аспектами, а злоумышленными действиями, нерадивостью, небрежностью и халатностью пользователей или персоналазащиты.

К организационным мероприятиямотносятся:

• мероприятия, осуществляемые при проектировании, строительстве и оборудовании служебных и производственных зданий ипомещений;

• мероприятия, осуществляемые при подбореперсонала;

• организация и поддержание надежного пропускного режима, охраны помещений и территории, контроля запосетителями;

• организация хранения и использования документов и носителей конфиденциальной информации;

183

• организация защитыинформации;

• организация регулярного обучениясотрудников.

Одним из основных компонентов организационного обеспечения информационной безопасности компании является Служба информационной безопасности (СИБ – орган управления системой защиты информации). Именно от профессиональной подготовленности сотрудников службы информационной безопасности, наличия в их арсенале современных средств управления безопасностью во многом зависит эффективность мер по защите информации. Ее штатная структура, численность и состав определяются реальными потребностями компании, степенью конфиденциальности ее информации и общим состояниембезопасности.

Основная цель функционирования СИБ, используя организационные меры и программно-аппаратные средства, – избежать или хотя бы свести к минимуму возможность нарушения политики безопасности, в крайнем случае, вовремя заметить и устранить последствиянарушения.

Для обеспечения успешной работы СИБ необходимо определить ее права и обязанности, а также правила взаимодействия с другими подразделениями по вопросам зашиты информации на объекте. Численность службы должна быть достаточной для выполнения всех возлагаемых на нее функций. Желательно, чтобы штатный состав службы не имел обязанностей, связанных с функционированием объекта защиты. Служба информационной безопасности должна быть обеспечена всеми условиями, необходимыми для выполнения своихфункций.

Ядроминженерно-технического направленияявляются программно-аппаратные средства защиты информации, к которым относятся механические, электромеханические, электронные, оптические, лазерные, радио- и радиотехнические, радиолокационные и другие устройства, системы и сооружения, предназначенные для обеспечения безопасности и защитыинформации.

Под программным обеспечением безопасности информации понимается совокупность специальных программ, реализующих функции защиты информации и режимафункционирования.

Сформированная совокупность правовых, организационных и инженерно- технических мероприятий выливается в соответствующую политикубезопасности.

Политика безопасности определяет облик системы защиты информации в виде совокупности правовых норм, организационных (правовых) мер, комплекса программно- технических средств и процедурных решений, направленных на противодействие угрозам для исключения или минимизации возможных последствий проявления информационных воздействий. После принятия того или иного варианта политики безопасности необходимо оценить уровень безопасности информационной системы. Естественно, что оценка защищенности производится по совокупности показателей, основными из которых являются стоимость, эффективность,реализуемость.

Оценить варианты построения системы защиты информации – задача достаточно сложная, требующая привлечения современных математических методов многопараметрической оценки эффективности. К ним относятся: метод анализа иерархий, экспертные методы, метод последовательных уступок и ряддругих.

Когда намеченные меры приняты, необходимо проверить их действенность, то есть убедиться, что остаточные риски стали приемлемыми. Только после этого можно намечать дату ближайшей переоценки. В противном случае придется проанализировать допущенные ошибки и провести повторный сеанс анализа уязвимости с учетом изменений в системе защиты.

Сформированный возможный сценарий действий нарушителя требует проверки системы защиты информации. Такая проверка называется «тестированиемна

184

проникновение». Цель – предоставление гарантий того, что для неавторизованного пользователя не существует простых путей обойти механизмызащиты.

Один из возможных способов аттестации безопасности системы – приглашение хакеров для взлома без предварительного уведомления персонала сети. Для этого выделяется группаиздвух-трех человек, имеющих высокую профессиональнуюподготовку. Хакерам предоставляется в распоряжение автоматизированная система в защищенном исполнении, и группа в течение 1–3 месяцев пытается найти уязвимые места и разработать на их основе тестовые средства для обхода механизмов защиты. Наемные хакеры представляют конфиденциальный доклад по результатам работы с оценкой уровня доступности информации и рекомендациями по улучшениюзащиты.

Наряду с таким способом используются программные средстватестирования.

На этапесоставления плана защитыв соответствии с выбранной политикой безопасности разрабатывается план его реализации. План защиты является документом, вводящим в действие систему защиты информации, который утверждается руководителем организации. Планирование связано не только с наилучшим использованием всех возможностей, которыми располагает компания, в том числе выделенных ресурсов, но и с предотвращением ошибочных действий, могущих привести к снижению эффективности предпринятых мер по защитеинформации.

План защиты информации на объекте долженвключать:

• описание защищаемой системы (основные характеристики защищаемого объекта: назначение объекта, перечень решаемых задач, конфигурация, характеристики и размещение технических средств и программного обеспечения, перечень категорий информации (пакетов, файлов, наборов и баз данных, в которых они содержатся), подлежащих защите, и требований по обеспечению доступа, конфиденциальности, целостности этих категорий информации, список пользователей и их полномочий по доступу к ресурсам системы и т.п.);

• цель защиты системы и пути обеспечения безопасности автоматизированной системы и циркулирующей в нейинформации;

• перечень значимых угроз безопасности автоматизированной системы, от которых требуется защита, и наиболее вероятных путей нанесенияущерба;

• политику информационнойбезопасности;

• план размещения средств и функциональную схему системы защиты информации наобъекте;

• спецификацию средств защиты информации и смету затрат на ихвнедрение;

• календарный план проведения организационных и технических мероприятий по защите информации, порядок ввода в действие средствзащиты;

• основные правила, регламентирующие деятельность персонала по вопросам обеспечения информационной безопасности объекта (особые обязанности должностных лиц, обслуживающих автоматизированнуюсистему);

• порядок пересмотра плана и модернизации средствзащиты.

Пересмотр плана защиты осуществляется при изменении следующих компонентов объекта:

• кадров;

• архитектуры информационной системы (подключение других локальных сетей, изменение или модификация используемых средств вычислительной техники илиПО);

• территориального расположения компонентов автоматизированнойсистемы.

В рамках плана защиты необходимо иметь план действий персонала в критических ситуациях, т. е.план обеспечения непрерывной работы и восстановления информации. Он отражает:

185

• цель обеспечения непрерывности процесса функционирования автоматизированной системы, восстановления ее работоспособности и пути ее достижения;

• перечень и классификацию возможных кризисныхситуаций;

• требования, меры и средства обеспечения непрерывной работы и восстановления процесса обработки информации (порядок создания, хранения и использования резервных копий информации, ведения текущих, долговременных и аварийных архивов; состав резервного оборудования и порядок его использования и т.п.);

• обязанности и порядок действий различных категорий персонала системы в кризисных ситуациях, при ликвидации их последствий, минимизации наносимого ущерба и при восстановлении нормального функционированиясистемы.

Если организация осуществляет обмен электронными документами с партнерами по выполнению единых заказов, то необходимо в план защиты включить договор о порядке организации обмена электронными документами, в котором отражаются следующие вопросы:

• разграничение ответственности субъектов, участвующих в процессах обмена электроннымидокументами;

• определение порядка подготовки, оформления, передачи, приема, проверки подлинности и целостности электронныхдокументов;

• порядка генерации, сертификации и распространения ключевой информации (ключей, паролей и т.п.);

• порядка разрешения споров в случае возникновенияконфликтов.

План защиты информации представляет собой пакет текстуально-графических документов, поэтому наряду с приведенными компонентами этого пакета в него могут входить:

• положение о коммерческой тайне, определяющее перечень сведений, составляющих коммерческую тайну, и порядок его определения, а также обязанности должностных лиц по защите коммерческойтайны;

• положение о защите информации, регламентирующее все направления деятельности по реализации политики безопасности, а также ряд дополнительных инструкций, правил, положений, соответствующих специфике объектазащиты.

Реализация плана защиты (управление системой защиты)предполагает разработку необходимых документов, заключение договоров с поставщиками, монтаж и настройку оборудования и т. д. После формирования системы защиты информации решается задача ее эффективного использования, т. е. управлениябезопасностью.

Управление – процесс целенаправленного воздействия на объект, осуществляемый для организации его функционирования по заданнойпрограмме.

Управление информационной безопасностью должнобыть:

• устойчивым к активным вмешательствамнарушителя;

• непрерывным, обеспечивающим постоянное воздействие на процессзащиты;

• скрытым, не позволяющим выявлять организацию управления защитой информации;

• оперативным, обеспечивающим возможность своевременно и адекватно реагировать на действия злоумышленников и реализовывать управленческие решения к заданномусроку.

Кроме того, решения по защите информации должны быть обоснованными с точки зрения всестороннего учета условий выполнения поставленной задачи, применения различных моделей, расчетных и информационных задач, экспертных систем, опыта и любых других данных, повышающих достоверность исходной информации и принимаемыхрешений.

186

Показателем эффективности управления защитой информации является время цикла управления при заданном качестве принимаемых решений. В цикл управления входит сбор необходимой информации для оценки ситуации, принятие решения, формирование соответствующих команд и их исполнение. В качестве критерия эффективности может использоваться время реакции системы защиты информации на нарушение, которое не должно превышать времени устаревания информации исходя из ееценности.

Как показывает разработка реальных АСУ, ни один из способов (мер, средств и мероприятий) обеспечения безопасности информации не является абсолютно надежным, а максимальный эффект достигается при объединении всех их в целостную систему защиты информации. Только оптимальное сочетание организационных, технических и программных мероприятий, а также постоянное внимание и контроль над поддержанием системы защиты в актуальном состоянии позволят с наибольшей эффективностью обеспечить решение постояннойзадачи.

Методологические основы обеспечения информационной безопасности являются достаточно общими рекомендациями, базирующимися на мировом опыте создания подобных систем. Задача каждого специалиста по защите информации – адаптировать абстрактные положения к своей конкретной предметной области (организации, банку), в которой всегда найдутся свои особенности итонкости.

Анализ отечественного и зарубежного опыта убедительно доказывает необходимость создания целостной системы информационной безопасности компании, увязывающей оперативные, оперативно-технические и организационные меры защиты. Причем система безопасности должна быть оптимальной с точки зрения соотношения затрат и ценности защищаемых ресурсов. Необходима гибкость и адаптация системы к быстро меняющимся факторам окружающей среды, организационной и социальной обстановке в учреждении. Достичь такого уровня безопасности невозможно без проведения анализа существующих угроз и возможных каналов утечки информации, а также без выработки политики информационной безопасности на предприятии. В итоге должен быть создан план защиты, реализующий принципы, заложенные в политикебезопасности.

Но существуют и другие сложности и «подводные камни», на которые обязательно нужно обратить внимание. Это проблемы, выявленные на практике и слабо поддающиеся формализации: проблемы не технического или технологического характера, которые так или иначе решаются, а проблемы социального и политическогохарактера.

Проблема 1.Отсутствие понимания у персонала и руководителей среднего и нижнего ранга необходимости проведения работ по повышению уровня информационной безопасности.

На этой ступеньке управленческой лестницы, как правило, не видно стратегических задач, стоящих перед организацией. Вопросы безопасности при этом могут вызывать даже раздражение – они создают «ненужные»трудности.

Часто приводятся следующие аргументы против проведения работ и принятия мер по обеспечению информационнойбезопасности:

• появление дополнительных ограничений для конечных пользователей и специалистов подразделений, затрудняющее их пользование автоматизированной системойорганизации;

• необходимость дополнительных материальных затрат как на проведение таких работ, так и на расширение штата специалистов, занимающихся проблемой информационнойбезопасности.

Указанная проблема является одной из основных. Все остальные вопросы так или иначе выступают в качестве ее следствий. Для ее преодоления важно решить следующие задачи: во-первых, повысить квалификацию персонала в области защиты информации путем проведения специальных собраний, семинаров; во-вторых, повыситьуровень

187

информированности персонала, в частности, о стратегических задачах, стоящих перед организацией.

Проблема 2.Противостояние службы автоматизации и службы безопасности организаций.

Эта проблема обусловлена родом деятельности и сферой влияния, а также ответственности этих структур внутри предприятия. Реализация системы защиты находится в руках технических специалистов, а ответственность за ее защищенность лежит на службе безопасности. Специалисты службы безопасности хотят во что бы то ни стало ограничить при помощи межсетевых экранов весь трафик. Но люди, работающие в отделах автоматизации, не желают решать дополнительные проблемы, связанные с обслуживанием специальных средств. Такие разногласия не лучшим образом сказываются на уровне защищенности всейорганизации.

Решается эта проблема, как и большинство подобных, чисто управленческими методами. Важно, во-первых, иметь в организационной структуре фирмы механизм решения подобных споров. Например, обе службы могут иметь единое начальство, которое будет решать проблемы их взаимодействия. Во-вторых, технологическая и организационная документации должны четко и грамотно делить сферы влияния и ответственностиподразделений.

Проблема 3.Личные амбиции и взаимоотношения на уровне руководителей среднего и высшегозвена.

Взаимоотношения между руководителями могут быть разными. Иногда при проведении работ по исследованию информационной защищенности то или иное должностное лицо проявляет сверхзаинтересованность в результатах этих работ. Действительно, исследования – это достаточно сильный инструмент для решения их частных проблем и удовлетворения амбиций. Выводы и рекомендации, записанные в отчете, используются как план к дальнейшим действиям того или другого звена. Возможна также и «вольная» трактовка выводов отчета в сочетании с проблемой 5, описанной ниже. Такая ситуация является крайне нежелательным фактором, так как искажает смысл проведения работ и требует своевременного выявления и ликвидации на уровне высшего руководства предприятия. Наилучшим вариантом являются деловые взаимоотношения, когда во главу угла ставятся интересы организации, а неличные.

Проблема 4.Низкий уровень исполнения намеченной программы действий по созданию системы защитыинформации.

Это достаточно банальная ситуация, когда стратегические цели и задачи теряются на уровне исполнения. Все может начинаться идеально. Генеральный директор принимает решение о необходимости совершенствования системы информационной безопасности. Нанимается независимая консалтинговая фирма, выполняющая аудит существующей системы защиты информации. По окончании формируется отчет, включающий все необходимые рекомендации по защите информации, доработке существующего документооборота в области информационной безопасности, по внедрению технических средств защиты информации и организационных мер, дальнейшей поддержке созданной системы. План защиты включает краткосрочные и долгосрочные мероприятия. Далее рекомендации передаются на исполнение в одно из подразделений. И здесь важно, чтобы они не утонули в болоте бюрократии, личных амбиций, нерасторопности персонала и десятке других причин. Исполнитель может быть плохо проинформирован, недостаточно компетентен или просто не заинтересован в выполнении работ. Важно, чтобы генеральный директор проконтролировал выполнение намеченного плана, дабы не потерять, во-первых, средства, вложенные в безопасность на начальном этапе, во-вторых, чтобы не понести потери в результате отсутствия этойбезопасности.

Проблема 5.Низкая квалификация специалистов по защитеинформации.

188

Данный аспект можно не считать серьезным препятствием, если оннеявляетсяпреградойнапути создания системы защиты информации. Дело в том, что впланзащиты,как правило, включается такое мероприятие, как повышение квалификацииспециалистов вобласти защиты информации в компании. Для специалистов другихслужбмогутпроводиться семинары по основам организации защиты информации.Нужновернооценивать реальную квалификацию сотрудников, занимающихсяисполнениемпланазащиты. Зачастую неверные выводы или неумение применять методы защитынапрактикеприводят к сложностям при реализации рекомендованных мероприятий. Принамекенатакие обстоятельства самым правильным выходом будетповышениеквалификацииспециалистов по защите информации в специально созданных для этогоцентрахобучения.Таким образом, практическая деятельность в области повышенияэкономическойиинформационной безопасности наглядно демонстрирует, что создание реальнодействующей системы защиты информации оказывается в сильнойзависимостиотсвоевременного решения перечисленных проблем. Однако накопленныйопытпоказывает,что все рассмотренные вопросы успешно решаются при условииплотнойсовместнойработы представителей заказчика и компании-исполнителя. Главное –осознатьважностьпроведения таких работ, своевременно выявить существующие угрозыиприменитьадекватные меры противодействия, которые, как правило, специфичныдлякаждогоконкретного предприятия. Наличие желания и возможностейявляетсядостаточнымусловием для плодотворной работы, целью которой стало бы созданиекомплексной

системы обеспечения безопасностиорганизации.

189