Принципы проектирования системы защиты информации в компьютерных сетях
В 2014 году был введен в действие национальный стандарт ГОСТ P 51583-2014 " Защита информации . Порядок создания автоматизированных систем в защищенном исполнении. Общие положения", который определил комплекс работ по созданию системы защиты информации для создаваемых (модернизируемых) автоматизированных систем, в отношении которых законодательством или заказчиком установлены требования по их защите.
Автоматизированная система в защищенном исполнении (АСЗИ) - автоматизированная система , реализующая информационную технологию выполнения установленных функций в соответствии с требованиями стандартов и/или иных нормативных документов по защите информации[111]. В качестве основных видов автоматизированных систем ГОСТ рассматривает автоматизированные рабочие места и информационные системы . В этой лекции будет рассматриваться информационная система как наиболее часто защищаемый объект информатизации.
В ГОСТ P 51583-2014 выделен следующий комплекс работ по созданию системы защиты информации:
- формирование требований к системе защиты информации АСЗИ;
- разработка (проектирование) системы защиты информации АСЗИ;
- внедрение системы защиты информации АСЗИ;
- аттестация АСЗИ по требованиям безопасности информации и ввод в действие;
- сопровождение системы защиты информации в ходе эксплуатации АСЗИ.
В "Требования по защите информации и созданию системы защиты информации" были рассмотрены стадии создания СЗИ в соответствии с СТР-К (предроектная, проектирование, ввод в действие СЗИ). ГОСТ Р 51583-2014 не противоречит СТР-К, а лишь более подробно раскрывает комплекс работ по созданию СЗИ. Стоит отметить, что на ГОСТ ссылаются последние документы ФСТЭК.
13.2. Формирование требований к системе защиты информации
Формирование требований к системе защиты информации (СЗИ) осуществляется обладателем информации (заказчиком) с учетом требований, закрепленных в нормативных правовых актах уполномоченных федеральных органов исполнительной власти и национальных стандартах в области ЗИ, и включает в себя:
- принятие решения о необходимости защиты информации, содержащейся в информационной системе;
- классификацию информационной системы по требованиям защиты информации (далее - классификация информационной системы);
- определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в информационной системе, и разработку на их основе модели угроз безопасности информации;
- определение требований к системе защиты информации информационной системы.
При принятии решения о необходимости защиты информации необходимо:
- проанализировать цели и задачи ИС;
- определить, какая информация обрабатывается в ИС;
- на основе информации, полученной в предыдущих пунктах определить, каким нормативным правовым актам, методическим документам и национальным стандартам должна соответствовать информационная система;
- определить цели и задачи СЗИ, основных этапов создания, обладателя информации(заказчика), оператора и уполномоченных лиц.
Результаты классификации информационной системы оформляются актом классификации.
Составляется техническое задание на создание СЗИ на основе ГОСТ 34.602 "Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы" (далее - ГОСТ 34.602), ГОСТ Р 51583 и ГОСТ Р 51624.
Угрозы безопасности информации определяются по результатам оценки возможностей (потенциала) внешних и внутренних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации (конфиденциальности, целостности, доступности). В качестве основы для определения угроз ФСТЭК рекомендует использовать банк данных угроз и уязвимостей ФСТЭК, рассмотренный ранее, и иные источники, содержащие сведения об уязвимостях и угрозах безопасности информации. Результатом этого этапа является модель угроз и модель злоумышленника.
Требования к СЗИ определяются в зависимости от класса защищенности информационной системы и угроз безопасности информации, включенных в модель угроз безопасности информации. Они включаются в техническое задание на создание СЗИ и должны, в том числе, включать:
- цель и задачи обеспечения защиты информации в информационной системе;
- класс защищенности информационной системы;
- перечень нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система;
- перечень объектов защиты информационной системы;
- требования к мерам и средствам защиты информации, применяемым в информационной системе;
- стадии (этапы работ) создания системы защиты информационной системы;
- требования к поставляемым техническим средствам, программному обеспечению, средствам защиты информации;
- функции заказчика и оператора по обеспечению защиты информации в информационной системе;
- требования к защите средств и систем, обеспечивающих функционирование информационной системы (обеспечивающей инфраструктуре);
- требования к защите информации при информационном взаимодействии с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также при применении вычислительных ресурсов (мощностей), предоставляемых уполномоченным лицом для обработки информации[110].
2. Определить состав рабочей группы.
Важно определить, какие специалисты будут принимать активное участие в работах по информационной безопасности.
Есть мнение, что можно отдать работы по ИБ на аутсорсинг и полностью сосредоточиться на текущих задачах. Это верно лишь отчасти, поскольку никакие внешние эксперты не смогут оценить реальную важность и ценность информационных ресурсов компании, они могут лишь привнести объективный взгляд со стороны. Поэтому в рабочей группе обязательно должен быть представитель владельца информационных ресурсов.
3. Определить риски.
После того как сформирована рабочая группа и получена поддержка действий от руководства, переходим к этапу управления рисками. На этом этапе необходимо:
- идентифицировать информационные активы, представляющие ценность;
- провести анализ информационных ресурсов, к защите которых предъявляются требования со стороны законодательства/отрасли;
- провести анализ информационных ресурсов на существующие уязвимости с точки зрения информационной безопасности;
- провести анализ источников угроз;
- проанализировать сами угрозы;
- оценить возможный ущерб;
- подготовить отчет для презентации руководству.
После проведения этапа должен быть составлен список определенных угроз и оценен ущерб, который может быть потенциально нанесен компании при реализации этих угроз. При расчете ущерба следует учитывать вероятность наступления тех или иных угроз.
После оценки возможного ущерба необходимо проработать риски по каждой актуальной угрозе.
1. Заручиться поддержкой руководства.
Если отдел информационной безопасности создан по инициативе руководства компании, то проблема решена. Однако в реальности часто ИБ-отдел создается стихийно, при этом существует служба безопасности, которая не очень понимает, что такое технические меры защиты, есть также ИТ-служба, которая воспринимает ИБ-отдел как помеху и т д.
Организация защиты информации на практике ведется одним из способов: «снизу вверх» либо «сверху вниз».
Подход «снизу вверх» наиболее распространен. В данном случае инициатива по всем ИБ-мероприятиям исходит от рядовых специалистов или линейных руководителей. Подход включает в себя написание служебных записок, доведение до руководства информации об инцидентах и прочее. Такой подход малоэффективен, так как высшее руководство компании не до конца понимает целесообразность и необходимость проведения большинства работ по информационной безопасности. В итоге информационной безопасности уделяется малое внимание, ей занимаются по остаточному принципу, работы зачастую носят несистемный характер.
Подход «сверху вниз» предполагает вовлеченность топ-менеджмента и владельцев бизнеса в проблематику информационной безопасности. Данный подход считается более эффективным, поскольку руководство смотрит на информационную безопасность с позиции бизнеса, ведется оценка рисков. Подход позволяет получать требуемые ресурсы и принимать необходимые меры, так как комплексная защита информации на предприятии — инициатива руководства.
На первом этапе следует заручиться поддержкой руководства, а в организации работ придерживаться подхода «сверху вниз».
13.2. Формирование требований к системе защиты информации
Формирование требований к системе защиты информации (СЗИ) осуществляется обладателем информации (заказчиком) с учетом требований, закрепленных в нормативных правовых актах уполномоченных федеральных органов исполнительной власти и национальных стандартах в области ЗИ, и включает в себя:
- принятие решения о необходимости защиты информации, содержащейся в информационной системе;
- классификацию информационной системы по требованиям защиты информации (далее - классификация информационной системы);
- определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в информационной системе, и разработку на их основе модели угроз безопасности информации;
- определение требований к системе защиты информации информационной системы.
При принятии решения о необходимости защиты информации необходимо:
- проанализировать цели и задачи ИС;
- определить, какая информация обрабатывается в ИС;
- на основе информации, полученной в предыдущих пунктах определить, каким нормативным правовым актам, методическим документам и национальным стандартам должна соответствовать информационная система;
- определить цели и задачи СЗИ, основных этапов создания, обладателя информации(заказчика), оператора и уполномоченных лиц.
Результаты классификации информационной системы оформляются актом классификации.
Составляется техническое задание на создание СЗИ на основе ГОСТ 34.602 "Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы" (далее - ГОСТ 34.602), ГОСТ Р 51583 и ГОСТ Р 51624.
Угрозы безопасности информации определяются по результатам оценки возможностей (потенциала) внешних и внутренних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации (конфиденциальности, целостности, доступности). В качестве основы для определения угроз ФСТЭК рекомендует использовать банк данных угроз и уязвимостей ФСТЭК, рассмотренный ранее, и иные источники, содержащие сведения об уязвимостях и угрозах безопасности информации. Результатом этого этапа является модель угроз и модель злоумышленника.
Требования к СЗИ определяются в зависимости от класса защищенности информационной системы и угроз безопасности информации, включенных в модель угроз безопасности информации. Они включаются в техническое задание на создание СЗИ и должны, в том числе, включать:
- цель и задачи обеспечения защиты информации в информационной системе;
- класс защищенности информационной системы;
- перечень нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система;
- перечень объектов защиты информационной системы;
- требования к мерам и средствам защиты информации, применяемым в информационной системе;
- стадии (этапы работ) создания системы защиты информационной системы;
- требования к поставляемым техническим средствам, программному обеспечению, средствам защиты информации;
- функции заказчика и оператора по обеспечению защиты информации в информационной системе;
- требования к защите средств и систем, обеспечивающих функционирование информационной системы (обеспечивающей инфраструктуре);
- требования к защите информации при информационном взаимодействии с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также при применении вычислительных ресурсов (мощностей), предоставляемых уполномоченным лицом для обработки информации[110].
Подобные документы
Основные положения теории защиты информации. Сущность основных методов и средств защиты информации в сетях. Общая характеристика деятельности и корпоративной сети предприятия "Вестел", анализ его методик защиты информации в телекоммуникационных сетях.
дипломная работа [1,1 M], добавлен 30.08.2010
Анализ объекта информатизации. Политику информационной безопасности. Подсистемы технической защиты информации: управления доступом, видеонаблюдения, охранной и пожарной сигнализаций, защиты от утечки по техническим каналам, защиты корпоративной сети.
презентация [226,0 K], добавлен 30.01.2012
Теоретические основы построения корпоративной сети. Анализ источников угроз и информационных рисков. Организация защиты корпоративной информационной системы Дистанции электроснабжения на основе типовых решений. Современные технологии защиты информации.
дипломная работа [746,7 K], добавлен 09.11.2016
Подбор и описание компонентов, обеспечивающих защиту информации, активов компании, для дальнейшего построения на их основании надежной и защищенной корпоративной сети на примере сети "JDSONS". Аудит и контроль изменений конфигурации информационных систем.
курсовая работа [49,6 K], добавлен 11.09.2012
Анализ модели информационно-телекоммуникационной системы предприятия. Виды угроз информационной безопасности. Цели и задачи защиты информации на предприятии. Разработка процедур контроля системы управления защитой информации в корпоративной сети.
Защита информации в АИТУ должна основываться на следующих основных принципах:
3) непрерывности защиты;
4) разумной достаточности;
5) гибкости управления и применения;
6) открытости алгоритмов и механизмов защиты;
7) простоты применения защитных мер и средств.
Системный подход к защите компьютерных систем предполагает необходимость учета всех взаимосвязанных, взаимодействующих и изменяющихся во времени элементов, условий и факторов, существенно значимых для понимания и решения проблемы обеспечения безопасности АИТУ. При создании системы защиты необходимо учитывать все слабые, наиболее уязвимые места системы обработки информации, а также характер, возможные объекты и направления атак на систему со стороны нарушителей (особенно высококвалифицированных злоумышленников), пути проникновения в распределенные системы и несанкционированного доступа к информации. Система защиты должна строиться с учетом не только всех известных каналов проникновения и несанкционированного доступа к информации, но и с учетом возможности появления принципиально новых путей реализации угроз безопасности.
В распоряжении специалистов по компьютерной безопасности имеется широкий спектр мер, методов и средств защиты компьютерных систем. Их комплексное использование предполагает согласованное применение разнородных средств при построении целостной системы защиты, перекрывающей все существующие каналы реализации угроз и не содержащей слабых мест на стыке отдельных ее компонентов. Защита должна строиться эшелонировано.
Внешняя защита должна обеспечиваться физическими средствами, организационными и правовыми мерами. Одной из наиболее укрепленных линий обороны призваны быть средства защиты, реализованные на уровне операционной системы (ОС) в силу того, что ОС – это как раз та часть компьютерной системы, которая управляет использованием всех ее ресурсов. Прикладной уровень защиты, учитывающий особенности предметной области, представляет внутренний рубеж обороны.
Защита информации – это не разовое мероприятие и даже не совокупность проведенных мероприятий и установленных средств защиты, а непрерывный целенаправленный процесс, предполагающий принятие соответствующих мер на всех этапах жизненного цикла АИТУ, начиная с ранних стадий проектирования, а не только на этапе ее эксплуатации. Разработка системы защиты должна вестись параллельно с разработкой самой защищаемой системы. Это позволит учесть требования безопасности при проектировании архитектуры и, в конечном счете, создать более эффективные (как по затратам ресурсов, так и по устойчивости) защищенные системы.
Большинству физических и технических средств защиты для эффективного выполнения их функций необходима постоянная организационная (административная) поддержка (своевременная смена и обеспечение правильного хранения и применения имен, паролей, ключей шифрования, переопределение полномочий и т.п.). Перерывы в работе средств защиты могут быть использованы злоумышленниками для анализа применяемых методов и средств защиты, для внедрения специальных программных и аппаратных «закладок» и других средств преодоления системы защиты после восстановления ее функционирования.
Создать абсолютно непреодолимую систему защиты принципиально невозможно. При достаточном количестве времени и средств можно преодолеть любую защиту. Поэтому имеет смысл вести речь только о некотором приемлемом (разумно достаточном) уровне безопасности. Высокоэффективная система защиты стоит дорого, использует при работе существенную часть мощности и ресурсов компьютерной системы и может создавать ощутимые дополнительные неудобства пользователям. Важно правильно выбрать достаточный уровень защиты, при котором затраты, риск и размер возможного ущерба были бы приемлемыми (задача анализа риска).
Часто приходится создавать систему защиты в условиях большой неопределенности. Поэтому принятые меры и установленные средства защиты, особенно в начальный период их эксплуатации, могут обеспечивать как чрезмерный, так и недостаточный уровень защиты. Естественно, что для обеспечения возможности варьирования уровней защищенности, средства защиты должны обладать определенной гибкостью. Особенно важным это свойство является в тех случаях, когда установку средств защиты необходимо осуществлять на работающую систему, не нарушая процесса ее нормального функционирования. Кроме того, внешние условия и требования с течением времени меняются. В таких ситуациях свойство гибкости избавит владельцев АИТУ от необходимости принятия кардинальных мер по полной замене средств защиты на новые.
Суть принципа открытости алгоритмов и механизмов защиты состоит в том, что защита не должна обеспечиваться только за счет секретности структурной организации и алгоритмов функционирования ее подсистем. Знание алгоритмов работы системы защиты не должно давать возможности ее преодоления (даже автору). Однако это вовсе не означает, что информация о конкретной системе защиты должна быть общедоступна.
Механизмы защиты должны быть интуитивно понятны и просты в использовании. Применение средств защиты не должно быть связано со знанием специальных языков или с выполнением действий, требующих значительных дополнительных трудовых затрат при обычной работе законных пользователей, а также не должно требовать от пользователя выполнения рутинных малопонятных ему операций (ввод нескольких паролей и имен и т.д.).
Срочно?
Закажи у профессионала, через форму заявки
8 (800) 100-77-13 с 7.00 до 22.00
Как показывает опыт, построение подсистемы информационной безопасности корпоративной сети далеко не всегда является сугубо технической задачей. Гораздо чаще оно представляет собой задачу организационно-техническую, в которой от решения организационной составляющей во многом зависит состав и сложность реализации составляющей технической.
Процесс построения подсистемы информационной безопасности включает следующие этапы:
1) экспертизу защищенности корпоративной информационной системы;
2) разработку концепции и политики информационной безопасности компании;
3) проектирование корпоративной системы в защищенном исполнении;
4) поставку и ввод в опытную эксплуатацию средств защиты;
5) сопровождение систем информационной безопасности;
6) модернизацию и развитие систем информационной безопасности.
Рассмотрим основные этапы построения подсистемы информационной безопасности.
На первом этапе проводится экспертиза защищенности существующей или планируемой к реализации корпоративной системы, при этом рекомендуется сначала провести четкую классификацию существующих информационных ресурсов компании по степени их конфиденциальности.
В рамках любой компании вполне обоснованным является требование о придании информации (например, финансового отдела или отдела разработки) статуса конфиденциальной, доступ к которой необходимо ограничить, прежде всего, для сотрудников самой компании.
Эту задачу, как правило, можно решить как организационными методами, так и техническими средствами, однако наиболее эффективным способом является применение некого комбинированного решения. В последних двух случаях, скорее всего, потребуется пересмотр или переконфигурирование топологии существующих локальных сетей либо усовершенствование (upgrade) сетевого оборудования, чтобы появилась возможность четко выделить те сегменты корпоративной системы, в которых обрабатывается конфиденциальная информация, а также ограничить число контролируемых точек взаимодействия этих сегментов с остальными сегментами корпоративной системы.
Взаимодействие с открытыми сетями рабочих станций и серверов этих сегментов, если оно необходимо, лучше всего организовать не напрямую, а через доверительную среду корпоративной сети.
На этом этапе выполняется анализ возможных угроз корпоративной системе и рисков подключения организации к Internet. Анализ рисков подключения организации к Internet включает определение уязвимых мест, оценку вероятности реализации угроз, материального ущерба от их осуществления, риска от проявления угрозы как произведения вероятности проявления угрозы и затрат на ее предотвращение, необходимого и достаточного перечня мер защиты. Существуют специальные программные пакеты для автоматизации процесса анализа рисков. Одной из разработок в этой области является программное обеспечение Riskwatch for Physical Security Riskwatch Inc для среды Windows.
Результат работы пакета – список обнаруженных рисков и возможных угроз для телекоммуникационного оборудования, компьютерной сети и прикладных систем. Эта система может быть сконфигурирована таким образом, чтобы выявлять места возможного проникновения в корпоративную сеть злоумышленников, оценивать возможность причинения ущерба служащим организации, в которой функционирует данная сеть. Результаты анализа служат основой для выполнения следующего этапа.
На втором этапе формулируются концепция и политика информационной безопасности корпоративной сети. Наличие в корпоративной сети многочисленных средств защиты (межсетевых экранов, VPN-шлюзов, VPN-клиентов (VPN – защищенная виртуальная сеть), систем аутентификации, контроля доступа по содержанию и т.п.), распределенных по территории, требует централизованного управления. Централизованное управление средствами безопасности подразумевает наличие единой глобальной политики безопасности.
Политика безопасности определяет особенности процесса защиты информационных ресурсов корпоративной сети и детализируется с помощью правил безопасности двух типов:
1) правил, регламентирующих процедуры доступа к информационным объектам, таким как серверы, рабочие станции, каналы связи, базы данных, отдельные файлы, ресурсы ОС. Эти правила обычно оформляются в виде списков доступа (Access Lists), загружаемых в память сетевых устройств: маршрутизаторов, рабочих станций, коммутаторов, серверов, специализированных защитных комплексов и т.п. Для реализации правил безопасности этого типа разработано достаточно много инструментальных средств (например, специализированные модули сетевых операционных систем), контролирующих процесс соблюдения правил безопасности на пользовательском уровне;
2) правил, связанных с анализом содержимого сетевых пакетов и, соответственно, с настройкой средств сетевого мониторинга и средств обнаружения вторжений злоумышленников. С технической точки зрения эта задача более сложна и предполагает привлечение достаточно совершенных аппаратных и программных средств защиты.
Без надлежащего опыта сформировать собственную политику безопасности корпоративной сети в виде системы требований к подсистеме информационной безопасности применительно к конкретной компании, скорее всего, удастся лишь на самом общем уровне, часто недостаточном для решения данной задачи. Фактически делать этого и не нужно, поскольку как отечественными, так и западными специалистами по информационной безопасности уже составлены необходимые документы, в которых четко классифицированы разные уровни обеспечения информационной безопасности корпоративной сети и необходимые для этого технические средства, а также организационные мероприятия
Взяв за основу перечисленные там требования, можно быть достаточно твердо уверенным в том, что необходимая комплексность подсистемы информационной безопасности корпоративной сети будет обеспечена. На данном этапе нелишне снова задуматься о перспективах развития корпоративной сети, например о том, с кем из партнеров или заказчиков планируется строить защищенные взаимодействия в ближайшие пять лет. Очевидно, что состав и жесткость требований к вашей подсистеме информационной безопасности должны быть, как минимум, не ниже соответствующих параметров подсистемы информационной безопасности вашего партнера или заказчика.
На третьем этапе можно приступить непосредственно к выбору технических средств, которые в совокупности с организационными мерами позволили бы успешно решать поставленные перед подсистемой информационной безопасности задачи.
Общей целью разработчиков сетевых систем безопасности является достижение прозрачности систем безопасности, обеспечивающих безопасность без значительного влияния на работу сети и не вынуждающих пользователей отказываться от полезных сетевых услуг.
Весьма важный фактор – установление баланса между безопасностью и сложностью в соответствии с основным принципом: чем сложнее система, тем она уязвимее и труднее для установки.
Сложные системы трудно сконфигурировать должным образом, а различные неточности могут привести к возникновению проблем безопасности. Пока эксперты не пришли к единому мнению, какой набор средств считать необходимым, а какой – избыточным.
При окончательном выборе уже конкретного средства защиты информации конкретного производителя, помимо базовых требований к продукту (набора функциональности, относительной стоимости необходимых функций, совместимости с другими средствами защиты информации, условий технической поддержки продукта производителем или дистрибьютором и т.д.), необходимо уделить внимание следующим двум критериям:
1) быстродействию данного средства защиты информации;
2) наличию сертификата соответствия.
Требование по быстродействию средства защиты информации относится, главным образом, к средствам защиты межсетевого взаимодействия (межсетевым экранам, proxy-серверам, VPN-устройствам), поскольку именно здесь, как правило, возникает жесткое требование к скорости обработки информации. Прежде всего, это относится к средствам защиты информации, применяющим методы криптографического преобразования информации (средствам шифрования прикладного уровня, VPN-устройствам и др.), поскольку подобная обработка трафика в реальном масштабе времени требует серьезных вычислительных ресурсов, которые необходимо предварительно оценить.
Наличие сертификата соответствия на выбранное средство защиты информации строго обязательно только для государственных учреждений, а также для тех негосударственных учреждений, которые используют информацию, отнесенную государством (в рамках существующего законодательства) к конфиденциальной (секретной), – например, для учреждений, работающих по государственному заказу, или имеющих доступ к персональной информации граждан либо к сведениям о добыче и обработке стратегических полезных ископаемых и т.д.
После того, как на основе выбранных организационных и технических требований определен круг необходимых средств защиты информации, выполняется этап технического проектирования подсистемы информационной безопасности и все последующие этапы, ведущие к вводу готовой системы в эксплуатацию.
При проектировании эффективной подсистемы информационной безопасности следует также учитывать ряд общих принципов обеспечения информационной безопасности. К числу этих принципов относятся следующие:
· экономическая эффективность – стоимость средств защиты должна быть меньше, чем размеры возможного ущерба;
· минимум привилегий – каждый пользователь должен иметь минимальный набор привилегий, необходимый для работы;
· простота – защита тем эффективнее, чем легче пользователю с ней работать;
· отключаемость защиты – при нормальном функционировании защита не должна отключаться. Только в особых случаях сотрудник со специальными полномочиями может отключить систему защиты;
· открытость проектирования и функционирования механизмов защиты – специалисты, имеющие отношение к системе защиты, должны полностью представлять себе принципы ее функционирования и в случае возникновения затруднительных ситуаций адекватно на них реагировать;
· всеобщий контроль – любые исключения из множества контролируемых субъектов и объектов защиты снижают защищенность автоматизированного комплекса обработки информации;
· независимость системы защиты от субъектов защиты – лица, занимавшиеся разработкой системы защиты, не должны быть в числе тех, кого эта система будет контролировать;
· отчетность и подконтрольность – система защиты должна предоставлять доказательства корректности своей работы;
· ответственность – подразумевается личная ответственность лиц, занимающихся обеспечением безопасности информации;
· изоляция и разделение – объекты защиты целесообразно разделять на группы таким образом, чтобы нарушение защиты в одной из групп не влияло на безопасность других;
· полнота и согласованность – надежная система защиты должна быть полностью специфицирована, протестирована и согласована;
· параметризация – защита становится более эффективной и гибкой, если она допускает изменение своих параметров со стороны администратора;
· принцип враждебного окружения – система защиты должна проектироваться в расчете на враждебное окружение. Разработчики должны исходить из предположения, что пользователи имеют наихудшие намерения, будут совершать серьезные ошибки и искать пути обхода механизмов защиты;
· привлечение человека – наиболее важные и критические решения должны приниматься человеком;
· отсутствие излишней информации о наличии механизмов защиты – их существование следует, по возможности, скрыть от пользователей, работа которых должна контролироваться.
Для некоторых типов компаний этапу ввода подсистемы информационной безопасности в эксплуатацию должен предшествовать этап проведения аттестации подсистемы информационной безопасности на соответствие требованиям, налагаемым российским законодательством на системы защиты отдельных категорий информации. И только после подтверждения корректности реализации подсистемы информационной безопасности внешним государственным органом систему можно вводить в эксплуатацию.
Этап сопровождения подсистемы информационной безопасности корпоративной сети, а также этап модернизации и развития подсистемы информационной безопасности корпоративной сети осуществляются компанией – системным интегратором в соответствии с заключенным договором.
Срочно?
Закажи у профессионала, через форму заявки
8 (800) 100-77-13 с 7.00 до 22.00
Представим ситуацию, когда в компании создается подразделение информационной безопасности. Перед руководителем ИБ-отдела очерчен круг задач, выделен бюджет и дана отмашка на старт. Предлагаем рассмотреть алгоритм, который поможет в текучке неотложных дел сфокусироваться на главном.
6. Довести информацию до заинтересованных лиц.
Важно донести до пользователей необходимую информацию по ИБ доступными для них способами. Сотрудникам лучше всего показать на практике, как безопасно работать и взаимодействовать, провести презентацию или обучение. Руководству полезно будет показать убытки, которые может получить компания в случае невыполнения мер по информационной безопасности. Специалистам нужно показать, какими средствами можно пользоваться, а какими нет и почему, а также озвучить ответственность за нарушения этих мер.
Изучение и характеристика основных подходов к созданию систем защиты информации. Рассмотрение подзадач и ограничений организации защищенной корпоративной сети предприятия. Ознакомление с последствиями активной автоматизации и информатизации отраслей.
Рубрика | Программирование, компьютеры и кибернетика |
Вид | статья |
Язык | русский |
Дата добавления | 18.08.2018 |
Размер файла | 249,2 K |
Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.
Электронный научно-практический журнал «МОЛОДЕЖНЫЙ НАУЧНЫЙ ВЕСТНИК» ИЮНЬ 2017
Электронный научно-практический журнал «МОЛОДЕЖНЫЙ НАУЧНЫЙ ВЕСТНИК» ИЮНЬ 2017
ФГОУ ВО «Дальневосточный Федеральный Университет»
Алгоритм проектирования системы защиты информации в корпоративной сети
Калужин Е.А., Чижевский В.В.
Аннотации
В данной работе поднимается вопрос организации системы защиты корпоративной сети. Проанализированы существующие методики и алгоритмы организации системы защиты, выявлены их недостатки. На основе проделанного анализа авторами предлагается алгоритм создания системы защиты корпоративной сети, который представлен в виде последовательного ряда шагов и накладываемых на них ограничений. Приводятся конкретные примеры реализации каждого шага.
Выделяются основные преимущества предложенной методики над существующими.
Ключевые слова: сетевые угрозы, защита информации, распределенная сеть, техническая модель, модель угроз.
Algorithm for the design of the information security system in the corporate network
Kaluzhin E.A., Chizhevskiy V.V.
In this paper, the issue of organization of a corporate network protection system is raised. The existing methods and algorithms for organizing the protection system are analyzed, their shortcomings are revealed. Based on the analysis done, the authors propose an algorithm for creating a corporate network protection system, which is presented in the form of a series of steps and constraints imposed on them. Specific examples of the implementation of each step are given. The main advantages of the proposed methodology over existing ones are highlighted.
Keywords: network threats, information security, distributed network, threat model.
Введение
Любое сетевое взаимодействие сопряжено с рядом угроз. В современных реалиях сетевые атаки и методы компрометации информации становятся все более изощренными. Злоумышленники, преследуя различные цели, используют уязвимости и слабости в системе защиты для деструктивного воздействия и компрометации информации. Последствиями такого воздействия может быть материальный ущерб, подрыв деловой репутации, простой в работе, потеря клиентов и т.д. Поэтому чрезвычайно важно организовать защиту сетевых ресурсов и снизить актуальные угрозы. Существуют различные подходы к проектированию системы защиты корпоративной сети.
Так, в работе [1] авторы рассматривают систему защиты информации как совокупность формальной и неформальной политики безопасности, а также организационных мер.
В другом исследовании [2] авторы рассматривают проблематику и тонкости проектирования системы защиты с помощью специализированных систем автоматического проектирования (САПР), которые без участия пользователя обрабатывают экспертные данные и выдают рекомендации, выделяются их преимущества и недостатки.
В работе [3] анализируются основные подходы к созданию систем защиты информации. Авторы отмечают, что только комплексный подход, охватывающий все аспекты защиты (организационные, технические, программно-аппаратные), способен принести результат.
Таким образом, на основе проанализированных работ, можно сделать вывод, что существует ряд различных методик и алгоритмов проектирования системы защиты информации, каждая из которых имеет свои преимущества и недостатки. Основным недостатком существующих алгоритмов является то, что они ориентированы на устранение угроз и снижение рисков, в то время как экономические и эргономические аспекты уходят на второй план.
Цель и задачи исследования
Целью данной работы является предложить усовершенствованный алгоритм проектирования системы защиты информации в корпоративных сетях, который будет удовлетворять основным принципам защиты информации. Для достижения цели были решены следующие задачи:
1. Анализ принципов построения системы защиты
2. Декомпозиция процесса проектирования на подпроцессы (шаги)
3. Формирования ряда ограничений при построении системы защиты
Принципы построения системы защиты. Под принципами построения системы защиты понимаются базовые утверждения и закономерности, которые лежат в основе и накладывают ограничения на создаваемую систему.Кратко рассмотрим эти принципы:
Принцип полноты защищаемой информации заключается в том, что вся информация, которая представляет ценность для предприятия, подлежит защите.
Принцип обоснованности заключается в том, что экономические затраты на разработку, внедрение и сопровождение системы защиты должны быть меньше, чем потенциальный ущерб от реализации снижаемых угроз. Иными словами, система защиты должна окупиться и в конечном итоге быть экономически выгодной и нацелена на исключение только актуальных угроз.
В основе принципа комплексности лежит утверждение о том, что защищенность системы определяется по защищенности наиболее уязвимого компонента.
Согласно принципу законности, система защиты и все используемые элементы должны соответствовать требованиям нормативно-правовых актов.
Предлагаемый алгоритм
На основе рассмотренных принципов можно сделать вывод, что система защиты должна быть:
1. Экономически выгодной
2. Законной
3. Эргономичной
А сам процесс проектирования, для удовлетворения принципу комплексности, должен основываться на всестороннем анализе предприятия, актуальных угроз и возможных нарушителей. Таким образом, на основе всего вышесказанного, предлагаемый алгоритм можно представить в виде структурной схемы (Рисунок 1).
Рисунок 1 - Подзадачи и ограничения организации защищенной сети предприятия
Подзадачи, указанные на данном рисунке решаются в определенном порядке: сверху вниз, однако в некоторых случаях возможно распараллеливание подзадач. Ограничения позволяют выстроить экономически выгодную, удобную пользователю и не противоречащую законодательству систему защиты. Рассмотрим представленные подзадачи и ограничения более детально.
Анализ актуальных угроз является основополагающей процедурой. Разрабатываемая система защиты должна удовлетворять принципу обоснованности [4] т.е. исключать и существенным образом снижать только актуальные угрозы. Анализ актуальных угроз включает в себя следующие шаги:
1. Сбор информации о целях, специфики, особенностях, информационных потоках, имеющихся средствах защиты предприятия
2. Комплексный анализ информационных активов предприятия
3. Категорировании информации, подлежащей защите
4. Разработка модели угроз
Финальным шагом анализа актуальных угроз является разработка модели угроз - документа, отражающего все возможные угрозы предприятия. Определение актуальности угрозы является слабоформализумой задачей, поэтому, как правило, принятие решение об актуальности угрозы происходит при помощи метода экспертных оценок. На практике данный метод реализуется в виде комиссии, где эксперты, на основе личного опыта в проблемной области принимают решения.
В настоящее время происходит активная автоматизация и информатизация многих отраслей, как следствие создаются новые технологии и появляются новые угрозы. Одним из источников информации о сетевых угрозах является ФСТЭК России. Например, методический документ, который носит рекомендательный характер [5] предлагает собственную методику определения угроз безопасности в информационных системах. Постоянно обновляемый банк угроз, разработанный ФСТЭК [6] позволяет отслеживать современные угрозы. Также основными источниками информации в области новых угроз и уязвимостей являются крупные производители средств защиты информации, такие как SearchInform, Infowatch, КодБезопасности и т.д.
Процедуру анализа нарушителей можно определить как составляющую анализа угроз. Это связано с тем, что опорная информация для анализа нарушителей идентична анализу угроз. Т.е. для анализа возможных нарушителей необходимо четко определить специфику предприятия, циркулирующую информацию и задачи, решаемые предприятием. Согласно методике [5] ФСТЭК нарушитель может быть внешним и внутренним (сотрудник предприятия). В зависимости от средств и умений нарушители классифицируются по потенциалу. Более подробное описание классификации нарушителей указано в методике ФСТЭК.
После определения потенциала нарушителя картинка актуальных угроз становятся более четкой. Между возможными нарушителями и актуальными угрозами предприятия прослеживается явная взаимосвязь. Более умелый злоумышленник, обладающий широким набором средств способен реализовать более сложные угрозы. информатизация корпоративный сеть
Выбор средств защиты является основным шагом в проектировании системы защиты сети. С одной стороны, выбранные средства защиты должны снижать актуальные угрозы безопасности, с другой стороны удовлетворять законодательству РФ, а с третьей быть экономически выгодными[7]. Выбор методов защиты (как программных, так и программно-аппаратных) основывается на разработанной модели угроз. В качестве примера приведен фрагмент модели угроз и предполагаемых средств защиты (Рисунок 2).
Рисунок 2 - Фрагмент модели угроз
После определения необходимых методов защиты (например, СЗИ от НСД, сетевое экранирование и т.д.) необходимо произвести комплексный анализ рынка и выбрать средства с учетом экономических ограничений. Т.е. затраты на покупку, установку и сопровождение средств защиты не должны превышать возможный материальный ущерб от реализации угроз [6]. При выборе аналогичные средства сравниваются по различным критериям и совместимости с уже имеющимися средствами. Пример сравнительного анализа СЗИ от НСД представлен на Рисунке 3.
При установке и настройке выбранных средств защиты чрезвычайно важно произвести все настройки таким образом, чтобы не мешать пользователям выполнять их должностные обязанности. Ведь как показывает практика, зачастую, средства защиты, в основном, такие как СЗИ от НСД и DLP-системы существенно снижают скорость и продуктивность работы сотрудников [8]. Также при настройке средств защиты необходимо следовать принципу полноты защищаемой информации, который основан на том, что безопасность всей системы определяется по защищенности наиболее уязвимого элемента.
Рисунок 3 - Пример сравнительного анализа СЗИ от НСД
После установки и настройки элементов защиты необходим постоянный мониторинг и анализ защищенности, который включает себя актуализацию модели угроз, поиск и нейтрализацию новых уязвимостей. Данный шаг реализует принцип цикличности, который заключается в том, что эффективная система защита требует постоянного совершенствования и доработки.
На разрабатываемую систему защиты всегда накладывается ряд ограничений. Экономические ограничения касаются коммерческих предприятий, чья основная цель - получение прибыли. Поэтому система защиты должна быть экономически выгодной, т.е. в перспективе сохранить ресурсы предприятия в размере, превышающем её стоимость.
Разрабатываемая система защиты должна всецело удовлетворять нормативно-правовым актам Российской Федерации. Особенно жестко регламентируется информационная безопасность государственных информационных систем, критически важных объектов, информационных систем персональных данных. Защита информации в коммерческих организациях, где обрабатывается частная (коммерческая) тайна, регламентируется менее жестко т.к. владелец информации сам вправе выбирать средства и методы её защиты.
Система защиты информация не должна затруднять сотрудникам выполнение своих должностных обязанностей и достижение служебных целей. Она должна исключить вероятность компрометации важной информации, но в то же время ориентирована на сотрудников т.к. они являются основной трудовой единицей. Эргономические ограничения позволяют, не снижая уровня защищенности, адаптировать систему защиты таким образом, чтобы она не снижала продуктивность сотрудников.
Результаты работы. Результатом работы является алгоритм проектирования системы защиты информации в корпоративной сети. Данный алгоритм представлен в виде ряда последовательных шагов и накладываемых на них ограничений. Он может быть применен на практике т.к. не требует высококвалифицированных кадров и дополнительных средств. Основными преимуществами предложенного алгоритма являются:1. Комплексный подход, позволяющий учитывать все возможные угрозы и уязвимости
2. Анализ экономической целесообразности, позволяющий разработать выгодную систему
3. Разработанная с помощью данного алгоритма система ориентирована на пользователя
4. Разработанная с помощью данного алгоритма система удовлетворяет законодательству Российской Федерации.
Заключение
Организация защиты корпоративной сети предприятия является циклическим процессом, требующим комплексного подхода. Были рассмотрены различные методы и алгоритмы проектирования системы защиты, выявлены их основные недостатки.
Был предложен усовершенствованный алгоритм проектирования системы защиты информации в корпоративных сетях. В качестве научной новизны, данный алгоритм был декомпозирован на ряд подзадач и ограничений. Каждая подзадача и ограничение удовлетворяют принципам защиты информации, что позволяет выстроить экономически выгодную систему защиту, ориентированную на продуктивность пользователя и полностью удовлетворяющую законодательству Российской Федереации.
Список литературы
1. Погуляев В.В. Защита информации в компьютерных корпоративных сетях.- В.В. Погуляев, А.А. Теренин.- «Национальная безопасность : приоритеты и безопасность».- 2009.-№1
2. Аверченков В.И. Разработка САПР комплексных систем защиты информации информационных систем.- В.И. Аверченков, М.Ю. Рытов, М.В. Рудановский.- Известия ОРЕЛ ГТУ. Серия «Информационные системы и технологии».-2012.-№1-4
3. Поликарпов А.А. Подходы к созданию комплексной системы защиты информации в телекоммуникационных системах.-А.А. Поликарпов .- Труды международного симпозиума «Надежность и качество».-2014.-№2
4. Гришина, М.В. Организация комплексной системы защиты информации: Учебное пособие.- Гелиос АРВ.-2007.-340 с
5. Федеральная служба по техническому и экспортному контролю.- Методический документ «Методика определения угроз безопасности информации в информационных системах».-2015 г.
7. Шаханова М.В. Современные технологии информационной безопасности: Учебно-методический комплекс.- ДВФУ.-2013.- 180 с
8. Под редакцией А.П. Курило. Обеспечение информационной безопасности бизнеса. - М.: Альпина Паблишер, 2011. - 392 с.
7. Провести мониторинг и оценку.
После проведения всех этапов необходимо провести мониторинг и оценку результатов работ. Важно понять, насколько изменилось состояние ИБ.
Например, хорошим показателем будет появление инцидентов или вопросов по ИБ после проведения обучения сотрудников. Если до обучения обращений по инцидентам не возникало, а после обучения стали появляться инциденты, значит, оно прошло не зря.
Но на этом работа не заканчивается. Цикличность работ по ИБ связана с тем, что информационная среда очень изменчива. Происходят изменения внутри самих информационных активов, изменения в информационных технологиях, в способах обработки информации, а значит, нужно снова возвращаться к анализу рисков и актуализации системы ИБ.
Станислав Шиляев, руководитель проектов по информационной безопасности компании «СКБ Контур»
Не пропустите новые публикации
Подпишитесь на рассылку, и мы поможем вам разобраться в требованиях законодательства, подскажем, что делать в спорных ситуациях, и научим больше зарабатывать.
5. Выбрать и внедрить меры и средства защиты информации.
На этом этапе осуществляется выбор средств защиты информации и оценка их эффективности. Оценка эффективности нужна для понимания, окупятся ли затраты, потраченные на СЗИ. Прибыль здесь косвенная — минимизация рисков, которые были определены ранее.
При выборе мер и средств защиты необходимо руководствоваться правилом: затраты на приобретение, внедрение, настройку, обучение специалистов, сопровождение средств защиты не должны превышать ущерба от реализации угрозы, на защиту от которой эти средства направлены.
4. Принять организационные меры.
На данном этапе разрабатываются политики, стандарты, руководства и инструкции, направленные на поддержание системы ИБ. Фиксируется ответственность сотрудников за нарушение требований ИБ, разглашение и нарушение конфиденциальности информации. Важно понимать, что эффективная система ИБ не может существовать без регламентов, инструкций, документов, направленных на ее поддержание.
13.3. Разработка (проектирование) системы защиты информации
Следующая стадия - разработка СЗИ - осуществляется на основе ТЗ и включает в себя:
- проектирование системы защиты информации информационной системы;
- разработку эксплуатационной документации на систему защиты информации информационной системы;
- макетирование и тестирование системы защиты информации информационной системы (при необходимости).
При разработке СЗИ ИС учитываются взаимодействие ИС с другими ИС и информационно-телекоммуникационными сетями и применение вычислительных ресурсов (мощностей), предоставляемых уполномоченным лицом для обработки информации.
При проектировании СЗИ ИС:
- определяются типы субъектов доступа и объектов доступа, являющихся объектами защиты (пример субъекта доступа - пользователь ИС, объекта доступа - объект файловой системы;
- определяются методы управления доступом, типы доступа и правила разграничения доступа субъектов доступа к объектам доступа, подлежащие реализации в информационной системе;
- выбираются меры защиты информации, подлежащие реализации в системе защиты информации информационной системы;
- определяются виды и типы средств защиты информации;
- определяется структура системы защиты информации информационной системы, включая состав (количество) и места размещения ее элементов;
- осуществляется выбор средств защиты информации, сертифицированных на соответствие требованиям по безопасности информации (если того требует законодательство), с учетом их стоимости, совместимости с информационными технологиями и техническими средствами, функций безопасности этих средств и особенностей их реализации, а также класса защищенности информационной системы;
- определяются требования к параметрам настройки программного обеспечения, включая программное обеспечение средств защиты информации, обеспечивающие реализацию мер защиты информации, а также устранение возможных уязвимостей информационной системы, приводящих к возникновению угроз безопасности информации;
- определяются меры защиты информации при информационном взаимодействии с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также при применении вычислительных ресурсов (мощностей), предоставляемых уполномоченным лицом для обработки информации.
Результаты проектирования СЗИ отражаются в проектной документации (эскизном (техническом) проекте и (или) в рабочей документации) на информационную систему (систему защиты информации информационной системы), разрабатываемых с учетом ГОСТ 34.201 "Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем".
Эксплуатационная документация на СЗИ ИС разрабатывается с учетом ГОСТ 34.601, ГОСТ 34.201 и ГОСТ Р 51624 и должна в том числе содержать описание:
- структуры системы защиты информации информационной системы;
- состава, мест установки, параметров и порядка настройки средств защиты информации, программного обеспечения и технических средств;
- правил эксплуатации системы защиты информации информационной системы.
При макетировании и тестировании СЗИ ИС осуществляются:
- проверка работоспособности и совместимости выбранных средств защиты информации с информационными технологиями и техническими средствами;
- проверка выполнения выбранными средствами защиты информации требований к системе защиты информации информационной системы;
- корректировка проектных решений, разработанных при создании информационной системы и (или) системы защиты информации информационной системы.
Макетирование системы защиты информации информационной системы и ее тестирование может проводиться в том числе с использованием средств и методов моделирования информационных систем и технологий виртуализации.
Читайте также: