Если у вас возникли сложности с курсовой, контрольной, дипломной, рефератом, отчетом по практике, научно-исследовательской и любой другой работой - мы готовы помочь.
Предоплата всего
Подписываем
10. Створення політики інформаційної безпеки. Методи забезпечення безвідмовності системи.
Налаштування прав кожної людини, так чи інакше пов'язаної з конфіденційною інформацією на підприємстві, можна класифікувати і в деякому наближенні формалізувати. Подібний загальний опис функцій оператора носить назву ролі. Залежно від розмірів підприємства деякі з перерахованих нижче ролей можуть бути відсутніми взагалі, а деякі можуть поєднуватися однією і тією ж фізичною особою.
Фахівець з інформаційної безпеки відіграє основну роль у розробці та підтримці політики безпеки підприємства. Він проводить розрахунок і перерахунок ризиків, відповідальний за пошук найсвіжішої інформації про виявлені вразливості у використовуваному в фірмі програмному забезпеченні і в цілому в стандартних алгоритмах.
Власник інформації — особа, яка безпосередньо працює з даною інформацією, (не потрібно плутати з оператором). Найчастіше тільки він в змозі реально оцінити клас оброблюваної інформації, а іноді і розповісти про нестандартні методи атак на неї (специфічних для цього виду даних). Власник інформації не повинен брати участь в аудиті системи безпеки.
Постачальник апаратного та програмного забезпечення. Зазвичай стороння особа, яка несе відповідальність перед фірмою за підтримання належного рівня інформаційної безпеки в поставляються ним продуктів.
Розробник системи і/або програмного забезпечення відіграє основну роль у рівні безпеки розроблюваної системи. На етапах планування та розробки повинен активно взаємодіяти з фахівцями з інформаційної безпеки.
Лінійний менеджер або менеджер відділу є проміжною ланкою між операторами і фахівцями з інформаційної безпеки. Його завдання — вчасно і якісно інструктувати підлеглий йому персонал про всі вимоги служби безпеки і стежити за їх виконанням на робочих місцях. Лінійні менеджери повинні бути проінформовані про всі політики безпеки підприємства, але доводити до відома підпорядкованих співробітників тільки ті її аспекти, які безпосередньо їх стосуються.
Оператори - особи, відповідальні лише за свої вчинки. Вони не приймають ніяких рішень і ні за ким не спостерігають. Вони повинні бути інформовані про клас конфіденційності інформації, з якою вони працюють, і про те, яку шкоду буде завдано фірми при її розкритті.
Аудитори - зовнішні спеціалісти або фірми, яких наймає підприємство для періодичної (досить рідкісної) перевірки організації і функціонування всієї системи безпеки.
Методика створення політики безпеки підприємства складається з обліку основних (найбільш небезпечних) ризиків інформаційних атак, сучасної ситуації, чинників непереборної сили та генеральної вартості проекту.
Політика безпеки — це комплекс превентивних заходів щодо захисту конфіденційних даних та інформаційних процесів на підприємстві. Політика безпеки включає в себе вимоги до персоналу, менеджерів та технічних служб. Основні напрямки розробки політики безпеки:
Існують дві системи оцінки поточної ситуації в області інформаційної безпеки на підприємстві. Вони отримали образні назви "дослідження знизу вверх" і "дослідження зверху вниз". Перший метод досить простий, вимагає набагато менших капіталовкладень, але і меншими можливостями. Він базується на відомій схемі: "Ви — зловмисник. Ваші дії?".Тобто служба інформаційної безпеки, ґрунтуючись на даних про всі відомі види атак, намагається застосувати їх на практиці з метою перевірки, чи можливою є така атака з боку реального зловмисника.
Метод "зверху вниз" є, навпаки, детальним аналізом всієї існуючої схеми зберігання та обробки інформації. Першим етапом цього методу є, як і завжди, визначення того, які інформаційні об'єкти й потоки необхідно захищати. Далі потрібне вивчення поточного стану системи інформаційної безпеки з метою визначення, що з класичних методик захисту інформації вже реалізовано, в якому обсязі і на якому рівні. На третьому етап проводиться класифікація всіх інформаційних об'єктів на класи відповідно до її конфіденційністю, вимогами до доступності та цілісності (незмінності).
Після цього потрібно з'ясувати наскільки серйозний збиток може принести фірмі розкриття чи інша атака на кожен конкретний інформаційний об'єкт. Цей етап має назву "обчислення ризиків". У першому наближенні ризиком називається добутку "можливого збитку від атаки" на "вірогідність такої атаки". Існує безліч схем обчислення ризиків, зупинимося на одній з найпростіших.
Збиток від атаки може бути представлений невід'ємним числом в приблизній відповідності до цієї таблицею:
|
Вірогідність атаки представляється невід'ємним числом в приблизному відповідності з наступною таблицею:
|
Необхідно відзначити, що класифікацію збитку, що наноситься атакою, повинен оцінювати власник інформації, або працює з нею персонал. А ось оцінку ймовірності появи атаки краще довіряти технічним співробітникам фірми.
Наступним етапом складається таблиця ризиків підприємства. Вона має наступний вигляд:
|
На етапі аналізу таблиці ризиків задають деякий максимально допустимий ризик, наприклад значенням 7. Спочатку перевіряється кожен рядок таблиці на перевищення ризику цього значення. Якщо таке перевищення є, то даний рядок — це одна з першочергових цілей розробки політики безпеки. Потім проводиться порівняння подвоєного значення (у нашому випадку 7 * 2 = 14) з інтегральним ризиком (комірка "Разом"). Якщо інтегральний ризик перевищує допустиме значення, то в системі набирається безліч дрібних помилок у системі безпеки, які в сумі не дадуть підприємству ефективно працювати. У цьому випадку з рядків вибираються ті, які роблять найзначніший внесок у значення інтегрального ризику і проводиться спроба їх зменшити або усунути повністю.
На найвідповідальнішому етапі проводиться власне розробка політики безпеки підприємства, яка забезпечить належні рівні як окремих ризиків, так і інтегрального ризику. При її розробці необхідно, однак, враховувати об'єктивні проблеми, які можуть стати на шляху реалізації політики безпеки. Такими проблемами можуть стати закони країни і міжнародного співтовариства, внутрішні вимоги корпорації, етичні норми суспільства.
Після опису всіх технічних і адміністративних заходів, що плануються до реалізації, проводиться розрахунок економічної вартості даної програми. У тому випадку, коли фінансові вклади в програму безпеки є неприйнятними або просто економічно невигідними в порівнянні з потенційним збитком від атак, проводиться повернення на рівень, де було задано максимально допустимий ризик і збільшення його на один або два пункти.
Завершується розробка політики безпеки її затвердженням у керівництва фірми і детальною документацією. За цим повинна виконуватися активна реалізація всіх зазначених у плані компонентів. Перерахунок таблиці ризиків і, як наслідок, модифікація політики безпеки підприємства найчастіше проводиться раз на два роки.
Безвідмовність сервісів і служб зберігання даних досягається за допомогою систем самотестування та внесення надмірності на різних рівнях: апаратному, програмному, інформаційному.
Методи підтримки безвідмовності є суміжною областю у схемах комплексної інформаційної безпеки підприємства. Основним методом у цій сфері є внесення надмірності. Вона може реалізовуватися в системі на трьох рівнях: рівні даних (або інформації), рівні сервісів (або додатків) і рівні апаратного забезпечення.
Внесення надмірності на рівні даних практикується досить давно: це резервне копіювання та криптостійке кодування. Резервне копіювання виконується зазвичай при зберіганні інформації на сучасних запам'ятовуючих пристроях (оскільки для них в аварійній ситуації характерний вихід з ладу великих блоків даних повністю — важковідновлюване за допомогою завадостійкого кодування пошкодження). А ось використання кодів з виявленням і деяким потенціалом для виправлення помилок отримало широке застосування в засобах телекомунікації.
Внесення надмірності на рівні додатків використовується набагато рідше. Проте, багато хто, особливо мережеві, служби спочатку підтримують можливість роботи з резервною або взагалі з необмеженою, заздалегідь невідомою кількістю альтернативних служб. Введення такої можливості рекомендується при розробці програмного забезпечення, однак, сам процес автоматичного перемикання на альтернативну службу повинен підтверджуватися криптографічним обміном первісної (установчої) інформації. Це необхідно робити для того, щоб зловмисник не міг, вивівши з ладу реальний сервіс, нав'язати Вашій програмі свій сервіс з фальсифікованою інформацією.
Внесення надмірності на апаратному рівні реалізується зазвичай відносно периферійних пристроїв (накопичувачі на гнучких і жорстких дисках, мережеві та відео-адаптери, монітори, пристрої введення інформації від користувача). Це пов'язано з тим, що дублювання роботи основних компонентів ЕОМ (процесора, ОЗУ) набагато простіше виконати, встановивши просто повноцінну дублюючу ЕОМ з тими ж функціями. Для автоматичного визначення працездатності ЕОМ в програмне забезпечення вбудовуються або 1) перевірка контрольних сум інформації, або 2) тестові приклади зі свідомо відомим результатом, що запускаються час від часу, або 3) монтування трьох і більше дублюючих пристроїв і перевіркою їх вихідних результатів за мажоритарним правилом ( яких результатів більше — ті і є правильні, а машини, що видали не такі результати, виведені з ладу).